fix(security): tryb wielokatalogowy Microsoft tylko dla kont już powiązanych

Bez konkretnego MICROSOFT_AUTH_TENANT_ID logują się wyłącznie konta
Microsoft już powiązane z kontem BPP: bez zakładania nowych kont i bez
wiązania po adresie e-mail (także dla kont bez uprawnień), z neutralnym
komunikatem dla użytkownika. Jawny opt-in
MICROSOFT_AUTH_MULTI_TENANT_ALLOW_LINKING=True przywraca ostrożne reguły
wiązania. Treść bpp.W201 i komunikatu dla superusera opisuje ten tryb.
Przy konkretnym tenancie zachowanie bez zmian.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01UJ23Rb1c5UtxHTfAke9ENQ

Author: mpasternak

docs/administrator/zaawansowane.md

@@ -206,6 +206,7 @@ zmiennych `MICROSOFT_AUTH_CLIENT_ID` oraz `MICROSOFT_AUTH_CLIENT_SECRET`.
 | `MICROSOFT_AUTH_CLIENT_SECRET` | Sekret tej aplikacji. |
 | `MICROSOFT_AUTH_TENANT_ID` | **Zalecany.** Identyfikator katalogu (GUID) albo jego domena, np. `uczelnia.onmicrosoft.com`. |
 | `MICROSOFT_AUTH_LINK_BY_EMAIL` | Domyślnie `False`. Patrz niżej. |
+| `MICROSOFT_AUTH_MULTI_TENANT_ALLOW_LINKING` | Domyślnie `False`. Dotyczy tylko trybu bez konkretnego katalogu. Patrz niżej. |
 | `MICROSOFT_AUTH_EXTRA_SCOPES` | Dodatkowe zakresy OAuth (opcjonalnie). |
 
 ### Zalecany konkretny katalog (tenant)
@@ -223,12 +224,23 @@ pusty albo ma wartość `common`, `organizations` lub `consumers`, BPP
   (dla `common` i `consumers` także prywatne konta Microsoft), o ile
   rejestracja aplikacji w Entra ID na to pozwala; BPP nie sprawdza, z którego
   katalogu pochodzi token,
-- zasady wiązania kont opisane niżej obowiązują bez zmian,
+- logują się **wyłącznie konta Microsoft już powiązane** z kontem BPP;
+  BPP nie zakłada nowych kont i nie wiąże kont po adresie e-mail (także
+  zwykłych kont bez uprawnień), bo w tym trybie adresu e-mail z tokenu nie da
+  się zweryfikować; użytkownik niepowiązanego konta zobaczy komunikat
+  „Konto Microsoft nie jest powiązane z kontem w BPP — skontaktuj się
+  z administratorem”, a administrator może powiązać konto ręcznie w module
+  administracyjnym (*Microsoft accounts*),
+- `MICROSOFT_AUTH_MULTI_TENANT_ALLOW_LINKING=True` przywraca w tym trybie
+  zakładanie nowych kont i wiązanie po e-mailu według zasad opisanych niżej
+  (konta z uprawnieniami lub hasłem lokalnym nadal nie są wiązane
+  automatycznie) — używaj tylko świadomie,
 - `manage.py check` zgłasza ostrzeżenie `bpp.W201`, a superuser po każdym
   zalogowaniu widzi komunikat z tą samą podpowiedzią.
 
-Aby usunąć ostrzeżenie, ustaw `MICROSOFT_AUTH_TENANT_ID` (GUID albo domena
-katalogu) i zrestartuj serwer aplikacji.
+Aby usunąć ostrzeżenie i przywrócić zwykłe zakładanie oraz wiązanie kont,
+ustaw `MICROSOFT_AUTH_TENANT_ID` (GUID albo domena katalogu) i zrestartuj
+serwer aplikacji.
 
 ### Wiązanie kont Microsoft z istniejącymi kontami BPP
 
@@ -244,8 +256,9 @@ powiąże automatycznie konta Microsoft z istniejącym użytkownikiem, który:
 Takie logowanie zostanie odrzucone. Administrator może powiązać konto ręcznie
 w module administracyjnym (*Microsoft accounts*), albo — jeżeli adresy e-mail
 w katalogu są w pełni zaufane — ustawić `MICROSOFT_AUTH_LINK_BY_EMAIL=True`.
-Zwykłe konta bez hasła lokalnego oraz nowi użytkownicy są wiązani/zakładani
-automatycznie, jak dotychczas.
+Przy skonfigurowanym konkretnym katalogu zwykłe konta bez hasła lokalnego oraz
+nowi użytkownicy są wiązani/zakładani automatycznie, jak dotychczas (w trybie
+wielokatalogowym — patrz wyżej).
 
 Konta Microsoft **już powiązane** z użytkownikiem BPP logują się bez zmian.
 Po aktualizacji użytkownicy zalogowani przez Microsoft muszą jednorazowo

src/bpp/auth/microsoft.py

@@ -5,8 +5,10 @@
 * przy ustawionym konkretnym katalogu Entra ID (GUID lub domena) przyjmuje
   wyłącznie tokeny wystawione przez ten katalog (claimy ``iss``/``tid``);
   bez konkretnego katalogu (``common``/``organizations``/``consumers`` lub
-  pusty) działa w trybie wielokatalogowym, jak biblioteka — tę konfigurację
-  zgłasza system check ``bpp.W201``,
+  pusty) działa w trybie wielokatalogowym — tę konfigurację zgłasza system
+  check ``bpp.W201``; w tym trybie logują się wyłącznie konta Microsoft już
+  powiązane z kontem BPP (bez wiązania po e-mailu i bez zakładania nowych
+  kont), chyba że ``MICROSOFT_AUTH_MULTI_TENANT_ALLOW_LINKING = True``,
 * nie wiąże nowego konta Microsoft z kontem BPP, gdy token nie ma e-maila
   albo e-mail pasuje do więcej niż jednego konta,
 * nie wiąże automatycznie nowego konta Microsoft z istniejącym kontem
@@ -19,6 +21,7 @@
 import logging
 
 from django.conf import settings
+from django.contrib import messages
 from django.contrib.auth import get_user_model
 from django.core.cache import cache
 from microsoft_auth.backends import MicrosoftAuthenticationBackend
@@ -33,8 +36,42 @@
 
 logger = logging.getLogger(__name__)
 
+#: Komunikat dla użytkownika, gdy konto Microsoft nie jest powiązane z BPP.
+KOMUNIKAT_NIEPOWIAZANE = (
+    "Konto Microsoft nie jest powiązane z kontem w BPP — skontaktuj się "
+    "z administratorem."
+)
+
 
 class BppMicrosoftAuthenticationBackend(MicrosoftAuthenticationBackend):
+    def authenticate(self, request, code=None):
+        self._request = request
+        return super().authenticate(request, code=code)
+
+    def _odmowa_niepowiazane(self):
+        request = getattr(self, "_request", None)
+        if request is not None:
+            messages.error(request, KOMUNIKAT_NIEPOWIAZANE, fail_silently=True)
+        return None
+
+    def _get_linked_user_only(self, claims):
+        """Tryb wielokatalogowy bez opt-in: tylko konta już powiązane."""
+        from microsoft_auth.models import MicrosoftAccount
+
+        account = (
+            MicrosoftAccount.objects.filter(microsoft_id=claims.get("sub"))
+            .select_related("user")
+            .first()
+        )
+        if account is not None and account.user is not None:
+            return account.user
+        logger.warning(
+            "Odrzucono logowanie Microsoft (tryb wielokatalogowy): konto "
+            "%r nie jest powiązane z użytkownikiem BPP.",
+            claims.get("sub"),
+        )
+        return self._odmowa_niepowiazane()
+
     def _expected_issuer(self, tenant_id):
         issuer = (self.microsoft.openid_config or {}).get("issuer") or ""
         if self._issuer_is_stale(issuer, tenant_id):
@@ -63,7 +100,12 @@ def _authenticate_microsoft_user(self):
         if is_multi_tenant(tenant_id):
             # Tryb wielokatalogowy: nie ma katalogu, względem którego można
             # sprawdzić iss/tid (podpis i audience sprawdza biblioteka).
-            # Ostrożne wiązanie kont w _verify_microsoft_user obowiązuje dalej.
+            # Adres e-mail w tokenie nie jest wtedy wiarygodny — bez jawnego
+            # opt-in logują się wyłącznie konta już powiązane.
+            if not getattr(
+                settings, "MICROSOFT_AUTH_MULTI_TENANT_ALLOW_LINKING", False
+            ):
+                return self._get_linked_user_only(claims)
             return self._get_user_from_microsoft(claims)
 
         expected_issuer = self._expected_issuer(tenant_id)
@@ -108,7 +150,7 @@ def _verify_microsoft_user(self, microsoft_user, data):
                 "Odrzucono logowanie Microsoft %r: token bez adresu e-mail.",
                 microsoft_user.microsoft_id,
             )
-            return None
+            return self._odmowa_niepowiazane()
 
         User = get_user_model()
         matching = list(User.objects.filter(email__iexact=email)[:2])
@@ -120,7 +162,7 @@ def _verify_microsoft_user(self, microsoft_user, data):
                 "w adminie lub ustaw MICROSOFT_AUTH_LINK_BY_EMAIL.",
                 microsoft_user.microsoft_id,
             )
-            return None
+            return self._odmowa_niepowiazane()
 
         first_name, last_name = self._split_name(data.get("name"))
 

src/bpp/auth/microsoft_conf.py

@@ -45,7 +45,7 @@ def is_multi_tenant(tenant_id):
     return not value or value in MULTI_TENANT_VALUES
 
 
-def microsoft_tenant_warning(client_id, tenant_id):
+def microsoft_tenant_warning(client_id, tenant_id, allow_linking=False):
     """Treść ostrzeżenia o braku konkretnego tenanta albo ``None``.
 
     Ostrzeżenie dotyczy wyłącznie instalacji z włączonym logowaniem Microsoft
@@ -54,19 +54,30 @@ def microsoft_tenant_warning(client_id, tenant_id):
     if not client_id or not is_multi_tenant(tenant_id):
         return None
     shown = (tenant_id or "").strip() or "(pusty)"
-    return (
-        "Logowanie przez Microsoft działa w trybie wielokatalogowym: "
-        f"MICROSOFT_AUTH_TENANT_ID = {shown}. Konta Microsoft z dowolnego "
-        "katalogu Entra ID mogą przejść przez logowanie, a BPP nie sprawdza, "
-        "z którego katalogu pochodzi token."
+    tresc = (
+        "Logowanie przez Microsoft działa w trybie wielokatalogowym "
+        f"(MICROSOFT_AUTH_TENANT_ID = {shown}): BPP nie sprawdza, z którego "
+        "katalogu Entra ID pochodzi token."
+    )
+    if allow_linking:
+        return tresc + (
+            " Włączono MICROSOFT_AUTH_MULTI_TENANT_ALLOW_LINKING — nowe konta "
+            "Microsoft są zakładane i wiązane po adresie e-mail, którego "
+            "w tym trybie nie da się zweryfikować."
+        )
+    return tresc + (
+        " Logują się wyłącznie konta Microsoft już powiązane z kontem BPP; "
+        "zakładanie nowych kont i wiązanie po adresie e-mail są wyłączone."
     )
 
 
 #: Podpowiedź dołączana do ostrzeżenia (system check i komunikat po logowaniu).
 TENANT_HINT = (
     "Ustaw MICROSOFT_AUTH_TENANT_ID na identyfikator katalogu uczelni (GUID, "
     "portal Azure: Microsoft Entra ID -> Przegląd -> Identyfikator dzierżawy) "
-    "albo jego domenę, np. uczelnia.onmicrosoft.com, i zrestartuj serwer."
+    "albo jego domenę, np. uczelnia.onmicrosoft.com, i zrestartuj serwer — "
+    "wtedy działa pełna weryfikacja katalogu, a zakładanie i wiązanie kont "
+    "wracają do zwykłych reguł."
 )
 
 
@@ -86,6 +97,7 @@ def ostrzez_superusera_o_tenancie_microsoft(sender, request, user, **kwargs):
         tresc = microsoft_tenant_warning(
             getattr(settings, "MICROSOFT_AUTH_CLIENT_ID", None),
             getattr(settings, "MICROSOFT_AUTH_TENANT_ID", None),
+            getattr(settings, "MICROSOFT_AUTH_MULTI_TENANT_ALLOW_LINKING", False),
         )
         if tresc:
             messages.warning(request, f"{tresc} {TENANT_HINT}", fail_silently=True)

src/bpp/checks.py

@@ -182,6 +182,7 @@ def microsoft_tenant_check(app_configs, **kwargs):
     tresc = microsoft_tenant_warning(
         getattr(settings, "MICROSOFT_AUTH_CLIENT_ID", None),
         getattr(settings, "MICROSOFT_AUTH_TENANT_ID", None),
+        getattr(settings, "MICROSOFT_AUTH_MULTI_TENANT_ALLOW_LINKING", False),
     )
     if not tresc:
         return []

src/bpp/newsfragments/sec-microsoft-tenant.bugfix.rst

@@ -1 +1 @@
-Wzmocniono zabezpieczenia logowania przez Microsoft (Office 365): przy ustawionym konkretnym katalogu Entra ID (``MICROSOFT_AUTH_TENANT_ID``) weryfikowane są claimy ``iss``/``tid`` tokenu, brak konkretnego katalogu (pusty, ``common``, ``organizations``, ``consumers``) zgłaszany jest ostrzeżeniem ``bpp.W201`` i komunikatem dla superusera po zalogowaniu, a nowe konto Microsoft nie jest automatycznie wiązane po adresie e-mail z istniejącym kontem administracyjnym lub posiadającym hasło lokalne (chyba że ``MICROSOFT_AUTH_LINK_BY_EMAIL=True``).
+Wzmocniono zabezpieczenia logowania przez Microsoft (Office 365): przy ustawionym konkretnym katalogu Entra ID (``MICROSOFT_AUTH_TENANT_ID``) weryfikowane są claimy ``iss``/``tid`` tokenu; bez konkretnego katalogu (pusty, ``common``, ``organizations``, ``consumers``) serwer startuje, ale zgłaszane jest ostrzeżenie ``bpp.W201`` i komunikat dla superusera po zalogowaniu, a logować mogą się wyłącznie konta Microsoft już powiązane z kontem BPP (bez zakładania nowych kont i wiązania po e-mailu, chyba że ``MICROSOFT_AUTH_MULTI_TENANT_ALLOW_LINKING=True``); nowe konto Microsoft nie jest automatycznie wiązane po adresie e-mail z istniejącym kontem administracyjnym lub posiadającym hasło lokalne (chyba że ``MICROSOFT_AUTH_LINK_BY_EMAIL=True``).

src/bpp/tests/test_auth_microsoft.py

@@ -68,6 +68,18 @@ def test_check_ostrzega_przy_braku_konkretnego_tenanta(tenant):
     assert isinstance(wynik[0], checks.Warning)
     assert "MICROSOFT_AUTH_TENANT_ID" in wynik[0].hint
     assert "onmicrosoft.com" in wynik[0].hint
+    assert "wiązanie po adresie e-mail są wyłączone" in wynik[0].msg
+
+
+def test_check_opt_in_wspomina_o_wlaczonym_wiazaniu():
+    with override_settings(
+        MICROSOFT_AUTH_CLIENT_ID="client-id",
+        MICROSOFT_AUTH_TENANT_ID="common",
+        MICROSOFT_AUTH_MULTI_TENANT_ALLOW_LINKING=True,
+    ):
+        wynik = microsoft_tenant_check(None)
+    assert [w.id for w in wynik] == ["bpp.W201"]
+    assert "MICROSOFT_AUTH_MULTI_TENANT_ALLOW_LINKING" in wynik[0].msg
 
 
 @pytest.mark.parametrize("tenant", [TENANT, "uczelnia.onmicrosoft.com"])
@@ -83,6 +95,21 @@ def test_check_brak_ostrzezenia_bez_logowania_microsoft():
         assert microsoft_tenant_check(None) == []
 
 
+@pytest.mark.uruchom_tylko_z_microsoft_auth
+def test_check_z_rzeczywistych_ustawien():
+    # Bez override_settings: ustawienia z env (MICROSOFT_AUTH_TENANT_ID)
+    # po normalizacji w settings/base.py.
+    from django.conf import settings
+
+    from bpp.auth.microsoft_conf import is_multi_tenant
+
+    wynik = microsoft_tenant_check(None)
+    if is_multi_tenant(settings.MICROSOFT_AUTH_TENANT_ID):
+        assert [w.id for w in wynik] == ["bpp.W201"]
+    else:
+        assert wynik == []
+
+
 def test_check_zarejestrowany():
     assert microsoft_tenant_check in checks.registry.registry.get_checks()
 
@@ -111,9 +138,10 @@ def test_superuser_po_zalogowaniu_dostaje_ostrzezenie(client):
         username="szef", password=HASLO, email="szef@example.com"
     )
     komunikaty = _komunikaty(_zaloguj(client, "szef"))
-    assert any(OSTRZEZENIE in m and "onmicrosoft.com" in m for m in komunikaty), (
-        komunikaty
-    )
+    assert any(
+        OSTRZEZENIE in m and "onmicrosoft.com" in m and "są wyłączone" in m
+        for m in komunikaty
+    ), komunikaty
 
 
 @pytest.mark.django_db
@@ -457,6 +485,8 @@ def openid_config(self):
 
 # --- backend w trybie wielokatalogowym (brak konkretnego tenanta) -----------
 
+TEMPLATE_ISSUER = "https://login.microsoftonline.com/{tenantid}/v2.0"
+
 
 @pytest.mark.uruchom_tylko_z_microsoft_auth
 @pytest.mark.django_db
@@ -468,45 +498,102 @@ def test_backend_tryb_wielokatalogowy_loguje_powiazane_konto(tenant):
     baker.make(MicrosoftAccount, microsoft_id="ms-sub-1", user=user)
 
     backend = _backend(
-        _claims(tid=OTHER_TENANT, iss=OTHER_ISSUER),
-        issuer="https://login.microsoftonline.com/{tenantid}/v2.0",
+        _claims(tid=OTHER_TENANT, iss=OTHER_ISSUER), issuer=TEMPLATE_ISSUER
     )
     with override_settings(MICROSOFT_AUTH_TENANT_ID=tenant):
         assert backend._authenticate_microsoft_user() == user
 
 
 @pytest.mark.uruchom_tylko_z_microsoft_auth
 @pytest.mark.django_db
-@override_settings(
-    MICROSOFT_AUTH_TENANT_ID="common", MICROSOFT_AUTH_LINK_BY_EMAIL=False
+@override_settings(MICROSOFT_AUTH_TENANT_ID="common", MICROSOFT_AUTH_LINK_BY_EMAIL=True)
+@pytest.mark.parametrize(
+    "attrs",
+    [{}, {"is_staff": True}, {"is_superuser": True}],
+    ids=["zwykle", "staff", "superuser"],
 )
-@pytest.mark.parametrize("attrs", [{"is_staff": True}, {"is_superuser": True}])
-def test_backend_tryb_wielokatalogowy_nie_wiaze_konta_staff(attrs):
+def test_backend_tryb_wielokatalogowy_nie_wiaze_po_emailu(attrs):
     from microsoft_auth.models import MicrosoftAccount
 
     konto = baker.make(get_user_model(), email="jan@example.com", password="", **attrs)
+    liczba = get_user_model().objects.count()
+
     backend = _backend(_claims(tid=OTHER_TENANT, iss=OTHER_ISSUER))
     assert backend._authenticate_microsoft_user() is None
     assert not MicrosoftAccount.objects.filter(user=konto).exists()
+    assert not MicrosoftAccount.objects.filter(microsoft_id="ms-sub-1").exists()
+    assert get_user_model().objects.count() == liczba
 
 
 @pytest.mark.uruchom_tylko_z_microsoft_auth
 @pytest.mark.django_db
-@override_settings(
-    MICROSOFT_AUTH_TENANT_ID="common", MICROSOFT_AUTH_LINK_BY_EMAIL=False
-)
-def test_backend_tryb_wielokatalogowy_nie_wiaze_konta_z_haslem():
-    konto = baker.make(get_user_model(), email="jan@example.com")
-    konto.set_password(HASLO)
-    konto.save()
-    backend = _backend(_claims())
+@override_settings(MICROSOFT_AUTH_TENANT_ID="common", MICROSOFT_AUTH_AUTO_CREATE=True)
+def test_backend_tryb_wielokatalogowy_nie_zaklada_nowego_konta():
+    from microsoft_auth.models import MicrosoftAccount
+
+    liczba = get_user_model().objects.count()
+    backend = _backend(_claims(email="nowy@example.com", sub="ms-sub-nowy"))
     assert backend._authenticate_microsoft_user() is None
+    assert get_user_model().objects.count() == liczba
+    assert not MicrosoftAccount.objects.filter(microsoft_id="ms-sub-nowy").exists()
 
 
 @pytest.mark.uruchom_tylko_z_microsoft_auth
 @pytest.mark.django_db
 @override_settings(MICROSOFT_AUTH_TENANT_ID="common")
-def test_backend_tryb_wielokatalogowy_odmawia_przy_pustym_lub_wieloznacznym_emailu():
+def test_backend_tryb_wielokatalogowy_odmowa_z_neutralnym_komunikatem(rf):
+    from django.contrib.messages.storage.fallback import FallbackStorage
+
+    from bpp.auth.microsoft import KOMUNIKAT_NIEPOWIAZANE
+
+    request = rf.get("/microsoft/auth-callback/")
+    request.session = {}
+    request._messages = FallbackStorage(request)
+
+    backend = _backend(_claims(email="nowy@example.com", sub="ms-sub-nowy"))
+    backend._request = request
+    assert backend._authenticate_microsoft_user() is None
+    assert [str(m) for m in request._messages] == [KOMUNIKAT_NIEPOWIAZANE]
+
+
+@pytest.mark.uruchom_tylko_z_microsoft_auth
+@pytest.mark.django_db
+@override_settings(
+    MICROSOFT_AUTH_TENANT_ID="common", MICROSOFT_AUTH_MULTI_TENANT_ALLOW_LINKING=True
+)
+def test_backend_opt_in_zaklada_nowe_konto_i_wiaze_zwykle():
+    nowy = _backend(
+        _claims(email="nowy@example.com", sub="ms-sub-nowy")
+    )._authenticate_microsoft_user()
+    assert nowy is not None
+    assert nowy.email == "nowy@example.com"
+
+    zwykle = baker.make(get_user_model(), email="jan@example.com", password="")
+    assert _backend(_claims())._authenticate_microsoft_user() == zwykle
+
+
+@pytest.mark.uruchom_tylko_z_microsoft_auth
+@pytest.mark.django_db
+@override_settings(
+    MICROSOFT_AUTH_TENANT_ID="common",
+    MICROSOFT_AUTH_MULTI_TENANT_ALLOW_LINKING=True,
+    MICROSOFT_AUTH_LINK_BY_EMAIL=False,
+)
+@pytest.mark.parametrize("attrs", [{"is_staff": True}, {"is_superuser": True}])
+def test_backend_opt_in_nadal_nie_wiaze_konta_staff(attrs):
+    from microsoft_auth.models import MicrosoftAccount
+
+    konto = baker.make(get_user_model(), email="jan@example.com", password="", **attrs)
+    assert _backend(_claims())._authenticate_microsoft_user() is None
+    assert not MicrosoftAccount.objects.filter(user=konto).exists()
+
+
+@pytest.mark.uruchom_tylko_z_microsoft_auth
+@pytest.mark.django_db
+@override_settings(
+    MICROSOFT_AUTH_TENANT_ID="common", MICROSOFT_AUTH_MULTI_TENANT_ALLOW_LINKING=True
+)
+def test_backend_opt_in_odmawia_przy_pustym_lub_wieloznacznym_emailu():
     baker.make(get_user_model(), email="jan@example.com", password="", _quantity=2)
     liczba = get_user_model().objects.count()
     assert _backend(_claims(email=""))._authenticate_microsoft_user() is None