saml/saml2/metadata/impl/EntityRoleMetadataFilter.cpp

   1 /**
   2  * Licensed to the University Corporation for Advanced Internet
   3  * Development, Inc. (UCAID) under one or more contributor license
   4  * agreements. See the NOTICE file distributed with this work for
   5  * additional information regarding copyright ownership.
   6  *
   7  * UCAID licenses this file to you under the Apache License,
   8  * Version 2.0 (the "License"); you may not use this file except
   9  * in compliance with the License. You may obtain a copy of the
  10  * License at
  11  *
  12  * http://www.apache.org/licenses/LICENSE-2.0
  13  *
  14  * Unless required by applicable law or agreed to in writing,
  15  * software distributed under the License is distributed on an
  16  * "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND,
  17  * either express or implied. See the License for the specific
  18  * language governing permissions and limitations under the License.
  19  */
  20
  21 /**
  22  * EntityRoleMetadataFilter.cpp
  23  *
  24  * Removes non-whitelisted roles from a metadata instance.
  25  */
  26
  27 #include "internal.h"
  28 #include "saml2/metadata/Metadata.h"
  29 #include "saml2/metadata/MetadataFilter.h"
  30
  31 #include <xmltooling/logging.h>
  32 #include <xmltooling/util/NDC.h>
  33
  34 using namespace opensaml::saml2md;
  35 using namespace xmltooling::logging;
  36 using namespace xmltooling;
  37 using namespace boost;
  38 using namespace std;
  39
  40 namespace opensaml {
  41     namespace saml2md {
  42
  43         class SAML_DLLLOCAL EntityRoleMetadataFilter : public MetadataFilter
  44         {
  45         public:
  46             EntityRoleMetadataFilter(const DOMElement* e);
  47             ~EntityRoleMetadataFilter() {}
  48
  49             const char* getId() const { return ENTITYROLE_METADATA_FILTER; }
  50             void doFilter(XMLObject& xmlObject) const;
  51
  52         private:
  53             void doFilter(EntityDescriptor& entity) const;
  54             void doFilter(EntitiesDescriptor& entities) const;
  55
  56             bool m_removeRolelessEntityDescriptors, m_removeEmptyEntitiesDescriptors;
  57             set<xmltooling::QName> m_roles;
  58             bool m_idp, m_sp, m_authn, m_attr, m_pdp, m_authnq, m_attrq, m_authzq;
  59         };
  60
  61         MetadataFilter* SAML_DLLLOCAL EntityRoleMetadataFilterFactory(const DOMElement* const & e)
  62         {
  63             return new EntityRoleMetadataFilter(e);
  64         }
  65
  66     };
  67 };
  68
  69 static const XMLCh RetainedRole[] =                     UNICODE_LITERAL_12(R,e,t,a,i,n,e,d,R,o,l,e);
  70 static const XMLCh removeRolelessEntityDescriptors[] =  UNICODE_LITERAL_31(r,e,m,o,v,e,R,o,l,e,l,e,s,s,E,n,t,i,t,y,D,e,s,c,r,i,p,t,o,r,s);
  71 static const XMLCh removeEmptyEntitiesDescriptors[] =   UNICODE_LITERAL_30(r,e,m,o,v,e,E,m,p,t,y,E,n,t,i,t,i,e,s,D,e,s,c,r,i,p,t,o,r,s);
  72
  73 EntityRoleMetadataFilter::EntityRoleMetadataFilter(const DOMElement* e)
  74     : m_removeRolelessEntityDescriptors(XMLHelper::getAttrBool(e, true, removeRolelessEntityDescriptors)),
  75         m_removeEmptyEntitiesDescriptors(XMLHelper::getAttrBool(e, true, removeEmptyEntitiesDescriptors)),
  76         m_idp(false), m_sp(false), m_authn(false), m_attr(false), m_pdp(false), m_authnq(false), m_attrq(false), m_authzq(false)
  77 {
  78     e = XMLHelper::getFirstChildElement(e, RetainedRole);
  79     while (e) {
  80         auto_ptr<xmltooling::QName> q(XMLHelper::getNodeValueAsQName(e));
  81         if (q.get()) {
  82             if (*q == IDPSSODescriptor::ELEMENT_QNAME)
  83                 m_idp = true;
  84             else if (*q == SPSSODescriptor::ELEMENT_QNAME)
  85                 m_sp = true;
  86             else if (*q == AuthnAuthorityDescriptor::ELEMENT_QNAME)
  87                 m_authn = true;
  88             else if (*q == AttributeAuthorityDescriptor::ELEMENT_QNAME)
  89                 m_attr = true;
  90             else if (*q == PDPDescriptor::ELEMENT_QNAME)
  91                 m_pdp = true;
  92             else if (*q == AuthnQueryDescriptorType::TYPE_QNAME)
  93                 m_authnq = true;
  94             else if (*q == AttributeQueryDescriptorType::TYPE_QNAME)
  95                 m_attrq = true;
  96             else if (*q == AuthzDecisionQueryDescriptorType::TYPE_QNAME)
  97                 m_authzq = true;
  98             else
  99                 m_roles.insert(*q);
 100         }
 101         e = XMLHelper::getNextSiblingElement(e, RetainedRole);
 102     }
 103 }
 104
 105 void EntityRoleMetadataFilter::doFilter(XMLObject& xmlObject) const
 106 {
 107 #ifdef _DEBUG
 108     NDC ndc("doFilter");
 109 #endif
 110
 111     try {
 112         doFilter(dynamic_cast<EntitiesDescriptor&>(xmlObject));
 113         return;
 114     }
 115     catch (bad_cast&) {
 116     }
 117
 118     try {
 119         doFilter(dynamic_cast<EntityDescriptor&>(xmlObject));
 120         return;
 121     }
 122     catch (bad_cast&) {
 123     }
 124
 125     throw MetadataFilterException("EntityRoleWhiteList MetadataFilter was given an improper metadata instance to filter.");
 126 }
 127
 128 void EntityRoleMetadataFilter::doFilter(EntitiesDescriptor& entities) const
 129 {
 130     Category& log=Category::getInstance(SAML_LOGCAT".MetadataFilter.EntityRoleWhiteList");
 131
 132     VectorOf(EntityDescriptor) v = entities.getEntityDescriptors();
 133     for (VectorOf(EntityDescriptor)::size_type i = 0; i < v.size(); ) {
 134         doFilter(*v[i]);
 135         if (m_removeRolelessEntityDescriptors) {
 136             const EntityDescriptor& e = const_cast<const EntityDescriptor&>(*v[i]);
 137             if (e.getIDPSSODescriptors().empty() &&
 138                     e.getSPSSODescriptors().empty() &&
 139                     e.getAuthnAuthorityDescriptors().empty() &&
 140                     e.getAttributeAuthorityDescriptors().empty() &&
 141                     e.getPDPDescriptors().empty() &&
 142                     e.getAuthnQueryDescriptorTypes().empty() &&
 143                     e.getAttributeQueryDescriptorTypes().empty() &&
 144                     e.getAuthzDecisionQueryDescriptorTypes().empty() &&
 145                     e.getRoleDescriptors().empty()) {
 146                 auto_ptr_char temp(e.getEntityID());
 147                 log.debug("filtering out role-less entity (%s)", temp.get());
 148                 v.erase(v.begin() + i);
 149                 continue;
 150             }
 151         }
 152         i++;
 153     }
 154
 155     VectorOf(EntitiesDescriptor) groups = entities.getEntitiesDescriptors();
 156     for (VectorOf(EntitiesDescriptor)::size_type j = 0; j < groups.size(); ) {
 157         EntitiesDescriptor* group = groups[j];
 158         doFilter(*group);
 159         if (m_removeEmptyEntitiesDescriptors && group->getEntitiesDescriptors().empty() && group->getEntityDescriptors().empty()) {
 160             auto_ptr_char temp(entities.getName());
 161             auto_ptr_char temp2(group->getName());
 162             log.debug(
 163                 "filtering out empty EntitiesDescriptor (%s) from EntitiesDescriptor (%s)",
 164                 temp2.get() ? temp2.get() : "unnamed",
 165                 temp.get() ? temp.get() : "unnamed"
 166                 );
 167             groups.erase(groups.begin() + j);
 168         }
 169         else {
 170             j++;
 171         }
 172     }
 173 }
 174
 175 void EntityRoleMetadataFilter::doFilter(EntityDescriptor& entity) const
 176 {
 177     if (!m_idp)
 178         entity.getIDPSSODescriptors().clear();
 179     if (!m_sp)
 180         entity.getSPSSODescriptors().clear();
 181     if (!m_authn)
 182         entity.getAuthnAuthorityDescriptors().clear();
 183     if (!m_attr)
 184         entity.getAttributeAuthorityDescriptors().clear();
 185     if (!m_pdp)
 186         entity.getPDPDescriptors().clear();
 187     if (!m_authnq)
 188         entity.getAuthnQueryDescriptorTypes().clear();
 189     if (!m_attrq)
 190         entity.getAttributeQueryDescriptorTypes().clear();
 191     if (!m_authzq)
 192         entity.getAuthzDecisionQueryDescriptorTypes().clear();
 193
 194     VectorOf(RoleDescriptor) v = entity.getRoleDescriptors();
 195     for (VectorOf(RoleDescriptor)::size_type i = 0; i < v.size(); ) {
 196         const xmltooling::QName* type = v[i]->getSchemaType();
 197         if (!type || m_roles.find(*type) != m_roles.end())
 198             v.erase(v.begin() + i);
 199         else
 200             i++;
 201     }
 202 }