C4/Auth.pm

   1 package C4::Auth;
   2
   3 # Copyright 2000-2002 Katipo Communications
   4 #
   5 # This file is part of Koha.
   6 #
   7 # Koha is free software; you can redistribute it and/or modify it
   8 # under the terms of the GNU General Public License as published by
   9 # the Free Software Foundation; either version 3 of the License, or
  10 # (at your option) any later version.
  11 #
  12 # Koha is distributed in the hope that it will be useful, but
  13 # WITHOUT ANY WARRANTY; without even the implied warranty of
  14 # MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE. See the
  15 # GNU General Public License for more details.
  16 #
  17 # You should have received a copy of the GNU General Public License
  18 # along with Koha; if not, see <http://www.gnu.org/licenses>.
  19
  20 use strict;
  21 use warnings;
  22 use Carp qw( croak );
  23
  24 use Digest::MD5 qw( md5_base64 );
  25 use CGI::Session;
  26 use CGI::Session::ErrorHandler;
  27 use URI;
  28 use URI::QueryParam;
  29
  30 use C4::Context;
  31 use C4::Templates;    # to get the template
  32 use C4::Languages;
  33 use C4::Search::History;
  34 use Koha;
  35 use Koha::Logger;
  36 use Koha::Caches;
  37 use Koha::AuthUtils qw( get_script_name hash_password );
  38 use Koha::Auth::TwoFactorAuth;
  39 use Koha::Checkouts;
  40 use Koha::DateUtils qw( dt_from_string );
  41 use Koha::Library::Groups;
  42 use Koha::Libraries;
  43 use Koha::Cash::Registers;
  44 use Koha::Desks;
  45 use Koha::Patrons;
  46 use Koha::Patron::Consents;
  47 use List::MoreUtils qw( any );
  48 use Encode;
  49 use C4::Auth_with_shibboleth qw( shib_ok get_login_shib login_shib_url logout_shib checkpw_shib );
  50 use Net::CIDR;
  51 use C4::Log qw( logaction );
  52 use Koha::CookieManager;
  53 use Koha::Auth::Permissions;
  54 use Koha::Token;
  55
  56 # use utf8;
  57
  58 use vars qw($ldap $cas $caslogout);
  59 our (@ISA, @EXPORT_OK);
  60
  61 #NOTE: The utility of keeping the safe_exit function is that it can be easily re-defined in unit tests and plugins
  62 sub safe_exit {
  63     # It's fine for us to "exit" because CGI::Compile (used in Plack::App::WrapCGI) redefines "exit" for us automatically.
  64     # Since we only seem to use C4::Auth::safe_exit in a CGI context, we don't actually need PSGI detection at all here.
  65     exit;
  66 }
  67
  68
  69 BEGIN {
  70     C4::Context->set_remote_address;
  71
  72     require Exporter;
  73     @ISA = qw(Exporter);
  74
  75     @EXPORT_OK = qw(
  76         checkauth check_api_auth get_session check_cookie_auth checkpw checkpw_internal checkpw_hash
  77         get_all_subpermissions get_cataloguing_page_permissions get_user_subpermissions track_login_daily in_iprange
  78         get_template_and_user haspermission create_basic_session
  79     );
  80
  81     $ldap      = C4::Context->config('useldapserver') || 0;
  82     $cas       = C4::Context->preference('casAuthentication');
  83     $caslogout = C4::Context->preference('casLogout');
  84
  85     if ($ldap) {
  86         require C4::Auth_with_ldap;
  87         import C4::Auth_with_ldap qw(checkpw_ldap);
  88     }
  89     if ($cas) {
  90         require C4::Auth_with_cas;    # no import
  91         import C4::Auth_with_cas qw(check_api_auth_cas checkpw_cas login_cas logout_cas login_cas_url logout_if_required multipleAuth getMultipleAuth);
  92     }
  93
  94 }
  95
  96 =head1 NAME
  97
  98 C4::Auth - Authenticates Koha users
  99
 100 =head1 SYNOPSIS
 101
 102   use CGI qw ( -utf8 );
 103   use C4::Auth;
 104   use C4::Output;
 105
 106   my $query = CGI->new;
 107
 108   my ($template, $borrowernumber, $cookie)
 109     = get_template_and_user(
 110         {
 111             template_name   => "opac-main.tt",
 112             query           => $query,
 113       type            => "opac",
 114       authnotrequired => 0,
 115       flagsrequired   => { catalogue => '*', tools => 'import_patrons' },
 116   }
 117     );
 118
 119   output_html_with_http_headers $query, $cookie, $template->output;
 120
 121 =head1 DESCRIPTION
 122
 123 The main function of this module is to provide
 124 authentification. However the get_template_and_user function has
 125 been provided so that a users login information is passed along
 126 automatically. This gets loaded into the template.
 127
 128 =head1 FUNCTIONS
 129
 130 =head2 get_template_and_user
 131
 132  my ($template, $borrowernumber, $cookie)
 133      = get_template_and_user(
 134        {
 135          template_name   => "opac-main.tt",
 136          query           => $query,
 137          type            => "opac",
 138          authnotrequired => 0,
 139          flagsrequired   => { catalogue => '*', tools => 'import_patrons' },
 140        }
 141      );
 142
 143 This call passes the C<query>, C<flagsrequired> and C<authnotrequired>
 144 to C<&checkauth> (in this module) to perform authentification.
 145 See C<&checkauth> for an explanation of these parameters.
 146
 147 The C<template_name> is then used to find the correct template for
 148 the page. The authenticated users details are loaded onto the
 149 template in the logged_in_user variable (which is a Koha::Patron object). Also the
 150 C<sessionID> is passed to the template. This can be used in templates
 151 if cookies are disabled. It needs to be put as and input to every
 152 authenticated page.
 153
 154 More information on the C<gettemplate> sub can be found in the
 155 Output.pm module.
 156
 157 =cut
 158
 159 sub get_template_and_user {
 160
 161     my $in = shift;
 162     my ( $user, $cookie, $sessionID, $flags );
 163     $cookie = [];
 164
 165     my $cookie_mgr = Koha::CookieManager->new;
 166
 167     # Get shibboleth login attribute
 168     my $shib = C4::Context->config('useshibboleth') && shib_ok();
 169     my $shib_login = $shib ? get_login_shib() : undef;
 170
 171     C4::Context->interface( $in->{type} );
 172
 173     $in->{'authnotrequired'} ||= 0;
 174
 175     # the following call includes a bad template check; might croak
 176     my $template = C4::Templates::gettemplate(
 177         $in->{'template_name'},
 178         $in->{'type'},
 179         $in->{'query'},
 180     );
 181
 182     if ( $in->{'template_name'} !~ m/maintenance/ ) {
 183         ( $user, $cookie, $sessionID, $flags ) = checkauth(
 184             $in->{'query'},
 185             $in->{'authnotrequired'},
 186             $in->{'flagsrequired'},
 187             $in->{'type'},
 188             undef,
 189             $in->{template_name},
 190         );
 191     }
 192
 193     # If we enforce GDPR and the user did not consent, redirect
 194     # Exceptions for consent page itself and SCI/SCO system
 195     if( $in->{type} eq 'opac' && $user &&
 196         $in->{'template_name'} !~ /^(opac-page|opac-patron-consent|sc[io]\/)/ &&
 197         C4::Context->preference('PrivacyPolicyConsent') eq 'Enforced' )
 198     {
 199         my $consent = Koha::Patron::Consents->search({
 200             borrowernumber => getborrowernumber($user),
 201             type => 'GDPR_PROCESSING',
 202             given_on => { '!=', undef },
 203         })->next;
 204         if( !$consent ) {
 205             print $in->{query}->redirect(-uri => '/cgi-bin/koha/opac-patron-consent.pl', -cookie => $cookie);
 206             safe_exit;
 207         }
 208     }
 209
 210     if ( $in->{type} eq 'opac' && $user ) {
 211         my $is_sco_user;
 212         if ($sessionID){
 213             my $session = get_session($sessionID);
 214             if ($session){
 215                 $is_sco_user = $session->param('sco_user');
 216             }
 217         }
 218         my $kick_out;
 219
 220         if (
 221 # If the user logged in is the SCO user and they try to go out of the SCO module,
 222 # log the user out removing the CGISESSID cookie
 223             $in->{template_name} !~ m|sco/| && $in->{template_name} !~ m|errors/errorpage.tt|
 224             && (
 225                 $is_sco_user ||
 226                 (
 227                     C4::Context->preference('AutoSelfCheckID')
 228                     && $user eq C4::Context->preference('AutoSelfCheckID')
 229                 )
 230             )
 231           )
 232         {
 233             $kick_out = 1;
 234         }
 235         elsif (
 236 # If the user logged in is the SCI user and they try to go out of the SCI module,
 237 # kick them out unless it is SCO with a valid permission
 238 # or they are a superlibrarian
 239                $in->{template_name} !~ m|sci/|
 240             && haspermission( $user, { self_check => 'self_checkin_module' } )
 241             && !(
 242                 $in->{template_name} =~ m|sco/| && haspermission(
 243                     $user, { self_check => 'self_checkout_module' }
 244                 )
 245             )
 246             && $flags && $flags->{superlibrarian} != 1
 247           )
 248         {
 249             $kick_out = 1;
 250         }
 251
 252         if ($kick_out) {
 253             $template = C4::Templates::gettemplate( 'opac-auth.tt', 'opac',
 254                 $in->{query} );
 255             $cookie = $cookie_mgr->replace_in_list( $cookie, $in->{query}->cookie(
 256                 -name     => 'CGISESSID',
 257                 -value    => '',
 258                 -HttpOnly => 1,
 259                 -secure => ( C4::Context->https_enabled() ? 1 : 0 ),
 260                 -sameSite => 'Lax',
 261             ));
 262
 263             #NOTE: This JWT should only be used by the self-check controllers
 264             $cookie = $cookie_mgr->replace_in_list( $cookie, $in->{query}->cookie(
 265                 -name     => 'JWT',
 266                 -value    => '',
 267                 -HttpOnly => 1,
 268                 -secure => ( C4::Context->https_enabled() ? 1 : 0 ),
 269                 -sameSite => 'Lax',
 270             ));
 271
 272             my $auth_error = $in->{query}->param('auth_error');
 273
 274             $template->param(
 275                 loginprompt => 1,
 276                 script_name => get_script_name(),
 277                 auth_error  => $auth_error,
 278             );
 279
 280             print $in->{query}->header(
 281                 {
 282                     type              => 'text/html',
 283                     charset           => 'utf-8',
 284                     cookie            => $cookie,
 285                     'X-Frame-Options' => 'SAMEORIGIN'
 286                 }
 287               ),
 288               $template->output;
 289             safe_exit;
 290         }
 291     }
 292
 293     my $borrowernumber;
 294     if ($user) {
 295
 296         # It's possible for $user to be the borrowernumber if they don't have a
 297         # userid defined (and are logging in through some other method, such
 298         # as SSL certs against an email address)
 299         my $patron;
 300         $borrowernumber = getborrowernumber($user) if defined($user);
 301         if ( !defined($borrowernumber) && defined($user) ) {
 302             $patron = Koha::Patrons->find( $user );
 303             if ($patron) {
 304                 $borrowernumber = $user;
 305
 306                 # A bit of a hack, but I don't know there's a nicer way
 307                 # to do it.
 308                 $user = $patron->firstname . ' ' . $patron->surname;
 309             }
 310         } else {
 311             $patron = Koha::Patrons->find( $borrowernumber );
 312             # FIXME What to do if $patron does not exist?
 313         }
 314
 315         # user info
 316         $template->param( loggedinusername   => $user ); # OBSOLETE - Do not reuse this in template, use logged_in_user.userid instead
 317         $template->param( loggedinusernumber => $borrowernumber ); # FIXME Should be replaced with logged_in_user.borrowernumber
 318         $template->param( logged_in_user     => $patron );
 319         $template->param( sessionID          => $sessionID );
 320
 321         if ( $in->{'type'} eq 'opac' ) {
 322             require Koha::Virtualshelves;
 323             my $some_private_shelves = Koha::Virtualshelves->get_some_shelves(
 324                 {
 325                     borrowernumber => $borrowernumber,
 326                     public         => 0,
 327                 }
 328             );
 329             my $some_public_shelves = Koha::Virtualshelves->get_some_shelves(
 330                 {
 331                     public => 1,
 332                 }
 333             );
 334             $template->param(
 335                 some_private_shelves => $some_private_shelves,
 336                 some_public_shelves  => $some_public_shelves,
 337             );
 338         }
 339
 340         # We are going to use the $flags returned by checkauth
 341         # to create the template's parameters that will indicate
 342         # which menus the user can access.
 343         my $authz = Koha::Auth::Permissions->get_authz_from_flags({ flags => $flags });
 344         foreach my $permission ( keys %{ $authz } ){
 345             $template->param( $permission => $authz->{$permission} );
 346         }
 347
 348         # Logged-in opac search history
 349         # If the requested template is an opac one and opac search history is enabled
 350         if ( $in->{type} eq 'opac' && C4::Context->preference('EnableOpacSearchHistory') ) {
 351             my $dbh   = C4::Context->dbh;
 352             my $query = "SELECT COUNT(*) FROM search_history WHERE userid=?";
 353             my $sth   = $dbh->prepare($query);
 354             $sth->execute($borrowernumber);
 355
 356             # If at least one search has already been performed
 357             if ( $sth->fetchrow_array > 0 ) {
 358
 359                 # We show the link in opac
 360                 $template->param( EnableOpacSearchHistory => 1 );
 361             }
 362             if (C4::Context->preference('LoadSearchHistoryToTheFirstLoggedUser'))
 363             {
 364                 # And if there are searches performed when the user was not logged in,
 365                 # we add them to the logged-in search history
 366                 my @recentSearches = C4::Search::History::get_from_session( { cgi => $in->{'query'} } );
 367                 if (@recentSearches) {
 368                     my $query = q{
 369                         INSERT INTO search_history(userid, sessionid, query_desc, query_cgi, type,  total, time )
 370                         VALUES (?, ?, ?, ?, ?, ?, ?)
 371                     };
 372                     my $sth = $dbh->prepare($query);
 373                     $sth->execute( $borrowernumber,
 374                         $in->{query}->cookie("CGISESSID"),
 375                         $_->{query_desc},
 376                         $_->{query_cgi},
 377                         $_->{type} || 'biblio',
 378                         $_->{total},
 379                         $_->{time},
 380                     ) foreach @recentSearches;
 381
 382                     # clear out the search history from the session now that
 383                     # we've saved it to the database
 384                  }
 385               }
 386               C4::Search::History::set_to_session( { cgi => $in->{'query'}, search_history => [] } );
 387
 388         } elsif ( $in->{type} eq 'intranet' and C4::Context->preference('EnableSearchHistory') ) {
 389             $template->param( EnableSearchHistory => 1 );
 390         }
 391     }
 392     else {    # if this is an anonymous session, setup to display public lists...
 393
 394         # If shibboleth is enabled, and we're in an anonymous session, we should allow
 395         # the user to attempt login via shibboleth.
 396         if ($shib) {
 397             $template->param( shibbolethAuthentication => $shib,
 398                 shibbolethLoginUrl => login_shib_url( $in->{'query'} ),
 399             );
 400
 401             # If shibboleth is enabled and we have a shibboleth login attribute,
 402             # but we are in an anonymous session, then we clearly have an invalid
 403             # shibboleth koha account.
 404             if ($shib_login) {
 405                 $template->param( invalidShibLogin => '1' );
 406             }
 407         }
 408
 409         $template->param( sessionID => $sessionID );
 410
 411         if ( $in->{'type'} eq 'opac' ){
 412             require Koha::Virtualshelves;
 413             my $some_public_shelves = Koha::Virtualshelves->get_some_shelves(
 414                 {
 415                     public => 1,
 416                 }
 417             );
 418             $template->param(
 419                 some_public_shelves  => $some_public_shelves,
 420             );
 421
 422             # Set default branch if one has been passed by the environment.
 423             $template->param( default_branch => $ENV{OPAC_BRANCH_DEFAULT} ) if $ENV{OPAC_BRANCH_DEFAULT};
 424         }
 425     }
 426
 427     # Sysprefs disabled via URL param
 428     # Note that value must be defined in order to override via ENV
 429     foreach my $syspref (
 430         qw(
 431             OPACUserCSS
 432             OPACUserJS
 433             IntranetUserCSS
 434             IntranetUserJS
 435             OpacAdditionalStylesheet
 436             opaclayoutstylesheet
 437             intranetcolorstylesheet
 438             intranetstylesheet
 439         )
 440       )
 441     {
 442         $ENV{"OVERRIDE_SYSPREF_$syspref"} = q{}
 443           if $in->{'query'}->param("DISABLE_SYSPREF_$syspref");
 444     }
 445
 446     # Anonymous opac search history
 447     # If opac search history is enabled and at least one search has already been performed
 448     if ( C4::Context->preference('EnableOpacSearchHistory') ) {
 449         my @recentSearches = C4::Search::History::get_from_session( { cgi => $in->{'query'} } );
 450         if (@recentSearches) {
 451             $template->param( EnableOpacSearchHistory => 1 );
 452         }
 453     }
 454
 455     if ( C4::Context->preference('dateformat') ) {
 456         $template->param( dateformat => C4::Context->preference('dateformat') );
 457     }
 458
 459     $template->param(auth_forwarded_hash => scalar $in->{'query'}->param('auth_forwarded_hash'));
 460
 461     # these template parameters are set the same regardless of $in->{'type'}
 462
 463     my $minPasswordLength = C4::Context->preference('minPasswordLength');
 464     $minPasswordLength = 3 if not $minPasswordLength or $minPasswordLength < 3;
 465     $template->param(
 466         EnhancedMessagingPreferences                                       => C4::Context->preference('EnhancedMessagingPreferences'),
 467         GoogleJackets                                                      => C4::Context->preference("GoogleJackets"),
 468         OpenLibraryCovers                                                  => C4::Context->preference("OpenLibraryCovers"),
 469         KohaAdminEmailAddress                                              => "" . C4::Context->preference("KohaAdminEmailAddress"),
 470         LoginFirstname  => ( C4::Context->userenv ? C4::Context->userenv->{"firstname"} : "Bel" ),
 471         LoginSurname    => C4::Context->userenv ? C4::Context->userenv->{"surname"}      : "Inconnu",
 472         emailaddress    => C4::Context->userenv ? C4::Context->userenv->{"emailaddress"} : undef,
 473         TagsEnabled     => C4::Context->preference("TagsEnabled"),
 474         hide_marc       => C4::Context->preference("hide_marc"),
 475         item_level_itypes  => C4::Context->preference('item-level_itypes'),
 476         patronimages       => C4::Context->preference("patronimages"),
 477         singleBranchMode   => ( Koha::Libraries->search->count == 1 ),
 478         noItemTypeImages   => C4::Context->preference("noItemTypeImages"),
 479         marcflavour        => C4::Context->preference("marcflavour"),
 480         OPACBaseURL        => C4::Context->preference('OPACBaseURL'),
 481         minPasswordLength  => $minPasswordLength,
 482     );
 483     if ( $in->{'type'} eq "intranet" ) {
 484
 485         $template->param(
 486             advancedMARCEditor           => C4::Context->preference("advancedMARCEditor"),
 487             AllowMultipleCovers          => C4::Context->preference('AllowMultipleCovers'),
 488             AmazonCoverImages            => C4::Context->preference("AmazonCoverImages"),
 489             AutoLocation                 => C4::Context->preference("AutoLocation"),
 490             can_see_cataloguing_module   => haspermission( $user, get_cataloguing_page_permissions() ) ? 1 : 0,
 491             canreservefromotherbranches  => C4::Context->preference('canreservefromotherbranches'),
 492             EasyAnalyticalRecords        => C4::Context->preference('EasyAnalyticalRecords'),
 493             EnableBorrowerFiles          => C4::Context->preference('EnableBorrowerFiles'),
 494             FRBRizeEditions              => C4::Context->preference("FRBRizeEditions"),
 495             IndependentBranches          => C4::Context->preference("IndependentBranches"),
 496             intranetcolorstylesheet      => C4::Context->preference("intranetcolorstylesheet"),
 497             IntranetFavicon              => C4::Context->preference("IntranetFavicon"),
 498             IntranetmainUserblock        => C4::Context->preference("IntranetmainUserblock"),
 499             IntranetNav                  => C4::Context->preference("IntranetNav"),
 500             intranetreadinghistory       => C4::Context->preference("intranetreadinghistory"),
 501             intranetstylesheet           => C4::Context->preference("intranetstylesheet"),
 502             IntranetUserCSS              => C4::Context->preference("IntranetUserCSS"),
 503             IntranetUserJS               => C4::Context->preference("IntranetUserJS"),
 504             LibraryName                  => C4::Context->preference("LibraryName"),
 505             LocalCoverImages             => C4::Context->preference('LocalCoverImages'),
 506             OPACLocalCoverImages         => C4::Context->preference('OPACLocalCoverImages'),
 507             PatronAutoComplete           => C4::Context->preference("PatronAutoComplete"),
 508             pending_checkout_notes       => Koha::Checkouts->search( { noteseen => 0 } ),
 509             plugins_enabled              => C4::Context->config("enable_plugins"),
 510             StaffSerialIssueDisplayCount => C4::Context->preference("StaffSerialIssueDisplayCount"),
 511             UseCourseReserves            => C4::Context->preference("UseCourseReserves"),
 512             useDischarge                 => C4::Context->preference('useDischarge'),
 513             virtualshelves               => C4::Context->preference("virtualshelves"),
 514         );
 515     }
 516     else {
 517         warn "template type should be OPAC, here it is=[" . $in->{'type'} . "]" unless ( $in->{'type'} eq 'opac' );
 518
 519         #TODO : replace LibraryName syspref with 'system name', and remove this html processing
 520         my $LibraryNameTitle = C4::Context->preference("LibraryName");
 521         $LibraryNameTitle =~ s/<(?:\/?)(?:br|p)\s*(?:\/?)>/ /sgi;
 522         $LibraryNameTitle =~ s/<(?:[^<>'"]|'(?:[^']*)'|"(?:[^"]*)")*>//sg;
 523
 524         # clean up the busc param in the session
 525         # if the page is not opac-detail and not the "add to list" page
 526         # and not the "edit comments" page
 527         if ( C4::Context->preference("OpacBrowseResults")
 528             && $in->{'template_name'} =~ /opac-(.+)\.(?:tt|tmpl)$/ ) {
 529             my $pagename = $1;
 530             unless ( $pagename =~ /^(?:MARC|ISBD)?detail$/
 531                 or $pagename =~ /^showmarc$/
 532                 or $pagename =~ /^addbybiblionumber$/
 533                 or $pagename =~ /^review$/ )
 534             {
 535                 my $sessionSearch = get_session( $sessionID );
 536                 $sessionSearch->clear( ["busc"] ) if $sessionSearch;
 537             }
 538         }
 539
 540         # variables passed from CGI: opac_css_override and opac_search_limits.
 541         my $opac_search_limit   = $ENV{'OPAC_SEARCH_LIMIT'};
 542         my $opac_limit_override = $ENV{'OPAC_LIMIT_OVERRIDE'};
 543         my $opac_name           = '';
 544         if (
 545             ( $opac_limit_override && $opac_search_limit && $opac_search_limit =~ /branch:([\w-]+)/ ) ||
 546             ( $in->{'query'}->param('limit') && $in->{'query'}->param('limit') =~ /branch:([\w-]+)/ ) ||
 547             ( $in->{'query'}->param('limit') && $in->{'query'}->param('limit') =~ /multibranchlimit:(\w+)/ )
 548           ) {
 549             $opac_name = $1;    # opac_search_limit is a branch, so we use it.
 550         } elsif ( $in->{'query'}->param('multibranchlimit') ) {
 551             $opac_name = $in->{'query'}->param('multibranchlimit');
 552         } elsif ( C4::Context->preference("SearchMyLibraryFirst") && C4::Context->userenv && C4::Context->userenv->{'branch'} ) {
 553             $opac_name = C4::Context->userenv->{'branch'};
 554         }
 555
 556         # Decide if the patron can make suggestions in the OPAC
 557         my $can_make_suggestions;
 558         if ( C4::Context->preference('Suggestion') && C4::Context->preference('AnonSuggestions') ) {
 559             $can_make_suggestions = 1;
 560         } elsif ( C4::Context->userenv && C4::Context->userenv->{'number'} ) {
 561             $can_make_suggestions = Koha::Patrons->find(C4::Context->userenv->{'number'})->category->can_make_suggestions;
 562         }
 563
 564         my @search_groups = Koha::Library::Groups->get_search_groups({ interface => 'opac' })->as_list;
 565         $template->param(
 566             AnonSuggestions                       => "" . C4::Context->preference("AnonSuggestions"),
 567             LibrarySearchGroups                   => \@search_groups,
 568             opac_name                             => $opac_name,
 569             LibraryName                           => "" . C4::Context->preference("LibraryName"),
 570             LibraryNameTitle                      => "" . $LibraryNameTitle,
 571             OPACAmazonCoverImages                 => C4::Context->preference("OPACAmazonCoverImages"),
 572             OPACFRBRizeEditions                   => C4::Context->preference("OPACFRBRizeEditions"),
 573             OpacHighlightedWords                  => C4::Context->preference("OpacHighlightedWords"),
 574             OPACShelfBrowser                      => "" . C4::Context->preference("OPACShelfBrowser"),
 575             OPACURLOpenInNewWindow                => "" . C4::Context->preference("OPACURLOpenInNewWindow"),
 576             OPACUserCSS                           => "" . C4::Context->preference("OPACUserCSS"),
 577             OpacAuthorities                       => C4::Context->preference("OpacAuthorities"),
 578             opac_css_override                     => $ENV{'OPAC_CSS_OVERRIDE'},
 579             opac_search_limit                     => $opac_search_limit,
 580             opac_limit_override                   => $opac_limit_override,
 581             OpacBrowser                           => C4::Context->preference("OpacBrowser"),
 582             OpacCloud                             => C4::Context->preference("OpacCloud"),
 583             OpacKohaUrl                           => C4::Context->preference("OpacKohaUrl"),
 584             OpacPasswordChange                    => C4::Context->preference("OpacPasswordChange"),
 585             OPACPatronDetails                     => C4::Context->preference("OPACPatronDetails"),
 586             OPACPrivacy                           => C4::Context->preference("OPACPrivacy"),
 587             OPACFinesTab                          => C4::Context->preference("OPACFinesTab"),
 588             OpacTopissue                          => C4::Context->preference("OpacTopissue"),
 589             'Version'                             => C4::Context->preference('Version'),
 590             hidelostitems                         => C4::Context->preference("hidelostitems"),
 591             mylibraryfirst                        => ( C4::Context->preference("SearchMyLibraryFirst") && C4::Context->userenv ) ? C4::Context->userenv->{'branch'} : '',
 592             opacbookbag                           => "" . C4::Context->preference("opacbookbag"),
 593             OpacFavicon                           => C4::Context->preference("OpacFavicon"),
 594             opaclanguagesdisplay                  => "" . C4::Context->preference("opaclanguagesdisplay"),
 595             opacreadinghistory                    => C4::Context->preference("opacreadinghistory"),
 596             OPACUserJS                            => C4::Context->preference("OPACUserJS"),
 597             opacuserlogin                         => "" . C4::Context->preference("opacuserlogin"),
 598             OpenLibrarySearch                     => C4::Context->preference("OpenLibrarySearch"),
 599             ShowReviewer                          => C4::Context->preference("ShowReviewer"),
 600             ShowReviewerPhoto                     => C4::Context->preference("ShowReviewerPhoto"),
 601             suggestion                            => $can_make_suggestions,
 602             virtualshelves                        => "" . C4::Context->preference("virtualshelves"),
 603             OPACSerialIssueDisplayCount           => C4::Context->preference("OPACSerialIssueDisplayCount"),
 604             SyndeticsClientCode                   => C4::Context->preference("SyndeticsClientCode"),
 605             SyndeticsEnabled                      => C4::Context->preference("SyndeticsEnabled"),
 606             SyndeticsCoverImages                  => C4::Context->preference("SyndeticsCoverImages"),
 607             SyndeticsTOC                          => C4::Context->preference("SyndeticsTOC"),
 608             SyndeticsSummary                      => C4::Context->preference("SyndeticsSummary"),
 609             SyndeticsEditions                     => C4::Context->preference("SyndeticsEditions"),
 610             SyndeticsExcerpt                      => C4::Context->preference("SyndeticsExcerpt"),
 611             SyndeticsReviews                      => C4::Context->preference("SyndeticsReviews"),
 612             SyndeticsAuthorNotes                  => C4::Context->preference("SyndeticsAuthorNotes"),
 613             SyndeticsAwards                       => C4::Context->preference("SyndeticsAwards"),
 614             SyndeticsSeries                       => C4::Context->preference("SyndeticsSeries"),
 615             SyndeticsCoverImageSize               => C4::Context->preference("SyndeticsCoverImageSize"),
 616             OPACLocalCoverImages                  => C4::Context->preference("OPACLocalCoverImages"),
 617             PatronSelfRegistration                => C4::Context->preference("PatronSelfRegistration"),
 618             PatronSelfRegistrationDefaultCategory => C4::Context->preference("PatronSelfRegistrationDefaultCategory"),
 619             useDischarge                 => C4::Context->preference('useDischarge'),
 620         );
 621
 622         $template->param( OpacPublic => '1' ) if ( $user || C4::Context->preference("OpacPublic") );
 623     }
 624
 625     # Check if we were asked using parameters to force a specific language
 626     if ( defined $in->{'query'}->param('language') ) {
 627
 628         # Extract the language, let C4::Languages::getlanguage choose
 629         # what to do
 630         my $language = C4::Languages::getlanguage( $in->{'query'} );
 631         my $languagecookie = C4::Templates::getlanguagecookie( $in->{'query'}, $language );
 632         $cookie = $cookie_mgr->replace_in_list( $cookie, $languagecookie );
 633     }
 634
 635     return ( $template, $borrowernumber, $cookie, $flags );
 636 }
 637
 638 =head2 checkauth
 639
 640   ($userid, $cookie, $sessionID) = &checkauth($query, $noauth, $flagsrequired, $type);
 641
 642 Verifies that the user is authorized to run this script.  If
 643 the user is authorized, a (userid, cookie, session-id, flags)
 644 quadruple is returned.  If the user is not authorized but does
 645 not have the required privilege (see $flagsrequired below), it
 646 displays an error page and exits.  Otherwise, it displays the
 647 login page and exits.
 648
 649 Note that C<&checkauth> will return if and only if the user
 650 is authorized, so it should be called early on, before any
 651 unfinished operations (e.g., if you've opened a file, then
 652 C<&checkauth> won't close it for you).
 653
 654 C<$query> is the CGI object for the script calling C<&checkauth>.
 655
 656 The C<$noauth> argument is optional. If it is set, then no
 657 authorization is required for the script.
 658
 659 C<&checkauth> fetches user and session information from C<$query> and
 660 ensures that the user is authorized to run scripts that require
 661 authorization.
 662
 663 The C<$flagsrequired> argument specifies the required privileges
 664 the user must have if the username and password are correct.
 665 It should be specified as a reference-to-hash; keys in the hash
 666 should be the "flags" for the user, as specified in the Members
 667 intranet module. Any key specified must correspond to a "flag"
 668 in the userflags table. E.g., { circulate => 1 } would specify
 669 that the user must have the "circulate" privilege in order to
 670 proceed. To make sure that access control is correct, the
 671 C<$flagsrequired> parameter must be specified correctly.
 672
 673 Koha also has a concept of sub-permissions, also known as
 674 granular permissions.  This makes the value of each key
 675 in the C<flagsrequired> hash take on an additional
 676 meaning, i.e.,
 677
 678  1
 679
 680 The user must have access to all subfunctions of the module
 681 specified by the hash key.
 682
 683  *
 684
 685 The user must have access to at least one subfunction of the module
 686 specified by the hash key.
 687
 688  specific permission, e.g., 'export_catalog'
 689
 690 The user must have access to the specific subfunction list, which
 691 must correspond to a row in the permissions table.
 692
 693 The C<$type> argument specifies whether the template should be
 694 retrieved from the opac or intranet directory tree.  "opac" is
 695 assumed if it is not specified; however, if C<$type> is specified,
 696 "intranet" is assumed if it is not "opac".
 697
 698 If C<$query> does not have a valid session ID associated with it
 699 (i.e., the user has not logged in) or if the session has expired,
 700 C<&checkauth> presents the user with a login page (from the point of
 701 view of the original script, C<&checkauth> does not return). Once the
 702 user has authenticated, C<&checkauth> restarts the original script
 703 (this time, C<&checkauth> returns).
 704
 705 The login page is provided using a HTML::Template, which is set in the
 706 systempreferences table or at the top of this file. The variable C<$type>
 707 selects which template to use, either the opac or the intranet
 708 authentification template.
 709
 710 C<&checkauth> returns a user ID, a cookie, and a session ID. The
 711 cookie should be sent back to the browser; it verifies that the user
 712 has authenticated.
 713
 714 =cut
 715
 716 sub _version_check {
 717     my $type  = shift;
 718     my $query = shift;
 719     my $version;
 720
 721     # If version syspref is unavailable, it means Koha is being installed,
 722     # and so we must redirect to OPAC maintenance page or to the WebInstaller
 723     # also, if OpacMaintenance is ON, OPAC should redirect to maintenance
 724     if ( C4::Context->preference('OpacMaintenance') && $type eq 'opac' ) {
 725         warn "OPAC Install required, redirecting to maintenance";
 726         print $query->redirect("/cgi-bin/koha/maintenance.pl");
 727         safe_exit;
 728     }
 729     unless ( $version = C4::Context->preference('Version') ) {    # assignment, not comparison
 730         if ( $type ne 'opac' ) {
 731             warn "Install required, redirecting to Installer";
 732             print $query->redirect("/cgi-bin/koha/installer/install.pl");
 733         } else {
 734             warn "OPAC Install required, redirecting to maintenance";
 735             print $query->redirect("/cgi-bin/koha/maintenance.pl");
 736         }
 737         safe_exit;
 738     }
 739
 740     # check that database and koha version are the same
 741     # there is no DB version, it's a fresh install,
 742     # go to web installer
 743     # there is a DB version, compare it to the code version
 744     my $kohaversion = Koha::version();
 745
 746     # remove the 3 last . to have a Perl number
 747     $kohaversion =~ s/(.*\..*)\.(.*)\.(.*)/$1$2$3/;
 748     Koha::Logger->get->debug("kohaversion : $kohaversion");
 749     if ( $version < $kohaversion ) {
 750         my $warning = "Database update needed, redirecting to %s. Database is $version and Koha is $kohaversion";
 751         if ( $type ne 'opac' ) {
 752             warn sprintf( $warning, 'Installer' );
 753             print $query->redirect("/cgi-bin/koha/installer/install.pl?step=1&op=updatestructure");
 754         } else {
 755             warn sprintf( "OPAC: " . $warning, 'maintenance' );
 756             print $query->redirect("/cgi-bin/koha/maintenance.pl");
 757         }
 758         safe_exit;
 759     }
 760 }
 761
 762 sub _timeout_syspref {
 763     my $default_timeout = 600;
 764     my $timeout = C4::Context->preference('timeout') || $default_timeout;
 765
 766     # value in days, convert in seconds
 767     if ( $timeout =~ /^(\d+)[dD]$/ ) {
 768         $timeout = $1 * 86400;
 769     }
 770     # value in hours, convert in seconds
 771     elsif ( $timeout =~ /^(\d+)[hH]$/ ) {
 772         $timeout = $1 * 3600;
 773     }
 774     elsif ( $timeout !~ m/^\d+$/ ) {
 775         warn "The value of the system preference 'timeout' is not correct, defaulting to $default_timeout";
 776         $timeout = $default_timeout;
 777     }
 778
 779     return $timeout;
 780 }
 781
 782 sub checkauth {
 783     my $query = shift;
 784
 785     # Get shibboleth login attribute
 786     my $shib = C4::Context->config('useshibboleth') && shib_ok();
 787     my $shib_login = $shib ? get_login_shib() : undef;
 788
 789     # $authnotrequired will be set for scripts which will run without authentication
 790     my $authnotrequired = shift;
 791     my $flagsrequired   = shift;
 792     my $type            = shift;
 793     my $emailaddress    = shift;
 794     my $template_name   = shift;
 795     $type = 'opac' unless $type;
 796
 797     if ( $type eq 'opac' && !C4::Context->preference("OpacPublic") ) {
 798         my @allowed_scripts_for_private_opac = qw(
 799           opac-memberentry.tt
 800           opac-registration-email-sent.tt
 801           opac-registration-confirmation.tt
 802           opac-memberentry-update-submitted.tt
 803           opac-password-recovery.tt
 804           opac-reset-password.tt
 805         );
 806         $authnotrequired = 0 unless grep { $_ eq $template_name }
 807           @allowed_scripts_for_private_opac;
 808     }
 809
 810     my $timeout = _timeout_syspref();
 811
 812     my $cookie_mgr = Koha::CookieManager->new;
 813
 814     _version_check( $type, $query );
 815
 816     # state variables
 817     my $auth_state = 'failed';
 818     my %info;
 819     my ( $userid, $cookie, $sessionID, $flags );
 820     $cookie = [];
 821     my $logout = $query->param('logout.x');
 822
 823     my $anon_search_history;
 824     my $cas_ticket = '';
 825     # This parameter is the name of the CAS server we want to authenticate against,
 826     # when using authentication against multiple CAS servers, as configured in Auth_cas_servers.yaml
 827     my $casparam = $query->param('cas');
 828     my $q_userid = $query->param('userid') // '';
 829
 830     my $session;
 831     my $invalid_otp_token;
 832     my $require_2FA =
 833       ( $type ne "opac" # Only available for the staff interface
 834           && C4::Context->preference('TwoFactorAuthentication') ne "disabled" ) # If "enabled" or "enforced"
 835       ? 1 : 0;
 836
 837     # Basic authentication is incompatible with the use of Shibboleth,
 838     # as Shibboleth may return REMOTE_USER as a Shibboleth attribute,
 839     # and it may not be the attribute we want to use to match the koha login.
 840     #
 841     # Also, do not consider an empty REMOTE_USER.
 842     #
 843     # Finally, after those tests, we can assume (although if it would be better with
 844     # a syspref) that if we get a REMOTE_USER, that's from basic authentication,
 845     # and we can affect it to $userid.
 846     if ( !$shib and defined( $ENV{'REMOTE_USER'} ) and $ENV{'REMOTE_USER'} ne '' and $userid = $ENV{'REMOTE_USER'} ) {
 847
 848         # Using Basic Authentication, no cookies required
 849         $cookie = $cookie_mgr->replace_in_list( $cookie, $query->cookie(
 850             -name     => 'CGISESSID',
 851             -value    => '',
 852             -HttpOnly => 1,
 853             -secure => ( C4::Context->https_enabled() ? 1 : 0 ),
 854             -sameSite => 'Lax',
 855         ));
 856     }
 857     elsif ( $emailaddress) {
 858         # the Google OpenID Connect passes an email address
 859     }
 860     elsif ( $sessionID = $query->cookie("CGISESSID") ) {    # assignment, not comparison
 861         my ( $return, $more_info );
 862         # NOTE: $flags in the following call is still undefined !
 863         ( $return, $session, $more_info ) = check_cookie_auth( $sessionID, $flags,
 864             { remote_addr => $ENV{REMOTE_ADDR}, skip_version_check => 1 }
 865         );
 866
 867         if ( $return eq 'ok' || $return eq 'additional-auth-needed' ) {
 868             $userid = $session->param('id');
 869         }
 870
 871         $auth_state =
 872             $return eq 'ok'                     ? 'completed'
 873           : $return eq 'additional-auth-needed' ? 'additional-auth-needed'
 874           :                                       'failed';
 875
 876         # We are at the second screen if the waiting-for-2FA is set in session
 877         # and otp_token param has been passed
 878         if (   $require_2FA
 879             && $auth_state eq 'additional-auth-needed'
 880             && ( my $otp_token = $query->param('otp_token') ) )
 881         {
 882             my $patron    = Koha::Patrons->find( { userid => $userid } );
 883             my $auth      = Koha::Auth::TwoFactorAuth->new( { patron => $patron } );
 884             my $verified = $auth->verify($otp_token);
 885             $auth->clear;
 886             if ( $verified ) {
 887                 # The token is correct, the user is fully logged in!
 888                 $auth_state = 'completed';
 889                 $session->param( 'waiting-for-2FA', 0 );
 890                 $session->param( 'waiting-for-2FA-setup', 0 );
 891
 892                # This is an ugly trick to pass the test
 893                # $query->param('koha_login_context') && ( $q_userid ne $userid )
 894                # few lines later
 895                 $q_userid = $userid;
 896             }
 897             else {
 898                 $invalid_otp_token = 1;
 899             }
 900         }
 901
 902         if ( $auth_state eq 'completed' ) {
 903             Koha::Logger->get->debug(sprintf "AUTH_SESSION: (%s)\t%s %s - %s", map { $session->param($_) || q{} } qw(cardnumber firstname surname branch));
 904
 905             if ( ( $query->param('koha_login_context') && ( $q_userid ne $userid ) )
 906                 || ( $cas && $query->param('ticket') && !C4::Context->userenv->{'id'} )
 907                 || ( $shib && $shib_login && !$logout && !C4::Context->userenv->{'id'} )
 908             ) {
 909
 910                 #if a user enters an id ne to the id in the current session, we need to log them in...
 911                 #first we need to clear the anonymous session...
 912                 $anon_search_history = $session->param('search_history');
 913                 $session->delete();
 914                 $session->flush;
 915                 $cookie = $cookie_mgr->clear_unless( $query->cookie, @$cookie );
 916                 C4::Context::_unset_userenv($sessionID);
 917                 $sessionID = undef;
 918                 undef $userid; # IMPORTANT: this assures us a new session in code below
 919                 $auth_state = 'failed';
 920             } elsif (!$logout) {
 921
 922                 $cookie = $cookie_mgr->replace_in_list( $cookie, $query->cookie(
 923                     -name     => 'CGISESSID',
 924                     -value    => $session->id,
 925                     -HttpOnly => 1,
 926                     -secure => ( C4::Context->https_enabled() ? 1 : 0 ),
 927                     -sameSite => 'Lax',
 928                 ));
 929
 930                 $flags = haspermission( $userid, $flagsrequired );
 931                 unless ( $flags ) {
 932                     $auth_state = 'failed';
 933                     $info{'nopermission'} = 1;
 934                 }
 935             }
 936         } elsif ( !$logout ) {
 937             if ( $return eq 'expired' ) {
 938                 $info{timed_out} = 1;
 939             } elsif ( $return eq 'restricted' ) {
 940                 $info{oldip}        = $more_info->{old_ip};
 941                 $info{newip}        = $more_info->{new_ip};
 942                 $info{different_ip} = 1;
 943             } elsif ( $return eq 'password_expired' ) {
 944                 $info{password_has_expired} = 1;
 945             }
 946         }
 947     }
 948
 949     if ( $auth_state eq 'failed' || $logout ) {
 950         $sessionID = undef;
 951         $userid    = undef;
 952     }
 953
 954     if ($logout) {
 955
 956         # voluntary logout the user
 957         # check wether the user was using their shibboleth session or a local one
 958         my $shibSuccess = C4::Context->userenv ? C4::Context->userenv->{'shibboleth'} : undef;
 959         if ( $session ) {
 960             $session->delete();
 961             $session->flush;
 962         }
 963         C4::Context::_unset_userenv($sessionID);
 964         $cookie = $cookie_mgr->clear_unless( $query->cookie, @$cookie );
 965
 966         if ($cas and $caslogout) {
 967             logout_cas($query, $type);
 968         }
 969
 970         # If we are in a shibboleth session (shibboleth is enabled, a shibboleth match attribute is set and matches koha matchpoint)
 971         if ( $shib and $shib_login and $shibSuccess) {
 972             logout_shib($query);
 973         }
 974
 975         $session   = undef;
 976         $auth_state = 'logout';
 977     }
 978
 979     unless ( $userid ) {
 980         #we initiate a session prior to checking for a username to allow for anonymous sessions...
 981         if( !$session or !$sessionID ) { # if we cleared sessionID, we need a new session
 982             $session = get_session() or die "Auth ERROR: Cannot get_session()";
 983         }
 984
 985         # Save anonymous search history in new session so it can be retrieved
 986         # by get_template_and_user to store it in user's search history after
 987         # a successful login.
 988         if ($anon_search_history) {
 989             $session->param( 'search_history', $anon_search_history );
 990         }
 991
 992         $sessionID = $session->id;
 993         C4::Context->_new_userenv($sessionID);
 994         $cookie = $cookie_mgr->replace_in_list( $cookie, $query->cookie(
 995             -name     => 'CGISESSID',
 996             -value    => $sessionID,
 997             -HttpOnly => 1,
 998             -secure => ( C4::Context->https_enabled() ? 1 : 0 ),
 999             -sameSite => 'Lax',
1000         ));
1001         my $pki_field = C4::Context->preference('AllowPKIAuth');
1002         if ( !defined($pki_field) ) {
1003             print STDERR "ERROR: Missing system preference AllowPKIAuth.\n";
1004             $pki_field = 'None';
1005         }
1006         if ( ( $cas && $query->param('ticket') )
1007             || $q_userid
1008             || ( $shib && $shib_login )
1009             || $pki_field ne 'None'
1010             || $emailaddress )
1011         {
1012             my $password    = $query->param('password');
1013             my $shibSuccess = 0;
1014             my ( $return, $cardnumber );
1015
1016             # If shib is enabled and we have a shib login, does the login match a valid koha user
1017             if ( $shib && $shib_login ) {
1018                 my $retuserid;
1019
1020                 # Do not pass password here, else shib will not be checked in checkpw.
1021                 ( $return, $cardnumber, $retuserid ) = checkpw( $q_userid, undef, $query );
1022                 $userid      = $retuserid;
1023                 $shibSuccess = $return;
1024                 $info{'invalidShibLogin'} = 1 unless ($return);
1025             }
1026
1027             # If shib login and match were successful, skip further login methods
1028             unless ($shibSuccess) {
1029                 if ( $cas && $query->param('ticket') ) {
1030                     my $retuserid;
1031                     ( $return, $cardnumber, $retuserid, $cas_ticket ) =
1032                       checkpw( $userid, $password, $query, $type );
1033                     $userid = $retuserid;
1034                     $info{'invalidCasLogin'} = 1 unless ($return);
1035                 }
1036
1037                 elsif ( $emailaddress ) {
1038                     my $value = $emailaddress;
1039
1040                     # If we're looking up the email, there's a chance that the person
1041                     # doesn't have a userid. So if there is none, we pass along the
1042                     # borrower number, and the bits of code that need to know the user
1043                     # ID will have to be smart enough to handle that.
1044                     my $patrons = Koha::Patrons->search({ email => $value });
1045                     if ($patrons->count) {
1046
1047                         # First the userid, then the borrowernum
1048                         my $patron = $patrons->next;
1049                         $value = $patron->userid || $patron->borrowernumber;
1050                     } else {
1051                         undef $value;
1052                     }
1053                     $return = $value ? 1 : 0;
1054                     $userid = $value;
1055                 }
1056
1057                 elsif (
1058                     ( $pki_field eq 'Common Name' && $ENV{'SSL_CLIENT_S_DN_CN'} )
1059                     || ( $pki_field eq 'emailAddress'
1060                         && $ENV{'SSL_CLIENT_S_DN_Email'} )
1061                   )
1062                 {
1063                     my $value;
1064                     if ( $pki_field eq 'Common Name' ) {
1065                         $value = $ENV{'SSL_CLIENT_S_DN_CN'};
1066                     }
1067                     elsif ( $pki_field eq 'emailAddress' ) {
1068                         $value = $ENV{'SSL_CLIENT_S_DN_Email'};
1069
1070                         # If we're looking up the email, there's a chance that the person
1071                         # doesn't have a userid. So if there is none, we pass along the
1072                         # borrower number, and the bits of code that need to know the user
1073                         # ID will have to be smart enough to handle that.
1074                         my $patrons = Koha::Patrons->search({ email => $value });
1075                         if ($patrons->count) {
1076
1077                             # First the userid, then the borrowernum
1078                             my $patron = $patrons->next;
1079                             $value = $patron->userid || $patron->borrowernumber;
1080                         } else {
1081                             undef $value;
1082                         }
1083                     }
1084
1085                     $return = $value ? 1 : 0;
1086                     $userid = $value;
1087
1088                 }
1089                 else {
1090                     my $retuserid;
1091                     my $request_method = $query->request_method // q{};
1092
1093                     if (
1094                         $request_method eq 'POST'
1095                         || ( C4::Context->preference('AutoSelfCheckID')
1096                             && $q_userid eq C4::Context->preference('AutoSelfCheckID') )
1097                       )
1098                     {
1099
1100                         ( $return, $cardnumber, $retuserid, $cas_ticket ) =
1101                           checkpw( $q_userid, $password, $query, $type );
1102                         $userid = $retuserid if ($retuserid);
1103                         $info{'invalid_username_or_password'} = 1 unless ($return);
1104                     }
1105                 }
1106             }
1107
1108             # If shib configured and shibOnly enabled, we should ignore anything other than a shibboleth type login.
1109             if (
1110                    $shib
1111                 && !$shibSuccess
1112                 && (
1113                     (
1114                         ( $type eq 'opac' )
1115                         && C4::Context->preference('OPACShibOnly')
1116                     )
1117                     || ( ( $type ne 'opac' )
1118                         && C4::Context->preference('staffShibOnly') )
1119                 )
1120               )
1121             {
1122                 $return = 0;
1123             }
1124
1125             # $return: 1 = valid user
1126             if( $return && $return > 0 ) {
1127
1128                 if ( $flags = haspermission( $userid, $flagsrequired ) ) {
1129                     $auth_state = "logged_in";
1130                 }
1131                 else {
1132                     $auth_state = 'failed';
1133                     # FIXME We could add $return = 0; or even delete the session?
1134                     # Currently return == 1 and we will fill session info later on,
1135                     # although we do present an authorization failure. (Yes, the
1136                     # authentication was actually correct.)
1137                     $info{'nopermission'} = 1;
1138                     C4::Context::_unset_userenv($sessionID);
1139                 }
1140                 my ( $borrowernumber, $firstname, $surname, $userflags,
1141                     $branchcode, $branchname, $emailaddress, $desk_id,
1142                     $desk_name, $register_id, $register_name );
1143
1144                 if ( $return == 1 ) {
1145                     my $select = "
1146                     SELECT borrowernumber, firstname, surname, flags, borrowers.branchcode,
1147                     branches.branchname    as branchname, email
1148                     FROM borrowers
1149                     LEFT JOIN branches on borrowers.branchcode=branches.branchcode
1150                     ";
1151                     my $dbh = C4::Context->dbh;
1152                     my $sth = $dbh->prepare("$select where userid=?");
1153                     $sth->execute($userid);
1154                     unless ( $sth->rows ) {
1155                         $sth = $dbh->prepare("$select where cardnumber=?");
1156                         $sth->execute($cardnumber);
1157
1158                         unless ( $sth->rows ) {
1159                             $sth->execute($userid);
1160                         }
1161                     }
1162                     if ( $sth->rows ) {
1163                         ( $borrowernumber, $firstname, $surname, $userflags,
1164                             $branchcode, $branchname, $emailaddress ) = $sth->fetchrow;
1165                     }
1166
1167                     # launch a sequence to check if we have a ip for the branch, i
1168                     # if we have one we replace the branchcode of the userenv by the branch bound in the ip.
1169
1170                     my $ip = $ENV{'REMOTE_ADDR'};
1171
1172                     # if they specify at login, use that
1173                     if ( $query->param('branch') ) {
1174                         $branchcode = $query->param('branch');
1175                         my $library = Koha::Libraries->find($branchcode);
1176                         $branchname = $library? $library->branchname: '';
1177                     }
1178                     if ( $query->param('desk_id') ) {
1179                         $desk_id = $query->param('desk_id');
1180                         my $desk = Koha::Desks->find($desk_id);
1181                         $desk_name = $desk ? $desk->desk_name : '';
1182                     }
1183                     if ( C4::Context->preference('UseCashRegisters') ) {
1184                         my $register =
1185                           $query->param('register_id')
1186                           ? Koha::Cash::Registers->find($query->param('register_id'))
1187                           : Koha::Cash::Registers->search(
1188                             { branch => $branchcode, branch_default => 1 },
1189                             { rows   => 1 } )->single;
1190                         $register_id   = $register->id   if ($register);
1191                         $register_name = $register->name if ($register);
1192                     }
1193                     my $branches = { map { $_->branchcode => $_->unblessed } Koha::Libraries->search->as_list };
1194                     if ( $type ne 'opac' and C4::Context->preference('AutoLocation') ) {
1195
1196                         # we have to check they are coming from the right ip range
1197                         my $domain = $branches->{$branchcode}->{'branchip'};
1198                         $domain =~ s|\.\*||g;
1199                         if ( $ip !~ /^$domain/ ) {
1200                             $cookie = $cookie_mgr->replace_in_list( $cookie, $query->cookie(
1201                                 -name     => 'CGISESSID',
1202                                 -value    => '',
1203                                 -HttpOnly => 1,
1204                                 -secure => ( C4::Context->https_enabled() ? 1 : 0 ),
1205                                 -sameSite => 'Lax',
1206                             ));
1207                             $info{'wrongip'} = 1;
1208                             $auth_state = "failed";
1209                         }
1210                     }
1211
1212                     foreach my $br ( keys %$branches ) {
1213
1214                         #     now we work with the treatment of ip
1215                         my $domain = $branches->{$br}->{'branchip'};
1216                         if ( $domain && $ip =~ /^$domain/ ) {
1217                             $branchcode = $branches->{$br}->{'branchcode'};
1218
1219                             # new op dev : add the branchname to the cookie
1220                             $branchname    = $branches->{$br}->{'branchname'};
1221                         }
1222                     }
1223
1224                     my $is_sco_user = 0;
1225                     if ( $query->param('sco_user_login') && ( $query->param('sco_user_login') eq '1' ) ){
1226                         $is_sco_user = 1;
1227                     }
1228
1229                     $session->param( 'number',       $borrowernumber );
1230                     $session->param( 'id',           $userid );
1231                     $session->param( 'cardnumber',   $cardnumber );
1232                     $session->param( 'firstname',    $firstname );
1233                     $session->param( 'surname',      $surname );
1234                     $session->param( 'branch',       $branchcode );
1235                     $session->param( 'branchname',   $branchname );
1236                     $session->param( 'desk_id',      $desk_id);
1237                     $session->param( 'desk_name',     $desk_name);
1238                     $session->param( 'flags',        $userflags );
1239                     $session->param( 'emailaddress', $emailaddress );
1240                     $session->param( 'ip',           $session->remote_addr() );
1241                     $session->param( 'lasttime',     time() );
1242                     $session->param( 'interface',    $type);
1243                     $session->param( 'shibboleth',   $shibSuccess );
1244                     $session->param( 'register_id',  $register_id );
1245                     $session->param( 'register_name',  $register_name );
1246                     $session->param( 'sco_user', $is_sco_user );
1247                 }
1248                 $session->param('cas_ticket', $cas_ticket) if $cas_ticket;
1249                 C4::Context->set_userenv(
1250                     $session->param('number'),       $session->param('id'),
1251                     $session->param('cardnumber'),   $session->param('firstname'),
1252                     $session->param('surname'),      $session->param('branch'),
1253                     $session->param('branchname'),   $session->param('flags'),
1254                     $session->param('emailaddress'), $session->param('shibboleth'),
1255                     $session->param('desk_id'),      $session->param('desk_name'),
1256                     $session->param('register_id'),  $session->param('register_name')
1257                 );
1258
1259             }
1260             # $return: 0 = invalid user
1261             # reset to anonymous session
1262             else {
1263                 if ($userid) {
1264                     $info{'invalid_username_or_password'} = 1;
1265                     C4::Context::_unset_userenv($sessionID);
1266                 }
1267                 $session->param( 'lasttime', time() );
1268                 $session->param( 'ip',       $session->remote_addr() );
1269                 $session->param( 'sessiontype', 'anon' );
1270                 $session->param( 'interface', $type);
1271             }
1272         }    # END if ( $q_userid
1273         elsif ( $type eq "opac" ) {
1274
1275             # anonymous sessions are created only for the OPAC
1276
1277             # setting a couple of other session vars...
1278             $session->param( 'ip',          $session->remote_addr() );
1279             $session->param( 'lasttime',    time() );
1280             $session->param( 'sessiontype', 'anon' );
1281             $session->param( 'interface', $type);
1282         }
1283         $session->flush;
1284     }    # END unless ($userid)
1285
1286
1287     if ( $auth_state eq 'logged_in' ) {
1288         $auth_state = 'completed';
1289
1290         # Auth is completed unless an additional auth is needed
1291         if ( $require_2FA ) {
1292             my $patron = Koha::Patrons->find({userid => $userid});
1293             if ( C4::Context->preference('TwoFactorAuthentication') eq "enforced" && $patron->auth_method eq 'password' ) {
1294                 $auth_state = 'setup-additional-auth-needed';
1295                 $session->param('waiting-for-2FA-setup', 1);
1296                 %info = ();# We remove the warnings/errors we may have set incorrectly before
1297             } elsif ( $patron->auth_method eq 'two-factor' ) {
1298                 # Ask for the OTP token
1299                 $auth_state = 'additional-auth-needed';
1300                 $session->param('waiting-for-2FA', 1);
1301                 %info = ();# We remove the warnings/errors we may have set incorrectly before
1302             }
1303         }
1304     }
1305
1306     # finished authentification, now respond
1307     if ( $auth_state eq 'completed' || $authnotrequired ) {
1308         # successful login
1309         unless (@$cookie) {
1310             $cookie = $cookie_mgr->replace_in_list( $cookie, $query->cookie(
1311                 -name     => 'CGISESSID',
1312                 -value    => '',
1313                 -HttpOnly => 1,
1314                 -secure => ( C4::Context->https_enabled() ? 1 : 0 ),
1315                 -sameSite => 'Lax',
1316             ));
1317         }
1318
1319         track_login_daily( $userid );
1320
1321         # In case, that this request was a login attempt, we want to prevent that users can repost the opac login
1322         # request. We therefore redirect the user to the requested page again without the login parameters.
1323         # See Post/Redirect/Get (PRG) design pattern: https://en.wikipedia.org/wiki/Post/Redirect/Get
1324         if ( $type eq "opac" && $query->param('koha_login_context') && $query->param('koha_login_context') ne 'sco' && $query->param('password') && $query->param('userid') ) {
1325             my $uri = URI->new($query->url(-relative=>1, -query_string=>1));
1326             $uri->query_param_delete('userid');
1327             $uri->query_param_delete('password');
1328             $uri->query_param_delete('koha_login_context');
1329             print $query->redirect(-uri => $uri->as_string, -cookie => $cookie, -status=>'303 See other');
1330             safe_exit;
1331         }
1332
1333         return ( $userid, $cookie, $sessionID, $flags );
1334     }
1335
1336     #
1337     #
1338     # AUTH rejected, show the login/password template, after checking the DB.
1339     #
1340     #
1341
1342     my $patron = Koha::Patrons->find({ userid => $q_userid }); # Not necessary logged in!
1343
1344     # get the inputs from the incoming query
1345     my @inputs = ();
1346     my @inputs_to_clean = qw( userid password ticket logout.x otp_token );
1347     foreach my $name ( param $query) {
1348         next if grep { $name eq $_ } @inputs_to_clean;
1349         my @value = $query->multi_param($name);
1350         push @inputs, { name => $name, value => $_ } for @value;
1351     }
1352
1353     my $LibraryNameTitle = C4::Context->preference("LibraryName");
1354     $LibraryNameTitle =~ s/<(?:\/?)(?:br|p)\s*(?:\/?)>/ /sgi;
1355     $LibraryNameTitle =~ s/<(?:[^<>'"]|'(?:[^']*)'|"(?:[^"]*)")*>//sg;
1356
1357     my $auth_template_name = ( $type eq 'opac' ) ? 'opac-auth.tt' : 'auth.tt';
1358     my $auth_error = $query->param('auth_error');
1359     my $template = C4::Templates::gettemplate( $auth_template_name, $type, $query );
1360     $template->param(
1361         login                                 => 1,
1362         INPUTS                                => \@inputs,
1363         script_name                           => get_script_name(),
1364         casAuthentication                     => C4::Context->preference("casAuthentication"),
1365         shibbolethAuthentication              => $shib,
1366         suggestion                            => C4::Context->preference("suggestion"),
1367         virtualshelves                        => C4::Context->preference("virtualshelves"),
1368         LibraryName                           => "" . C4::Context->preference("LibraryName"),
1369         LibraryNameTitle                      => "" . $LibraryNameTitle,
1370         opacuserlogin                         => C4::Context->preference("opacuserlogin"),
1371         OpacFavicon                           => C4::Context->preference("OpacFavicon"),
1372         opacreadinghistory                    => C4::Context->preference("opacreadinghistory"),
1373         opaclanguagesdisplay                  => C4::Context->preference("opaclanguagesdisplay"),
1374         OPACUserJS                            => C4::Context->preference("OPACUserJS"),
1375         OPACUserCSS                           => C4::Context->preference("OPACUserCSS"),
1376         intranetcolorstylesheet               => C4::Context->preference("intranetcolorstylesheet"),
1377         intranetstylesheet                    => C4::Context->preference("intranetstylesheet"),
1378         IntranetNav                           => C4::Context->preference("IntranetNav"),
1379         IntranetFavicon                       => C4::Context->preference("IntranetFavicon"),
1380         IntranetUserCSS                       => C4::Context->preference("IntranetUserCSS"),
1381         IntranetUserJS                        => C4::Context->preference("IntranetUserJS"),
1382         IndependentBranches                   => C4::Context->preference("IndependentBranches"),
1383         AutoLocation                          => C4::Context->preference("AutoLocation"),
1384         wrongip                               => $info{'wrongip'},
1385         PatronSelfRegistration                => C4::Context->preference("PatronSelfRegistration"),
1386         PatronSelfRegistrationDefaultCategory => C4::Context->preference("PatronSelfRegistrationDefaultCategory"),
1387         opac_css_override                     => $ENV{'OPAC_CSS_OVERRIDE'},
1388         too_many_login_attempts               => ( $patron and $patron->account_locked ),
1389         password_has_expired                  => ( $patron and $patron->password_expired ),
1390         auth_error                            => $auth_error,
1391     );
1392
1393     $template->param( SCO_login => 1 ) if ( $query->param('sco_user_login') );
1394     $template->param( SCI_login => 1 ) if ( $query->param('sci_user_login') );
1395     $template->param( OpacPublic => C4::Context->preference("OpacPublic") );
1396     $template->param( loginprompt => 1 ) unless $info{'nopermission'};
1397     if ( $auth_state eq 'additional-auth-needed' ) {
1398         my $patron = Koha::Patrons->find( { userid => $userid } );
1399         $template->param(
1400             TwoFA_prompt => 1,
1401             invalid_otp_token => $invalid_otp_token,
1402             notice_email_address => $patron->notice_email_address, # We could also pass logged_in_user if necessary
1403         );
1404     }
1405
1406     if ( $auth_state eq 'setup-additional-auth-needed' ) {
1407         $template->param(
1408             TwoFA_setup => 1,
1409         );
1410     }
1411
1412     if ( $type eq 'opac' ) {
1413         require Koha::Virtualshelves;
1414         my $some_public_shelves = Koha::Virtualshelves->get_some_shelves(
1415             {
1416                 public => 1,
1417             }
1418         );
1419         $template->param(
1420             some_public_shelves  => $some_public_shelves,
1421         );
1422     }
1423
1424     if ($cas) {
1425
1426         # Is authentication against multiple CAS servers enabled?
1427         require C4::Auth_with_cas;
1428         if ( multipleAuth() && !$casparam ) {
1429             my $casservers = getMultipleAuth();
1430             my @tmplservers;
1431             foreach my $key ( keys %$casservers ) {
1432                 push @tmplservers, { name => $key, value => login_cas_url( $query, $key, $type ) . "?cas=$key" };
1433             }
1434             $template->param(
1435                 casServersLoop => \@tmplservers
1436             );
1437         } else {
1438             $template->param(
1439                 casServerUrl => login_cas_url($query, undef, $type),
1440             );
1441         }
1442
1443         $template->param(
1444             invalidCasLogin => $info{'invalidCasLogin'}
1445         );
1446     }
1447
1448     if ($shib) {
1449         #If shibOnly is enabled just go ahead and redirect directly
1450         if ( (($type eq 'opac') && C4::Context->preference('OPACShibOnly')) || (($type ne 'opac') && C4::Context->preference('staffShibOnly')) ) {
1451             my $redirect_url = login_shib_url( $query );
1452             print $query->redirect( -uri => "$redirect_url", -status => 303 );
1453             safe_exit;
1454         }
1455
1456         $template->param(
1457             shibbolethAuthentication => $shib,
1458             shibbolethLoginUrl       => login_shib_url($query),
1459         );
1460     }
1461
1462     if (C4::Context->preference('GoogleOpenIDConnect')) {
1463         if ($query->param("OpenIDConnectFailed")) {
1464             my $reason = $query->param('OpenIDConnectFailed');
1465             $template->param(invalidGoogleOpenIDConnectLogin => $reason);
1466         }
1467     }
1468
1469     $template->param(
1470         LibraryName => C4::Context->preference("LibraryName"),
1471     );
1472     $template->param(%info);
1473
1474     #    $cookie = $query->cookie(CGISESSID => $session->id
1475     #   );
1476     print $query->header(
1477         {   type              => 'text/html',
1478             charset           => 'utf-8',
1479             cookie            => $cookie,
1480             'X-Frame-Options' => 'SAMEORIGIN',
1481             -sameSite => 'Lax'
1482         }
1483       ),
1484       $template->output;
1485     safe_exit;
1486 }
1487
1488 =head2 check_api_auth
1489
1490   ($status, $cookie, $sessionId) = check_api_auth($query, $userflags);
1491
1492 Given a CGI query containing the parameters 'userid' and 'password' and/or a session
1493 cookie, determine if the user has the privileges specified by C<$userflags>.
1494
1495 C<check_api_auth> is is meant for authenticating users of web services, and
1496 consequently will always return and will not attempt to redirect the user
1497 agent.
1498
1499 If a valid session cookie is already present, check_api_auth will return a status
1500 of "ok", the cookie, and the Koha session ID.
1501
1502 If no session cookie is present, check_api_auth will check the 'userid' and 'password
1503 parameters and create a session cookie and Koha session if the supplied credentials
1504 are OK.
1505
1506 Possible return values in C<$status> are:
1507
1508 =over
1509
1510 =item "ok" -- user authenticated; C<$cookie> and C<$sessionid> have valid values.
1511
1512 =item "failed" -- credentials are not correct; C<$cookie> and C<$sessionid> are undef
1513
1514 =item "maintenance" -- DB is in maintenance mode; no login possible at the moment
1515
1516 =item "expired -- session cookie has expired; API user should resubmit userid and password
1517
1518 =item "restricted" -- The IP has changed (if SessionRestrictionByIP)
1519
1520 =item "additional-auth-needed -- User is in an authentication process that is not finished
1521
1522 =back
1523
1524 =cut
1525
1526 sub check_api_auth {
1527
1528     my $query         = shift;
1529     my $flagsrequired = shift;
1530     my $timeout = _timeout_syspref();
1531
1532     unless ( C4::Context->preference('Version') ) {
1533
1534         # database has not been installed yet
1535         return ( "maintenance", undef, undef );
1536     }
1537     my $kohaversion = Koha::version();
1538     $kohaversion =~ s/(.*\..*)\.(.*)\.(.*)/$1$2$3/;
1539     if ( C4::Context->preference('Version') < $kohaversion ) {
1540
1541         # database in need of version update; assume that
1542         # no API should be called while databsae is in
1543         # this condition.
1544         return ( "maintenance", undef, undef );
1545     }
1546
1547     my ( $sessionID, $session );
1548     unless ( $query->param('userid') ) {
1549         $sessionID = $query->cookie("CGISESSID");
1550     }
1551     if ( $sessionID && not( $cas && $query->param('PT') ) ) {
1552
1553         my $return;
1554         ( $return, $session, undef ) = check_cookie_auth(
1555             $sessionID, $flagsrequired, { remote_addr => $ENV{REMOTE_ADDR} } );
1556
1557         return ( $return, undef, undef ) # Cookie auth failed
1558             if $return ne "ok";
1559
1560         my $cookie = $query->cookie(
1561             -name     => 'CGISESSID',
1562             -value    => $session->id,
1563             -HttpOnly => 1,
1564             -secure => ( C4::Context->https_enabled() ? 1 : 0 ),
1565             -sameSite => 'Lax'
1566         );
1567         return ( $return, $cookie, $session ); # return == 'ok' here
1568
1569     } else {
1570
1571         # new login
1572         my $userid   = $query->param('userid');
1573         my $password = $query->param('password');
1574         my ( $return, $cardnumber, $cas_ticket );
1575
1576         # Proxy CAS auth
1577         if ( $cas && $query->param('PT') ) {
1578             my $retuserid;
1579
1580             # In case of a CAS authentication, we use the ticket instead of the password
1581             my $PT = $query->param('PT');
1582             ( $return, $cardnumber, $userid, $cas_ticket ) = check_api_auth_cas( $PT, $query );    # EXTERNAL AUTH
1583         } else {
1584
1585             # User / password auth
1586             unless ( $userid and $password ) {
1587
1588                 # caller did something wrong, fail the authenticateion
1589                 return ( "failed", undef, undef );
1590             }
1591             my $newuserid;
1592             ( $return, $cardnumber, $newuserid, $cas_ticket ) = checkpw( $userid, $password, $query );
1593         }
1594
1595         if ( $return and haspermission( $userid, $flagsrequired ) ) {
1596             my $session = get_session("");
1597             return ( "failed", undef, undef ) unless $session;
1598
1599             my $sessionID = $session->id;
1600             C4::Context->_new_userenv($sessionID);
1601             my $cookie = $query->cookie(
1602                 -name     => 'CGISESSID',
1603                 -value    => $sessionID,
1604                 -HttpOnly => 1,
1605                 -secure => ( C4::Context->https_enabled() ? 1 : 0 ),
1606                 -sameSite => 'Lax'
1607             );
1608             if ( $return == 1 ) {
1609                 my (
1610                     $borrowernumber, $firstname,  $surname,
1611                     $userflags,      $branchcode, $branchname,
1612                     $emailaddress
1613                 );
1614                 my $dbh = C4::Context->dbh;
1615                 my $sth =
1616                   $dbh->prepare(
1617 "select borrowernumber, firstname, surname, flags, borrowers.branchcode, branches.branchname as branchname, email from borrowers left join branches on borrowers.branchcode=branches.branchcode where userid=?"
1618                   );
1619                 $sth->execute($userid);
1620                 (
1621                     $borrowernumber, $firstname,  $surname,
1622                     $userflags,      $branchcode, $branchname,
1623                     $emailaddress
1624                 ) = $sth->fetchrow if ( $sth->rows );
1625
1626                 unless ( $sth->rows ) {
1627                     my $sth = $dbh->prepare(
1628 "select borrowernumber, firstname, surname, flags, borrowers.branchcode, branches.branchname as branchname, email from borrowers left join branches on borrowers.branchcode=branches.branchcode where cardnumber=?"
1629                     );
1630                     $sth->execute($cardnumber);
1631                     (
1632                         $borrowernumber, $firstname,  $surname,
1633                         $userflags,      $branchcode, $branchname,
1634                         $emailaddress
1635                     ) = $sth->fetchrow if ( $sth->rows );
1636
1637                     unless ( $sth->rows ) {
1638                         $sth->execute($userid);
1639                         (
1640                             $borrowernumber, $firstname,  $surname,       $userflags,
1641                             $branchcode,     $branchname, $emailaddress
1642                         ) = $sth->fetchrow if ( $sth->rows );
1643                     }
1644                 }
1645
1646                 my $ip = $ENV{'REMOTE_ADDR'};
1647
1648                 # if they specify at login, use that
1649                 if ( $query->param('branch') ) {
1650                     $branchcode = $query->param('branch');
1651                     my $library = Koha::Libraries->find($branchcode);
1652                     $branchname = $library? $library->branchname: '';
1653                 }
1654                 my $branches = { map { $_->branchcode => $_->unblessed } Koha::Libraries->search->as_list };
1655                 foreach my $br ( keys %$branches ) {
1656
1657                     #     now we work with the treatment of ip
1658                     my $domain = $branches->{$br}->{'branchip'};
1659                     if ( $domain && $ip =~ /^$domain/ ) {
1660                         $branchcode = $branches->{$br}->{'branchcode'};
1661
1662                         # new op dev : add the branchname to the cookie
1663                         $branchname    = $branches->{$br}->{'branchname'};
1664                     }
1665                 }
1666                 $session->param( 'number',       $borrowernumber );
1667                 $session->param( 'id',           $userid );
1668                 $session->param( 'cardnumber',   $cardnumber );
1669                 $session->param( 'firstname',    $firstname );
1670                 $session->param( 'surname',      $surname );
1671                 $session->param( 'branch',       $branchcode );
1672                 $session->param( 'branchname',   $branchname );
1673                 $session->param( 'flags',        $userflags );
1674                 $session->param( 'emailaddress', $emailaddress );
1675                 $session->param( 'ip',           $session->remote_addr() );
1676                 $session->param( 'lasttime',     time() );
1677                 $session->param( 'interface',    'api'  );
1678             }
1679             $session->param( 'cas_ticket', $cas_ticket);
1680             C4::Context->set_userenv(
1681                 $session->param('number'),       $session->param('id'),
1682                 $session->param('cardnumber'),   $session->param('firstname'),
1683                 $session->param('surname'),      $session->param('branch'),
1684                 $session->param('branchname'),   $session->param('flags'),
1685                 $session->param('emailaddress'), $session->param('shibboleth'),
1686                 $session->param('desk_id'),      $session->param('desk_name'),
1687                 $session->param('register_id'),  $session->param('register_name')
1688             );
1689             return ( "ok", $cookie, $sessionID );
1690         } else {
1691             return ( "failed", undef, undef );
1692         }
1693     }
1694 }
1695
1696 =head2 check_cookie_auth
1697
1698   ($status, $sessionId) = check_cookie_auth($cookie, $userflags);
1699
1700 Given a CGISESSID cookie set during a previous login to Koha, determine
1701 if the user has the privileges specified by C<$userflags>. C<$userflags>
1702 is passed unaltered into C<haspermission> and as such accepts all options
1703 avaiable to that routine with the one caveat that C<check_api_auth> will
1704 also allow 'undef' to be passed and in such a case the permissions check
1705 will be skipped altogether.
1706
1707 C<check_cookie_auth> is meant for authenticating special services
1708 such as tools/upload-file.pl that are invoked by other pages that
1709 have been authenticated in the usual way.
1710
1711 Possible return values in C<$status> are:
1712
1713 =over
1714
1715 =item "ok" -- user authenticated; C<$sessionID> have valid values.
1716
1717 =item "anon" -- user not authenticated but valid for anonymous session.
1718
1719 =item "failed" -- credentials are not correct; C<$sessionid> are undef
1720
1721 =item "maintenance" -- DB is in maintenance mode; no login possible at the moment
1722
1723 =item "expired -- session cookie has expired; API user should resubmit userid and password
1724
1725 =item "restricted" -- The IP has changed (if SessionRestrictionByIP)
1726
1727 =back
1728
1729 =cut
1730
1731 sub check_cookie_auth {
1732     my $sessionID     = shift;
1733     my $flagsrequired = shift;
1734     my $params        = shift;
1735
1736     my $remote_addr = $params->{remote_addr} || $ENV{REMOTE_ADDR};
1737
1738     my $skip_version_check = $params->{skip_version_check}; # Only for checkauth
1739
1740     unless ( $skip_version_check ) {
1741         unless ( C4::Context->preference('Version') ) {
1742
1743             # database has not been installed yet
1744             return ( "maintenance", undef );
1745         }
1746         my $kohaversion = Koha::version();
1747         $kohaversion =~ s/(.*\..*)\.(.*)\.(.*)/$1$2$3/;
1748         if ( C4::Context->preference('Version') < $kohaversion ) {
1749
1750             # database in need of version update; assume that
1751             # no API should be called while databsae is in
1752             # this condition.
1753             return ( "maintenance", undef );
1754         }
1755     }
1756
1757     # see if we have a valid session cookie already
1758     # however, if a userid parameter is present (i.e., from
1759     # a form submission, assume that any current cookie
1760     # is to be ignored
1761     unless ( $sessionID ) {
1762         return ( "failed", undef );
1763     }
1764     C4::Context::_unset_userenv($sessionID); # remove old userenv first
1765     my $session   = get_session($sessionID);
1766     if ($session) {
1767         my $userid   = $session->param('id');
1768         my $ip       = $session->param('ip');
1769         my $lasttime = $session->param('lasttime');
1770         my $timeout = _timeout_syspref();
1771
1772         if ( !$lasttime || ( $lasttime < time() - $timeout ) ) {
1773             # time out
1774             $session->delete();
1775             $session->flush;
1776             return ("expired", undef);
1777
1778         } elsif ( C4::Context->preference('SessionRestrictionByIP') && $ip ne $remote_addr ) {
1779             # IP address changed
1780             $session->delete();
1781             $session->flush;
1782             return ( "restricted", undef, { old_ip => $ip, new_ip => $remote_addr});
1783
1784         } elsif ( $userid ) {
1785             $session->param( 'lasttime', time() );
1786             my $patron = Koha::Patrons->find({ userid => $userid });
1787
1788             # If the user modify their own userid
1789             # Better than 500 but we could do better
1790             unless ( $patron ) {
1791                 $session->delete();
1792                 $session->flush;
1793                 return ("expired", undef);
1794             }
1795
1796             $patron = Koha::Patrons->find({ cardnumber => $userid })
1797               unless $patron;
1798             return ("password_expired", undef ) if $patron->password_expired;
1799             my $flags = defined($flagsrequired) ? haspermission( $userid, $flagsrequired ) : 1;
1800             if ($flags) {
1801                 C4::Context->_new_userenv($sessionID);
1802                 if ( !C4::Context->interface ) {
1803                     # No need to override the interface, most often set by get_template_and_user
1804                     C4::Context->interface( $session->param('interface') );
1805                 }
1806                 C4::Context->set_userenv(
1807                     $session->param('number'),       $session->param('id') // '',
1808                     $session->param('cardnumber'),   $session->param('firstname'),
1809                     $session->param('surname'),      $session->param('branch'),
1810                     $session->param('branchname'),   $session->param('flags'),
1811                     $session->param('emailaddress'), $session->param('shibboleth'),
1812                     $session->param('desk_id'),      $session->param('desk_name'),
1813                     $session->param('register_id'),  $session->param('register_name')
1814                 );
1815                 if ( C4::Context->preference('TwoFactorAuthentication') ne 'disabled' ) {
1816                     return ( "additional-auth-needed", $session )
1817                         if $session->param('waiting-for-2FA');
1818
1819                     return ( "setup-additional-auth-needed", $session )
1820                         if $session->param('waiting-for-2FA-setup');
1821                 }
1822
1823                 return ( "ok", $session );
1824             } else {
1825                 $session->delete();
1826                 $session->flush;
1827                 return ( "failed", undef );
1828             }
1829
1830         } else {
1831             C4::Context->_new_userenv($sessionID);
1832             C4::Context->interface($session->param('interface'));
1833             C4::Context->set_userenv( undef, q{} );
1834             return ( "anon", $session );
1835         }
1836     } else {
1837         return ( "expired", undef );
1838     }
1839 }
1840
1841 =head2 get_session
1842
1843   use CGI::Session;
1844   my $session = get_session($sessionID);
1845
1846 Given a session ID, retrieve the CGI::Session object used to store
1847 the session's state.  The session object can be used to store
1848 data that needs to be accessed by different scripts during a
1849 user's session.
1850
1851 If the C<$sessionID> parameter is an empty string, a new session
1852 will be created.
1853
1854 =cut
1855
1856 sub _get_session_params {
1857     my $storage_method = C4::Context->preference('SessionStorage');
1858     if ( $storage_method eq 'mysql' ) {
1859         my $dbh = C4::Context->dbh;
1860         return { dsn => "serializer:yamlxs;driver:MySQL;id:md5", dsn_args => { Handle => $dbh } };
1861     }
1862     elsif ( $storage_method eq 'Pg' ) {
1863         my $dbh = C4::Context->dbh;
1864         return { dsn => "serializer:yamlxs;driver:PostgreSQL;id:md5", dsn_args => { Handle => $dbh } };
1865     }
1866     elsif ( $storage_method eq 'memcached' && Koha::Caches->get_instance->memcached_cache ) {
1867         my $memcached = Koha::Caches->get_instance()->memcached_cache;
1868         return { dsn => "serializer:yamlxs;driver:memcached;id:md5", dsn_args => { Memcached => $memcached } };
1869     }
1870     else {
1871         # catch all defaults to tmp should work on all systems
1872         my $dir = C4::Context::temporary_directory;
1873         my $instance = C4::Context->config( 'database' ); #actually for packages not exactly the instance name, but generally safer to leave it as it is
1874         return { dsn => "serializer:yamlxs;driver:File;id:md5", dsn_args => { Directory => "$dir/cgisess_$instance" } };
1875     }
1876 }
1877
1878 sub get_session {
1879     my $sessionID      = shift;
1880     my $params = _get_session_params();
1881     my $session;
1882     if( $sessionID ) { # find existing
1883         CGI::Session::ErrorHandler->set_error( q{} ); # clear error, cpan issue #111463
1884         $session = CGI::Session->load( $params->{dsn}, $sessionID, $params->{dsn_args} );
1885     } else {
1886         $session = CGI::Session->new( $params->{dsn}, $sessionID, $params->{dsn_args} );
1887         # no need to flush here
1888     }
1889     return $session;
1890 }
1891
1892 =head2 create_basic_session
1893
1894 my $session = create_basic_session({ patron => $patron, interface => $interface });
1895
1896 Creates a session and adds all basic parameters for a session to work
1897
1898 =cut
1899
1900 sub create_basic_session {
1901     my $params    = shift;
1902     my $patron    = $params->{patron};
1903     my $interface = $params->{interface};
1904
1905     $interface = 'intranet' if $interface eq 'staff';
1906
1907     my $session = get_session("");
1908
1909     $session->param( 'number',       $patron->borrowernumber );
1910     $session->param( 'id',           $patron->userid );
1911     $session->param( 'cardnumber',   $patron->cardnumber );
1912     $session->param( 'firstname',    $patron->firstname );
1913     $session->param( 'surname',      $patron->surname );
1914     $session->param( 'branch',       $patron->branchcode );
1915     $session->param( 'branchname',   $patron->library->branchname );
1916     $session->param( 'flags',        $patron->flags );
1917     $session->param( 'emailaddress', $patron->email );
1918     $session->param( 'ip',           $session->remote_addr() );
1919     $session->param( 'lasttime',     time() );
1920     $session->param( 'interface',    $interface);
1921
1922     return $session;
1923 }
1924
1925
1926 # FIXME no_set_userenv may be replaced with force_branchcode_for_userenv
1927 # (or something similar)
1928 # Currently it's only passed from C4::SIP::ILS::Patron::check_password, but
1929 # not having a userenv defined could cause a crash.
1930 sub checkpw {
1931     my ( $userid, $password, $query, $type, $no_set_userenv ) = @_;
1932     $type = 'opac' unless $type;
1933
1934     # Get shibboleth login attribute
1935     my $shib       = C4::Context->config('useshibboleth') && shib_ok();
1936     my $shib_login = $shib ? get_login_shib() : undef;
1937
1938     my @return;
1939     my $patron;
1940     if ( defined $userid ) {
1941         $patron = Koha::Patrons->find( { userid     => $userid } );
1942         $patron = Koha::Patrons->find( { cardnumber => $userid } ) unless $patron;
1943     }
1944     my $check_internal_as_fallback = 0;
1945     my $passwd_ok                  = 0;
1946
1947     # Note: checkpw_* routines returns:
1948     # 1 if auth is ok
1949     # 0 if auth is nok
1950     # -1 if user bind failed (LDAP only)
1951
1952     if ( $patron and ( $patron->account_locked ) ) {
1953
1954         # Nothing to check, account is locked
1955     } elsif ( $ldap && defined($password) ) {
1956         my ( $retval, $retcard, $retuserid );
1957         ( $retval, $retcard, $retuserid, $patron ) = checkpw_ldap(@_);    # EXTERNAL AUTH
1958         if ( $retval == 1 ) {
1959             @return    = ( $retval, $retcard, $retuserid, $patron );
1960             $passwd_ok = 1;
1961         }
1962         $check_internal_as_fallback = 1 if $retval == 0;
1963
1964     } elsif ( $cas && $query && $query->param('ticket') ) {
1965
1966         # In case of a CAS authentication, we use the ticket instead of the password
1967         my $ticket = $query->param('ticket');
1968         $query->delete('ticket');                                         # remove ticket to come back to original URL
1969         my ( $retval, $retcard, $retuserid, $cas_ticket, $patron ) =
1970             checkpw_cas( $ticket, $query, $type );                        # EXTERNAL AUTH
1971         if ($retval) {
1972             @return = ( $retval, $retcard, $retuserid, $patron, $cas_ticket );
1973         } else {
1974             @return = (0);
1975         }
1976         $passwd_ok = $retval;
1977     }
1978
1979     # If we are in a shibboleth session (shibboleth is enabled, and a shibboleth match attribute is present)
1980     # Check for password to asertain whether we want to be testing against shibboleth or another method this
1981     # time around.
1982     elsif ( $shib && $shib_login && !$password ) {
1983
1984         # In case of a Shibboleth authentication, we expect a shibboleth user attribute
1985         # (defined under shibboleth mapping in koha-conf.xml) to contain the login of the
1986         # shibboleth-authenticated user
1987
1988         # Then, we check if it matches a valid koha user
1989         if ($shib_login) {
1990             my ( $retval, $retcard, $retuserid, $patron ) =
1991                 C4::Auth_with_shibboleth::checkpw_shib($shib_login);    # EXTERNAL AUTH
1992             if ($retval) {
1993                 @return = ( $retval, $retcard, $retuserid, $patron );
1994             }
1995             $passwd_ok = $retval;
1996         }
1997     } else {
1998         $check_internal_as_fallback = 1;
1999     }
2000
2001     # INTERNAL AUTH
2002     if ($check_internal_as_fallback) {
2003         @return = checkpw_internal( $userid, $password, $no_set_userenv );
2004         push( @return, $patron );
2005         $passwd_ok = 1 if $return[0] > 0;    # 1 or 2
2006     }
2007
2008     if ($patron) {
2009         if ($passwd_ok) {
2010             $patron->update( { login_attempts => 0 } );
2011             if ( $patron->password_expired ) {
2012                 @return = ( -2, $patron );
2013             }
2014         } elsif ( !$patron->account_locked ) {
2015             $patron->update( { login_attempts => $patron->login_attempts + 1 } );
2016         }
2017     }
2018
2019     # Optionally log success or failure
2020     if ( $patron && $passwd_ok && C4::Context->preference('AuthSuccessLog') ) {
2021         logaction( 'AUTH', 'SUCCESS', $patron->id, "Valid password for $userid", $type );
2022     } elsif ( !$passwd_ok && C4::Context->preference('AuthFailureLog') ) {
2023         logaction( 'AUTH', 'FAILURE', $patron ? $patron->id : 0, "Wrong password for $userid", $type );
2024     }
2025
2026     return @return;
2027 }
2028
2029 sub checkpw_internal {
2030     my ( $userid, $password, $no_set_userenv ) = @_;
2031
2032     $password = Encode::encode( 'UTF-8', $password )
2033       if Encode::is_utf8($password);
2034
2035     my $dbh = C4::Context->dbh;
2036     my $sth =
2037       $dbh->prepare(
2038         "select password,cardnumber,borrowernumber,userid,firstname,surname,borrowers.branchcode,branches.branchname,flags from borrowers join branches on borrowers.branchcode=branches.branchcode where userid=?"
2039       );
2040     $sth->execute($userid);
2041     if ( $sth->rows ) {
2042         my ( $stored_hash, $cardnumber, $borrowernumber, $userid, $firstname,
2043             $surname, $branchcode, $branchname, $flags )
2044           = $sth->fetchrow;
2045
2046         if ( checkpw_hash( $password, $stored_hash ) ) {
2047
2048             C4::Context->set_userenv( "$borrowernumber", $userid, $cardnumber,
2049                 $firstname, $surname, $branchcode, $branchname, $flags ) unless $no_set_userenv;
2050             return 1, $cardnumber, $userid;
2051         }
2052     }
2053     $sth =
2054       $dbh->prepare(
2055         "select password,cardnumber,borrowernumber,userid,firstname,surname,borrowers.branchcode,branches.branchname,flags from borrowers join branches on borrowers.branchcode=branches.branchcode where cardnumber=?"
2056       );
2057     $sth->execute($userid);
2058     if ( $sth->rows ) {
2059         my ( $stored_hash, $cardnumber, $borrowernumber, $userid, $firstname,
2060             $surname, $branchcode, $branchname, $flags )
2061           = $sth->fetchrow;
2062
2063         if ( checkpw_hash( $password, $stored_hash ) ) {
2064
2065             C4::Context->set_userenv( $borrowernumber, $userid, $cardnumber,
2066                 $firstname, $surname, $branchcode, $branchname, $flags ) unless $no_set_userenv;
2067             return 1, $cardnumber, $userid;
2068         }
2069     }
2070     return 0;
2071 }
2072
2073 sub checkpw_hash {
2074     my ( $password, $stored_hash ) = @_;
2075
2076     return if $stored_hash eq '!';
2077
2078     # check what encryption algorithm was implemented: Bcrypt - if the hash starts with '$2' it is Bcrypt else md5
2079     my $hash;
2080     if ( substr( $stored_hash, 0, 2 ) eq '$2' ) {
2081         $hash = hash_password( $password, $stored_hash );
2082     } else {
2083         $hash = md5_base64($password);
2084     }
2085     return $hash eq $stored_hash;
2086 }
2087
2088 =head2 getuserflags
2089
2090     my $authflags = getuserflags($flags, $userid, [$dbh]);
2091
2092 Translates integer flags into permissions strings hash.
2093
2094 C<$flags> is the integer userflags value ( borrowers.userflags )
2095 C<$userid> is the members.userid, used for building subpermissions
2096 C<$authflags> is a hashref of permissions
2097
2098 =cut
2099
2100 sub getuserflags {
2101     my $flags  = shift;
2102     my $userid = shift;
2103     my $dbh    = @_ ? shift : C4::Context->dbh;
2104     my $userflags;
2105     {
2106         # I don't want to do this, but if someone logs in as the database
2107         # user, it would be preferable not to spam them to death with
2108         # numeric warnings. So, we make $flags numeric.
2109         no warnings 'numeric';
2110         $flags += 0;
2111     }
2112     my $sth = $dbh->prepare("SELECT bit, flag, defaulton FROM userflags");
2113     $sth->execute;
2114
2115     while ( my ( $bit, $flag, $defaulton ) = $sth->fetchrow ) {
2116         if ( ( $flags & ( 2**$bit ) ) || $defaulton ) {
2117             $userflags->{$flag} = 1;
2118         }
2119         else {
2120             $userflags->{$flag} = 0;
2121         }
2122     }
2123
2124     # get subpermissions and merge with top-level permissions
2125     my $user_subperms = get_user_subpermissions($userid);
2126     foreach my $module ( keys %$user_subperms ) {
2127         next if $userflags->{$module} == 1;    # user already has permission for everything in this module
2128         $userflags->{$module} = $user_subperms->{$module};
2129     }
2130
2131     return $userflags;
2132 }
2133
2134 =head2 get_user_subpermissions
2135
2136   $user_perm_hashref = get_user_subpermissions($userid);
2137
2138 Given the userid (note, not the borrowernumber) of a staff user,
2139 return a hashref of hashrefs of the specific subpermissions
2140 accorded to the user.  An example return is
2141
2142  {
2143     tools => {
2144         export_catalog => 1,
2145         import_patrons => 1,
2146     }
2147  }
2148
2149 The top-level hash-key is a module or function code from
2150 userflags.flag, while the second-level key is a code
2151 from permissions.
2152
2153 The results of this function do not give a complete picture
2154 of the functions that a staff user can access; it is also
2155 necessary to check borrowers.flags.
2156
2157 =cut
2158
2159 sub get_user_subpermissions {
2160     my $userid = shift;
2161
2162     my $dbh = C4::Context->dbh;
2163     my $sth = $dbh->prepare( "SELECT flag, user_permissions.code
2164                              FROM user_permissions
2165                              JOIN permissions USING (module_bit, code)
2166                              JOIN userflags ON (module_bit = bit)
2167                              JOIN borrowers USING (borrowernumber)
2168                              WHERE userid = ?" );
2169     $sth->execute($userid);
2170
2171     my $user_perms = {};
2172     while ( my $perm = $sth->fetchrow_hashref ) {
2173         $user_perms->{ $perm->{'flag'} }->{ $perm->{'code'} } = 1;
2174     }
2175     return $user_perms;
2176 }
2177
2178 =head2 get_all_subpermissions
2179
2180   my $perm_hashref = get_all_subpermissions();
2181
2182 Returns a hashref of hashrefs defining all specific
2183 permissions currently defined.  The return value
2184 has the same structure as that of C<get_user_subpermissions>,
2185 except that the innermost hash value is the description
2186 of the subpermission.
2187
2188 =cut
2189
2190 sub get_all_subpermissions {
2191     my $dbh = C4::Context->dbh;
2192     my $sth = $dbh->prepare( "SELECT flag, code
2193                              FROM permissions
2194                              JOIN userflags ON (module_bit = bit)" );
2195     $sth->execute();
2196
2197     my $all_perms = {};
2198     while ( my $perm = $sth->fetchrow_hashref ) {
2199         $all_perms->{ $perm->{'flag'} }->{ $perm->{'code'} } = 1;
2200     }
2201     return $all_perms;
2202 }
2203
2204 =head2 get_cataloguing_page_permissions
2205
2206     my $required_permissions = get_cataloguing_page_permissions();
2207
2208 Returns the required permissions to access the main cataloguing page. Useful for building
2209 the global I<can_see_cataloguing_module> template variable, and also for reusing in
2210 I<cataloging-home.pl>.
2211
2212 =cut
2213
2214 sub get_cataloguing_page_permissions {
2215
2216     my @cataloguing_tools_subperms = qw(
2217         inventory
2218         items_batchdel
2219         items_batchmod
2220         items_batchmod
2221         label_creator
2222         manage_staged_marc
2223         marc_modification_templates
2224         records_batchdel
2225         records_batchmod
2226         stage_marc_import
2227         upload_cover_images
2228     );
2229
2230     return [
2231         { editcatalogue => '*' }, { tools => \@cataloguing_tools_subperms },
2232         C4::Context->preference('StockRotation') ? { stockrotation => 'manage_rotas' } : ()
2233     ];
2234 }
2235
2236 =head2 haspermission
2237
2238   $flagsrequired = '*';                                 # Any permission at all
2239   $flagsrequired = 'a_flag';                            # a_flag must be satisfied (all subpermissions)
2240   $flagsrequired = [ 'a_flag', 'b_flag' ];              # a_flag OR b_flag must be satisfied
2241   $flagsrequired = { 'a_flag => 1, 'b_flag' => 1 };     # a_flag AND b_flag must be satisfied
2242   $flagsrequired = { 'a_flag' => 'sub_a' };             # sub_a of a_flag must be satisfied
2243   $flagsrequired = { 'a_flag' => [ 'sub_a, 'sub_b' ] }; # sub_a OR sub_b of a_flag must be satisfied
2244
2245   $flags = ($userid, $flagsrequired);
2246
2247 C<$userid> the userid of the member
2248 C<$flags> is a query structure similar to that used by SQL::Abstract that
2249 denotes the combination of flags required. It is a required parameter.
2250
2251 The main logic of this method is that things in arrays are OR'ed, and things
2252 in hashes are AND'ed. The `*` character can be used, at any depth, to denote `ANY`
2253
2254 Returns member's flags or 0 if a permission is not met.
2255
2256 =cut
2257
2258 sub _dispatch {
2259     my ($required, $flags) = @_;
2260
2261     my $ref = ref($required);
2262     if ($ref eq '') {
2263         if ($required eq '*') {
2264             return 0 unless ( $flags or ref( $flags ) );
2265         } else {
2266             return 0 unless ( $flags and (!ref( $flags ) || $flags->{$required} ));
2267         }
2268     } elsif ($ref eq 'HASH') {
2269         foreach my $key (keys %{$required}) {
2270             next if $flags == 1;
2271             my $require = $required->{$key};
2272             my $rflags  = $flags->{$key};
2273             return 0 unless _dispatch($require, $rflags);
2274         }
2275     } elsif ($ref eq 'ARRAY') {
2276         my $satisfied = 0;
2277         foreach my $require ( @{$required} ) {
2278             my $rflags =
2279               ( ref($flags) && !ref($require) && ( $require ne '*' ) )
2280               ? $flags->{$require}
2281               : $flags;
2282             $satisfied++ if _dispatch( $require, $rflags );
2283         }
2284         return 0 unless $satisfied;
2285     } else {
2286         croak "Unexpected structure found: $ref";
2287     }
2288
2289     return $flags;
2290 };
2291
2292 sub haspermission {
2293     my ( $userid, $flagsrequired ) = @_;
2294
2295     #Koha::Exceptions::WrongParameter->throw('$flagsrequired should not be undef')
2296     #  unless defined($flagsrequired);
2297
2298     my $sth = C4::Context->dbh->prepare("SELECT flags FROM borrowers WHERE userid=?");
2299     $sth->execute($userid);
2300     my $row = $sth->fetchrow();
2301     my $flags = getuserflags( $row, $userid );
2302
2303     return $flags unless defined($flagsrequired);
2304     return $flags if $flags->{superlibrarian};
2305     return _dispatch($flagsrequired, $flags);
2306
2307     #FIXME - This fcn should return the failed permission so a suitable error msg can be delivered.
2308 }
2309
2310 =head2 in_iprange
2311
2312   $flags = ($iprange);
2313
2314 C<$iprange> A space separated string describing an IP range. Can include single IPs or ranges
2315
2316 Returns 1 if the remote address is in the provided iprange, or 0 otherwise.
2317
2318 =cut
2319
2320 sub in_iprange {
2321     my ($iprange) = @_;
2322     my $result = 1;
2323     my @allowedipranges = $iprange ? split(' ', $iprange) : ();
2324     if (scalar @allowedipranges > 0) {
2325         my @rangelist;
2326         eval { @rangelist = Net::CIDR::range2cidr(@allowedipranges); }; return 0 if $@;
2327         eval { $result = Net::CIDR::cidrlookup($ENV{'REMOTE_ADDR'}, @rangelist) } || Koha::Logger->get->warn('cidrlookup failed for ' . join(' ',@rangelist) );
2328      }
2329      return $result ? 1 : 0;
2330 }
2331
2332 sub getborrowernumber {
2333     my ($userid) = @_;
2334     my $userenv = C4::Context->userenv;
2335     if ( defined($userenv) && ref($userenv) eq 'HASH' && $userenv->{number} ) {
2336         return $userenv->{number};
2337     }
2338     my $dbh = C4::Context->dbh;
2339     for my $field ( 'userid', 'cardnumber' ) {
2340         my $sth =
2341           $dbh->prepare("select borrowernumber from borrowers where $field=?");
2342         $sth->execute($userid);
2343         if ( $sth->rows ) {
2344             my ($bnumber) = $sth->fetchrow;
2345             return $bnumber;
2346         }
2347     }
2348     return 0;
2349 }
2350
2351 =head2 track_login_daily
2352
2353     track_login_daily( $userid );
2354
2355 Wraps the call to $patron->track_login, the method used to update borrowers.lastseen. We only call track_login once a day.
2356
2357 =cut
2358
2359 sub track_login_daily {
2360     my $userid = shift;
2361     return if !$userid || !C4::Context->preference('TrackLastPatronActivity');
2362
2363     my $cache     = Koha::Caches->get_instance();
2364     my $cache_key = "track_login_" . $userid;
2365     my $cached    = $cache->get_from_cache($cache_key);
2366     my $today = dt_from_string()->ymd;
2367     return if $cached && $cached eq $today;
2368
2369     my $patron = Koha::Patrons->find({ userid => $userid });
2370     return unless $patron;
2371     $patron->track_login;
2372     $cache->set_in_cache( $cache_key, $today );
2373 }
2374
2375 END { }    # module clean-up code here (global destructor)
2376 1;
2377 __END__
2378
2379 =head1 SEE ALSO
2380
2381 CGI(3)
2382
2383 C4::Output(3)
2384
2385 Crypt::Eksblowfish::Bcrypt(3)
2386
2387 Digest::MD5(3)
2388
2389 =cut