feat: harden identity and recovery operations

app/Http/Controllers/Auth/MicrosoftAuthController.php

@@ -0,0 +1,96 @@
+<?php
+
+namespace App\Http\Controllers\Auth;
+
+use App\Domain\Identity\Exceptions\MicrosoftAuthenticationException;
+use App\Domain\Identity\Services\MicrosoftIdentityService;
+use App\Http\Controllers\Controller;
+use App\Integrations\Microsoft\MicrosoftOidcClient;
+use Illuminate\Http\RedirectResponse;
+use Illuminate\Http\Request;
+use Illuminate\Support\Facades\Auth;
+use Illuminate\Support\Facades\Log;
+use Throwable;
+
+final class MicrosoftAuthController extends Controller
+{
+    public function redirect(Request $request, MicrosoftOidcClient $client): RedirectResponse
+    {
+        try {
+            $authorization = $client->authorizationRequest();
+        } catch (MicrosoftAuthenticationException $exception) {
+            return $this->failure($request, $exception->getMessage());
+        }
+
+        $request->session()->put('microsoft_oidc', [
+            ...$authorization['flow'],
+            'intent' => 'login',
+            'user_id' => null,
+        ]);
+
+        return redirect()->away($authorization['url']);
+    }
+
+    public function callback(
+        Request $request,
+        MicrosoftOidcClient $client,
+        MicrosoftIdentityService $identities,
+    ): RedirectResponse {
+        $flow = $request->session()->pull('microsoft_oidc');
+
+        if (! is_array($flow)
+            || ! is_string($flow['state'] ?? null)
+            || ! is_string($flow['nonce'] ?? null)
+            || ! is_string($flow['code_verifier'] ?? null)
+            || ! in_array($flow['intent'] ?? null, ['login', 'link'], true)
+            || ! is_string($request->query('state'))
+            || ! hash_equals($flow['state'], $request->query('state'))
+            || ! is_int($flow['created_at'] ?? null)
+            || $flow['created_at'] < time() - 600) {
+            return $this->failure($request, 'O pedido de autenticação expirou ou não é válido.');
+        }
+
+        if ($request->filled('error')) {
+            return $this->failure($request, 'A autenticação Microsoft foi cancelada ou recusada.');
+        }
+
+        $code = $request->query('code');
+        if (! is_string($code) || $code === '') {
+            return $this->failure($request, 'O Microsoft Entra não devolveu o código de autenticação.');
+        }
+
+        try {
+            $claims = $client->authenticate($code, (string) $flow['code_verifier'], (string) $flow['nonce']);
+
+            if ($flow['intent'] === 'link') {
+                $user = $request->user();
+                if ($user === null || $user->id !== ($flow['user_id'] ?? null)) {
+                    throw new MicrosoftAuthenticationException('A sessão local mudou durante a associação da identidade.');
+                }
+
+                $identities->link($user, $claims, $request);
+
+                return redirect()->route('security.edit')->with('success', 'Identidade Microsoft associada com sucesso.');
+            }
+
+            $user = $identities->userForLogin($claims, $request);
+            Auth::login($user);
+            $request->session()->regenerate();
+
+            return redirect()->intended(route('dashboard', absolute: false));
+        } catch (MicrosoftAuthenticationException $exception) {
+            return $this->failure($request, $exception->getMessage());
+        } catch (Throwable $exception) {
+            Log::warning('Falha inesperada na autenticação Microsoft.', [
+                'exception' => $exception::class,
+            ]);
+
+            return $this->failure($request, 'Não foi possível concluir a autenticação Microsoft.');
+        }
+    }
+
+    private function failure(Request $request, string $message): RedirectResponse
+    {
+        return redirect()->route($request->user() === null ? 'login' : 'security.edit')->with('error', $message);
+    }
+}