feat: bind the GTI Fiscal SSO assertion to the browser (state/nonce)

/sso/fiscal now requires the state that GTI Fiscal creates when the flow
starts and signs it as the "nonce" claim; GTI Fiscal checks it against
its own one-time cookie. Without a valid state the panel sends the
browser to GTI Fiscal's /login, so the flow always starts there. This
prevents someone from pushing an assertion for their own account into
another person's browser (login CSRF).

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

app/routers/sso.py

@@ -34,29 +34,34 @@ def _pagina_erro(mensagem: str, status_code: int) -> HTMLResponse:
 
 
 @router.get("/sso/fiscal")
-def iniciar_sso_fiscal(request: Request, next: str | None = None):
+def iniciar_sso_fiscal(request: Request, next: str | None = None, state: str | None = None):
     destino = sso.proximo_seguro(next)
     if not sso.configurado():
         return _pagina_erro("O acesso ao GTI Fiscal não está configurado neste painel.", 503)
 
+    # Sem state o fluxo não começou no Fiscal (ex.: clique na sidebar): manda
+    # para o login do Fiscal, que cria o state e devolve para cá.
+    if not sso.estado_valido(state):
+        return RedirectResponse(sso.url_login_fiscal(destino), status_code=303)
+
+    parametros = urlencode({"state": state, "next": destino})
     if request.url.scheme != "https":
         publica = os.environ.get("SSO_GERENCIADOR_URL_PUBLICA", "").rstrip("/")
         if publica.startswith("https://"):
-            return RedirectResponse(f"{publica}/sso/fiscal?{urlencode({'next': destino})}", status_code=303)
+            return RedirectResponse(f"{publica}/sso/fiscal?{parametros}", status_code=303)
         return _pagina_erro("O acesso ao GTI Fiscal só funciona pelo endereço HTTPS do painel.", 400)
 
     try:
         usuario = exigir_login(request)
     except NaoAutenticado:
-        volta = f"/sso/fiscal?{urlencode({'next': destino})}"
-        return RedirectResponse(f"/login?{urlencode({'next': volta})}", status_code=303)
+        return RedirectResponse(f"/login?{urlencode({'next': f'/sso/fiscal?{parametros}'})}", status_code=303)
 
     funcionario = db_funcionarios.obter_por_login(usuario.login)
     if funcionario is None:
         db_log.registrar(str(usuario), "sso_fiscal", "funcionario", usuario.login, False, "conta de bootstrap não usa SSO")
         return _pagina_erro("A conta de bootstrap não acessa o GTI Fiscal — entre com seu usuário de funcionário.", 403)
 
-    assercao = sso.emitir_assercao(funcionario)
+    assercao = sso.emitir_assercao(funcionario, nonce=state)
     db_log.registrar(str(usuario), "sso_fiscal", "funcionario", str(funcionario["ID"]), True)
     resposta = templates.TemplateResponse(
         request, "sso_fiscal.html", {"acao": sso.url_callback(), "assercao": assercao, "proximo": destino}

app/sso.py

@@ -7,7 +7,8 @@ funcionário e entrega ao Fiscal uma asserção assinada, de vida curta.
   tem a chave pública, então não consegue emitir asserções.
 - Claims: iss/aud fixos, sub = "funcionario:<ID>" (o ID de
   FUNCIONARIO_PAINEL — o LOGIN é editável, então não serve de identificador),
-  iat/nbf/exp (60 s) e jti único, que o Fiscal grava para recusar replay.
+  iat/nbf/exp (60 s), jti único (o Fiscal grava para recusar replay) e nonce
+  = state do Fiscal (amarra a asserção ao navegador que iniciou o fluxo).
 - Nenhuma senha, hash ou cookie deste painel sai daqui: só nome, login e
   perfil, que o Fiscal usa para exibir e para autorização futura.
 - A asserção vai no corpo de um POST auto-submetido (routers/sso.py), nunca
@@ -18,9 +19,10 @@ nem nenhuma outra credencial.
 """
 import base64
 import os
+import re
 import time
 import uuid
-from urllib.parse import urlsplit
+from urllib.parse import urlencode, urlsplit
 
 import jwt
 from cryptography.hazmat.primitives.asymmetric.ed25519 import Ed25519PrivateKey
@@ -50,6 +52,17 @@ def origem_callback() -> str:
     return f"{partes.scheme}://{partes.netloc}"
 
 
+def estado_valido(valor: str | None) -> bool:
+    """state gerado pelo Fiscal (cookie do navegador que iniciou o fluxo); volta
+    assinado como "nonce", e o Fiscal confere contra o cookie — assim ninguém
+    consegue empurrar a própria asserção para o navegador de outra pessoa."""
+    return bool(valor) and bool(re.fullmatch(r"[A-Za-z0-9_\-]{16,128}", valor))
+
+
+def url_login_fiscal(proximo: str) -> str:
+    return f"{origem_callback()}/login?{urlencode({'next': proximo})}"
+
+
 def proximo_seguro(valor: str | None) -> str:
     """Só caminho relativo dentro do Fiscal. Qualquer outra coisa vira "/"."""
     if (
@@ -70,7 +83,7 @@ def _chave_privada() -> Ed25519PrivateKey:
     return Ed25519PrivateKey.from_private_bytes(semente)
 
 
-def emitir_assercao(funcionario: dict, agora: float | None = None) -> str:
+def emitir_assercao(funcionario: dict, nonce: str, agora: float | None = None) -> str:
     momento = int(agora if agora is not None else time.time())
     claims = {
         "iss": EMISSOR,
@@ -80,6 +93,7 @@ def emitir_assercao(funcionario: dict, agora: float | None = None) -> str:
         "nbf": momento,
         "exp": momento + VALIDADE_SEGUNDOS,
         "jti": str(uuid.uuid4()),
+        "nonce": nonce,
         "login": funcionario["LOGIN"],
         "name": funcionario["NOME"],
         "perfil": funcionario["PERFIL"],