[N.....a]

Hej! Mam pytanie odnośnie jak zabezpieczyć restowe WebSerwisy. Tworzę sobie jakiś tam restowy web serwis który wywołuję np jako: adres/rest/xml/artykul/23

Mam sobie jakąś tam bazę danych która przechowuje login i hasło użytkownika.
Jak zabezpieczyć taki webserwis aby dostęp do niego mieli tylko zalogowani użytkownicy?

Ogólnie webserwisy pisane w #java (JAX-RS + Jersey do xml'ow)
#java #programowanie #webservices

[w0If]

@NiebieskaSowa: no najprościej generować token, który potem user będzie ci wysyłał żeby się uwierzytelnić

[N.....a]

@w0If: i taki token zamiast w url do webserwisu przesyłać postem ?

[w0If]

@NiebieskaSowa: w nagłówkach osobno albo jako ciasteczko

[nigdy_wiecej]

@NiebieskaSowa: auth token albo session id. zabezpieczas z tym wszystkie serwisy oprócz logowania

[N.....a]

@w0If: dzięki !

[mleko321]

@NiebieskaSowa: najlepiej jeszcze jakby ten token zmienial sie po kazdym zapytaniu

[jarpen1234]

@NiebieskaSowa: https://jwt.io/

[N.....a]

@nigdy_wiecej: @mleko321: dzięki!
@jarpen1234: wygląda super! sprawdzę to! dzięki!

[jarpen1234]

Korzystam głównie z tego. JWT ma taką przewagę jeśli chodzi o wydajność, że nie trzymasz tego w bazie i nie odpytujesz się czy ten token jest i jest ważny, tylko wyciągasz te wartości bezpośrednio z tokena i jedyny narzut jest na procka/pamięć. Trzymasz tam np id usera i datę ważności, co później podpisujesz kluczem aplikacji, ew szyfrujesz. Później przy autentykacji tylko sprawdzasz poprawność tokena. Jaki jest problem - wygenerowany token jak ktoś