[Bruno_]

#java #programowanie #spring #brunouczysieprogramowac

Jak poprawnie zabezpieczyć moją stronę? Mam resta postawionego, myślałem żeby hasła po stronie użytkownika hashować np md5 i w bazie danych zapisywać. Niestety nie wiem za bardzo jak by to działało z logowaniem. Przypisuję tokena do sesji, jak się użytkownik zaloguje to zapisuje że przez X czasu może korzystać ze strony? Nie wiem jak to ugryźć, szukałem trochę w google jak to w springu zrobić ale to co znalazłem to configi w xmlu więc odpada

[k.....e]

@Bruno_: Np. JWT do zabezpieczenie endopointów. Możesz to połączyć ze Spring Security i gotowe. Sesji się raczej nie stosuje bo to jest zaprzeczenie bezstanowości serwisów restowych. MD5 też się już nie używa

[Bruno_]

@kebab-case: @kuba565: a no mialem pisac o spring security
co do sesji to wlanie myslalem ze to bez sensu, po co sobie komplikowac zycie, bym musial to zapisywac do bazy danych wszystko itp
co zamiast md5?

[k.....e]

@Bruno_: bcrypt

[Bruno_]

@kebab-case: a w requescie to w plain texcie przesylac haslo?

[juniordev]

@Bruno_: w requescie logowania wysyłasz haslo plain testem. Twoje połączenie powinno być szyfrowane (HTTPS), dla nauki możesz założyć że jest. Hasło podczas rejestracji szyfrujesz po stronie serwera funkcja jednokierunkowa np bcryptem i zapisujesz w bazie. Potem przy logowaniu używasz tej samej funkcji żeby sprawdzić czy zaszyfrowane hasła są takie same

[Bruno_]

@juniordev: wszystko jasne, dzieki

[Elleshar]

@Bruno_: HTTPS hasła wysyłane jako nagłówek a nie payload + Base64

[Przegrywek123]

@Bruno_: w teorii hasło jest już na froncie szyfrowane + solone. Ale załóż że leci plain text i zrób to na backu, razem z dodaniem jakiegoś ciągu znaków.

[juniordev]

@Przegrywek123: na froncie nie szyfruje się haseł. Najczęściej są one wysyłane do backendu plain textem lub hashowane (takie podejście ma też pewne plusy). Natomiast nie stosuje się szyfrowania po tej stronie