[sili]

Jak w springu najlepiej zabezpieczyć aplikacje webow'a aby każdy user mógł wykonywać tylko swoje akcje np. edytować/usuwać tylko swoje posty? Czy można do tego jakoś użyc spring security czy raczej nie?
#programowanie #java #spring

[DaveItsMe]

@sili: nie wiem ( ͡°( ͡° ͜ʖ( ͡° ͜ʖ ͡°)ʖ ͡°) ͡°)

[P.....k]

@sili: można, jak najbardziej

[B.....n]

@sili: Można sprawdzać kto robi danego requesta. Jakie masz zaimplementowane zabezpieczenia?

[J.....d]

@sili: przy każdej akcji sprawdzaj kto jest zalogowany i czy ma uprawnienia do usuwania posta

[xenonso]

@sili: Nawet powinieneś tego użyć

[sili]

@Brodeon @JamesBlond Okej, czyli po prostu sprawdzę przez #!$%@?() kto jest zalogowany i na tej podstawie sam zdecyduję czy może wykonać daną akcje.

[B.....n]

@sili: Tak

[Kresse]

@sili: Jak masz wiecej obiektow domenowych z takim ograniczeniem dostepu, to obczaj ACL: https://www.baeldung.com/spring-security-acl Robi dokladnie to co chcesz. Jak to tylko pojedyncza historia, to pewnie wystarczy cos w stylu @PreAuthorized("@permissionService.canEditPost(#id)") na metodzie. PermissionService implementujesz sobie sam jako bean i mozesz przekazywac do niego wartosci z requesta HTTP (np. #id).

[Bruno_]

@Brodeon: uzyj jwt security, do generowania tokena uzywaj najlepiej id (nie musisz sie potem bawic w usuwanie tokena po zmianie username) w tokenie, potem w controllerze @RequestHeader("Authorization"), robisz sobie statyczna metode gdzies ktora ci ekstraktuje id z tokena i podajesz go dalej do serwisu w ktorym sprawdzasz czy uzytkownik ma dostep

[B.....n]

@Bruno_: Jak ustawić id usera w tokenie? W #!$%@? mam tylko username

[Bruno_]

@Brodeon: https://github.com/Karolcz125/pBlog/tree/master/src/main/java/pl/karolcz/pBlog/security

[B.....n]

@Bruno_: Ja chciałem to robić TokenEnchancerem ale to też dobre ( ͡° ͜ʖ ͡°)

[B.....n]

@Bruno_: Co prawda TokenEnchancer jak teraz sprawdziłem robi co innego ale również przydatną rzecz, tak w oauth2 nie można wbić userId do tokena JWT w oauth2 ( ͡° ʖ̯ ͡°). Widzę że ty masz zwykłą tokenową autoryzację. Miałem tak kiedyś zrobione w projekcie ale przeszedłem na oauth2 ( ͡° ͜ʖ ͡°)

[Bruno_]

@Brodeon: w ogóle to ja chciałem zawołać @sili, nie Ciebie xD dopiero teraz zauważyłem że nie napisałem do opa