[Khaine]

#webdev #programowanie #csharp

Zrobiłem sobie tak dla wprawki prostą autentykację JWT tokenem na .NET Core. Założyłem przy tym, że użytkownik logując się dostarcza nazwę użytkownika i hasło, ja sobie sprawdzam po stronie backendu czy to się wszystko zgadza i jak się zgadza, to odsyłam odpowiedni token z wszelkimi przydatnymi później metadanymi użytkownika, które mam zapisane w bazie na jego temat (rola, id).

No i tutaj przychodzi pytanie. Mamy szyfrowane połączenie https, ale zastanawia mnie teraz jaka jest dobra praktyka z tymi hasłami. Teraz testowo zapytanie wygląda tak: "createToken/{userId}/{password}", ale nie jestem pewien czy aby hasło w plaintexcie powinno się znaleźć w zapytaniu w ten sposób, czy raczej powinno być chociaż schowane w body zapytania.

Po stronie bazy danych nie ma mowy o trzymaniu haseł w plaintexcie, więc albo muszą zostać natychmiastowo zahashowane po stronie backendu w kontrolerze zapytań o token i porównane ze starym hashem, albo hash musi być wygenerowany po stronie frontu i backend dostaje już gotową mielonkę, którą porównuje z własną mielonką. Jak się to robi w praktyce?

[Rst00]

@Khaine: chyba się jeszcze nie spotkałem żeby login i hasło przesyłać w gecie. Zawsze takie dane lądują do body a https gwarantuje Ci (teoretycznie) że wszystko będzie bezpieczne. Generowanie hasha po stronie frontu nie ma sensu i może być niebezpieczne. W backendzie masz najprawdopodobniej generowanie hasha z jakąś solą więc musiałbyś tę sól ujawić frontowi i zmniejszy to bezpieczeństwo całej aplikacji.

[Khaine]

@Rst00: Domyśliłem się, że do geta się tego nie rzuca xD Tak zrobiłem na szybkości, bo mi łatwiej było to z poziomu przeglądarki odpalać i sprawdzać czy działa.

Reasumując ładujemy plaintexta do body zapytania i w kontrolerze odpowiedzialnym za tokeny robimy mielonkę, porównujemy stary hash z nowym i jak się zgadza, to odsyłamy token i tyle.

[grubson234567]

No i tutaj przychodzi pytanie. Mamy szyfrowane połączenie https, ale zastanawia mnie teraz jaka jest dobra praktyka z tymi hasłami. Teraz testowo zapytanie wygląda tak: "createToken/{userId}/{password}", ale nie jestem pewien czy aby hasło w plaintexcie powinno się znaleźć w zapytaniu w ten sposób, czy raczej powinno być chociaż schowane w body zapytania.

@Khaine: Dorze że nie jesteś pewien, bo to nie poprawne

Reasumując ładujemy plaintexta do body zapytania i w

[Marmite]

Domyśliłem się, że do geta się tego nie rzuca xD Tak zrobiłem na szybkości, bo mi łatwiej było to z poziomu przeglądarki odpalać i sprawdzać czy działa.

@Khaine: Postman twoim przyjacielem

[soser]

Generalnie do testowania backendu używaj sobie swaggera / postmana - mocno ułatwi Ci to pracę. Jeżeli chodzi o hashowanie haseł to polecam zrobić to za pomocą asp.net identitiy lub na jego wzór np. tak: https://www.blinkingcaret.com/2017/11/29/asp-net-identity-passwordhash/

[M.....v]

@Marmite: @Khaine: Albo Swashbuckle

[Khaine]

@Marmite: Już go odkryłem. Latają już te kredencjały po body jak pan bug przykazał.

[k.....e]

@Khaine: wymagasz podania userid żeby się zalogować?

[Khaine]

@kebab-case: założyłem nazwę usera i hasło. Powinno wystarczyć. Mała szansa, że powtórzy się nazwa użytkownika ORAZ hash hasła w momencie gdy masz tak ze 30 użytkowników maksymalnie, bo to będzie mikroserwisik raczej docelowo.

[k.....e]

@Khaine: chodziło mi o to że masz w urlu wpisane userId i zastanawiam się czy to jest id usera z bazy czy username

[Khaine]

@kebab-case: Nie ma już tego url. Teraz jest tylko api/createToken a kredencjały w postaci userName i password lecą w body.

[k.....e]

@Khaine: tak, to przeczytałem, tylko mnie interesuje czy wcześniej wymagales znajomości id użytkownika żeby się zalogować xd

[Khaine]

@kebab-case: A tak jebłem na szybkości xD Po pewnym czasie zauważyłem, że tam faktycznie jest ID i trochę guano xD

[k.....e]

@Khaine: oauth2 się poucza bo samo jwt to tak średnio użyteczne jest

[Vamteusz]

@kebab-case: mozesz rozwinac?

[k.....e]

@Vamteusz: Nie mogę bo nie powiedziałeś co mam rozwinąć

[Goglez]

autentykację

@Khaine: Nie ma takiego słowa ヽ( ͠°෴ °)ﾉ

[Vamteusz]

@kebab-case: dlaczego jwt jest "srednio uzyteczne"?

[k.....e]

@Vamteusz: bo to tylko token i nic poza tym