[chaddeveloper]

Pisze sobie pewna TODO listę w REST API. I chciałbym wprowadzić zabezpieczenie jakim jest możliwość, gdy zalogujemy się jako standardowy USER mógł wejść tylko na endpoint że swoim userId(jest generowane przez mechanizm w klasie Utils). Chciałbym również żeby tuż po zalogowaniu przenosiło nas na endpoint z userId. I bardzo proszę o pomoc

#java #spring #rest #programowanie

[thelinker]

@chaddeveloper: Nie pisze w javie, ale ja bym to po prostu zrobil tak, ze masz endpoint z powiedzmy lista todo i tam po np. tokenie sprawdzasz jaki user jest zalogowany i zasysasz z bazy tylko jego todosy

[chaddeveloper]

@thelinker dzięki za pomysł, ale niestety to dalej nie to( ͡° ʖ̯ ͡°) bo chciałbym żeby użytkownik miał dostęp tylko i wyłącznie do endpointu z swoim id tak będzie możliwość znając id innego użytkownika sprawdzić jego zasoby :c

[thelinker]

@chaddeveloper: W sensie ja bym w endpoincie, w ogóle nie dawał parametru id. Tylko masz np. /api/todos i autoryzuje go po tokenie. Ale jak chcesz z id to moze to ci pomoze: https://stackoverflow.com/questions/51712724/how-to-allow-a-user-only-access-their-own-data-in-spring-boot-spring-security

[chaddeveloper]

@thelinker kurde wszystko naprawdę super dzięki, ale zapomniałem dodac ze używam basic authentication nie JWT ( ͡° ʖ̯ ͡°)

[thelinker]

@chaddeveloper: Authentication auth = SecurityContextHolder.getContext().getAuthentication(); Tak chyba możesz dostać info o zalogowanym userze, wtedy na tym endpoincie sprawdzasz czy parametr id pokrywa sie z zalogowanym userem. Albo poczytaj o @PreAuthorize: @PreAuthorize("#authuser.id == #userid")