Вопрос может показаться нубским, поэтому скажите если так. Я хочу сделать

Question

Вопрос может показаться нубским, поэтому скажите если так. Я хочу сделать

Cookie-based аутентификацию следующим образом:
- Написать собственный token-storage, который будет хранить данные userId:token:expiredAt.
- Написать собственный фильтр, который будет выдёргивать userId из токен-сторейджа, дёргать данные про юзера с базы и посредством UsernamePasswordAuthenticationToken производить аутентификацию.
- Когда пользователь логинится POST {"username","password"}, старый токен должен быть инвалидирован (если есть офк), и вместо него в токен-сторейдж запишется новый токен, а в ответе будет Set-Cookie: X-AUTH-TOKEN=<token>.

1. Собственно, насколько это нормальный вариант? Я в курсе про remember-me и т.п., но мне по определённым причинам не нравится реализация спринга (хочется под себя прям подогнать).
2. Так же: не будет ли тут нарушения архитектуры? С одной стороны токен-сторейдж как зависимость контроллера, с другой стороны — зависимость фильтра.

P.S. Это очень общая концепция.

#backend #java #programming #russian

0

10.09.2021

11 ответов

5 просмотров

Alpha Nerd Автор вопроса

Denis Chikanov
>Я в курсе про remember-me и т.п., но мне по опред...

Можно использовать PersistentTokenRepository, но тогда надо мириться с PersistentRememberMeToken, а мне надо мапить токен на константный идентификатор пользователя, в то время как username может меняться. Плюс, это всё-таки немножно иной флоу: куки записываются сразу по логину, всегда. Помимо кук будет ещё дополнительная логика.

0

10.09.2021

Etki

> дёргать данные про юзера с базы и посредством UsernamePasswordAuthenticationToken я правильно понял что ты хочешь вытягивать из базы пароль в чистом виде и логинить его на каждый запрос?

0

10.09.2021

Alpha Nerd Автор вопроса

Etki
> дёргать данные про юзера с базы и посредством Us...

Нет, он хэширован. Просто заполнять UsernamePasswordAuthenticationToken

0

10.09.2021

Alexandr ∨∧‾ Emelyanov

Alpha Nerd
Можно использовать PersistentTokenRepository, но т...

Что мешает использовать в токене ид пользователя, а не изменяемый логин? (Ответ: ничего)

0

10.09.2021

Alpha Nerd Автор вопроса

Alexandr ∨∧‾ Emelyanov
Что мешает использовать в токене ид пользователя, ...

С одной стороны ты прав, с другой стороны... Если поле называется username, то я предпочту туда записывать юзернейм. Но это уже дискуссия совсем иного плана.

0

10.09.2021

Alexandr ∨∧‾ Emelyanov

Alpha Nerd
С одной стороны ты прав, с другой стороны... Если ...

Какая разница если оно будет лежать глубоко в контексте и использоваться в паре мест?

0

10.09.2021

Alpha Nerd Автор вопроса

Alexandr ∨∧‾ Emelyanov
Какая разница если оно будет лежать глубоко в конт...

Мне будет некомфортно. Тем более там String, да можно конвертировать, но это вызовет дополнительный дискомфорт.

0

10.09.2021

Alpha Nerd Автор вопроса

Но в целом, я так понимаю, вариант рабочий?

0

10.09.2021

Etki

Alpha Nerd
Мне будет некомфортно. Тем более там String, да мо...

Идентификаторы лучше кроме как строкой и не передавать, даже если в данный момент там выдаваемый базой автоинкремент.

0

10.09.2021

Alpha Nerd Автор вопроса

Etki
Идентификаторы лучше кроме как строкой и не переда...

Можно подробнее?

0

10.09.2021

Denis Chikanov · Accepted Answer

Denis Chikanov

>Я в курсе про remember-me и т.п., но мне по определённым причинам не нравится реализация спринга (хочется под себя прям подогнать). Будет очень полезно озвучить эти причины

0

10.09.2021

170 похожих чатов

Вопрос может показаться нубским, поэтому скажите если так. Я хочу сделать

11 ответов

Похожие вопросы