Rivalry2

HTML Diff

0 added 0 removed

Original 2026-01-01

Modified 2026-02-26

1 Аутентификация - это проверка подлинности. Например, программа может проверить, действительно ли пользователь является тем, за кого себя выдает. Мы все участвуем в этом процессе, когда заполняем формы логинов и паролей. Spring Boot отвечает за реализацию этого процесса со стороны бэкенда.

2 В отличие от всех остальных эндпоинтов API, аутентификация в Spring Boot работает не сама по себе. Чтобы работать с ней, нам придется использовать достаточно навороченный пакет Spring Security. Этот пакет предоставляет множество готовых компонентов, но требует тонкой настройки. Это большая и сложная тема, по которой пишутся целые книги. Глубокое изучение Spring Security - это слишком сложно, и в этом курсе мы не будем погружаться в эту тему. Поэтому большую часть кода в этом уроке мы рассмотрим без подробного объяснения.

3 Все события во время аутентификации можно разделить на два уровня:

4 <ul><li>Пользователь и его функциональность. Сюда входит все от регистрации до проверки доступов. Чтобы работать с этим уровнем, нужно взять представленный в Spring Boot набор интерфейсов и реализовать его - тогда часть нужной функциональности начнет работать автоматически</li>

5 <li>Конкретный способ аутентификации. В зависимости от способа аутентификации мы можем использовать разные механизмы и сторонние пакеты - например,<a>OAuth</a>или<a>JWT-токены</a></li>

6 </ul>В этом уроке мы последовательно пройдем по всем частям системы и настроим их. Для аутентификации мы будем использовать JWT-токены. Во время логина система будет формировать JWT-токен, который вернется клиенту. Клиент будет пользоваться этим токеном для последующих запросов, иначе ему будет отказано в доступе.

7 <h2>Установка зависимостей</h2>

8 Помимо Spring Security, нам понадобятся пакет для тестирования и пакетoauth2-resource-server, который выполняет большую часть логики по проверке доступа внутри себя:

9 <h2>Настройка процесса аутентификации</h2>

10 Для аутентификации пользователя понадобится два поля:

11 <ul><li>email- это самый частый логин, кроме него иногда используют номер телефона или никнейм</li>

12 <li>passwordDigest- это специальный хэш, связанный с паролем. Мы храним именно хэш, а не сам пароль, потому что с точки зрения безопасности, пароли хранить в базе данных нельзя. Чтобы не запутаться, мы назвали это полеpasswordDigest, а неpassword</li>

13 </ul>Внутри себя Spring Security работает с интерфейсом UserDetails, в который входят методы для работы с никнеймом, паролем и выдачей доступов. Сейчас мы реализуем только аутентификацию, поэтому нас интересует только часть методов. Остальные методы мы тоже реализуем, но после базовой функциональности:

14 Обычно Spring Security работает с username, но под ним может скрываться что-то другое. Например, в нашем случае геттер возвращает email. Кроме того, вместо пароля мы получаем passwordDigest. Здесь все тоже корректно, потому что сравнение будет происходить с хэшем, а не с введенным пользователем паролем.

15 Далее мы создадим сервис, реализующий интерфейс UserDetailsManager. Через него Spring Boot будет выполнять CRUD-операции над пользователем. Для аутентификации реализуем метод loadUserByUsername():

16 Дальше нам понадобится механизм хеширования пароля. Чтобы работать с ним, создадим бин:

17 Теперь собираем все вместе. Указываем, что Spring Security должен использовать наши компоненты:

18 Мы сделали почти всю подготовительную работу. Осталось создать утилиту для генерации JWT-токена, и мы будем готовы реализовать аутентификацию.

19 Генерация состоит из двух вещей - подготовки токена и его шифрования. Рассмотрим пример класса, который делает эти операции:

20 В коде выше используется JwtEncoder. Он добавляется в класс EncodersConfig, в который мы уже добавили PasswordEncoder:

21 Для работы JwtEncoderнужны RSA-ключи - их можно сгенерировать, выполнив в терминале команды:

22 Затем мы должны зайти вapplication.ymlи указать путь к ключам. Например, вот так:

23 Дальше мы создаем компонент, который прочитает эти ключи и сделает их доступными в коде:

24 Не забудьте, что в реальных проектах хранить приватный ключ в репозитории нельзя. Доступ к приватному ключу должен быть ограничен.

25 В нашем случае аутентификация - это обычный POST-запрос, в котором передаются электронная почта и пароль. Для унификации с предыдущими настройками, мы будем использовать имя username вместо почты email. В итоге у нас получится такой DTO:

26 Наконец, перейдем к контроллеру:

27 Все проделанные шаги свелись к строчке authenticationManager.authenticate(authentication). В итоге внутри кода выполняется поиск пользователя в базе данных, хэширование пароля и сравнение. Если аутентификация прошла, выполнение продолжается дальше, если нет - код выбрасывает исключение.

28 После аутентификации программа генерирует токен и возвращает его клиенту. С этого момента клиент сам следит за отправкой токена в последующих запросах к API. При этом мы должны убрать API из публичного доступа и включить проверку токена.

29 <h2>Проверка наличия аутентификации</h2>

30 Проверка аутентификации настраивается в конфигурации, помеченной аннотацией @EnableWebSecurity. Выше мы уже создали такой класс, добавив туда конфигурацию провайдера и менеджера аутентификации. Теперь добавим туда фильтр, который применяется ко всем входящим запросам:

31 <h2>Извлечение текущего пользователя</h2>

32 Кроме проверки доступа, в коде может понадобиться пользователь, выполняющий запрос. Например, такое бывает нужно, когда создается какая-то сущность, у которой есть автор. В таком случае автор почти всегда тот, кто выполняет запрос. Spring Security предоставляет возможность извлечь его из контекста:

33 Этот класс позволяет получать пользователя в контроллере одним вызовом.