2

Tengo una consulta sobre la configuración de mi API REST en AWS utilizando Swagger y Spring Security, y me gustaría recibir su ayuda:

Mi consulta está relacionada con la autenticación de ciertos endpoints en mi API. Tengo varios endpoints que requieren autenticación, pero tengo un endpoint específico (/user/register como método POST) que necesito restringir aún más. Quisiera limitar las solicitudes a este endpoint únicamente desde el frontend específico que consume mi API, por motivos de seguridad. Actualmente, tengo una configuración de seguridad similar a la siguiente en mi aplicación Spring Boot:

@Bean 
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        .csrf(AbstractHttpConfigurer::disable)
        .authorizeHttpRequests(req ->
            req
                .requestMatchers("/users/register").permitAll()
                .anyRequest().authenticated()
        )
        .addFilterBefore(jwtAuthFilter, UsernamePasswordAuthenticationFilter.class);

    return http.build();
}

Sin embargo, esta configuración permite que cualquier solicitud acceda al endpoint /user/register desde cualquier origen, incluyendo Postman u otros clientes. Me gustaría restringir el acceso a este endpoint exclusivamente al frontend que consume mi API.

Agradecería mucho cualquier orientación o sugerencia para abordar estas cuestiones de seguridad de manera efectiva.

¡Gracias por su ayuda!

8
  • te recomiendo hacer una pregunta por consulta para evitar que la pregunta sea cerrada Commented el 7 may. a las 23:16
  • Gracias por la recomendación @RuslanLópez así lo hare :) Commented el 8 may. a las 7:15
  • 2
    El problema de limitar al acceso a un determinado front end, es que ese front end está en la máquina de los clientes. No puedes elegir una IP concreta porque tendrías que añadir todas las IP de tus clientes, podrías usar un header específico que envíe tu front, pero nadie le impide a alguien modificar la llamada que hace su propio equipo para añadir los header que quieran. Podrías usar algún tipo de token/valor cifrado, pero otra vez, esto está en la máquina del cliente... A no ser que quieras limitarlo a una intranet específica y dar acceso solo a esa red, no hay método 100% seguro para esto
    – Benito-B
    Commented el 8 may. a las 8:03
  • @Benito-B El problema de hacerlo en una red privada, es que el front es una aplicacion que esta en la playstore, es decir que no se puede limitar el uso solo para determinadas personas. No se como de viable seria exigir un secretKey pasado por los header a la hora de registrar usuario y si ese secretKey es el que yo quiero que sea, pues permitir su uso. No se si me explico bien , lo siento. Commented el 8 may. a las 9:07
  • 1
    Puede generar tokens de acceso en base a un client secret, client id y app id similar a como lo hace aws con Identity and Access Management (IAM) Commented el 8 may. a las 17:21

0

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

Examina otras preguntas con la etiqueta o formula tu propia pregunta.