0

He realizado un Api Rest en java con jersey en maven.

Pero ha llegado la hora de protegerla. ¿Cómo es que debo hacerlo?

He visto JWT para realizar la práctica, pero no sé muy bien cómo debe de forma correcta integrarse.

Ya puedo enviar y recibir la cabecera que es donde debe mandarse la llave que generé, tengo una clase la cual compara la llave y los datos, ¿debo mandar a llamar esa clase en mis métodos Rest para comparar si la llave es correcta que continúe si no, denegarle el acceso?

¿O cuál sería la mejor práctica, o si saben de un ejemplo de cómo debe integrarse sería más que genial.

1 respuesta 1

1

Hay varios esquemas de seguridad que puedes implementar, puedes leer la respuesta a esta pregunta algo similar.

Para darte una solución concreta te dare un ejemplo que utilizo para asegurar un API en Jersey usando Tokens.

Primero una vez que el usuario se logea en tu API, debes entregarle un token de acceso Accesstoken, este token el cliente debe enviarlo en el header en cada HTTPRequest que haga al servidor luego de lograrse.

El header lo llamare Accesstoken, aqui una corrección ya que los headers personalizados deben comenzar con el prefijo X- así que debería llamarlo X-Accesstoken o utilizar el header standard de HTTP llamado Authorization.

Ahora para capturar este header la mejor opción es crear un Filter de autorización donde capturo este header, en este filtro valido el token y obtengo el usuario en este caso los Accesstoken los almaceno en la BD pero para mejor rendimiento puedes almacenarlo en una base de datos en memoria como Redis.

@NameBinding
@Target({ElementType.TYPE, ElementType.METHOD})
@Retention(value = RetentionPolicy.RUNTIME)
public @interface MiFiltroAutorizacion {}

@ MiFiltroAutorizacion
public class MiFiltroAutorizacionFilter implements ContainerRequestFilter {

    @Override
    public void filter(ContainerRequestContext requestContext) throws IOException {
        ClienteAccesstokenDAO clienteAccesstokenDAO = new ClienteAccesstokenDAO();

        if(requestContext.getHeaders().get("Accesstoken") != null){
            String accesstoken =requestContext.getHeaders().get("Accesstoken").get(0).toString();
            ClienteAccesstoken clienteAccesstoken = clienteAccesstokenDAO.findByToken(accesstoken);

            if(clienteAccesstoken == null)
                requestContext.abortWith(
                        Response.status(Response.Status.UNAUTHORIZED)
                                .build());

        }
    }
}

Ahora debes declarar este filtro en el archivo web.xml en la sección donde configuras tu servlet Jersey agregando.

    <init-param>
        <param-name>jersey.config.server.provider.classnames</param-name>
        <param-value>com.stackoverflow.es.filtros.MiFiltroAutorizacionFilter</param-value>
    </init-param>

Ahora en cada servicio de tu API Rest debes especificar explícitamente si este servicio esta asegurado o no con la anotación @MiFiltroAutorizacion de la siguiente manera.

@GET
@Path("estadodecuenta")
@Produces(MediaType.APPLICATION_JSON)
@MiFiltroAutorizacion
public Response miRecursoProtegido(@HeaderParam("Accesstoken") String accesstoken) {

    .....
    return Response.ok().build();
}

Si no colocas la anotación en el servicio este simplemente no pasara por el filtro de autorización y por lo tanto se asume que es un recurso publico.

Si quieres obtener el usuario de la 'sesión' o mejor dicho el usuario dueño del Accesstoken puedes utilizar la clase ThreadLocal para que almacenes el usuario de la 'sesión' a nivel del de Hilo

public class MiAppContext {
    public static final ThreadLocal<Usuario> usuarioThreadLocal = new ThreadLocal<Usuario>();
}

Almacenas el usuario en el ThreadLocal desde el filtro

@ MiFiltroAutorizacion
public class MiFiltroAutorizacionFilter implements ContainerRequestFilter {

    @Override
    public void filter(ContainerRequestContext requestContext) throws IOException {
        ClienteAccesstokenDAO clienteAccesstokenDAO = new ClienteAccesstokenDAO();

        if(requestContext.getHeaders().get("Accesstoken") != null){
            String accesstoken =requestContext.getHeaders().get("Accesstoken").get(0).toString();
            ClienteAccesstoken clienteAccesstoken = clienteAccesstokenDAO.findByToken(accesstoken);

            MiAppContext.usuarioThreadLocal.set(clienteAccesstoken.getUsuario()); // Agregar usuario al ThreadLocal

            if(clienteAccesstoken == null)
                requestContext.abortWith(
                        Response.status(Response.Status.UNAUTHORIZED)
                                .build());

        }
    }
}

Y luego en el servicio obtienes el usuario de esta manera

@GET
@Path("estadodecuenta")
@Produces(MediaType.APPLICATION_JSON)
@MiFiltroAutorizacion
public Response miRecursoProtegido(@HeaderParam("Accesstoken") String accesstoken) {
    Usuario usuarioSesion = MiAppContext.usuarioThreadLocal.get();
    .....
    return Response.ok().build();
}

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.