3

Estaba siguiendo un tutorial de spring security utilizando angular para el frontend, pero al momento de tratar de obtener información del usuario en la que se necesite el id, como por ejemplo al momento de obtener una tarjeta que se relacione con el usuario a partir del id de este ultimo, lo que hacen es guardar los datos del usuario en el sessionStorage para luego utilizar el dato del id para hacer la petición, pero el problema esta en que si dos usuarios tienen los mismos roles, por ejemplo el rol ROLE_USER, si cambian ese id del sessionStorage pueden obtener los datos de otro usuario.

Este es uno de los controllers donde se necesitaba el id

@PostMapping("/myAccount")
public Accounts getAccountDetails(@RequestBody Customer customer) {
    
    Accounts accounts = accountsRepository.findByCustomerId(customer.getId());
    if (accounts != null ) {
        return accounts;
    }else {
        return null;
    }
}

Para intentar resolver este problema he intentado varias cosas, primero utilize la anotacion @CurrentSecurityContext para obtener el username y usar el customerRepository para obtener el id y poder continuar con la request.

@PostMapping("/myAccount")
public Accounts getAccountDetails(@CurrentSecurityContext(expression = "authentication") Authentication authentication,
        @RequestBody Customer customer) {

    List<Customer> customer2= customerRepository.findByEmail(authentication.getPrincipal().toString());
    if (customer2.size()>0) {
        Accounts accounts = accountsRepository.findByCustomerId(customer2.get(0).getId());
        if (accounts != null) {
            return accounts;
        }
    }
    return null;
}

Luego intente otras cosas, como cambiar el valor del principal a una implementación del userDetails que tiene una variable para que cuando al obtener el principal me devuelva el objeto y de esa manera obtener el id que necesito.

@PostMapping("/myAccount")
public Accounts getAccountDetails(
        @CurrentSecurityContext(expression = "authentication") Authentication principal) {
    int id = 0;
    if (principal.getPrincipal() instanceof SecurityCustomer) {
        SecurityCustomer securityCustomer = (SecurityCustomer) principal.getPrincipal();
        id = securityCustomer.getId();
    }

    Accounts accounts = accountsRepository.findByCustomerId(id);
    if (accounts != null) {
        return accounts;
    } else {
        return null;
    }
}

Lo ultimo que pensé, pero no he implementado, es pasar el dato del id a través del jwt y utilizarlo siempre que lo necesite para alguna request.

Pero al preguntarle a la persona que creo el tutorial acerca de esto me dice que siempre es bueno pedir el id habiéndolo guardado en el frontend para que no exista un gran acoplamiento entre el backend y el frontend y que si se cambia de backend en algún momento todo siga funcionando bien.

Talvez la solución pueda darse desde el frontend y los datos del usuario pueda guardarlos de una forma mas segura donde no sean modificables por el usuario.

No se si existe alguna solución simple para esta cuestión, pero he estado intentándolo solucionar de buena manera durante un par de días porque las soluciones que he obtenido no me convencen y apreciaría la ayuda.


1 respuesta 1

2

Usar un token JWT añadido en un header es una buena solución:

  • la información para identificar el usuario va en ese token, así como cualquier información que necesites en el frontend (los roles asociados, por ejemplo). De ese modo el usuario no necesita tener el id como algo visible y nadie puede suplantarle.

  • los usuarios no pueden trastear con el mismo porque va firmado: pueden decodificarlo pero no modificarlo.

Sobre la afirmación de que es bueno que el usuario tenga en su lado el ID que tiene asignado, no estoy totalmente de acuerdo, hay aplicaciones que no muestran ese valor nunca y dar al usuario un sustituto temporal:

  • El usuario con identificador A inicia sesión: se genera un valor pseudoaleatorio (por ejemplo un UUID) y se guarda en un "diccionario" en backend como "Id de sesión".
  • Ese id se devuelve al usuario dentro de un token JWT con fecha de caducidad.
  • El id de sesión se usa para cada llamada identificando al usuario, añadiéndolo también en la respuesta. De ese modo se puede actualizar automáticamente cuando caduque simplemente añadiendo el nuevo en una de las respuestas.

De ese modo nadie puede "robar" al usuario su ID, como mucho se le puede robar la sesión.

Además, el usuario no tiene pistas de cómo es su ID, con lo que no puede intentar acceder como otro usuario adivinando como generar otro ID válido o intentar calcular el número de usuarios (si el ID es un número autoincrementado)

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.