Estaba siguiendo un tutorial de spring security utilizando angular para el frontend, pero al momento de tratar de obtener información del usuario en la que se necesite el id, como por ejemplo al momento de obtener una tarjeta que se relacione con el usuario a partir del id de este ultimo, lo que hacen es guardar los datos del usuario en el sessionStorage para luego utilizar el dato del id para hacer la petición, pero el problema esta en que si dos usuarios tienen los mismos roles, por ejemplo el rol ROLE_USER, si cambian ese id del sessionStorage pueden obtener los datos de otro usuario.
Este es uno de los controllers donde se necesitaba el id
@PostMapping("/myAccount")
public Accounts getAccountDetails(@RequestBody Customer customer) {
Accounts accounts = accountsRepository.findByCustomerId(customer.getId());
if (accounts != null ) {
return accounts;
}else {
return null;
}
}
Para intentar resolver este problema he intentado varias cosas, primero utilize la anotacion @CurrentSecurityContext para obtener el username y usar el customerRepository para obtener el id y poder continuar con la request.
@PostMapping("/myAccount")
public Accounts getAccountDetails(@CurrentSecurityContext(expression = "authentication") Authentication authentication,
@RequestBody Customer customer) {
List<Customer> customer2= customerRepository.findByEmail(authentication.getPrincipal().toString());
if (customer2.size()>0) {
Accounts accounts = accountsRepository.findByCustomerId(customer2.get(0).getId());
if (accounts != null) {
return accounts;
}
}
return null;
}
Luego intente otras cosas, como cambiar el valor del principal a una implementación del userDetails que tiene una variable para que cuando al obtener el principal me devuelva el objeto y de esa manera obtener el id que necesito.
@PostMapping("/myAccount")
public Accounts getAccountDetails(
@CurrentSecurityContext(expression = "authentication") Authentication principal) {
int id = 0;
if (principal.getPrincipal() instanceof SecurityCustomer) {
SecurityCustomer securityCustomer = (SecurityCustomer) principal.getPrincipal();
id = securityCustomer.getId();
}
Accounts accounts = accountsRepository.findByCustomerId(id);
if (accounts != null) {
return accounts;
} else {
return null;
}
}
Lo ultimo que pensé, pero no he implementado, es pasar el dato del id a través del jwt y utilizarlo siempre que lo necesite para alguna request.
Pero al preguntarle a la persona que creo el tutorial acerca de esto me dice que siempre es bueno pedir el id habiéndolo guardado en el frontend para que no exista un gran acoplamiento entre el backend y el frontend y que si se cambia de backend en algún momento todo siga funcionando bien.
Talvez la solución pueda darse desde el frontend y los datos del usuario pueda guardarlos de una forma mas segura donde no sean modificables por el usuario.
No se si existe alguna solución simple para esta cuestión, pero he estado intentándolo solucionar de buena manera durante un par de días porque las soluciones que he obtenido no me convencen y apreciaría la ayuda.