0

Всем привет! В общем, проблема в следующем: я разрабатываю REST-приложение на Spring Framework и у меня возникла потребность в хранении у каждого пользователя список его собственных вещей. Разумеется, здесь нужна система авторизации Spring Security. Всё это я реализовал, но возникла проблема: после прохождения авторизации сервис не знает того, кто авторизовался, а каждый раз лазить в SecurityContext не особенно хочется, в базу данных тем более. Например, мне потребовалось выгрести из базы данных список всех вещей пользователя — для этого мне нужен его id, который можно достать из контекста. Мне пришла идея просто завести переменную для хранения Id авторизованного пользователя в классе типа ...Service и всего лишь один раз слазить в контекст, но это требует вызова определенного метода, чтобы данная переменная проинициализировалась. Понимаю, что на словах не очень понятно, поэтому вот код

@RestController
@RequestMapping("/user")
public class MainController implements IDefineId {

    private Long authenticatedId;

    private final DiskInfoService diskInfoService;
    private final DiskSharingService diskSharingService;

    private final CredentialRepository credentialRepository;
    private final ClientRepository clientRepository;


    @Autowired
    public MainController(DiskInfoService diskInfoService,
                          DiskSharingService diskSharingService,
                          CredentialRepository credentialRepository,
                          ClientRepository clientRepository) {
        this.diskInfoService = diskInfoService;
        this.diskSharingService = diskSharingService;
        this.credentialRepository = credentialRepository;
        this.clientRepository = clientRepository;
    }

    @DefineId
    @GetMapping("/")
    public ResponseEntity<?> welcome() {
        String userName = clientRepository.findById(authenticatedId)
                .get()
                .getName();

        diskSharingService.setAuthenticatedId(authenticatedId);
        diskInfoService.setAuthenticatedId(authenticatedId);

        return ResponseEntity.ok("Welcome to my REST-application project, " + userName + "!");
    }

    @GetMapping("/disks/all")
    public ResponseEntity<List<Disk>> disks() {
        return ResponseEntity.ok(diskInfoService.allUserDisks());
    }

    @GetMapping("/disks/free")
    public ResponseEntity<List<Disk>> freeDisks() {
        return ResponseEntity.ok(diskInfoService.allFreeDisks());
    }

    @GetMapping("/disks/taken/by_me")
    public ResponseEntity<List<Disk>> takenDisksByMe() {
        return ResponseEntity.ok(diskInfoService.allTakenDisksByUser());
    }

    @GetMapping("/disks/taken/from_me")
    public ResponseEntity<List<Auxiliary>> takenDisksFromMe() {
        return ResponseEntity.ok(diskInfoService.allTakenDisksFromUser());
    }

    @PutMapping("/disk/take/{id}")
    public ResponseEntity<?> takeDisk(@PathVariable("id") Long id) {
        return ResponseEntity.ok(diskSharingService.takeDisk(id));
    }

    @PutMapping("/disk/return/{id}")
    public ResponseEntity<?> returnDisk(@PathVariable("id") Long id) {
        return ResponseEntity.ok(diskSharingService.returnDisk(id));
    }

    @Override
    public void defineAuthenticatedId() {
        String userName;
        User auth = ((User) SecurityContextHolder.getContext().getAuthentication().getPrincipal());

        if (auth != null) {
            userName = auth.getUsername();
            try {
                this.authenticatedId = credentialRepository.findByName(userName).getId();
            } catch (CannotCreateTransactionException ignored) {}
        }
    }

}

Теперь поясню что тут происходит: существует аспект, который срабатывает при вызове метода welcome(), который в свою очередь располагается по URL — user/ (аспект работает через аннотацию @DefineId — тип вызова @Before). После вызова данного метода в в классах DiskInfoService и DiskSharingService задается authenticatedId, с которым они потом работают (authenticatedId в самом контроллере не нужен и я его потом отсюда уберу, а сейчас оставил для наглядности). Аспект, в свою очередь, вызывает метод defineAuthenticatedId(), который и залазиет в контекст и выгребает от туда логин пользователя, потом лезет в базу и берёт от туда Id пользователя. Есть ли возможность избавиться от вызова метода welcome() вручную и, например, устанавливать Id сразу после авторизации (что то вроде @PostConstruct у бинов). Или, возможно, есть другой подход к решению проблемы? Как правильно организовать такую функциональность?

1 ответ 1

0

Вопрос решил. Если кому интересно : достаточно было реализовать интерфейс ApplicationListener<InteractiveAuthenticationSuccessEvent>. Это событие срабатывает после успешной прохождении авторизации. А вообще, для того, чтобы соблюдать безопасность в приложении, то ничего подобного делать нельзя. Необходимо каждый раз обращаться к SecurityContextHolder.getContext().getAuthentication() и получать пользователя, т.е. сохранять его в классах НЕЛЬЗЯ (может быть кому-то будет полезно, я не знал об этом).

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.