0

Упрощенные сценарии:

  1. При идентификации пользователя (User) (ввод пары логин-пароль) формируется токен (Token), который после преобразования в JWT будет использован для авторизации пользователя.

  2. Если количество Token превышает 10, то все Token, кроме последнего будут удалены.

  3. При удалении пользователя из системы (unregistering) все созданные Token должны быть удалены.

  4. JWT не является валидным, если:

    a. Не корректная сигнатура

    b. Token с соответствующим Id отсутствует в базе данных

    c. Пользователь с указанным идентификатором отсутствует (необходимость этого варианта вызывает сомнения ввиду наличия Сценария № 3)

Детали реализации:

В процессе проектирования было принято следующее решение: User – агрегат Token – агрегат, ссылающийся на User по его Id JWT – объект-значение, формируемый отдельной службой на основе Token. При помощи отдельной службы преобразуется в JSON-строку.

User включает в себя: - Логин - Пароль - Контактную информацию

Token включает в себя: - Собственный Id - Id пользователя, к которому он относится - Дополнительную информацию: IP, OS, Browser, Дата истечения

JWT включает в себя: - Заголовок - Полезную нагрузку, полученную из Token (Id, Id пользователя, Дата истечения срока годности, IP, OS, Browser) - Сигнатуру

В текущей реализации я посчитал Token отдельным агрегатом, ссылающимся на User по его Id.

Сделано это из соображения производительности, чтобы при валидации JWT не запрашивать пользователя со всеми хранящимися токенами.

На уровне прикладных служб (Application layer) в службе AuthenticateUserHandler

  1. Сначала осуществляется идентификация пользователя, путем обращения к доменной службе userAuthentificator

userAuthentificator.Authentificate(login, password)

  1. Если метод Authentificate возвращает true, то прикладная служба обращается к доменной службе TokenRegistrator.GenerateToken(id, userId, expTime, IP, OS, Browser) для генерации токена и записи его в репозиторий ITokenRepository

  2. Далее идет преобразование токена в JWT

  3. Возврат JWT клиенту.

Вопрос:

Исходя из приведенных сценариев и реализации, правильным ли было решение делать Token агрегатом?

Если верно, то как в таком случае обеспечивать конечную согласованность агрегатов при удалении пользователя (Сценарий № 3)?

На инфраструктурном уровне (Infrastructure layer) вполне логично хранить токены в отдельной таблице и ссылаться на пользователя по внешнему ключу (foreign key). Однако в таком случае в прикладной службе UserUnregisteringHandler, удаляющей пользователя из системы, необходимо будет сначала удалить все токены пользователя, а затем вызывать userRepository.Unregister(user).

1 ответ 1

0

В вашем случае Tokens и JWT не являются сущностями слоя предметной области, они относятся к слою представления.

Представьте ситуацию, что вам надо сделать десктопную версию вашего веб-приложения. Что придётся изменить? Скорее всего, Users вместе с их Roles останутся теми же, а Tokens и JWT полностью исчезнут, вместе со всем слоем представления.

Это означает, что весь код аутентификации также относится к слою представления. Он может опираться на слой предметной области, в частности, он может с помощью UserRepository загрузить пользователя по UserId, после того, как извлечёт UserId из токена.

Он может вызывать метод User.ValidatePassword, чтобы понять, что переданный пароль корректен, и, в случае успеха, создать токен.

Токен в данном случае не является сложной сущностью, это достаточно простой класс, в котором находятся штуки наподобие UserId, Roles и так далее. Обычно код, обрабатывающий HTTP-запрос, дешифрует JWT-строку, переданную в заголовке Authorization и создаёт на основе извлечённых данных GenericPrincipal в котором, как вы и написали, можно сложить полезные claims, чтобы не обращаться лишний раз к хранилищу пользователей. В то же время токен это и не просто объект-значение, потому что у него есть TokenId по которому мы можем найти его в хранилище токенов.

Хранилище токенов также будет относится к слою представления. Размещать токены эффективнее не в базе данных, а в Redis, memcached или в чём то подобном легком и быстром.

Как бы ни была хороша идея каскадного удаления пользователей и связанных токенов в базе данных, можно всё-таки разнести это удаление по двум разным репозиториям. При обработке запроса Удаление пользователя мы делегируем эту операцию на слой предметной области, а потом, если не случилось исключений, чистим хранилище токенов, удаляя все токены с UserId.

Это не описание того, как должно быть, а другой взгляд на вашу проблематику. Возможно поможет вам уточнить свои представления о предметной области и DDD.

4
  • Большое Вам спасибо, что уделили внимание моему вопросу. Вынужден с Вами не согласиться с отнесением токенов к слою представления, т. к., с моей точки зрения, задача представления - отображение информации. Токен в виде класса JWT я склонен считать объектом-значением, т. к. он представляет собой просто неизменяемое объектное отображение JSON-строки. Насчет работы с базой данных в таком случае я бы отказался от foreign key в таблице токенов и работал бы с таблицами токенов и пользователей по отдельности.
    – Eladei
    28 мар 2019 в 10:52
  • Аутентификацию можно производить, используя прикладные службы в перехватчиках. Достаточно просто создать перехватчик, использующий прикладные службы, опирающиеся на токены или что-либо другое из доменной модели, и использовать его перед использованием нужного метода программы.
    – Eladei
    28 мар 2019 в 10:59
  • @Eladei С названием и назначением слоёв всегда была путаница. Название presentation осталось со старых времён, когда десктопные приложения были, а REST API ещё не было. Сейчас в REST API-приложении слой представления отвечает не за отображение, а за работу с протоколом HTTP. И токены как раз из этого слоя. На уровень предметной области их можно выносить, если об этом говорят заказчики. Но обычно они оперируют словами покупатель, счёт, может быть, корзина. 28 мар 2019 в 11:13
  • Дело в том, что я разрабатываю доменную модель в рамках контекста идентификации и доступа, поэтому в данном случае, с моей точки зрения, токены относятся к доменной модели. Насчет Rest API, если не ошибаюсь, он относится к Application layer. Но это предмет другого разговора)
    – Eladei
    28 мар 2019 в 11:16

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.