Secure Spring Boot Web API using JWT and Spring Security - JWT Authentication and Authorization

Summary

In diesem Video wird gezeigt, wie man Benutzerregistrierung, Authentifizierung und Autorisierung in einer Spring Boot Web-API mithilfe von JSON Web Token (JWT) umsetzt. Es beginnt mit der Erstellung eines Spring Boot-Projekts, das mit einer MySQL-Datenbank verbunden wird, und führt schrittweise durch die Konfiguration von JWT-Sicherheit. Die Schritte umfassen die Modellierung von Benutzerdaten, die Implementierung von Sicherheitskonfigurationen, die Erstellung von JWTs und das Einrichten von Endpunkten für die Benutzerregistrierung und -authentifizierung. Am Ende wird der sichere Zugriff auf Benutzerprofile mithilfe von JWTs demonstriert.

Takeaways

• 😀 Erstellen Sie ein Spring Boot-Projekt mit den erforderlichen Abhängigkeiten wie Spring Web, Spring Security und MySQL-Treiber.
• 😀 Konfigurieren Sie die Anwendung, um eine Verbindung zur MySQL-Datenbank herzustellen, indem Sie die Anwendungseigenschaften anpassen.
• 😀 Definieren Sie eine User-Entität, die Felder wie ID, Benutzername, E-Mail, Passwort und Rolle enthält.
• 😀 Erstellen Sie ein Repository, das die Datenbankabfragen für Benutzer durchführt, einschließlich der Suche nach Benutzernamen und E-Mails.
• 😀 Konfigurieren Sie Spring Security, um eine JWT-basierte Authentifizierung zu ermöglichen, und legen Sie die Zugriffsberechtigungen für verschiedene Endpunkte fest.
• 😀 Verwenden Sie den Security Filter Chain, um CSRF zu deaktivieren und stateless Session-Politik für JWT zu setzen.
• 😀 Erstellen Sie einen Service, der die `UserDetailsService`-Schnittstelle implementiert, um Benutzer aus der Datenbank zu authentifizieren.
• 😀 Implementieren Sie eine Benutzerregistrierung mit einem DTO, validieren Sie die Eingabedaten und speichern Sie den Benutzer sicher in der Datenbank.
• 😀 Verwenden Sie einen Passwort-Encoder, um das Passwort des Benutzers zu verschlüsseln, bevor es gespeichert wird.
• 😀 Generieren Sie ein JWT-Token nach erfolgreicher Benutzerregistrierung und authentifizieren Sie Benutzer bei der Anmeldung mit einem Token.
• 😀 Erstellen Sie Endpunkte, die eine Authentifizierung über JWT erfordern, und stellen Sie sicher, dass sensible Daten wie Benutzerprofile geschützt sind.

Q & A

Was ist das Ziel dieses Videos?

Das Ziel des Videos ist es, zu zeigen, wie man Benutzerregistrierung, Authentifizierung und Autorisierung mit JSON Web Tokens (JWT) in einer Spring Boot Web-API implementiert.

Welche Abhängigkeiten werden in diesem Spring Boot Projekt benötigt?

Für das Projekt werden die Abhängigkeiten Spring Web, Spring Data JPA, MySQL Driver, Spring Security (inklusive JWT-Unterstützung) und Validation benötigt.

Warum wird Spring Security für die Authentifizierung und Autorisierung verwendet?

Spring Security wird verwendet, weil es eine umfassende und flexible Sicherheitslösung bietet, die die Authentifizierung und Autorisierung in Spring-basierten Anwendungen ermöglicht, einschließlich der Unterstützung von JWT für eine zustandslose Authentifizierung.

Wie wird die Verbindung zur MySQL-Datenbank konfiguriert?

Die Verbindung zur MySQL-Datenbank wird in der `application.properties`-Datei konfiguriert, wo man die URL, den Benutzernamen und das Passwort der Datenbank angibt.

Warum wird für die Benutzer-Entity das Feld 'createdAt' hinzugefügt?

Das Feld 'createdAt' wird hinzugefügt, um das Datum zu speichern, an dem der Benutzer in die Datenbank aufgenommen wurde. Dies ist nützlich für historische oder auditing-bezogene Anforderungen.

Was macht die Klasse `SecurityConfig` in diesem Projekt?

Die Klasse `SecurityConfig` wird verwendet, um die Sicherheitskonfiguration des Projekts festzulegen, wie das Zulassen von bestimmten Routen (z. B. `/store`) für alle Benutzer und das Schützen anderer Routen, die eine Authentifizierung erfordern.

Was ist der Zweck des JWT-Decoders in der Sicherheitskonfiguration?

Der JWT-Decoder wird konfiguriert, um eingehende JWTs zu entschlüsseln und die Benutzerinformationen zu extrahieren, damit die Authentifizierung und Autorisierung im Hintergrund durchgeführt werden kann.

Welche Methode wird im `UserService` verwendet, um einen Benutzer zu finden?

Im `UserService` wird die Methode `loadUserByUsername` verwendet, um einen Benutzer aus der Datenbank basierend auf dem übergebenen Benutzernamen zu laden.

Wie wird das JWT für die Registrierung und das Login des Benutzers erstellt?

Beim Registrieren und Login eines Benutzers wird das JWT im `AccountController` mit Hilfe des JWT-Encoders erstellt. Der Encoder generiert das Token, das dann zusammen mit dem Benutzerprofil zurückgegeben wird.

Wie können Benutzerprofile über die API abgerufen werden?

Benutzerprofile können über das geschützte Endpunkt `/profile` abgerufen werden. Dieser Endpunkt erfordert die Authentifizierung des Benutzers, der das JWT im `Authorization` Header als Bearer-Token sendet.