Przewodnik dotyczący wdrażania odzyskiwania hasła zabezpieczeń sprężynowych za pomocą dynamicznego adresu URL wysłanego na adres e-mail

Question

Bardzo trudno było odzyskać hasło, ponieważ nigdy wcześniej tego nie robiłem.

tej pory mam aplikację, która ma:

Wiosna Security, gdzie hasło jest odpowiednio zakodowane i role użytkowników wdrożony i działa poprawnie.

Strategia wskazówki badań z stackoverflow: przycisk

1. hity konta Przypomnienie-password, gdzie wprowadza swój adres e-mail.
2. Dynamic Link jest wysyłana na adres e-mail
3. otwiera Użytkownik ogniwem adres email
4. które przekierowuje go do resetowania hasła stronie

Co nie jest znana:

• Jak dać odnośnik dynamiczny charakter - metody generacji
• Link ma limit czasu - niektóre pytania zostały znalezione tutaj, ale często dotyczą niestandardowego programu obsługi lub rozszerzenia do wiosny funkcja przydatności
• Metody odwzorowania żądań w odpowiedzi na taki dynamiczny link
• Tymczasowe metody przechowywania linków - baza danych, sesja itp.?

Jak widać, lista jest dość poważna w przypadku pojedynczego pytania. Miałem więc nadzieję, że będziesz w stanie dostarczyć przewodnikowi zasoby, jak to zrobić krok po kroku. Byłem trochę zaskoczony, że nie znalazłem zbyt wiele na temat dokumentacji Spring Security. Dzięki.

Jestem studentką, więc nie znam najlepszych praktyk branżowych, szczególnie w kontekście Javy, więc mam nadzieję, że ktoś będzie w stanie pomóc.

Answer 1

Problem nie ma wiele wspólnego ze Spring Security. Jeśli znasz strukturę bazy danych użytkownika i kodera haseł, to po prostu wdrażasz przepływ pracy obejmujący dostęp do danych, kontrolery internetowe i wysyłanie wiadomości e-mail. Łącze powinno zawierać losowy ciąg znaków (na przykład użyj SecureRandom i kodera base64) i powinno być przechowywane w bazie danych z identyfikatorem użytkownika i znacznikiem czasu (do sprawdzania poprawności okna, w którym link jest ważny). Kontroler po prostu wyodrębniłby token z przychodzącego żądania, załadował dane z bazy danych za pomocą tokena. Sprawdzałoby to sygnaturę czasową, a następnie przekazywało użytkownika do formularza wprowadzania hasła. W zależności od wymagań możesz również chcieć odpowiedzieć na kilka innych pytań bezpieczeństwa. Następnie należy zweryfikować i zakodować hasło i zapisać je na koncie odpowiadającym identyfikatorowi użytkownika zapisanemu w tabeli resetowania łącza. Miałoby również sens uruchomienie zadania wsadowego w celu usunięcia z bazy danych wygasłych łączy.

Wtyczka Grails Spring Security UI ma już opcję forgot password, którą można użyć bezpośrednio lub użyć jako odniesienia.

Answer 2

Mam wdrożony projekt JAVA dla tego przypadku użycia. Jest na GitHub, open source.

Istnieje wyjaśnienie wszystkiego (a jeśli czegoś brakuje - daj mi znać ...)

spojrzeć: https://github.com/OhadR/Authentication-Flows

Jest to klient sieci web-app, który wykorzystuje auth-przepływy, z README ze wszystkimi wyjaśnieniami. kieruje on implementacją: https://github.com/OhadR/oAuth2-sample/tree/master/authentication-flows