Cześć, chcę zrobić zabezpieczenie do REST API. Backend (w Spring Boot) i front (w JS) będzie na tym samym serwerze.
Chcę, żeby dostęp do REST API miał tylko mój front i nikt inny. Pytanie jak to zabezpieczyć? Czytałem, że można użyć Spring Security (ale tutaj też są różne techniki, tak?)
możesz zabezpieczyć przez spring security
masz w sumie 4 mozliwosci:
-in memory config, tj. ustawiasz sobie w pamieci pojedynczego usera/admina
-config z jdbc
-config z ldap
-customowy przy implementacji interface UserDetails
JS to nakładka na calle restowe, które odpalasz z przeglądarki klienta, więc nie da się tego zabezpieczyć. Czy utworzyć jakiś klucz, czy będziesz wymagał jakiegoś hasła - user i tak widzi co wysyła do serwera więc może sobie tak samo strzelać z Postmana czy z czegokolwiek innego. Jak nie chcesz żeby ktoś Ci nie strzelał do API to nie wystawiaj API i zrób zwykłą apkę plującą htmlem.
Security możesz użyć jeśli user, który strzela do API musi mieć jakieś uprawienienia np. odczytu, musi być potwierdzony jakoś przez Twoją apkę ale wtedy i tak wysyłasz jakiś token, wiec tak samo mogę to zrobić postmanem.
discoStar napisał(a):
Co jak bym użył CORS, że tylko z mojej domeny mogą iść call'e do REST'a?
nie pomoże, cors latwo obejsc
Zarejestruj się i dołącz do największej społeczności programistów w Polsce.
Otrzymaj wsparcie, dziel się wiedzą i rozwijaj swoje umiejętności z najlepszymi.
JavaScript 
Spring 
Java 
Spring Boot 