Авторизация - Spring Security в деталях

[@aleksandrkrasnobaev]

Александр, вы выпускаете невероятно крутые видео. Особенно сильно я обалдел, когда в одном из них вы упомянули Стаса Асафьева. Невольно пробежала мысль: "Вот это да, теперь осталось дождаться, когда стасян в своей документалке упомянет сельского джависта". Спасибо вам огромное

[@Fantast51]

Как всегда отлично! Жду ролик про ACL.

[@stanislavkuzmin8211]

Спасибо за труд! Продолжай в том же духе) было бы интересно узнать, как вообще пришел к Java, как рос от Джуна до текущей должности, как прокачиваешь скилы)

[@ДмитрийКолесников-ь7ц]

полтора часа кайфа

[@shurik_codes]

Да ну бросьте меня так нахваливать, а то щёчки аж покраснели xD

[@МАКСИМКОТОВ-о2ч]

отлично, спасио за очередную порцию годноты!

[@sagiems]

Отличный ролик ! Очень хорошо все рассказано, понятно и ёмко. Смотрится как хороший фильм - на одном дыхании )) Огромное Спасибо, Александр !

[@pilotivanovich]

прекрасная лекция, были проблемы с переходом на Spring Boot 3, теперь многие препоны сняты, спасибо

[@АртемЕ-ъ3б]

Топовые видео по Security! И свежее что очень важно!

[@Терентий-ю4ъ]

Четкое объяснение! Благодарность за труд и время

[@sonicbodik1705]

очень круто и качественно, все по делу, спасибо тебе огромное:3

[@dmitrelkin9256]

Спасибище! очень в тему! давно ждал ))

[@speedygonz4les]

Краааайне годное видео. Спасибо, что потратил время на запись, уверен ты потратил далеко не полтора часа :D

[@aleksandrkrasnobaev]

Было бы еще очень круто увидеть от вас видео по работе с протоколом websocket

[@alexshutov5442]

Спасибо

[@bryanin]

Очень круто! Как насчёт полного курса по спрингу?)

[@shurik_codes]

Отвечу стандартно: было бы время)

[@pashamironenko6757]

Про dispatcherTypeMatchers хотелось бы больше информации. Как раз столкнулся с проблемой, когда тип asynk (и запрос всегда падал с 403), ну и как выход был permitAll. Но внутренности сего процесса остались неясны. А в целом отличные видео, очень много именно нужной информации в структурном виде Огромное спасибо!

[@irinatrivajlo5831]

super && merci

[@Elteruin]

Уважаемый, будь те так любезны выпустить видео про Hibernate. Используют или нет Criteria API, основные практики и т.д. Хотелось бы знать, на чём лучше сконцентрировать внимание.

[@shurik_codes]

Я на практике не использую JPA/Hibernate, но пожелание учту)

[@ЕвгенийЗубков-т9й]

@shurik_codes Александр, спасибо огромное за контент! ❤ Очень информативно! 21:53 Скажите, планируется ли ролик по работе с CAS? И, может быть, SAML?

[@shurik_codes]

Да, блиииин... Ещё две темы в планы надо добавлять)

[@front-endpadavan4421]

Отличный канал с крутым контентом! Подписка и лайк однозначно. Скажите, планируются ли видео по reactive programming? Также очень интересует Debezium, Apache Camel, Flink и Spark.

[@shurik_codes]

Про реактивное программирование будет, про Apache Camel, возможно, тоже

[@romanovichihin2429]

Лайк, коммент🎉

[@GenesizANT]

Безумно полезное видео, автору низкий поклон! У меня вопрос насколько целесообразно давать доступы и через http и через аннотации в одном приложении?

[@shurik_codes]

Иногда встречаются ситуации, когда объединение техник авторизации может быть удобным, особенно, когда речь идёт о постфильтрации или поставторизации (@PostFilter и @PostAuthorize). В целом нет ничего плохого в комбинировании этих техник, хотя в большинстве случаев, на мой взгляд, можно обойтись какой-то одной.

[@raynur256]

Привет, ты навешивал Pre/PostAuthorize на сервисы, а не на контроллеры, за этим скрывается какая-то логика? А так же чему спринг отдает приоритет если присутствуют и аннотации, и фильтер чейн?

[@shurik_codes]

И @PreAuthorize и @PostAuthorize можно вешать и на контроллер (и не только), всё зависит от того, где хочется ограничивать доступ. Наивысший приоритет у фильтра авторизации.

[@kolyuchkin]

Спасибо за видео. Можно ли аннотации фильтрации использовать "не по назначению", а, например, для изменения содержимого объектов коллекции? В качестве примера такой гипотетический кейс: возвращать весть список туду-шек (не только автора), но чужие туду-шки "деперсонализировать" (заменить имя автора на белиберду).

[@shurik_codes]

Нет, изменять сами объекты средствами Spring Security не получится, но это можно сделать при помощи АОП: описать соответствующие точки среза, и в советах модифицировать данные

[@EvaVagner84]

Учим яву, не расстраиваем Чака😂

[@dimkaddd7674]

Спасибо. Защита методов и HTTP оно все комбинируется в продакшине или выбирается один какой-то?

[@shurik_codes]

Можно комбинировать, безопасность методов позволяет более тонко настраивать авторизацию, например, проверять доступ к загруженным из БД объектам, а HTTP-безопасность позволяет настроить авторизацию более общими правилами.

[@bestourtv1272]

Добрый день! Спасибо за видео. Можно этот код в репозитории GitHub увидеть?

[@shurik_codes]

К этому видео нет примеров кода

[@АлександрВласов-р4х]

Расскажите, пожалуйста, как использовать кастомные аннотации в авторизации. В аннотации задаются енам параметры (ресурс, действие), по которым через внешний сервис определяется имеет пользователь право доступа к методу или нет.

[@shurik_codes]

АОП в помощь: в точках среза указывать (pointcut) перехватываемые аннотации, в советах (advice) реализовывать нужную логику

[@АлександрВласов-р4х]

То есть хотите сказать с помощью Spring Security такое невозможно сделать?

[@shurik_codes]

@@АлександрВласов-р4х чтобы строить поведение относительно кастомные аннотаций нужно АОП, а внутри можно использовать spring security

[@АлександрВласов-р4х]

@@shurik_codes не уверен, что это оптимальный путь. Но в любом случае было бы интересно посмотреть как правильно встроить СС в advice, чтоб аннотация отрабатывала полностью как @PreAuthorize например, как на обычных методах, так и на контроллерах.

[@IlyaSlezkin]

классный видос, но вешать авторайзы в сервисах - жесть какая то). Если это сервисы будут использоваться внутри приложения, везде надо будет авторизоваться?) Даже представить себе кейс не могу короче такой)

[@shurik_codes]

Не вижу никаких проблем, абсолютно нормальное и рабочее решение, аутентификацию пройти нужно всего один раз, контекст безопасности хранится в рамках запроса и может быть получен в любой момент, в том числе и для проверки доступа

[@IlyaSlezkin]

@@shurik_codes зачем проходить аутентификацию внутри приложения? взаимодействие с другими приложениями происходит через рест апи же

[@MichiSig]

Правильно ли я понимаю, что spring security будет работать, если в качестве веб-сервера используется Tomcat (spring-boot-starter-web)? Например, если буду использовать в качестве веб-сервера Armeria, то spring security не будет ловить запросы.

[@shurik_codes]

Насколько я понимаю, Armeria основан на Netty, предположу, что можно прикрутить Spring Security Reactive

[@aidar119]

Тяжело читать шрифт, поменяй пожалуйста на обычный какой нибудь, а так видео топ

[@romans.a.6404]

Подскажите, какой шрифт у вас

[@shurik_codes]

JetBrains Mono

[@paulpollack9000]

не плохой контент, но от паразитов б следует избавится, таких например как `соответственно` etc

[@eapashkov]

Ты на windows пересел?

[@shurik_codes]

Нет, это Ubuntu Linux)

[@eapashkov]

напугал) Убранный вентилятор еле пережил, а тут переход на виндоус) @@shurik_codes

[@1qxz]

один на нас другой на кавказ

[@IvanKor839]

быдло, послушал бы лучше полезную информацию, которую автор рассказывает, чем такую хрень в комментариях выписывал

[@psevdonim_youtube147]

Слишком длинные ролики, больше 20 минут не хочется смотреть(

[@shurik_codes]

Кому-то нужны исчерпывающие ролики, кому-то коротенькие, к сожалению, угодить всем не могу

[@psevdonim_youtube147]

знаю о таком, а если делать короткую версию и расширенную? будет больше контента, больше лайков и просмотров)@@shurik_codes

[@shurik_codes]

@@psevdonim_youtube147 на это всё время надо, которого катастрофически не хватает

[@denis-3]

Ставь на x2 если куда то спешишь. Человек всё подробно разбирает.