Entretien avec Daniel: Etapes & astuces pour sécuriser vos applications Spring Boot

[@coursdevfacile]

MERCI BCP POUR TOUT VRAIMENT AVEC UN INVITE DE QUALITE

[@pacomcharbelyabi9281]

Merci Achille et Daniel, très enrichissant, je me suis régalé et n'ai pas vu le temps passé.

[@chillotech]

Mille merci à toi pour le soutien. As-tu eu des nouvelles sur le Bootcamp que j'organise en septembre ? trainings.chillo.tech/bootcamps/build-mvp-17

[@springbootfr5825]

merci beaucoup pour votre travail 🙏🙏🙏

[@chillotech]

Mille merci a toi aussi

[@hadamakebe4991]

merci toutes les deux pour cette entretien vous m'avez soulagé pour question et reponse, sur spring security

[@chillotech]

Mille merci à toi

[@andreas-fefe]

Hello Achille, merci pour cet édition très édifiante. Peux-tu nous pousser le liens vers la conf de Daniel à Barcelone s'il te plaît ?

[@chillotech]

Mille merci Andreas pour le soutien. Voici le lien KZbin : kzbin.info/www/bejne/fqrSfZ9pi8iFfLssi=IDxollUIrmUDpJfF Web page : 2024.springio.net/

[@andreas-fefe]

@@chillotech Merci

[@efoamegnito3546]

Vraiment Merci beaucoup c est ma troisième fois de suive la vidéo ça. Svp il à dire à partir de 1:4:45 que si on veux faire du maison il faut utiliser keycloak donc je ne peux pas utiliser keycloak en production ? par exemple l utiliser pour mon site web de e-commerce et mon app mobile dont le backend est en spring boot et le déployer pour etre accessible au visiteur ?

[@chillotech]

Bonjour Merci pour ton retour. Tu peux utiliser keycloak en production

[@springbootfr5825]

37:01 Moi je sauvegardait ça uniquement pour pouvoir les révoquer après: Exemple si un utilisateur modifier son mot de passe, il faut que je révoqué tous les anciens jwt généré pour lui. Pour cela, j'utilisais la base de données (table token) comme une liste noire. Lorsqu'une requêtes arrive vers mon backend, je vérifie que le token transmis dans le header ne se trouve pas dans la liste noire. NB: on m'a notifier que c'est une mauvaise pratiques aussi, mais je n'ai pas trouvé une alternative à ce jour.

[@chillotech]

Tu peux, modifier sans révoquer le token. En prenant cette option pas besoin de stocker le token dans une base de données. Si le token n'est pas dans une base de données, on peut le signer et le valider en utilisant un certificat.

[@efoamegnito3546]

Oui c est ce que j ai appris à faire aussi et après qu il à dit que c est une mauvaise pratique je m arrete pas de me demander ce qui est mal dans cela ou la faille qui est dans cette pratique

[@springbootfr5825]

@@efoamegnito3546 C’est peut-être le fait de stocker les JWT dans une base de données. Si quelqu’un accède à ta BD alors la sécurité des utilisateurs est compromise. Vue qu’à l’aide de ces JWT il pourra s’authentifier (usurpation d'identité). C'est la seule explication qui me vient en tête