Java spring boot 3 tutorial: logout with JWT token

Java spring boot 3 tutorial
Logout with JWT token, secured and performance
Link Github to get source code:
github.com/dev...
Branch: course/logout-with-jwt
Link to previous video:
1. Spring boot 3 roadmap: • Video
2. Connect Database abd create CRUD Api: • Khóa học Java spring b...
3. Handling Exception and validation: • Khóa học Java spring b...
4. Advance handling Exception and normalize Api Response: • Khóa học Java spring b...
5. Using Lombok andMapstruct: • Khóa học Java spring b...
6. Encrypt password with Bcrypt: • Khóa học Java spring b...
7. Create, sign and verify JWT: • Khóa học Java spring b...
8. Authentication with JWT: • Khóa học Java spring b...
9. Authorization with JWT: • Khóa học Java spring b...
10. Authorize with @PreAuthorize @PostAuthorize: • Khóa học Java spring b...
11. Advance exception handling: • Khóa học Java spring b...
12. Build Role, Permission: • Khóa học Java spring b...
13. Authorize with Role, Permission withJWT: • Khóa học Java spring b...
14. Validation with custom annotation: • Khóa học Java spring b...
15. Validation, get param in annotation: • Khóa học Java spring b...
Support me:
www.buymeacoff...
#Java #Springboot3 #jwt

[@vle1305]

tại sao method introspect đã gọi method verifyToken vậy mình cần tạo object Nimbus... để decode và verify token làm gì nữa a?

[@duynguyenvan1207]

Sang microservices đi bác ơi, seri quá chất lượng, phải login để comment vì hay

[@DevteriaChannel]

Thanks bạn, series microservices sẽ sớm có thôi.

[@linhnd.2526]

Theo quan điểm cá nhân của em: - Nếu lưu lại token logout vào DB thì nhược điểm: 1. Nếu access được vào DB và query theo expiryTime thì có thể lấy được token User còn hạn để tương tác với web. 2. Khi lưu token như vậy thì với system lớn thì càng chạy data phát sinh trong bảng invalidated_token càng lớn dẫn đến có thể query lâu hơn. 3. Đối với kiến trúc monolithic thì em nghĩ không sao nhưng với microservices khi mọi request tới đều phải check authen/author/ token thì việc query liên tục với lượng data trên bảng invalidated_token sẽ gây nghẽn cổ chai. - Hiện tại em nghĩ nên tạo thêm column is_logout trong table user chung logic với column is_active để kiểm tra xem user đó đã thực hiện action logout hay chưa, nếu is_logout là true thì user cần login lại còn false nghĩ là user không thực hiện logout - logic tương tự với column is_active Nhờ các bác vui vẻ đóng góp thêm ý kiến ạ. Em cảm ơn ! 😃

[@phucminh8354]

Mình nghĩ lưu cái access-token đấy vào cache, đặt thời gian tự động xoá là thời gian hết hạn của nó

[@thiendaolaototuduong]

cái thứ 3 mà bạn nói thì khi đăng xuất là đăng xuất tất cả các phiên luôn

[@CoderQD]

1. làm gì có lưu token được tạo vào BD đâu mà lấy nhỉ, chỉ lưu data về token đã bị loại bỏ.

[@nguyenduc3012]

không được bạn ơi nếu làm như bạn khi token lộ ra ngoài và chỉ cần user đó đăng nhập lại trong thời gian token bị lộ kia vẫn còn là hacker vẫn dùng token đó request dc . Chắn chắn khi logout sẽ phải lưu token hoặc lưu jwtid b nhé

[@nguyentienminh0710]

Nếu request login mình có đính kèm thêm jwt thì nó vẫn check jwt đấy ạ? tại em để token hết hạn gửi lên nó báo lỗi nhưng cứ xoá đi lại được! Em tưởng cấu hình permitAll() là nó không check token chứ ạ?

[@LinhPham-4568]

26:55 để jwtdecoder nhận biết token đó đã bị invalid >> customjwtdecoder

[@ndtuan_dev]

em làm phần customJwtDecoder thì xảy ra lỗi circular dependency, em có đọc tìm hiểu h không hiểu sao trong bài mình có thể tránh được lỗi này mong anh giải đáp. Vấn đề: CustomJwtDecoder phụ thuộc vào AuthenticationService (để gọi introspect cho việc kiểm tra token). AuthenticationService lại có thể sử dụng CustomJwtDecoder gián tiếp thông qua Security Filter Chain khi xác thực request có bearer token. Vòng lặp: CustomJwtDecoder -> AuthenticationService -> Security Filter Chain -> CustomJwtDecoder.

[@tranthi-n5s]

mình cũng bị giống bạn

[@tranthi-n5s]

không biết bận đã fix được chưa

[@tranthi-n5s]

mình fix được rồi nha, bạn cứ bỏ cái @Autowire của CustomJwtDecoder là được

[@huyquang7943]

introspectUser để permitAll là đc mà bạn

[@PhucNguyen-gj3vo]

bạn thêm @Lazy trong CustomJwtDecoder nhé @Autowired @Lazy private AuthenticationService authenticationService;

[@TrungNguyen-vr8kk]

hóng anh làm duy trì đăng nhập khi token hết hạn ạ

[@DevteriaChannel]

Sure, video tiếp theo anh sẽ hướng dẫn cách refresh token ha.

[@nguyenduyquoc2397]

cho em hỏi với ạ, lúc e test sử dụng token đã hết hạn thì api trả về là { "timestamp": "2024-04-30T08:49:56.384+00:00", "status": 500, "error": "Internal Server Error", "path": "/api/v1/lands" } và log ghi là org.springframework.security.authentication.AuthenticationServiceException: Token invalid chứ k giống như anh test ạ, em cần sửa như thế nào vậy anh

[@DevteriaChannel]

Như này cũng khó. Em có thể post chi tiết code và error lên group facebook sẽ dễ support hơn.

[@hieunguyen0801]

Khi nào có video microservice vậy anh😂

[@DevteriaChannel]

A đang planning cho nó, sẽ sớm có thôi. Hold on.

[@TríLê-l5t]

anh cho em hỏi e học trên trường toàn crud , thì cho em hỏi lúc đi làm thực tế thì backend spring còn làm những j nữa ạ

[@DevteriaChannel]

Em follow theo series này đến cuối chính là những thứ đi làm thực tế sẽ làm. Tất cả những thứ anh chia sẻ đều là thực tế đó, cố gắng follow nhé.

[@DungNgo-bu3op]

Hi anh, cho em hỏi đoạn 33:25 lúc a throw new JwtException("Token invalid") thì lúc a test API trên postman phải quăng ra lỗi Token invalid chứ nhỉ. Tại sao lại quăng ra lỗi unauthenticated ạ. Cám ơn anh

[@DevteriaChannel]

Có xử lý Exception trong class GlobalExceptionHanlder đó em, nếu chưa rõ em có thể xem lại các video về xử lý Exception trong series này

[@vle1305]

cái đấy throw exception thôi còn return thông tin error thì ở class GlobalExceptionHandler, cơ mà error token của user log out nó xảy ra ở filter, bác thử chỉnh errorcode khác ở class EntryPoint là thấy

[@benamngungoc797]

A ơi lúc nào a lm về xác thực qua gg, github các kiểu đc ko ạ?

[@ahnlinh2197]

18:45 khúc này em hiểu là khi hacker đã có token thì đã có các quyền của token đó trên application trên ứng dụng rồi nên việc authorize là không cần thiết có đúng không ạ?

[@DevteriaChannel]

Tại vì api logout nó cũng thuộc dạng api mà user không mong muốn nhận được response dạng như: ops lỗi bì bạn đã logout rồi. Do đó đơn thuần user sẽ luôn luôn nhận được thông response logout thành công.

[@hongsonnguyen109]

đoạn này e hơi thắc mắc là sao a k dùng cache như redis chẳng hạn với expire time, như vậy thì k cần chạy schedule ạ.

[@DevteriaChannel]

Vì dữ liệu session rất quan trọng nên mình sẽ không sử dụng theo dạng cache được.

[@tranvansi6302]

anh có nói theo định kì sẽ chạy cái gì đó để clean bảng InvalidatedToken để tránh dữ liệu phình to, anh có thể cho em từ khóa về cái này để tìm hiểu không ạ em cảm ơn

[@DevteriaChannel]

Em search Mysql scheduler nhé.

[@hungdomanh6653]

set expiryTime thì phải set Now() chứ anh (thời điểm logout) chứ sao lại set lúc token hết hạn ạ

[@DevteriaChannel]

Cái đó để dành cho mục đích clean up nha em chứ kg phải thời điểm mình invalidate cái token

[@caovancuongk15hl29]

Anh có thể nói chi tiết hơn hoặc keyword về cách quét token exp date trong db để mình có thể tự động xóa đi những token đã hết hạn trong bảng invalidatedToken được không ạ

[@DevteriaChannel]

Trong mysql có cho phép tạo cronjob, em tạo cronjob xoá những token có expiredtime nhỏ hơn thời điểm chạy cronjob là xong. Lưu ý set cronjob chạy vào giờ thấp điểm của hệ thống để giảm impact. Có thể cho chạy daily.

[@augustinegoat]

anh ơi, cho em hỏi nếu mà logout như này thì SecurityContextHolder có tự động clear đi không vậy ạ

[@DevteriaChannel]

Security Context nó đi theo mỗi request nên, request kết thúc là cái Context cũng được clear luôn. Request khác thì sẽ đi với một Context khác

[@pipilyly]

Anh ơi nếu user có token của admin thì có những cách nào để chặn quyền truy cập nhỉ? Em nghĩ được cách là thêm token đó vào bảng expired hoặc invalid token.

[@DevteriaChannel]

Đúng rồi em nếu token bị lộ thì invalidate nó thôi.

[@tuandanh7048]

org.springframework.security.authentication.AuthenticationServiceException: Token Invalid Đoạn cuối refresh token nó đổ ra log lỗi này anh ạ. Làm sao để catch lỗi này anh nhỉ

[@DevteriaChannel]

Em gửi log lỗi anh xem thử

[@ChiHieuLe-fp2ji]

ban fix duoc chua , minh cung bi loi

[@tuandanh7048]

@@ChiHieuLe-fp2ji dạo này bận quá nên chưa làm tiếp được ý . ô fix được chưa thế

[@ChiHieuLe-fp2ji]

@@tuandanh7048 Ban xem lại class JwtAuthenticationEntryPoint , tui implement sai chổ response api nên lỗi :v

[@ongNguyen-pm4kz]

Bạn dùng BadJwtException thay cho JwtException là được

[@phucbaonhannguyen7358]

video của anh rất hay và hữu ích ạ. nhưng mà em có một thắc mắc giả sử trong trường hợp mình muốn logout đồng thời các token mình đã logout thay vì chỉ logout với mỗi token thì mình có hướng xử lý ntn không ạ

[@DevteriaChannel]

Trường hợp này cần persist token. Khi xuất hiện những use case phức tạp như thế này em có thể cân xem xét đến third party IDP. Em có thể tham khảo ở series Keycloak của anh.

[@NguyenKhoidotnet]

Nếu mà nó có secret key của mình, nó giả mạo token thì sao ạ?. Em nghĩ làm mình nên lưu thêm token đang đăng nhập để cho client không giả mạo được

[@DevteriaChannel]

Việc lưu thêm token sẽ vô hiệu tính năng self validated của JWT token, mà đây chính là điểm quan trọng nhất của JWT. Mọi thứ sẽ turn out giống như cách dùng session ngày xưa.

[@ntk99999]

anh cho em hỏi theo ý hiểu của em tức là khi user logout thì cái token của user đã logout đó mình sẽ lưu vào trong db khi mà có user đăng nhập xử dụng token để login nếu token đó tồn tại trong db thì không cho phép vào có phải không ạ mong anh giải đáp giúp em ạ

[@DevteriaChannel]

Đúng rồi đó em. Và em sẽ có cơ chế để clean cái bảng đó thường xuyên dựa vào expiryDate, có thể là schedule job của MySQL

[@TiFu-mi8im]

anh có phần xử lý bearer token từ phía client không ạ

[@DevteriaChannel]

Em xem video này Khóa học Java spring boot 3: #24 cấu hình CORS và integrate với Front End bằng React JS kzbin.info/www/bejne/pmHUcq2Eoqerm6M

[@DuyKhoa-yd5tf]

cho mình hỏi !(verified && expiryDateAfter) phải là !verified || !expiryDateAfter chứ nhỉ

[@lapnghiepshopee]

tesst di ban. A y dung do

[@chungnguyen4570]

cho em hỏi nếu tạo ra 1 custom decoder và gọi nó ở config sẽ bị 1 cái là: "Circular Dependencies" thì làm sao để khắc phục ạ

[@DevteriaChannel]

Spring có config đê cho phép việc đó. Tuy nhiên tốt nhất là em tìm giải pháp khác đừng để nó bị circular dependencies

[@n.tuanz_1418]

mình cũng bị lỗi ở đây, b khắc phục chưa, chỉ mình với đc ko ạ

[@on611]

Theo e biết thì jwt sinh ra để dùng cho stateless (thay cho session statefull), nên việc lưu token vào database như vậy thì nó mất tính stateless của jwt rồi đúng không anh? Nma ngoài cách của anh để invalide token thì em vẫn kh thấy cách nào nữa 🥲

[@DevteriaChannel]

Chính xác là JWT sinh ra để phục vụ stateless. Tuy nhiên khi dùng vào mục đích authentication và authorization thì stateless không thì không đủ. Do đó các hệ thống IDP đều kết hợp cả 2.

[@phamquangha-c529h6]

Đoạn cuối phần customJwtDecoder anh throw JwtException ra nhưng chưa bắt lại ạ

[@hiepnt4082]

bắt lại như thế nào vậy bạn

[@ongNguyen-pm4kz]

Bạn dùng BadJwtException thay cho JwtException trong CustomJwtDecoder thử xem

[@nguyenanhduck16_hcm57]

anh ơi sao e bị lỗi BeanCurrentlyInCreationException ở AuthenticationService, PasswordEncoder passwordEncoder = new BCryptPasswordEncoder(10); như anh thì không lỗi - mà khi sửa lại @Service @RequiredArgsConstructor @FieldDefaults(level = AccessLevel.PRIVATE, makeFinal = true) public class AuthenticationService { UserRepository userRepository; InvalidatedTokenRepository invalidatedTokenRepository; PasswordEncoder passwordEncoder; như thế thì bị lỗi vậy anh

[@DevteriaChannel]

Cái này do 2 bean require lẫn nhau nên bị, em cần tránh việc đó.

[@HieuTran-nb3ml]

Anh cho em hỏi nếu em lưu jwt trong cooki khi logout thì em xoá cái jwt đấy đi thì có ổn ko ạ

[@DevteriaChannel]

Vấn đề vs cookie là trình duyệt sẽ tự động gửi cookie đi với mọi request, thứ 2 nữa là theo chuẩn Oauth2 thì token sẽ nằm ở header Authorization. Do đó việc lưu token trong cookie là không recommend, nên lưu nó vào localstorage

[@pounguyen8660]

Anh ơi em gặp lỗi rất lạ. Hôm qua em start app vẫn chạy bình thường, sau đó em tắt app, sáng hôm nay start lại thì tất cả endpoint đều bị 401, kể cả các public endpoint, dù em chỉ start lại chứ ko hề chỉnh sửa bất cứ cái gì. Log chỉ thấy là "Initializing Spring DispatcherServlet 'dispatcherServlet'" , "Initializing Servlet 'dispatcherServlet'" , "Completed initialization in 0 ms"

[@DevteriaChannel]

Không có gì lạ đâu em, token hết hạn thôi :)), em phải lấy token mới xài chứ.

[@pounguyen8660]

@@DevteriaChannel những public endpoint đâu có yêu cầu token đâu anh. Ví dụ như api tạo account mới hoặc login thì làm sao có token được ạ?

[@DevteriaChannel]

Vậy em check lại xem có thay đổi endpoint gì kg? Nếu emdpoint sai nó cũng sẽ bị chặn 401.

[@tratranthanh6659]

e theo từ video đầu tiên đến nay , nhưng videos này ah tự dưng ko nói không rắng ném ra thêm 2 class CustomJwtDecoder( có nhắc tới sơ ) và JwtAuthenticationEntryPoin làm người theo học không thể theo kịp, và github thì không phải là nội dung của video này luôn ....zzz hầy

[@DevteriaChannel]

Anh đã check lại branch, nó đang đúng với nội dung video nhé. Còn về CuútomJwtDecoder anh nghĩ anh đã giải thích khá kỹ. Anh cũng nhận thấy việc tạo trước class như vậy cũng hơi khó follow nên các series sau anh luôn có 2 branch cho mỗi video, bắt đầu video sẽ có một branch và kết thúc video sẽ có một branch. Anyway, thanks em đã góp ý.

[@khanhtoan827]

Anh ơi cho em hỏi nếu dùng freshtoken thì nên lưu trữ này ở trong DB k ạ

[@DevteriaChannel]

Không nha em, ở video tiếp theo anh sẽ nói kỹ hơn.

[@khanhtoan827]

@@DevteriaChannel dạ vâng ạ

[@DevteriaChannel]

Có video mới về refresh token rồi đó em.

[@danghuynguyen3020]

Anh ơi cho em hỏi là nếu logout như thế này thì khi một account được logout thì mọi browse đã login rồi sẽ bị logout hết đúng không anh. Em đang cần cách xử lý để nó không bị logout trên mọi browse ạ, e cảm ơn a!

[@DevteriaChannel]

Cái này nó chỉ logout riêng cho cái token đó thôi chứ không phải logout mọi browser nha em.

[@danghuynguyen3020]

@@DevteriaChannel dạ nếu vậy cho e hỏi là, ở 2 browser khác nhau đều đăng login bằng 1 account (cùng username, password) thì khi logout trên browser này thì browser đã login còn lại có bị logout không ạ

[@danghuynguyen3020]

vì e hiểu cùng usename password nên nó sẽ đang login bằng một token giống nhau nên khi logout nó sẽ tìm dưới DB có cùng JWTID nên sẽ bị logout hết trên mọi browser ạ

[@DevteriaChannel]

Không nha em mỗi lần login là mộ token khác nhau chứ không giống nhau nhé.

[@danghuynguyen3020]

@@DevteriaChannel dạ em hiểu rồi, e cảm ơn a ạ

[@HoangPham-by4lq]

Thầy ơi chỉ cách upload file và tải file xuống đi ạ

[@DevteriaChannel]

Anh sẽ làm một video về chủ đề này khi phù hợp, có thể là uplpad ảnh avatar cho profile chẳng hạn. Hold on :)

[@taitrinhnguyen339]

@@DevteriaChannel em có ý định triển khai chức năng này cho dự án cá nhân dùng AWS S3, mong anh sớm ra clip hehe

[@theeyesschico]

cái này gg là có đó bro, cũng dễ lắm

[@hiepnt4082]

org.springframework.security.authentication.AuthenticationServiceException: Token Invalid Đoạn cuối 35:09 nó đổ ra log lỗi này anh ạ. Làm sao để catch lỗi này anh nhỉ

[@DevteriaChannel]

Anh nhớ nó đã cactch rồi mà ta? Em chụp hình gửi lên group facebook devteria a xem thử

[@VanQuang-h1z]

tìm được lời giải chưa bạn

[@HoangTran-ur8rn]

@@VanQuang-h1z bạn tìm được lời giải chưa?

[@AnB52]

bạn sử dụng BadJwtException thay JwtException là được á