S02L05 - Continúa el generador de tokens JWT OAuth2 de Spring Boot

html

Implementación de la generación de tokens JWT OAuth2 con Spring Boot: Una guía completa
Tabla de Contenidos

Introducción
Configuración del Authentication Controller

Importar paquetes necesarios
Construcción del AuthController


Creación de payloads para la autenticación

Payload de inicio de sesión de usuario
Payload de token


Configuración de ajustes de seguridad

Deshabilitar CSRF para localhost
Integración de JWT en la configuración de seguridad


Generación y validación de tokens JWT

Implementación del Token Service
Generación de claves RSA


Ejecutar y probar la aplicación

Ejecutando la aplicación
Probando la generación de tokens


Conclusión
Recursos Adicionales


Introducción
En el ámbito de la seguridad de aplicaciones web, la autenticación y la autorización son fundamentales. Implementar medidas de seguridad robustas garantiza que solo los usuarios autorizados puedan acceder a recursos protegidos. Uno de los estándares ampliamente adoptados para asegurar APIs es OAuth2 combinado con JWT (JSON Web Tokens). Esta guía profundiza en la construcción de un generador de tokens OAuth2 JWT usando Spring Boot, proporcionando un enfoque paso a paso adaptado para principiantes y desarrolladores con conocimientos básicos.
Puntos clave cubiertos:

Configuración de un authentication controller en Spring Boot.
Creación y gestión de payloads para el inicio de sesión de usuario y la generación de tokens.
Configuración de ajustes de seguridad, incluyendo la deshabilitación de CSRF para localhost.
Generación y validación de tokens JWT usando claves RSA.
Ejecutar y probar la aplicación para asegurar una autenticación fluida.

Pros y Contras:


Pros
Contras


Seguridad mejorada con OAuth2 y JWT
Requiere una gestión cuidadosa de las claves RSA


Escalable para aplicaciones grandes
La configuración inicial puede ser compleja para principiantes


Mecanismo de autenticación sin estado
La depuración de problemas relacionados con tokens puede ser un desafío


Cuándo utilizar:
Implementa esta configuración al construir RESTful APIs que requieren mecanismos seguros de autenticación y autorización, especialmente en arquitecturas de microservicios o aplicaciones que necesitan sesiones sin estado.

Configuración del Authentication Controller
El Authentication Controller es la columna vertebral de la implementación de OAuth2 JWT, manejando las solicitudes de autenticación de usuarios y la generación de tokens.
Importar paquetes necesarios
Comienza importando los paquetes necesarios del Spring Framework:




		
		
			
			
Java
			
			import org.springframework.security.authentication.AuthenticationManager;
import org.springframework.security.core.Authentication;
import org.springframework.web.bind.annotation.*;
import org.studyeasy.SpringRestdemo.service.TokenService;

			
				
					
				
					1
2
3
4
5
				
						import org.springframework.security.authentication.AuthenticationManager;
import org.springframework.security.core.Authentication;
import org.springframework.web.bind.annotation.*;
import org.studyeasy.SpringRestdemo.service.TokenService;
 
					
				
			
		


Construcción del AuthController
Define el AuthController con las dependencias y endpoints requeridos:




		
		
			
			
Java
			
			@RestController
@RequestMapping("/auth")
public class AuthController {

    private final AuthenticationManager authenticationManager;
    private final TokenService tokenService;

    public AuthController(AuthenticationManager authenticationManager, TokenService tokenService) {
        this.authenticationManager = authenticationManager;
        this.tokenService = tokenService;
    }

    @PostMapping("/token")
    public Token generateToken(@RequestBody UserLogin userLogin) throws AuthenticationException {
        Authentication authentication = authenticationManager.authenticate(
            new UsernamePasswordAuthenticationToken(userLogin.getUsername(), userLogin.getPassword())
        );
        String token = tokenService.generateToken(authentication);
        return new Token(token);
    }
}

			
				
					
				
					1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
				
						@RestController
@RequestMapping("/auth")
public class AuthController {
 
    private final AuthenticationManager authenticationManager;
    private final TokenService tokenService;
 
    public AuthController(AuthenticationManager authenticationManager, TokenService tokenService) {
        this.authenticationManager = authenticationManager;
        this.tokenService = tokenService;
    }
 
    @PostMapping("/token")
    public Token generateToken(@RequestBody UserLogin userLogin) throws AuthenticationException {
        Authentication authentication = authenticationManager.authenticate(
            new UsernamePasswordAuthenticationToken(userLogin.getUsername(), userLogin.getPassword())
        );
        String token = tokenService.generateToken(authentication);
        return new Token(token);
    }
}
 
					
				
			
		


Explicación:

AuthenticationManager: Maneja el proceso de autenticación.
TokenService: Responsable de generar tokens JWT.
@PostMapping("/token"): Endpoint para recibir solicitudes de autenticación y responder con un token JWT.


Creación de payloads para la autenticación
Los payloads son Data Transfer Objects (DTOs) que definen la estructura de los datos intercambiados entre el cliente y el servidor.
Payload de inicio de sesión de usuario
Crea un payload para el inicio de sesión de usuario que contenga nombre de usuario y contraseña.




		
		
			
			
Java
			
			package org.studyeasy.SpringRestdemo.payload.auth;

public record UserLogin(String username, String password) {}

			
				
					
				
					1
2
3
4
				
						package org.studyeasy.SpringRestdemo.payload.auth;
 
public record UserLogin(String username, String password) {}
 
					
				
			
		


Explicación:
Utilizando Java Records para mayor brevedad, UserLogin captura las credenciales necesarias para la autenticación.
Payload de token
Define un payload para encapsular el token JWT generado.




		
		
			
			
Java
			
			package org.studyeasy.SpringRestdemo.payload.auth;

public record Token(String token) {}

			
				
					
				
					1
2
3
4
				
						package org.studyeasy.SpringRestdemo.payload.auth;
 
public record Token(String token) {}
 
					
				
			
		


Explicación:
El record Token contiene la cadena del token JWT que será enviada de vuelta al cliente tras una autenticación exitosa.

Configuración de ajustes de seguridad
Una configuración de seguridad adecuada garantiza que la aplicación proteja adecuadamente los recursos mientras permite el acceso legítimo.
Deshabilitar CSRF para localhost
La protección contra Cross-Site Request Forgery (CSRF) es esencial para aplicaciones web pero puede interferir con las pruebas de APIs durante el desarrollo. Deshabilita CSRF para entornos localhost.




		
		
			
			
Java
			
			package org.studyeasy.SpringRestdemo.security;

import org.springframework.context.annotation.Bean;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.web.SecurityFilterChain;

public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .csrf().disable() // Disable CSRF for localhost
            .authorizeRequests()
            .antMatchers("/auth/**").permitAll()
            .anyRequest().authenticated();
        return http.build();
    }
}

			
				
					
				
					1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
				
						package org.studyeasy.SpringRestdemo.security;
 
import org.springframework.context.annotation.Bean;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.web.SecurityFilterChain;
 
public class SecurityConfig {
 
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .csrf().disable() // Disable CSRF for localhost
            .authorizeRequests()
            .antMatchers("/auth/**").permitAll()
            .anyRequest().authenticated();
        return http.build();
    }
}
 
					
				
			
		


Explicación:

csrf().disable(): Deshabilita la protección CSRF, facilitando pruebas más sencillas.
antMatchers("/auth/**").permitAll(): Permite acceso no autenticado a los endpoints de autenticación.

Integración de JWT en la configuración de seguridad
Incorpora la validación de tokens JWT dentro de la cadena de filtros de seguridad para asegurar los endpoints de la API.




		
		
			
			
Java
			
			http
    .addFilterBefore(new JwtAuthenticationFilter(tokenService), UsernamePasswordAuthenticationFilter.class);

			
				
					
				
					1
2
3
				
						http
    .addFilterBefore(new JwtAuthenticationFilter(tokenService), UsernamePasswordAuthenticationFilter.class);
 
					
				
			
		


Explicación:

JwtAuthenticationFilter: Un filtro personalizado para validar tokens JWT en solicitudes entrantes.
addFilterBefore: Coloca el filtro JWT antes del filtro de autenticación predeterminado de Spring Security.


Generación y validación de tokens JWT
Generar tokens JWT seguros y validarlos garantiza que solo usuarios autenticados puedan acceder a recursos protegidos.
Implementación del Token Service
Implementa el TokenService responsable de generar tokens JWT.




		
		
			
			
Java
			
			package org.studyeasy.SpringRestdemo.service;

import org.springframework.security.core.Authentication;
import org.springframework.stereotype.Service;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import java.security.PrivateKey;
import java.util.Date;

@Service
public class TokenService {

    private final PrivateKey privateKey;

    public TokenService(RsaKeyProperties rsaKeys) {
        this.privateKey = rsaKeys.getPrivateKey();
    }

    public String generateToken(Authentication authentication) {
        return Jwts.builder()
            .setSubject(authentication.getName())
            .setIssuedAt(new Date())
            .setExpiration(new Date(System.currentTimeMillis() + 86400000)) // 1 day expiration
            .signWith(privateKey, SignatureAlgorithm.RS256)
            .compact();
    }
}

			
				
					
				
					1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
				
						package org.studyeasy.SpringRestdemo.service;
 
import org.springframework.security.core.Authentication;
import org.springframework.stereotype.Service;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import java.security.PrivateKey;
import java.util.Date;
 
@Service
public class TokenService {
 
    private final PrivateKey privateKey;
 
    public TokenService(RsaKeyProperties rsaKeys) {
        this.privateKey = rsaKeys.getPrivateKey();
    }
 
    public String generateToken(Authentication authentication) {
        return Jwts.builder()
            .setSubject(authentication.getName())
            .setIssuedAt(new Date())
            .setExpiration(new Date(System.currentTimeMillis() + 86400000)) // 1 day expiration
            .signWith(privateKey, SignatureAlgorithm.RS256)
            .compact();
    }
}
 
					
				
			
		


Explicación:

generateToken: Crea un token JWT usando los detalles de autenticación del usuario.
RS256: Utiliza el algoritmo RSA SHA-256 para firmar el token, mejorando la seguridad.

Generación de claves RSA
Genera pares de claves RSA para firmar y verificar tokens JWT usando comandos de OpenSSL.




		
		
			
			
Java
			
			openssl genrsa -out keypair.pem 2048
openssl rsa -in keypair.pem -pubout -out public.pem
openssl pkcs8 -topk8 -inform PEM -outform PEM -nocrypt -in keypair.pem -out private.pem

			
				
					
				
					1
2
3
4
				
						openssl genrsa -out keypair.pem 2048
openssl rsa -in keypair.pem -pubout -out public.pem
openssl pkcs8 -topk8 -inform PEM -outform PEM -nocrypt -in keypair.pem -out private.pem
 
					
				
			
		


Explicación:

keypair.pem: Contiene la clave privada RSA generada.
public.pem: Clave pública derivada usada para verificar tokens JWT.
private.pem: Clave privada en formato PKCS#8 para una seguridad mejorada.


Ejecutar y probar la aplicación
Una vez completada la configuración, es crucial ejecutar y probar la aplicación para asegurar que todo funcione como se espera.
Ejecutando la aplicación
Ejecuta la aplicación Spring Boot usando Maven:




		
		
			
			
Java
			
			./mvnw spring-boot:run

			
				
					
				
					1
2
				
						./mvnw spring-boot:run
 
					
				
			
		


Nota: Asegúrate de que CSRF esté deshabilitado para entornos de pruebas locales.
Probando la generación de tokens
Usa herramientas como Postman para probar el flujo de autenticación.

Punto final: POST http://localhost:8080/auth/token
Payload:





		
		
			
			
Java
			
			{
  "username": "chand",
  "password": "password"
}

			
				
					
				
					1
2
3
4
5
				
						{
  "username": "chand",
  "password": "password"
}
 
					
				
			
		



Respuesta esperada:





		
		
			
			
Java
			
			{
  "token": "eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9..."
}

			
				
					
				
					1
2
3
4
				
						{
  "token": "eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9..."
}
 
					
				
			
		


Explicación:

Tras una autenticación exitosa, el servidor responde con un token JWT.
Este token puede ser utilizado para acceder a APIs protegidas incluyendo en el encabezado Authorization como Bearer <token>.

Manejo de acceso no autorizado:

Sin un token válido, acceder a endpoints protegidos devuelve un código de estado 401 Unauthorized.


Conclusión
Implementar OAuth2 con JWT en una aplicación Spring Boot mejora la seguridad al proporcionar un mecanismo robusto para la autenticación y autorización. Esta guía te llevó paso a paso en la configuración de un authentication controller, creación de payloads necesarios, configuración de ajustes de seguridad, generación de tokens JWT y prueba de todo el flujo. Siguiendo estos pasos, los desarrolladores pueden asegurar que sus APIs sean seguras, escalables y mantenibles.
Conclusiones clave:

Una configuración adecuada de los authentication controllers y los ajustes de seguridad es crucial.
Los tokens JWT proporcionan un método sin estado y eficiente para asegurar APIs.
Gestionar las claves RSA de manera segura es esencial para la integridad de los tokens.
Probar los flujos de autenticación garantiza que la implementación funcione como se pretende.

Palabras clave de SEO:
Spring Boot OAuth2 JWT, Spring Security, JWT Token Generation, Spring Boot Authentication, OAuth2 Tutorial, Spring Boot Security Configuration, JWT Implementation, Spring Boot REST API Security, Java Spring JWT, Secure API with JWT

Recursos Adicionales

Documentación de referencia de Spring Security
JWT.io - Introducción a JSON Web Tokens
Guía de Baeldung sobre Spring Security con JWT
Documentación oficial de OpenSSL
Comprendiendo OAuth2 y sus Flows


Nota: Este artículo es generado por IA.
Pros	Contras
Seguridad mejorada con OAuth2 y JWT	Requiere una gestión cuidadosa de las claves RSA
Escalable para aplicaciones grandes	La configuración inicial puede ser compleja para principiantes
Mecanismo de autenticación sin estado	La depuración de problemas relacionados con tokens puede ser un desafío