Что делать после попадания на Endpoint логина

Что делать после попадания на Endpoint логина

Обработка эндпоинта логина — это критический процесс в любом веб-приложении, где необходимо проверить учетные данные пользователя и создать сессию доступа. Давайте разберем пошагово, что должно происходить после того, как запрос попадет на endpoint логина.

Этап 1: Получение и валидация данных

В первую очередь необходимо получить учетные данные из тела запроса:

@RestController
@RequestMapping("/api/v1/auth")
public class AuthController {
    @PostMapping("/login")
    public ResponseEntity<?> login(@RequestBody LoginRequest request) {
        // 1. Валидация входных данных
        if (request.getUsername() == null || request.getUsername().isEmpty()) {
            return ResponseEntity.badRequest()
                .body(new ErrorResponse("Username не может быть пустым"));
        }
        
        if (request.getPassword() == null || request.getPassword().isEmpty()) {
            return ResponseEntity.badRequest()
                .body(new ErrorResponse("Password не может быть пустым"));
        }
        // Продолжение обработки...
    }
}

Этап 2: Поиск пользователя в БД

После валидации нужно найти пользователя в базе данных:

@PostMapping("/login")
public ResponseEntity<?> login(@RequestBody LoginRequest request) {
    // 2. Поиск пользователя в БД
    User user = userRepository.findByUsername(request.getUsername())
        .orElse(null);
    
    if (user == null) {
        // Не раскрывайте, существует ли пользователь или нет
        // (в целях безопасности)
        return ResponseEntity.status(401)
            .body(new ErrorResponse("Неверное имя пользователя или пароль"));
    }
    // Продолжение обработки...
}

Этап 3: Проверка пароля

После нахождения пользователя необходимо проверить пароль:

@Autowired
private PasswordEncoder passwordEncoder;

@PostMapping("/login")
public ResponseEntity<?> login(@RequestBody LoginRequest request) {
    User user = userRepository.findByUsername(request.getUsername())
        .orElse(null);
    
    if (user == null) {
        return ResponseEntity.status(401)
            .body(new ErrorResponse("Неверное имя пользователя или пароль"));
    }
    
    // 3. Проверка пароля с использованием PasswordEncoder
    if (!passwordEncoder.matches(request.getPassword(), user.getPassword())) {
        return ResponseEntity.status(401)
            .body(new ErrorResponse("Неверное имя пользователя или пароль"));
    }
    // Продолжение обработки...
}

Этап 4: Проверка статуса пользователя

Убедитесь, что пользователь активен и не заблокирован:

// 4. Проверка статуса пользователя
if (!user.isEnabled()) {
    return ResponseEntity.status(403)
        .body(new ErrorResponse("Учетная запись отключена"));
}

if (user.isLocked()) {
    return ResponseEntity.status(423)
        .body(new ErrorResponse("Учетная запись заблокирована"));
}

if (user.isExpired()) {
    return ResponseEntity.status(403)
        .body(new ErrorResponse("Учетная запись истекла"));
}

Этап 5: Проверка двухфакторной аутентификации (2FA)

Если применяется 2FA, требуется отправка кода:

if (user.isTwoFactorEnabled()) {
    // 5. Генерируем и отправляем код 2FA
    String twoFactorCode = generateTwoFactorCode();
    twoFactorCodeService.save(user.getId(), twoFactorCode);
    
    emailService.sendTwoFactorCode(user.getEmail(), twoFactorCode);
    
    return ResponseEntity.ok()
        .body(new TwoFactorRequiredResponse(
            "Требуется подтверждение. Проверьте эл. почту",
            user.getId() // для идентификации при отправке кода
        ));
}

Этап 6: Создание токена (JWT или сессии)

Это самая важная часть — создание механизма аутентификации:

// 6. Создание JWT токена
@Autowired
private JwtTokenProvider tokenProvider;

String accessToken = tokenProvider.generateToken(
    user.getId(),
    user.getUsername(),
    user.getRoles()
);

// Опционально: создание refresh token для обновления
String refreshToken = tokenProvider.generateRefreshToken(user.getId());

// Сохранение refresh token в БД для последующей валидации
refreshTokenRepository.save(new RefreshToken(
    user.getId(),
    refreshToken,
    Instant.now().plus(7, ChronoUnit.DAYS)
));

Этап 7: Логирование попытки входа

Всегда логируйте попытки входа для безопасности и аудита:

// 7. Логирование
auditService.logLoginAttempt(
    user.getId(),
    AuditAction.LOGIN_SUCCESS,
    request.getRemoteAddress(),
    request.getUserAgent()
);

logger.info("User {} logged in from {}", user.getUsername(), request.getRemoteAddress());

Этап 8: Возврат ответа клиенту

Отправьте токен и информацию о пользователе:

// 8. Возврат успешного ответа
LoginResponse response = new LoginResponse(
    accessToken,
    refreshToken,
    "Bearer", // тип токена
    tokenProvider.getExpirationTime(),
    new UserInfo(
        user.getId(),
        user.getUsername(),
        user.getEmail(),
        user.getRoles()
    )
);

return ResponseEntity.ok(response);

Полный пример с Spring Security

@RestController
@RequestMapping("/api/v1/auth")
public class AuthController {
    
    @Autowired
    private UserRepository userRepository;
    
    @Autowired
    private PasswordEncoder passwordEncoder;
    
    @Autowired
    private JwtTokenProvider tokenProvider;
    
    @Autowired
    private AuditService auditService;
    
    @PostMapping("/login")
    public ResponseEntity<?> login(
            @RequestBody LoginRequest request,
            HttpServletRequest httpRequest) {
        
        // 1. Валидация
        if (request.getUsername() == null || request.getUsername().isEmpty()) {
            return ResponseEntity.badRequest()
                .body(new ErrorResponse("Username обязателен"));
        }
        
        // 2. Поиск пользователя
        User user = userRepository.findByUsername(request.getUsername())
            .orElse(null);
        
        if (user == null) {
            auditService.logFailedAttempt(request.getUsername(), "User not found");
            return ResponseEntity.status(401)
                .body(new ErrorResponse("Неверные учетные данные"));
        }
        
        // 3. Проверка пароля
        if (!passwordEncoder.matches(request.getPassword(), user.getPassword())) {
            auditService.logFailedAttempt(request.getUsername(), "Wrong password");
            return ResponseEntity.status(401)
                .body(new ErrorResponse("Неверные учетные данные"));
        }
        
        // 4. Проверка статуса
        if (!user.isEnabled()) {
            return ResponseEntity.status(403)
                .body(new ErrorResponse("Учетная запись отключена"));
        }
        
        // 5-7. Создание токена и логирование
        String accessToken = tokenProvider.generateToken(
            user.getId(),
            user.getUsername(),
            user.getRoles()
        );
        
        String refreshToken = tokenProvider.generateRefreshToken(user.getId());
        
        auditService.logLoginAttempt(
            user.getId(),
            AuditAction.LOGIN_SUCCESS,
            httpRequest.getRemoteAddr(),
            httpRequest.getHeader("User-Agent")
        );
        
        // 8. Возврат ответа
        return ResponseEntity.ok(new LoginResponse(
            accessToken,
            refreshToken,
            "Bearer",
            tokenProvider.getExpirationTime(),
            new UserInfo(user.getId(), user.getUsername(), user.getEmail())
        ));
    }
}

Критические аспекты безопасности

1. Не раскрывайте детали:

// ❌ Плохо
if (user == null) {
    return ResponseEntity.status(401)
        .body("User not found"); // Раскрывает информацию
}

// ✅ Хорошо
return ResponseEntity.status(401)
    .body("Invalid credentials"); // Одинаковое для всех случаев

2. Защита от brute-force атак:

if (loginAttemptService.isBlocked(request.getUsername())) {
    return ResponseEntity.status(429)
        .body(new ErrorResponse("Слишком много попыток. Попробуйте позже"));
}

loginAttemptService.recordFailedAttempt(request.getUsername());

3. Использование HTTPS:

• Всегда передавайте учетные данные через HTTPS
• Никогда не логируйте пароли
• Сохраняйте только хеш пароля

Итоговая последовательность

1. Валидация входных данных
2. Поиск пользователя в БД
3. Проверка пароля (bcrypt, argon2)
4. Проверка статуса пользователя
5. Проверка 2FA если требуется
6. Создание токена (JWT/OAuth)
7. Логирование попытки входа
8. Возврат токена и информации пользователя

Вывод

Обработка эндпоинта логина — это комплексный процесс, требующий внимания к деталям. Главное правило: безопасность должна быть приоритетом на каждом этапе. Используйте проверенные библиотеки (Spring Security), не создавайте свои реализации аутентификации, и всегда логируйте попытки входа для аудита и выявления атак.