Что делать после проверки пароля и логина

Аутентификация и авторизация после проверки учётных данных

После успешной проверки пароля и логина необходимо выполнить ряд действий для безопасного и корректного управления сессией пользователя. Это критически важная часть процесса аутентификации в веб-приложении на Java.

Основные этапы

1. Создание сессии или токена

После подтверждения учётных данных нужно создать механизм идентификации для дальнейших запросов:

// Вариант 1: Сессия на стороне сервера (HTTP Session)
HttpSession session = request.getSession();
session.setAttribute("userId", user.getId());
session.setAttribute("username", user.getUsername());
session.setMaxInactiveInterval(1800); // 30 минут

// Вариант 2: JWT токен (stateless)
String jwtToken = Jwts.builder()
    .setSubject(user.getUsername())
    .setIssuedAt(new Date())
    .setExpiration(new Date(System.currentTimeMillis() + 86400000)) // 24 часа
    .signWith(SignatureAlgorithm.HS512, secretKey)
    .compact();

2. Сохранение информации о сессии

Важно сохранить данные аутентификации для дальнейшего использования:

// Сохранение в памяти (для разработки)
AuthenticationContext.setCurrentUser(user);

// Или в распределённом хранилище (Production)
redisTemplate.opsForValue().set(
    "session:" + sessionId, 
    userJson, 
    Duration.ofHours(1)
);

3. Логирование и аудит

Документирование попыток входа — критично для безопасности:

LoginAttempt attempt = new LoginAttempt();
attempt.setUsername(username);
attempt.setSuccess(true);
attempt.setTimestamp(LocalDateTime.now());
attempt.setIpAddress(request.getRemoteAddr());
attempt.setUserAgent(request.getHeader("User-Agent"));

loginAttemptRepository.save(attempt);
logger.info("User {} logged in successfully from {}", username, request.getRemoteAddr());

4. Установка прав доступа и ролей

Определение того, какие ресурсы доступны пользователю:

// Загрузка ролей и прав
List<String> roles = userService.getUserRoles(user.getId());
List<String> permissions = userService.getUserPermissions(user.getId());

// Создание Security Context (Spring Security)
Authentication authentication = new UsernamePasswordAuthenticationToken(
    user, 
    null, 
    roles.stream()
        .map(SimpleGrantedAuthority::new)
        .collect(Collectors.toList())
);
SecurityContextHolder.getContext().setAuthentication(authentication);

5. Отправка ответа клиенту

// Для сессионного подхода
response.setStatus(HttpServletResponse.SC_OK);
response.sendRedirect("/dashboard");

// Для JWT подхода
return ResponseEntity.ok(new AuthResponse(
    jwtToken,
    user.getUsername(),
    user.getEmail(),
    roles
));

Безопасность: что НЕЛЬЗЯ делать

• Не сохранять пароль в сессии или токене — только хеш
• Не передавать чувствительные данные в URL параметрах
• Не использовать HTTP для передачи токенов — только HTTPS
• Не доверять клиенту — всегда проверять права на сервере
• Не игнорировать CSRF защиту для session-based подхода

Дополнительные меры безопасности

// Защита от CSRF атак
csrfTokenRepository.saveToken(new CsrfToken(...), request, response);

// Установка secure cookies
response.addHeader("Set-Cookie", 
    "session=" + sessionId + "; Secure; HttpOnly; SameSite=Strict");

// Инвалидация старых сессий (защита от session fixation)
request.changeSessionId();

После этих шагов пользователь корректно аутентифицирован и авторизован для работы с приложением.