Реализовывали ли вы интеграцию со сторонним API для авторизации (OAuth, OIDC)?

Question

Реализовывали ли вы интеграцию со сторонним API для авторизации (OAuth, OIDC)?

Тип вопроса: Безопасность Вероятность: 10% Категория: Java Разработчик

Ответ

Да, интегрировал авторизацию через сторонние провайдеры, в основном по протоколам OAuth 2.0 и OpenID Connect (OIDC).

Основные провайдеры: Google, Facebook, VK, Яндекс.ID.

Пример настройки OAuth 2.0 клиента для Google в Spring Boot:

@Configuration
public class OAuth2Config {

    @Bean
    public ClientRegistrationRepository clientRegistrationRepository() {
        return new InMemoryClientRegistrationRepository(
            ClientRegistration.withRegistrationId("google")
                .clientId(System.getenv("GOOGLE_CLIENT_ID"))
                .clientSecret(System.getenv("GOOGLE_CLIENT_SECRET"))
                .scope("openid", "profile", "email") // OIDC scope
                .authorizationUri("https://accounts.google.com/o/oauth2/v2/auth")
                .tokenUri("https://www.googleapis.com/oauth2/v4/token")
                .userInfoUri("https://www.googleapis.com/oauth2/v3/userinfo")
                .clientName("Google")
                .build()
        );
    }
}

Ключевые аспекты реализации:

Безопасность:
- Валидация redirect_uri для предотвращения подмены.
- Использование состояния (state parameter) для защиты от CSRF-атак.
- Безопасное хранение секретов клиента в переменных окружения.
Хранение токенов: Использовал HttpOnly, Secure куки или серверные сессии для хранения refresh/access токенов, избегая localStorage.
JWT (для кастомных API): Реализовывал выдачу и валидацию собственных JWT-токенов, включая подпись (HMAC/RSA) и проверку срока действия (exp).
Обработка ошибок: Корректная обработка случаев отзыва доступа пользователем или истечения срока действия токена.

Ответ 18+ 🔞

Да ты посмотри, какие мы продвинутые! Интегрировал, блядь, авторизацию через всяких левых провайдеров, чтобы народ не парился с логинами-паролями. Всё по канону — OAuth 2.0 и OpenID Connect (OIDC), ёпта.

Кого прикрутил, этих ваших провайдеров: Ну, стандартный набор — Google, Facebook, VK, Яндекс.ID. Без них нынче ни один уважающий себя проект не обходится, как без кофе по утрам.

Вот, смотри, как для Google в Spring Boot настраивается клиент, чтоб ты понимал масштаб:

@Configuration
public class OAuth2Config {

    @Bean
    public ClientRegistrationRepository clientRegistrationRepository() {
        return new InMemoryClientRegistrationRepository(
            ClientRegistration.withRegistrationId("google")
                .clientId(System.getenv("GOOGLE_CLIENT_ID"))
                .clientSecret(System.getenv("GOOGLE_CLIENT_SECRET"))
                .scope("openid", "profile", "email") // OIDC scope
                .authorizationUri("https://accounts.google.com/o/oauth2/v2/auth")
                .tokenUri("https://www.googleapis.com/oauth2/v4/token")
                .userInfoUri("https://www.googleapis.com/oauth2/v3/userinfo")
                .clientName("Google")
                .build()
        );
    }
}

А теперь, сука, самое важное, на чём я мозги сломал:

Безопасность, мать её: Тут расслабляться нельзя, а то наебнутся все твои данные, как пить дать.
- redirect_uri валидирую так, будто от этого зависит моя жизнь — никаких левых урлов.
- Параметр state использую, чтобы отбиться от CSRF-атак, эти пидары только и ждут, когда проёбешься.
- Секреты клиента? Только в переменные окружения, ни в коем случае не в код! Это, блядь, святое.
Хранение токенов — отдельная песня: Никакого localStorage, это же дыра размером с чёрную дыру. Либо HttpOnly/Secure куки, либо серверные сессии для refresh/access токенов. Спокойно спать хочется.
JWT для своих API: Когда нужно своё апишечко, то сам генерил и подписывал JWT-токены. И подпись (HMAC/RSA) проверял, и срок действия (exp) смотрел — доверия, блядь, ноль ко всем этим токенам.
Обработка ошибок: А тут, бля, вообще цирк. Пользователь мог в настройках доступ отозвать, или токен протухнуть. Надо было аккуратно всё это отлавливать и юзера не выкидывать в ошибку, а вежливо просить залогиниться снова. Чтоб не орал "что за пиздец?!".