6

Estou começando com AngularJS e Rest (Java JAX-RS) e estou com uma dúvida.

As funções responsáveis pelas requisições Rest são facilmente vistas através do browser via botão direito Exibir código fonte da página.

Sendo assim, qualquer um de posse disto poderá acessar todas as informações disponíveis pelo serviço, mesmo que o servidor Rest necessite de autenticação, uma vez que o usuário terá conhecimento de todos os dados...

$http({
    method: 'POST',
    url: "http://meudominio.com:8080/Integracao/rest/produtos",
    headers: {'Content-Type': 'application/x-www-form-urlencoded'},
    transformRequest: function(obj) {
        var str = [];
        for(var p in obj)
        str.push(encodeURIComponent(p) + "=" + encodeURIComponent(obj[p]));
        return str.join("&");
    },
    data: {
        login: "login",
        senha: "senha"
    }
}).success(function (response) {
    console.log("rest: "+response.response);
});

No exemplo acima, um usuário teria acesso a URL, login e senha.

Há algum meio de esconder isso?

2 Respostas 2

5

Se o usuário não estiver autenticado, o servidor deve negar o acesso às APIs.

Se o usuário estiver autenticado, ele "tem direito" de acessá-las quando dentro da mesma origem (proteção contra XSS), cabendo ao servidor verificar apenas se o usuário possui permissão para acessar um sub-recurso ou executar determinada operação (através de algo como ACL).

Enfim, possuir ou não a URL não fará diferença, pois cabe ao servidor bloquear o não o acesso ao recurso designado pela URL. Até porque, um usuário válido poderia muito bem fornecer as URLs para outro não válido.

Ou você poderia gerar URLs únicas para cada sessão de usuário, o que seria pesado, complexo, e continuaria sendo necessário a validação das permissões do usuário através de ACL (ou outro recurso).

Edição

Após a edição da pergunta, ficou mais claro a dúvida.

Existem duas facetas para o problema:

  1. A nível de máquina: no caso específico de usuário e senha, deve-se enviá-las apenas no login, e durante as demais requisições, utilizar um token que identifique a sessão, retirando a necessidade do reenvio de usuário/senha até que a sessão seja encerrada. Este token deve ficar amarrado com o IP da máquina e com o User-Agent do navegador que realizou a autenticação. Caso alguém possua acesso à máquina, ele poderá visualizar as informações nas ferramentas de desenvolvedor do browser, ou se for um usuário avançado, poderá realizar um dump da imagem do browser em memória, e poderá realizar análise dos dados.

  2. A nível de rede: o que deve ser feito é utilizar HTTPS para realizar as requisições que trafeguem informações privilegiadas (seja na requisição ou na resposta).

Resumindo: usuário/senha devem ser trafegados apenas no login. Após isso, deve-se utilizar um token que identifique a sessão e apenas este token deve ser trafegado. Todas as requisições que trafegam dados sensíveis deve utilizar HTTPS (observe que o token de sessão é um dado sensível).

Opinião: na minha opinião, todas as requisições devem ser feitas utilizando HTTPS, independente de trafegarem dados sensíveis ou não.

1
  • Editei minha pergunta. Veja que os dados para autenticação podem ser obtidos, com isso, qualquer um poderá realizar quantas requisições quiser. Commented 18/09/2015 às 16:34
0

Pelo seu exemplo, o serviço REST está na sua aplicação. Desta forma a melhor maneira seria o seu backend esperar somente token para validar a permissão e não aceitar usuário e senha.

Uma forma de trabalhar com token bem sólida no mercado seria com o Oauth2 juntamento com o fluxo implicit (fluxo recomentado para trabalhar com frontend javascript), porém seria necessário uma alteração na arquitetura de sua aplicação, mas em compensação sua aplicação e backend estariam mais seguros.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .