3

Olá, tenho uma api restful em Java, utilizando Jax RS que irá ser consumida por uma outra aplicação que estará on-line.

Eu gostaria de impedir que pessoas acessacem diretamente a api, e sim, somente pela aplicação web.

Há alguma forma de fazer esse bloqueio sem precisar ter que criar um sistema de autenticação por senha?

Eu havia pensando em controlar pelo IP do servidor da aplicação web, mas como as requisições são ajax, o IP que seria enviado é o do cliente. Então não seria possível.

Há alguma forma de impedir que outros usuários acessem diretamente a api?

0

2 Respostas 2

1

A resposta é não, a autenticação existe para você resolver esse problema de uma forma segura e unica no protocolo HTTP.

Você tem essas opções entra outras listadas aqui, essas são as mais utilizadas e recomendadas:

Autenticação Basica (TLS)

Autenticação básica (Basic Authentication) é o mais facil de se implementar, porque pode ser implementado na maioria das vezes, sem nenhuma biblioteca a mais... Seu problema é que ele é "basico", e sendo assim, tem seu nível de segurança menor que outros protocolos. Você envia o seu usuário e senha através de uma criptografia Base64 encode, e utiliza o SSL para criptografar ainda mais(TLS). Após isso você pode criar uma tabela de sessão, gerar um hash e utilizar isso em sua aplicação salvando no cookies do navegador.

Oauth2:

Oauth2 utiliza SSL(TLS) tambem para criptografar senha/usuario e outras propriedades nao obrigatorias como escopo. Ele é realmente um protocolo, complexo, e utilizado no sistema de autorização da Google e Facebook. Utilizo ele em um projeto meu grande, e não recomendo para o seu caso.

Utilizar algo mais nativo ao java.

No caso do Jax RS, deve existir algo com certeza sobre autenticação. No seu caso, recomendo Java EE 7 / JAX-RS 2.0: Simple REST API Authentication & Authorization with Custom HTTP Header.

Utilização de terceiros como Stormpath

Voce pode utilizar serviços de terceiro para fazer todo o trabalho, porem é um custo a mais, e você fica meio amarrado com o serviço. https://stormpath.com/

1

Se entendi bem, os navegadores dos usuários da outra aplicação irão fazer requisições Ajax para o seu Web Service.

Nesse caso você não pode e nem deve tentar autenticar essa outra aplicação, já que a requisição não passa por ela.

Na verdade, você até pode tentar fazer alguma gambiarra, mas será bem inseguro, já que a informação passa por outro lugar e qualquer um poderia simular uma requisição. Se você quiser algo pouco seguro até pode optar por algo como a aplicação mandar um token para o browser que será validade no seu web service, mas claro que qualquer pessoa poderá copiar esse token.

Para que requisições Ajax funcionem a partir de outro domínio, você precisará colocar os cabeçalhos CORS do HTTP. Esses cabeçalhos permitem você especificar o domínio que podem acessar o Web Service. Novamente, a requisição pode ser forjada, mas é uma segurança a mais.

A solução definitiva seria fazer Single Sign On (SSO), o que significa que o usuário também estará autenticado na sua aplicação. Para isso, uma das alternativas é usar o protocolo OAuth, como sugerido na outra resposta.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .