3

Tenho uma sistema em JSF(com primefaces) com spring security. Quando o usuario se cadastra o mesmo recebe um e-mail com usuário e senha.

Ok - Funciona.

Contudo gostaria de enviar no corpo do e-mail um hiper-link onde o usuário poderia clicar e já entrasse no sistema validado.

O que tentei fazer até o momento em caráter de teste. Ao menos enviar o usuário e senha como parâmetros(vou criptografar logico) da pagina de login preenchendo automaticamente os campos usuário e senha. Com os campos já preenchidos bastaria clicar no botão de login. Não sei se seria muito elegante mas já ajudaria.

Contudo consigo fazer o sistema preencher o usuário mas não a senha.

Abaixo o trecho do xhtml.

<h:outputLabel for="username" value="Email" />
<p:inputText id="username" required="true"
    label="Informe seu email" value="#{securityController.email}" />

<h:outputLabel for="password" value="Senha" />
<p:password id="password" required="true"
    label="Informe sua senha" value="#{securityController.password}" />

<p:spacer />
<p:commandButton process="username password @this" value="Logar"
    id="botaoLogar" update="msgs" ajax="false"
    styleClass="ms-botao-login ms-cor-botao"
    action="#{securityController.processaLogin()}" />

Managed Bean

@Named
@SessionScoped
public class SecurityController implements Serializable {

    private static final long serialVersionUID = 1L;

    private String email;
    private String password;


    public void processaLogin() throws ServletException, IOException{
        FacesUtil.redireciona("/spring_security_check");
    }

    public void preRender(){
        FacesContext facesContext = FacesContext.getCurrentInstance();
        HttpServletRequest request = ((HttpServletRequest) facesContext.getExternalContext().getRequest());

        String user__ = request.getParameter("user__");
        String pass__ = request.getParameter("pass__");

        this.email = user__;
        this.password = pass__;

   // gets and sets

}

1 Resposta 1

4
+50

Se quiser tentar o seu objectivo inicial de seguir o link e ficar logo autenticado, porque não tenta usar um JWT (JSON Web Token) para codificar o username garantindo que a mensagem não pode ser modificada manualmente?

A minha proposta é gerar um link do tipo

meusite.com?confirmation=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VybmFtZSI6Im1ldS51c2VyIiwiZXhwaXJlcyI6MTQ5MTAwNDgwMH0.MvU1565xwqaMsqCgcB7shScvh0Bo80SfGO2b6szLwbw

Em que o parametro confirmation contém um payload com o username e uma data de expiração. No servidor use a biblioteca de java disponível em http://jwt.io para descodificar o token e como vem encriptada por hash com a sua chave de segurança, saberá que é uma informação fidedigna vinda do seu link.

Para gerar o token terá que o codificar antes de enviar o email pelo mesmo processo.

O código no link:

 eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VybmFtZSI6Im1ldS51c2VyIiwiZXhwaXJlcyI6MTQ5MTAwNDgwMH0.MvU1565xwqaMsqCgcB7shScvh0Bo80SfGO2b6szLwbw

representa o payload:

{
  "username": "meu.user",
  "expires": 1491004800
}

em que a data é uma época de linux: http://www.unixtimestamp.com/index.php ou seja o número de segundos desde 1 Jan 1970 (UTC)

Assim pode evitar que links velhos sejam usados depois do período pretendido simplesmente checkando a data. A password usada nesta hash é "secret" e pode experimentar no próprio site jwt.io que a descodificação é esta.

Abraço

1
  • A duvida é como envio isso para o spring security?
    – Marcelo
    29/03/2017 às 14:10

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .