Forum
Aktif konular
Üyeler
Kurallar
Arama
Spring Boot İle Geliştirdiğim Projeme Yardım Eder Misiniz? Spring Boot İle Geliştirdiğim Projeme Yardım Eder Misiniz?
-
solsrce bunu yazdı- Hocam teşekkürler cevabınız için. Aslında databasede farklı farklı tablolarım var. Örnegin kullanıcıların email adresleri ve şifreleri. Yada blog yazıları,yorumlar. Bunları şifrelememe gerek yok o zaman. Sadece kullanıcıların bilgilerini şifrelerim.
* Şifrelemekten ziyade kullanıcıların şifrelerini bir salt birleştirip, sha-256 gibi güvenli kabul edilen bir hash fonksiyonu ile özetini kaydedebilirsin. Salt'ın projenin başka bir yerinde gizli olur (public olmayacak yani). Bu şekilde kullanıcını bir nebze daha koruyabilirsin. Çünkü, parolayı sen de bilmiyorsundur. Senin veriler leak olduğunda, kullanıcın aynı e-posta, şifre kombinasyonunu başka bir yerde kullanmasında bile güvende olur. Sadece e-posta adresi sızabilir.
- Bişi sormak istiyorum. Şimdi benim API'me sadece ben erişmek istiyorum. Yani bu api sadece blog.kayafirat.com'dan gelen isteklere cevap versin, diğer isteklerin hepsine hata versin. Bunu nasıl yapabilirim ? Örneğin biri tarayıcıya
https://api.kayafirat.com/firatkaya-0.0.1/api/v1/post/postTitle/Java%20Dersleri%209 yazıp istek attığında hata döndürsün ama blog.kayafirat.com üzerinden denendiğinde erişebilsin.
* https://social.technet.microsoft.com/wiki/contents/articles/22196.authentication-ve-authorization-kimlik-dogrulama-ve-yetkilendirme-tr-tr.aspx Kimlik doğrulama ve yetkilendirme farklı şeyler. Burada yetkilendirme yapılacak. Örneğin sen, senin api'yından istifade etmek isteyenlere aynı kullanıcı adı-şifre gibi bir id ve pass tanımlayabilirsin. Senin apiyi kuıllanan yani senin müşterin ise bu id-pass ya da secret key artık ne dersen de (sabit bir session_id gibi bir şey bile olabilir) bunu her istekte sana yollayacak, sen de erişim izni var mı diye kontrol edip ona göre sonuç döndüreceksin.
Yukarıda yazdığım restful web servisin bir tanımı. Bu konuyu araştırmanı tavsiye ederim.
Fakat isteğin blog.kayafirat.com'dan geldiğini nasıl anlayabilirsin?
1. Yukarıdaki gibi bir kimlik doğrulama metodu ile
2. blog.kayafirat.com'un ipsi sabitse ip tabanlı bir yetkilendirme olur.
- Örneğin https://api.1000kitap.com/kesfet?sirala=yukselenler&bolum=kesfet&sayfa=10&z=9&kume=192101322 API'sine direk istek attığımızda hata veriyor ama 1000kitap.com üzerinden atılan isteklere cevap veriyor. Bu mantıkta bir şey yapmak istiyorum. Bunun içinde bir filter mekanizması düşündüm. Sadece belli bir ip adresinden gelen isteği cevapla diğerlerinde hata döndür tarzı bir şey. Sizce bu mantıklı bir yaklaşım mı ?
* Yukarıdaki bir şey yazmaya çalıştım ama 1. seçenek çok daha esnek. 2. seçenek ise daha güvenli olabilir belki ama overkill de olabilir (izin verilen ip adresi sürekli değişiyorsa???). Ben ikinci seçeneği brute-force ile kısa sürede kırılabilecek şeylere düşünürdüm şahsen (1. çözümü uyguladıktan sonra). Örneğin ssh servisi. Kullandığım kullanıcı adı ve şifre benim aklımda kalacak kadar kısa olduğu için brute-force'ta hızlıca kırılabilir fakat ben sadece bir havuza (örneğin ttnet'in ankaradaki ip aralığı) izin verirsem, hacker aynı zamanda ankarada ve ttnet kullanıcısı olmak zorunda. Çinli ve rusları egale ettik. Çok önemliyse zaten sabit ip hizmetinden yararlanıp tek ip adresine izin veririm gibi ama bir blog için overkill.
Kısayol
Şikayet
Özel Mesaj
Alıntı yap
Cevapla