【PlayFramework 2.5】@Authenticatedでアクセスを制御する
前回までで、DBへの書き込みや検索、認証などを解説してきました。今回は、@Security.Authenticatedアノテーションを利用することで、ページへのアクセスを簡単に制御する方法を解説します。 @Security.Authenticated @Security.Authenticatedアノテーションは、コントローラークラスやメソッドに付与するだけで、認可判定と認可されていなかった場合の処理を共通化してくれる優れものです。これを付与するだけで、メンバーページへのアクセス制限を簡潔に書くことができます。 認証判定クラスの実装 @Security.Authenticatedアノテーションを使うためには、Security.Authenticatorクラスを継承した認証クラスが必要です。 package authenticator; import play.mvc.*; import v
React + Playの認証/認可方法を調べてみた - Qiita
はじめに ReactとPlayで認証はどのようにやればいいかと思い調べてみました。 認証の基本的な流れについてはこちらを参考にしました。認証サービスとしてAPIのエンドポイントを用意して、Reactアプリケーションから認証する方法です。 認証にはJWTを使用します。またJWT内にロールを入れることで認可機能を追加します。 WebアプリケーションフレームワークにはPlayを使用しています。 認証と認可のライブラリにはSilhouetteを使用します。一からだと分かりづらいのでplay-silhouette-seedのテンプレートを使用しています。 これを少し変えてJWT認証をしてみたいと思います。 Silhouetteの概要についてはこちらを参照しました。 使用したバージョンです。 - Play 2.5.4 - Silette 4.0 初期設定 Silhouetteのエンドポイントで使用する
JSON Web Token の効用 - Qiita
Note: JWT の仕様やそもそも論の話は触れません。どう使うか、何が出来るかしか書いていません。 JSON Web Token? JSON Web Token とは、ざっくりいって署名の出来る JSON を含んだ URL Safe なトークンです。 署名とは、署名時に使った鍵を用いて、JSON が改ざんされていないかをチェック出来るようにすることです。 URL Safe とは、文字通り、URL に含めることの出来ない文字を含まないことです。 これだけだとよくわかりませんが、触り心地としては次のような性質があります。 発行者だけが、鍵を使ってトークンが正しいことを検証出来る。 暗号化ではないので、JSON の中身は誰でも見られる。 仕様的には、暗号化のオプションもあります。 しかしながら、JSON の変更は出来ない。（改ざんをすると、検証時に失敗するので。） 全体的には、なんか変更できな
Play Framework 向け 認証認可ライブラリ Silhouette 3.0 の中身と利用法をお勉強して実際に実装してみた話 - Qiita
Play Framework 向け 認証認可ライブラリ Silhouette 3.0 の中身と利用法をお勉強して実際に実装してみた話ScalaPlay2Playframework2.4silhouette Play framework の認証認可ライブラリといえば SecureSocial が有名なのですが、どうも Play 2.4 以降で使おうと思うといろいろ大変なようなので、SecureSocial の流れをくむ比較的新しい認証認可ライブラリ Silhouette について調べました。 Silhouette には Seed project が用意されているので、それを使えば簡単に利用することができるのですが、中身が不明なものをセキュリティで利用するのは気が引けたので、空の Play Application に Silhouette を取り込む形で実装してみて、Silhouette の使
OAuth - Wikipedia
OAuth（オー オース[1]）は、権限の認可 (authorization) を行うためのオープンスタンダードである。 2016年現在の最新の標準は、2012年にRFCとして発行されたOAuth 2.0である（RFC6749、RFC6750）。本稿でも以下、OAuth 2.0をベースに解説する。 OAuth 2.0では以下の4種類のロール（役割）を考える[2]： リソースオーナー (resource owner) リソースサーバー (resource server) クライアント (client) 認可サーバー (authorization server) リソースオーナーが人間である場合は、リソースオーナーのことをエンドユーザーともいう。 認可サーバーはリソースサーバーと同一のサーバーでも異なるサーバーでもよい[2]。 これら4つのロールを具体例に即して説明する。今、ウェブサイトA（リ
REST API リファレンス : シグネチャの生成方法 | ニフクラ mobile backend
APIリクエスト時のシグネチャについて REST APIをリクエストする際、シグネチャによる認証を行っています。 データストアでのオブジェクト検索APIのリクエストを例に、シグネチャの生成方法について説明します。 TestClassにて、testKeyがtestValueとなっているオブジェクトを検索します。 curlコマンドは以下のようになります。 curl -X GET -G \ -H "X-NCMB-Application-Key:6145f91061916580c742f806bab67649d10f45920246ff459404c46f00ff3e56"\ -H "X-NCMB-Timestamp:2013-12-02T02:44:35.452Z"\ -H "X-NCMB-Signature:AltGkQgXurEV7u0qMd+87ud7BKuueldoCjaMgVc9Bes
Play Framework で作る簡易認証システム(その2: ログイン機能の実装) - hirahiro56のブログ
前回から引き続き、簡易認証システムシステムを開発していく。 今回は登録したユーザ情報に基づいてログインできるような機能を開発していく。 1. ログイン画面表示用URL"/login"のリクエストを処理するController の まずは、下記の通りroutesから登録しよう。 ■routes GET /login controllers.Application.login()次にコントローラ(Application.login)を実装していくが、その前にFormクラスを用意しよう。 ログイン画面ではアカウント名(username)とパスワード(password)を持つのでForm クラスは下記となる。 ここで、validate()メソッドが定義されているが、ユーザ/パスワードの組み合わせでDBを参照し、 正しいかどうかを判断してくれるようになる。 このクラスがFormのコンストラクタに渡さ
Play2-authを使ってみる - 認証/Authentication編 - Qiita
概要 ほとんどのWebアプリケーションは、今操作しているユーザーを識別するためにセッションの管理機能を持っています。 play2でセッション管理といえば play2-auth ですよね。 ということで、試してみます。 （認証と認可で記事を分けることにしました。今回は認証編です。） （ここではOAuth2.0対応は触れず、自前で認証機能を持つ場合を考えます。） この記事のゴール 認証・認可の大まかな流れを理解する play2-authで認証部分まで作り動作確認する ログインできてcookieが付与されているところまで。 ログイン情報が正しいかは認可のフェーズで行うため割愛。 環境 Play 2.5 play2-auth 0.14.2 全体のコードは以下。 認証・認可の難しいところ まず、authという単語を見た時に、 Authentication - 認証 Authorization - 認
BlazeDS 入門記（Security）
Administering BlazeDS applications / Security サーバ側の destination にセキュリティをかけられるという話。 J2EE のセキュリティフレームワークや、カスタムのセキュリティ用ロジックを使えるらしい。 Securing BlazeDS Authentication はユーザーの認証。 Authorization は行動に対する許可。 Authentication を通過しなければ Authorization はできない。 BlazeDS では destination に対してセキュリティ制約をかけることができる。 Basic認証では、credentialが無かったり間違っていたりする場合に HTTP 401 を返すことにより、ブラウザ側でログインダイアログを出す。カスタム認証ではクライアントに失敗を返す。デフォルトはカスタム認証。 B
認証を含む API 開発で検討すべきこと - ボクココ
ども、@kimihomです。 API に関する基礎的な話で、なぜ API が重要なのか、APIの実装で注意する点について記述した。 今回はAPI開発において最も頭を悩ます、認証の問題について考えてみたい。 API における認証 よくあるログインが必要なページを考えてみていただきたい。 通常のWebアプリケーションであれば、Cookieという仕組みを使って毎回Webサーバーにアクセスするときにsession idというものを送信し、それとユーザー情報を紐付けたデータを取ってくることで、どんなユーザーからリクエストが来たのかをWebアプリケーション側で判断することができる。これにより、私たちはいつも閲覧しているWebアプリケーションが自分専用の画面として見れるようになっている。 これがAPIになると話は違ってくる。Cookieという仕組みが使えないのである。ということで、なんとかしてAPIにア
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Java Guide4 - 2.1.x
ニフクラAPI（シグネチャーについて） | ニフクラ
Securing Single Page Apps and REST Services