Autenticación JWT con Spring Boot y Angular: Bug en el Refresh Token

En este tutorial vamos solventar una vulneración de seguridad que hay en el método refreshToken del backend, la cual permite modificar el token desde el navegador y obtener privilegios de admin.

Aquí tienes la lista completa:

Y los repositorios hasta el momento:

Repositorios del CRUD básico:

Repositorios finales del proyecto:

Lista de reproducción completa:

#jwt #angular #springboot

[lauradilcab]

Gracias Luigi. Sigo esperando el siguiente video donde se cifra el token antes de almacenarlo en el LocalStorage. Saludos!

[filipayaviri]

Muchas gracias se espera con ancias el proximo video!!

[blogginfo]

gracias por tus tutoriales, son de muchísima ayuda, los q estudiamos informática muchas veces los profesores enseñan siempre lo básico, pero con estos videos se complementa el aprendizaje.

[camiloestrada]

Gracias por compartir todo ese conocimiento

[amadeuscam]

¡Gracias por todo el conocimiento que ha compartido con nosotros, y que he aprendido mucho de usted!

[josemarialunapacheco]

Hola Luigi, partiendo del tutorial, ahora tengo una pagina que muestra los datos del perfil del usuario logado, con el objetivo de permitir al usuario modificar los mismos. Estos datos, incluido el id, los obtuve mediante los claims del token. ¿Cómo podría ahora implementar la edición de los datos de dicho usuario sin afectar a la seguridad de la aplicación?, es decir, en la configuración de Spring Security del API, indico que el punto de entrada POST "api/usuarios/{id}" sólo es accesible cuando se está autenticado, y el cual recibe el id del usuario logado y el dto con los datos modificados. Pero... ¿Cómo hago para que otro usuario autenticado no pueda llamar al método enviando un id al azar, y por lo tanto, modificando los datos de dicho usuario? ¿Habría que enviar al método también el token y comparar el id con el del token? Gracias por tu trabajo

[juanjuarez]

Muchas gracias funciona perfecto, estoy implementando este codigo pero la autenticacion la hago con ADAM (Active directory) por lo que no almaceno contraseñas, solo utilizo el recurso y una vez que me deja pasar genereo el token, pero es muy parecido, solo me falta el logout, es decir un boton que diga cerrar sesion y elimine el token y el refreshtoken, eso como se puede hacer? Saludos desde Mexico

[raulnavas]

Hola Luigi. Perdon la molestia y ante todo muchisimas gracias por tus tutoriales.
Se me genera una duda ya que realicé una modificación del código para que solo usuarios administradores pudieran crear una nueva cuenta.
La duda o el problema que tengo es que cuando el Back devuelve un BAD_REQUEST ( ya sea por email incorrecto o usuario existente). Se borran el token del usuario logueado. Es decir se cierra la sesion en el front. Alguna sugerencia que puedas darme?
De hecho probé retornar return new ResponseEntity(new Mensaje("El nombre de usuario ya existe"), HttpStatus.BAD_OK); y funciona correctamente, es decir no le cierra la sesion al usuario.
GRACIAS!

[vianeyvargas]

Gracias por tu vídeo. Por favor Haz una saga de videos por favor de NFTs con Angular y Spring Boot

[meganmorris]

Hola Luigi,
Para cifrar el token antes de almacenarlo en el Local Storage, ¿qué librería se puede utilizar?

[aaBlackDogaa]

Hola Luigi, gracias por tus vídeos, podías hacer un vídeo modularizando la aplicación de Angular. Saludos

[danielbrito]

Hola luigi gran video, pero yo tengo un problema, ingreso en modo admin y al querer que liste me dice que no estoy autorizado, pero si me muestra el menú con las opciones del admin, por nesecito tu ayuda

[fabianj.c.q.]

Excelente canal, explicas demasiado bien.
Luigi podrías hacer un tutorial de websockets con jwt