79. spotkanie Warszawa JUG - Google z Facebookiem w Twojej aplikacji webowej, czyli co będę pisał sam integrację: THIS IS JAVA!!!! Spring security dla bardzo NIEzaawansowanych.

[Bartek Zdanowski]

Temat: Google z Facebookiem w Twojej aplikacji webowej, czyli co będę pisał sam integrację: THIS IS JAVA!!!! Spring security dla bardzo NIEzaawansowanych.
Prelegent: Jakub Nabrdalik

Co to da: uczestnicy w ciągu godziny nauczą się wykorzystywać spring security[1], OpenId[2] i OAuth2[3].

Poziom:
- podstawowy

Wymagana:
- podstawowa znajomość javy

Przyda się:
- blade pojęcie o IoC/DI
- blade pojęcie o HTTP
- blade pojęcie o tym co to jest gmail/blog/facebook

Agenda:
Spring Security
- do czego jest
- jak z niego korzystać
- jak poprawnie skonfigurować
- jak hashować hasła
- jak zabezpieczyć ssl'em
- jak testować aplikację z wpiętym spring security
- jak logować/wylogować się w backendzie
- jak definiować uprawnienia per zasób serwera (URI)
- jak definiować reguły dostępu per metoda w klasie backendu (@Pre)
- na czym polega Spring Expression Language (SpEL) w kontekście security

Open ID
- co to jest
- do czego służy
- jak to działa (flow)
- jak to działa z googlem
- jak dobrać się do informacji użytkownika
- jak wykorzystać Spring Security do odwalenia czarnej roboty
- czemu muszę się rejestrować i jak to zaimplementować

OAuth2
- kto to wymyślił
- co to jest
- do czego służy
- dlaczego facebook/twitter ma OAuth2
- jak to działa
- jak to zaimplementować
- jak wykorzystać Spring Social by dobrać się do danych i usług klienta


Rationale:
Wszystkie te informacje można sobie wygooglać, dokumentacja springa jest świetna, pułapek jest niewiele, ale prelegent postara się przedstawić wszystko super-czytelnie, będzie odpowiadał na pytania i w ostrzegał przed pułapkami. Dużo kodu, kilka diagramów, żadnych slajdów.


Jakub Nabrdalik [4] pracuje dla firmy TouK jako Solution Architect, co
oznacza, że w zależności od sytuacji, zakłada czapeczkę projektanta,
programisty, architekta, analityka, lidera zespołu, kierownika
projektu i tak dalej. Od 2003 roku czerpie dużo radości z zawodowego
tworzenia oprogramowania w różnych technologiach, językach i
metodykach. Od 2005 praktykuje TDD i Pair Programming. Walczy z chaosem wkradającym się po cichu do projektów informatycznych.

Dzisiaj każdy Twittuje i ma konto na Fejsie, a więc trzeba iść za duchem czasów :)

Planowany czas prezentacji to 1,5h, po których planuje się
15-30-minutową dyskusję.


W imieniu Prelegenta i Warszawa JUG zapraszam na spotkanie.


[1] http://static.springsource.org/spring-security/site/
[2] http://openid.net/
[3] http://oauth.net/
[4] http://blog.solidcraft.eu/


--
Pozdrawiam,
Bartek Zdanowski

Bloguję http://blog.bartekzdanowski.pl i twittuję http://twitter.com/bartekzdanowski
Confitura 2011 (dawniej Javarsovia) - http://confitura.pl
KO Warsjawa 2011 - http://warsjawa.pl

[Piotr Zajączkowski]

Mam takie naiwne pytanie - czy nie dałoby rady przełożyć tej
prezentacji na kolejny wtorek, tj. 15.02.2011 ? Dlatego, że pokrywa
się ona z inną bardzo ciekawą prezentacją z cyklu AgileWarsaw pt.
"Łączenie Agile i Software Craftsmanship". Wiem, że ta prośba jest
rychło w czas, ale dopiero gdy prelekcja pojawiła się w kalendarzu, to
zobaczyłem, że ze sobą kolidują.

Pozdrawiam :)

W dniu 4 marca 2011 15:51 użytkownik Bartek Zdanowski
<bartek.z...@gmail.com> napisał:

> --
> Otrzymujesz tę wiadomość, ponieważ subskrybujesz grupę dyskusyjną Google o
> nazwie „Warszawa Java User Group (Warszawa JUG)”.
> Aby zamieszczać posty w tej grupie, wyślij e-mail na adres
> warsza...@googlegroups.com.
> Aby anulować subskrypcję tej grupy, wyślij e-mail na adres
> warszawa-jug...@googlegroups.com.
> Aby uzyskać więcej informacji, odwiedź tę grupę pod adresem
> http://groups.google.com/group/warszawa-jug?hl=pl.
>

[Bartek Zdanowski]

Pytanie dobre.
DP chyba nie bedzie,a wiem,ze sam Kuba Nabrdalik. Czy jestescie
zainteresowani przeniesieniem *wyjatkowo* spotkania na 15go?

[Wojciech Erbetowski]

Byłoby super nie musieć wybierać między dwoma craftsmanami :-)

Przykładam się do prośby o przełożenie

[Adam Michalik]

O, tak! A już myślałem, ze nie będzie wyjścia i będę musiał wybierać ;/

W dniu 2011-03-05 15:17, Bartek Zdanowski pisze:

[Jakub Nabrdalik]

Bomba, ja też jestem za.

Dopiero po niewczasie zorientowałem się że Agile Warsaw ma wyjątkowo
spotkanie we wtorek.

To co, ustalamy że za tydzień we wtorek?

W dniu 05.03.2011 16:40, Adam Michalik pisze:

--
Jakub Nabrdalik
http://solidcraft.eu

[Piotr Zajączkowski]

Heh, jak widać czasami warto zadawać naiwne pytania ;) Chyba wszyscy
są za - włącznie z prelegentem - w związku z tym jeśli nikt nie zgłosi
sprzeciwu np. do jutra, to można przełożyć termin prelekcji.

[Adam Dudczak]

Cześć,

Kuba, a o tym też bedziesz mówił http://www.springsource.org/spring-social ?

W sumie tak czy siak, fajnie by było zobaczyć wideo ;-)

pozdr. Adam

--
GeeCON, http://geecon.org
Poznań JUG, http://www.jug.poznan.pl

W dniu 5 marca 2011 17:03 użytkownik Piotr Zajączkowski
<p.m.zaja...@gmail.com> napisał:

[Jakub Nabrdalik]

Tak, ale w ograniczonym zakresie (pokażę API), bo na razie np. nie piszę na wallu facebookowym ani nie dodaję Tweetów. Może za tydzień to się już zmieni - to w sumie banał technologicznie, ale trzeba przemyśleć jak to wykorzystywać żeby było user friendly (i żeby user nie czuł się wykorzystany jako platforma reklamowa).

Jakub Nabrdalik
http://solidcraft.eu

[Wojciech Erbetowski]

Może ktoś zsynchronizuje google calendar ze stanem faktycznym, skoro przenieśliśmy spotkanie?

[Bartek Zdanowski]

Zrobione.
Dzięki Wojtku za przypomnienie.
Spotykamy się 15go.

2011/3/7 Wojciech Erbetowski <wojt...@gmail.com>

--

[Bartek Zdanowski]

Przypominam wszystkim, że spotykamy się jutro, o 18, na MiMUW. Sala 5440.

2011/3/4 Bartek Zdanowski <bartek.z...@gmail.com>

[Bartek Zdanowski]

Hej.
Kto byl wczoraj na prezentacji Jakuba i jest zainteresowany losowaniem
licencji na IntelliJ Idea?

[Maciej Piasecki]

Hej,

byłem i piszę się na losowanie.

Pozdrawiam,
Maciek

2011/3/16 Bartek Zdanowski <bartek.z...@gmail.com>

[Bartek Zdanowski]

A jak Wasze wrażenia po wczorajszym wystąpieniu Kuby? Dawno go na WJUG nie było - jest jeszcze w formie czy już powinien iść na emeryturę? :D
Jak się Wam podobało?

2011/3/16 Maciej Piasecki <mac...@piasecki.mobi>

[Maciej Piasecki]

Mi się podobało, dowiedziałem się nowych ciekawych rzeczy - wcześniej znałem już spring-security, ale nie wiedziałem, że ma też takie zastosowania.
Prowadzenie prezentacji oceniam na piątkę z małym minusem, bo czasami klasy się gubiły, ale IDEA pomagała - przydałaby się chyba prezentacja w PowerPoincie ;)
Jestem za tym, żeby Kuba częściej występował :)

@Kuba, czy możesz umieścić gdzieś przykłady z prezentacji?

[Bartek Zdanowski]

Nie wiem czy udało się nagrać wystąpienie. Kuba? Jacek?

2011/3/16 Maciej Piasecki <mpia...@gmail.com>

[Jakub Nabrdalik]

Dzięki wszystkim za obecność. Przepraszam za tragiczny projektor, następnym razem wezmę z firmy, albo przygotuje slajdy z tlustą czcionką.

Cały kod i diagramy postaram się wrzucić najpóźniej w sobotę na bloga.

W dniu 2011-03-16 09:14 użytkownik "Maciej Piasecki" <mpia...@gmail.com> napisał:

Mi się podobało, dowiedziałem się nowych ciekawych rzeczy - wcześniej znałem już spring-security, ale nie wiedziałem, że ma też takie zastosowania.
Prowadzenie prezentacji oceniam na piątkę z małym minusem, bo czasami klasy się gubiły, ale IDEA pomagała - przydałaby się chyba prezentacja w PowerPoincie ;)
Jestem za tym, żeby Kuba częściej występował :)

@Kuba, czy możesz umieścić gdzieś przykłady z prezentacji?

Pozdrawiam,
Maciek


2011/3/16 Bartek Zdanowski <bartek.z...@gmail.com>
>

> A jak Wasze wraże...

--

Otrzymujesz tę wiadomość, ponieważ subskrybujesz grupę dyskusyjną Google o nazwie „Warszawa Java Use...

[Piotr Ostrowski]

Cześć,

Również byłem i piszę się na losowanie licencji.

Prezentacja była bardzo ciekawa, nie znałem do tej pory Spring Security,
więc miło było zobaczyć go w akcji. Szczególnie, że ostatnio drążyłem
trochę temat JAAS'a, mam więc jakieś porównanie. OpenID używam, także
temat integracji go ze Springiem też mnie zaciekawił. Faktycznie gdyby nie
drobne problemy z rzutnikiem, byłoby super, ale i tak było naprawdę
świetnie!

Pozdrawiam,
Piotr Ostrowski
http://yuppy.pl

Dnia 16-03-2011 o 08:18:03 Bartek Zdanowski <bartek.z...@gmail.com>
napisał(a):

[Lukasz Dworski]

Hej,

byłem i chciałbym wziąć udział w losowaniu.

Pozdrawiam,
Dwórski Łukasz

Wiadomość napisana przez Bartek Zdanowski w dniu 2011-03-16, o godz. 08:18:

> --

[Jacek Laskowski]

2011/3/16 Bartek Zdanowski <bartek.z...@gmail.com>:

> Nie wiem czy udało się nagrać wystąpienie. Kuba? Jacek?

Niestety, ale nagrania nie ma - sprawy rodzinne + lenistwo i
ostatecznie nie dojechałem.

Jacek

--
Jacek Laskowski
Java EE, functional languages and IBM WebSphere - http://blog.japila.pl
Warszawa JUG conference = Confitura (formerly Javarsovia) :: http://confitura.pl

[Jacek Laskowski]

2011/3/16 Piotr Ostrowski <yu...@avd.pl>:

> ostatnio drążyłem trochę temat JAAS'a, mam więc jakieś porównanie.

No i, no i? Znam JAASa teoretycznie z niewielką dawką praktyki i
byłbym rad, gdyby ktoś mi wyjaśnił rolę jaką pełni Spring Security vs
JAAS. Czy SSec to nakładka upraszczająca pracę z JAAS? Uzupełniają się
z pewnością, tylko gdzie?

I drugie pytanie, jak OAuth jest zaimplementowany w Javie? Zakładam,
że SSec jedynie umożliwia jego wykorzystanie przez wpięcie
projektu-implementacji OAuth. Co to?

[Jacek Laskowski]

2011/3/16 Jakub Nabrdalik <jak...@gmail.com>:

> Dzięki wszystkim za obecność. Przepraszam za tragiczny projektor, następnym
> razem wezmę z firmy, albo przygotuje slajdy z tlustą czcionką.

Skoro się pojawiło, kontynuujmy...

Współpracuję z pewną firmą, która byłaby zainteresowana wsparciem
WJUGa (w zamian za pewne udziały aka reklamę). Układ partnerski
całkiem oczywisty i możnaby skorzystać z tego na rzecz...zakupu
projektora z prawdziwego zdarzenia. Ma ktoś pomysły na jakieś cacko
właściwe do prezentacji kodu? Coś z wejściem HDMI i duuuuużą
rozdzielczością, zdecydowanie powyżej 1k w obu kierunkach (szerokość x
wysokość).

Zamieniam się w słuch....

[Jacek Laskowski]

2011/3/16 Maciej Piasecki <mpia...@gmail.com>:

> Jestem za tym, żeby Kuba częściej występował :)

Lizus! :P

[Krzysiek]

Ja takze zgłaszam sie na losowanie.
Krzysztof Kozioł

Faktycznie ostrosc rzutnika nie powalala i mimo ze siedzialem w 3
rzedzie to mialem problem z czytaniem :/
Ale jak bedzie mozna sobie sciagnać prezentacjie i poczytac na
spokojnie to bedzie bomba :)

pzdr
K

> --
> Otrzymujesz tę wiadomość, ponieważ subskrybujesz grupę dyskusyjną Google o nazwie "Warszawa Java User Group (Warszawa JUG)".
>
> Aby zamieszczać posty w tej grupie, wyślij e-mail na adres warsza...@googlegroups.com.
> Aby anulować subskrypcję tej grupy, wyślij e-mail na adres warszawa-jug...@googlegroups.com.
> Aby uzyskać więcej informacji, odwiedź tę grupę pod adresem http://groups.google.com/group/warszawa-jug?hl=pl.
>
>

--
Pzdr
K@

[Jacek Laskowski]

2011/3/16 Bartek Zdanowski <bartek.z...@gmail.com>:

> A jak Wasze wrażenia po wczorajszym wystąpieniu Kuby? Dawno go na WJUG nie
> było - jest jeszcze w formie czy już powinien iść na emeryturę? :D

Domniemam, że było wspaniale, bo potrafi, a pewnie wiele się jeszcze
nauczył w międzyczasie pod kątem (auto)prezentacji. Co jednak
widziałbym pomiędzy "jest jeszcze w formie" a "iść na emeryturę" to
"stworzyć wiekopomne dzieło", np. Civ7 :P

[Bartek Zdanowski]

Zróbmy oddzielny wątek.

2011/3/16 Jacek Laskowski <ja...@japila.pl>

--

Otrzymujesz tę wiadomość, ponieważ subskrybujesz grupę dyskusyjną Google o nazwie "Warszawa Java User Group (Warszawa JUG)".

Aby zamieszczać posty w tej grupie, wyślij e-mail na adres warsza...@googlegroups.com.
Aby anulować subskrypcję tej grupy, wyślij e-mail na adres warszawa-jug...@googlegroups.com.
Aby uzyskać więcej informacji, odwiedź tę grupę pod adresem http://groups.google.com/group/warszawa-jug?hl=pl.

[Andrzej Hołowko]

Witam,

byłem pierwszy raz na spotkaniu JUG i jestem bardzo pozytywnie nastawiony. Oczywiście piszę się na losowanie :). Także zamierzam częściej uczęszczać.

Prezentacja bardzo ciekawa, czekam na źródła, aby je dokładniej przestudiować.

Pozdrawiam,

Andrzej Hołowko

[Jacek Laskowski]

2011/3/16 Andrzej Hołowko <andrzej...@gmail.com>:

> byłem pierwszy raz na spotkaniu JUG

A możesz jeszcze zaspokoić moją/naszą ciekawość i napisać, co skłoniło
Cię do przyjścia? Bo nie wierzę, że jesteś *kolejną* osobą chcącą
pracować tam, gdzie Jakub i wierzysz, że tędy droga :-)

[Piotr Ostrowski]

JAAS to przede wszystkim standard Java, którym SSec nie jest. SSec
dostarcza oddzielny mechanizm uwierzytelniania i autoryzacji, ale da się
skonfigurować go tak, aby "pod spodem" korzystał z JAAS'a. Jako że JAAS
działa trochę niżej, może zapewnić bezpieczeństwo już na poziomie
classloader'a. Nie jest jednak w pełni uniwersalny, bo używa implementacji
dostarczanych przez kontener. W zasadzie w aplikacji określa się tylko
reguły bezpieczeństwa, a sam moduł uwierzytelniania i autoryzacji
konfiguruje się na serwerze.

Znalazłem jakieś tam porównanie JAAS'a i SSec (jeszcze wtedy Acegi),
trochę stare, ale w pewnych sprawach dalej aktualne:
http://www.mail-archive.com/acegisecuri...@lists.sourceforge.net/msg00180.html

Pozdrawiam,
Piotr Ostrowski
http://yuppy.pl

[Jakub Nabrdalik]

W dniu 16.03.2011 10:48, Jacek Laskowski pisze:
> 2011/3/16 Piotr Ostrowski<yu...@avd.pl>:

> No i, no i? Znam JAASa teoretycznie z niewielką dawką praktyki i
> byłbym rad, gdyby ktoś mi wyjaśnił rolę jaką pełni Spring Security vs
> JAAS. Czy SSec to nakładka upraszczająca pracę z JAAS? Uzupełniają się
> z pewnością, tylko gdzie?

W dniu 16.03.2011 11:57, Piotr Ostrowski pisze:

> JAAS to przede wszystkim standard Java, którym SSec nie jest. SSec
> dostarcza oddzielny mechanizm uwierzytelniania i autoryzacji, ale da się
> skonfigurować go tak, aby "pod spodem" korzystał z JAAS'a. Jako że JAAS
> działa trochę niżej, może zapewnić bezpieczeństwo już na poziomie
> classloader'a. Nie jest jednak w pełni uniwersalny, bo używa
> implementacji dostarczanych przez kontener. W zasadzie w aplikacji
> określa się tylko reguły bezpieczeństwa, a sam moduł uwierzytelniania i
> autoryzacji konfiguruje się na serwerze.

Czyli Spring Security jest raczej alternatywą dla JAAS, tzn. Spring
Security ma się tak do JAAS jak Spring Core/Hibernate do EJB 1/2 :)

Czyli: chłopaki ze Spring Source stwierdzili że JAAS to przerośnięty
potworek i zrobili porządnie od początku prostą bibliotekę do
uwierzytelniania i autoryzacji, która nie wymaga od kontenera niczego.

"Wsparcie" dla JAAS wygląda tak:

"Key authentication features [..]
Java Authentication and Authorization Service (JAAS) LoginModule, a
standards-based method for authentication used within Java. Note this
feature is only a delegation to a JAAS Loginmodule."
http://en.wikipedia.org/wiki/Spring_Security

> I drugie pytanie, jak OAuth jest zaimplementowany w Javie? Zakładam,
> że SSec jedynie umożliwia jego wykorzystanie przez wpięcie
> projektu-implementacji OAuth. Co to?

Spring Security ma implementację dla OAuth tu:
http://static.springsource.org/spring-security/oauth/support.html

Ale ja z tego nie korzystałem, już nie pamiętam dlaczego.

Sam consumer protokołu (wersja client dla autoryzacji server-side) jest
prostszy od OpenID i jest implementowalny w pięciu linijkach PHP, lub
dwóch klasach Javy. Warto spojrzeć na tutorial facebook'a. Przykłady
wrzucę na bloga.

Obsługę API dostępu do zasobów serwisów (Twitter, Facebook) zapewnia
Spring Social: http://www.springsource.org/spring-social

[Andrzej Hołowko]

O dawna chciałem przyjść, posłuchać i dowiedzieć się czegoś nowego, co kiedyś sam być może będę mógł wykorzystać. Ale zawsze jakoś nie było czasu, coś wyskakiwało etc. Wczoraj po prostu spontanicznie rzuciłem temat koledze i po pracy pojechaliśmy na MIMUW :). Polecam wszystkim tym, którzy tak jak ja wcześniej tylko czytają dyskusje na grupie, do przychodzenia na spotkania :). W ciągu 2h można dużo wynieść...

Pozdrawiam

--
Otrzymujesz tę wiadomość, ponieważ subskrybujesz grupę dyskusyjną Google o nazwie "Warszawa Java User Group (Warszawa JUG)".

Aby zamieszczać posty w tej grupie, wyślij e-mail na adres warsza...@googlegroups.com.
Aby anulować subskrypcję tej grupy, wyślij e-mail na adres warszawa-jug...@googlegroups.com.
Aby uzyskać więcej informacji, odwiedź tę grupę pod adresem http://groups.google.com/group/warszawa-jug?hl=pl.

--
Andrzej Hołowko

[Piotr Ostrowski]

Dnia 16-03-2011 o 12:07:13 Jakub Nabrdalik <jak...@gmail.com> napisał(a):

> Czyli Spring Security jest raczej alternatywą dla JAAS, tzn. Spring
> Security ma się tak do JAAS jak Spring Core/Hibernate do EJB 1/2 :)
>
> Czyli: chłopaki ze Spring Source stwierdzili że JAAS to przerośnięty
> potworek i zrobili porządnie od początku prostą bibliotekę do
> uwierzytelniania i autoryzacji, która nie wymaga od kontenera niczego.

Niby tak, ale z drugiej strony implementując JAAS'a w przykładowym
projekcie sprawiał wrażenie dość prostego, dostarczającego tylko to co
potrzebne. Nie napotkałem również większych pułapek związanych z
konfiguracją. JAAS używany jest też w EJB3, które do Springa ma się już
nieco inaczej, niż EJB1/2. Oczywiście w projektach już używających Springa
nie ma się co długo zastanawiać, jednak w każdym innym przypadku warto
rozważyć JAAS'a jako alternatywę dla SSec.
Inną sprawą jest to, że czasami klienci wymagają implementacji
uwierzytelniania i autoryzacji za pomocą mechanizmów kontenera, wtedy SSec
wydaje się nieco nadmiarowy.

[Adam Michalik]

Też się zgłaszam na losowanie.

A prezentacja bardzo mi się podobała - od ponad roku mam SSec w
projekcie, ale było miło usłyszeć jak ktoś tę konfigurację ogarnął w
całości. Jak na mój gust, mogło być trochę więcej o OpenID i OAuth2,
ale i tak to, co było, dało dobry pogląd czego i jak można użyć. I
dobrze przekazane - prosto i płynnie :)

[Jakub Nabrdalik]

W dniu 16.03.2011 12:29, Piotr Ostrowski pisze:

+1

Słusznie prawisz.

[Jakub Nabrdalik]

W dniu 16.03.2011 12:38, Adam Michalik pisze:

> Też się zgłaszam na losowanie.

Btw. ja też się zgłaszam na losowanie.

Może się w końcu zupgradeuję do wersji 10.

[Adam Jurzyk]

2011/3/16 Bartek Zdanowski <bartek.z...@gmail.com>:

> Hej.
> Kto byl wczoraj na prezentacji Jakuba i jest zainteresowany losowaniem
> licencji na IntelliJ Idea?

Ja też chcę

Adam