Speicherablage für Authentification

[danielmaann]

Hallo zusammen

Ich schreibe aktuell an einer Applikation welche auf Spring Boot basiert. Später sollten andere Technologien (HTML, android, iOS,...) mit dieser Applikation kommunizieren können. Diese Applikation kann nur verwendet werden wenn man angemeldet ist.

Aktuell: Bei der Registrierung wird alles dahinter in eine DB abgelegt.
Da diese Applikation stateless ist, will ich das jedesmal überprüft wird, ob der Benutzer eingeloggt ist und dies ohne irgendwelche Sessions.
Nun habe ich mir folgendes gedacht:
Ich setze eine zweite Applikation um und beim einloggen wird ein Token generiert welches dann irgendwo abgespeichert wird. Dieses Token kriegt der Benutzer zurück. Anhand diesen Tokens sollte überprüft werden ob der Benutzer eingeloggt ist bzw. existiert dieses Token.

Einfach gesagt, bei jedem Request auf diesen Server wird halt noch ein Token mitgegegen. Dieses Token wird dann an die zweite Applikation übergeben zum überprüfen ob er angemeldet ist oder nicht (sprich, true oder false).

Meine Frage ist nun:
Wie sollte ich das am besten machen? Wäre dieser Ansatz gut welcher ich vor habe? Verbesserungsvorschläge? oder kann ich das so machen ohne später Probleme zu kriegen?

Zweite Frage:
Wo sollte ich das Token ablegen?

• Wenn ich es in ein Array hinterlege, wird es bei einen Benutzerzahl von 1000+ ein ziemlich grosses Array und RAM wird extrem belastet. Der zweite nachteil ist, wenn der Server abstürzt, müssen sich die Benutzer erneut anmeldet damit ein Token wieder generiert wird.
• Sollte ich es in ein File ablegen? Da weiss ich nicht, wie schnell das File gelesen werden kann bzw. hineingeschrieben werden kann. Da pro Request und pro User, das Token aus dem File gelesen werden muss. Somit wäre der Ansatz mit einem Array oder mit eine Map schneller. Wie funktioniert das, beim schreiben in eine Datei mit 1000+ bereits eingetragenen Tokens? funktioniert das gleich schnell? Was passiert wenn sich 100 User zur selben Zeit anmelden?
• Sollte ich eine Datenbank nehmen, bzw. die Daten in eine DB ablegen? Vorteil ist, das man das spiegeln kann und das es schnell ist. Aber Nachteil ist, ich bräuchte einen Server mehr.

Was denkt ihr?

Sonst noch verschläge?

 

[HarleyDavidson]

Grundsätzlich ist die Trennung von Usermanagement (also Authentifizierung) und eigentlicher Logik immer gut. Vielleicht ist dieser Link für dich interessant: https://tools.ietf.org/html/rfc6749
Möchtest du nicht gleich so groß mit einem OAuth Framework einsteigen, kann ich dir als Datenbank die H2 Datenbank empfehlen: http://www.h2database.com
Für diese benötigst du keinen extra Server. Ich bin sehr zufrieden damit und für ein Token-Handling ist diese Wahl in Sachen Performance absolut zu empfehlen.

 

[thecain]

Oder einfach via JWT... dann muss auch nichts gespeichert werden.

 

[mrBrown]

Warum nicht einfach den recht guten OAuth-Support von Spring nutzen?

https://spring.io/guides/tutorials/spring-boot-oauth2/

 

[danielmaann]

@HarleyDavidson super, cool. Werde mich einlesen. Wenn ich aber keinen Server für die DB brauche, kann ich nicht 2 von den Authservern haben welche auf die DB zugreifen und davor einen loadbalancer stellen um die anfragen auszugleichen. Das wäre der nachteil. Danach folgt ja der nachteil das die DB nicht kopiert werden kann bzw. wenn es einen systemausfall geben würde.

@thecain jwt kenne ich nicht. durch den wikipedia beitrag sieht mir diese methode ziemlich simple aus. Nachteile?

@mrBrown bezüglich dem oAuth2 kenne ich mich zu wenig aus und für mich scheint diese Sache ziemlich komplex zu sein, habe mal vor 2 Monaten mich mit dem oauth2 von Spring herumgeschlagen und kam nicht weit. War alles schon zu komplex für mich, vielleicht liegt es auch an dem fehlenden Versändniss im Englisch. Naja, kenne bei der application.properties (application.yml) die zusammehänge nicht zwischen den properties und welche für was zuständnig sind

 

[mrBrown]

@HarleyDavidson super, cool. Werde mich einlesen. Wenn ich aber keinen Server für die DB brauche, kann ich nicht 2 von den Authservern haben welche auf die DB zugreifen und davor einen loadbalancer stellen um die anfragen auszugleichen. Das wäre der nachteil. Danach folgt ja der nachteil das die DB nicht kopiert werden kann bzw. wenn es einen systemausfall geben würde.

Da geht es übrigens um OAuth 2, H2 hat damit aber überhaupt nichts zu tun, genausowenig ob eine oder 2 Datenbanken...

Naja, kenne bei der application.properties (application.yml) die zusammehänge nicht zwischen den properties und welche für was zuständnig sind

Da hilft nur die Docs lesen, die sind bei Spring eig. recht gut...