Autorisation et authentification en Kotlin : Ktor, JWT et Spring Security

Autorisation et authentification en Kotlin : analyse complète

Dans le développement web moderne en Kotlin, les questions de sécurité sont primordiales. L'autorisation (vérification des droits d'accès) et l'authentification (confirmation de l'identité de l'utilisateur) sont des mécanismes clés sans lesquels aucune application ne peut fonctionner. Dans cet article, nous analyserons comment implémenter ces processus à l'aide de bibliothèques populaires : Ktor, Spring Security et JWT.

1. Concepts de base

• Authentification — processus de vérification de qui vous êtes (login/mot de passe, token, OAuth).
• Autorisation — détermination de ce que vous êtes autorisé à faire (rôles, droits d'accès).
• JWT (JSON Web Token) — méthode compacte de transfert de données entre parties sous forme d'objet JSON, signé par une clé secrète.
• Session — approche classique avec stockage de la session sur le serveur.

2. Authentification avec Ktor (Kotlin Server)

Ktor — un framework léger de JetBrains, idéal pour créer des API REST en Kotlin. Le support intégré de l'authentification permet de configurer rapidement JWT, Basic Auth ou OAuth.

Exemple de configuration de l'authentification JWT dans Ktor :

// build.gradle.ktsdependencies {    implementation("io.ktor:ktor-server-auth-jwt:$ktorVersion")}

// Application.ktimport io.ktor.server.auth.*import io.ktor.server.auth.jwt.*import com.auth0.jwk.JwkProviderBuilderimport java.util.*

fun Application.module() {    install(Authentication) {        jwt("auth-jwt") {            verifier(JwkProviderBuilder("https://your-issuer.com/.well-known/jwks.json")                .build()                .get("your-kid"))            validate { credential ->                if (credential.payload.audience.contains("my-app")) {                    JWTPrincipal(credential.payload)                } else null            }        }    }        routing {        authenticate("auth-jwt") {            get("/secure") {                val principal = call.principal<JWTPrincipal>()                val username = principal?.payload?.getSubject()                call.respondText("Hello, $username!")            }        }    }}

Dans cet exemple, nous utilisons JWTPrincipal pour extraire les données de l'utilisateur du token. Ktor vérifie automatiquement la signature et la date d'expiration.

3. Autorisation avec Spring Security

Spring Boot avec Kotlin — une combinaison puissante pour les applications d'entreprise. Spring Security fournit un système flexible de filtres et d'annotations.

Configuration de base avec JWT :

// build.gradle.ktsdependencies {    implementation("org.springframework.boot:spring-boot-starter-security")    implementation("io.jsonwebtoken:jjwt-api:0.12.3")    runtimeOnly("io.jsonwebtoken:jjwt-impl:0.12.3")    runtimeOnly("io.jsonwebtoken:jjwt-jackson:0.12.3")}

// SecurityConfig.kt@Configuration@EnableWebSecurityclass SecurityConfig(    private val jwtAuthenticationFilter: JwtAuthenticationFilter) {    @Bean    fun securityFilterChain(http: HttpSecurity): SecurityFilterChain {        http            .csrf { it.disable() }            .sessionManagement { it.sessionCreationPolicy(SessionCreationPolicy.STATELESS) }            .authorizeHttpRequests { auth ->                auth                    .requestMatchers("/api/auth/**").permitAll()                    .requestMatchers("/api/admin/**").hasRole("ADMIN")                    .anyRequest().authenticated()            }            .addFilterBefore(jwtAuthenticationFilter, UsernamePasswordAuthenticationFilter::class.java)        return http.build()    }}

// JwtAuthenticationFilter.kt@Componentclass JwtAuthenticationFilter(    private val jwtService: JwtService) : OncePerRequestFi