OAuth 2.0 et autorisation JWT en Kotlin : en pratique

Introduction à OAuth 2.0 et JWT en Kotlin

Les applications web et API modernes nécessitent des mécanismes robustes d'authentification et d'autorisation. Deux standards clés — OAuth 2.0 (protocole de délégation d'accès) et JWT (JSON Web Token, format de jeton compact) — sont souvent utilisés ensemble pour construire des systèmes sécurisés. Kotlin, grâce à sa compatibilité avec Java et sa syntaxe concise, est parfaitement adapté à l'implémentation de ces protocoles.

Dans cet article, nous allons voir comment implémenter concrètement l'autorisation OAuth 2.0 et JWT en Kotlin. Vous apprendrez à configurer un serveur de délivrance de jetons, à créer des points de terminaison protégés et à traiter différents types d'octroi (grant types), tels que Authorization Code et Client Credentials.

Fondamentaux : OAuth 2.0 et JWT

Qu'est-ce que OAuth 2.0 ?

OAuth 2.0 est un protocole qui permet à des applications tierces d'obtenir un accès limité aux ressources d'un utilisateur sans transmettre son identifiant et son mot de passe. Les principaux acteurs sont :

\n
• Resource Owner (propriétaire de la ressource) — généralement l'utilisateur.
\n
• Client (client) — l'application qui demande l'accès.
\n
• Authorization Server (serveur d'autorisation) — délivre les jetons.
\n
• Resource Server (serveur de ressources) — stocke les données protégées.
\n

Qu'est-ce que JWT ?

JWT est un jeton compact et sécurisé pour les URL, composé de trois parties (header, payload, signature) séparées par des points. Il est utilisé pour transmettre des affirmations (claims) entre les parties. Avantages de JWT :

\n
• Ne nécessite pas de stockage de session sur le serveur (stateless).
\n
• Contient toutes les informations nécessaires (par exemple, ID utilisateur, rôles).
\n
• Est signé numériquement, garantissant son intégrité.
\n

Implémentation d'OAuth 2.0 avec JWT en Kotlin (Spring Boot)

Considérons un exemple pratique utilisant Spring Boot et la bibliothèque Spring Security. Nous allons créer un serveur d'autorisation simple et une ressource protégée.

Étape 1 : Configuration des dépendances

Ajoutez les dépendances nécessaires dans build.gradle.kts :

dependencies {\n    implementation("org.springframework.boot:spring-boot-starter-web")\n    implementation("org.springframework.boot:spring-boot-starter-security")\n    implementation("org.springframework.security:spring-security-oauth2-authorization-server")\n    implementation("io.jsonwebtoken:jjwt-api:0.12.3")\n    runtimeOnly("io.jsonwebtoken:jjwt-impl:0.12.3")\n    runtimeOnly("io.jsonwebtoken:jjwt-jackson:0.12.3")\n}

Étape 2 : Configuration du serveur d'autorisation

Créez une classe de configuration pour OAuth 2.0 :

import org.springframework.context.annotation.Bean\nimport org.springframework.context.annotation.Configuration\nimport org.springframework.security.config.annotation.web.builders.HttpSecurity\nimport org.springframework.security.config.annotation.web.configuration.EnableWebSecurity\nimport org.springframework.security.core.userdetails.User\nimport org.springframework.security.core.userdetails.UserDetailsService\nimport org.springframework.security.oauth2.core.AuthorizationGrantType\nimport org.springframework.security.oauth2.core.ClientAuthenticationMethod\nimport org.springframework.security.oauth2.server.authorization.client.InMemoryRegisteredClientRepository\nimport org.springframework.security.oauth2.server.authorization.client.RegisteredClient\nimport org.springframework.security.oauth2.server.authorization.client.RegisteredClientRepository\nimport org.springframework.security.oauth2.server.authorization.config.annotation.web.configuration.OAuth2AuthorizationServerConfiguration\nimport org.springframework.security.provisioning.InMemoryUserDetailsManager\nimport org.springframework.security.web.SecurityFilterChain\nimport java.util.UUID\n\n@Configuration\n@EnableWebSecurity\nclass SecurityConfig {\n\n    @Bean\n