تسجيل الدخول باستخدام Spring Security

العلاقة مع Employee هي One-to-One: كل موظف عنده حساب واحد. نفرض هاد بوضع unique = true على الـ employee_id Foreign Key.

ملاحظة: الـ One-to-One في قاعدة البيانات هي في الأساس One-to-Many، بس بنفرضها بالـ Unique Constraint.

إضافة Spring Security Dependency

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

بمجرد إضافة هاد الـ Dependency، Spring Security بيسكّر تلقائياً كل الـ Endpoints. أي طلب رح يطلب Username وPassword.

إعداد Security Configuration

بننشئ Package اسمها config وفيها كلاس SecurityConfig:

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        return http
            .csrf(AbstractHttpConfigurer::disable)
            .cors(AbstractHttpConfigurer::disable)
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/auth/**").permitAll()
                .requestMatchers("/employees/**").authenticated()
                .anyRequest().authenticated()
            )
            .build();
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

• @Configuration + @EnableWebSecurity - يجعل هذا الكلاس مركز إعداد Spring Security
• csrf.disable() - نعطله للـ REST APIs
• permitAll() - يفتح الـ Endpoint لأي شخص بدون Authentication
• authenticated() - يطلب Authentication
• @Bean PasswordEncoder - بيولّد BCrypt Hasher لتشفير الباسوردات

UserAccount Repository

@Repository
public interface UserAccountRepository extends JpaRepository<UserAccount, UUID> {
    Optional<UserAccount> findOneByUsername(String username);
}

Spring Data JPA بيولّد الـ SQL تلقائياً من اسم الـ Method.

UserDetailsService Implementation

Spring Security تحتاج UserDetailsService لتجيب المستخدم من الـ Database:

@Service
public class UserDetailsServiceImpl implements UserDetailsService {

    @Autowired
    private UserAccountRepository userAccountRepository;

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        UserAccount account = userAccountRepository.findOneByUsername(username)
            .orElseThrow(() -> CustomResponseException.badCredentials());

        return User.builder()
            .username(account.getUsername())
            .password(account.getPassword())
            .roles(account.getRole())
            .build();
    }
}

الـ loadUserByUsername بتجيب الحساب من الـ Database وبتحوله لـ UserDetails اللي Spring Security تفهمه.

Authentication Manager

بنضيف الـ Authentication Manager للـ SecurityConfig:

@Bean
public AuthenticationManager authenticationManager(
        HttpSecurity http,
        UserDetailsService userDetailsService) throws Exception {

    var builder = http.getSharedObject(AuthenticationManagerBuilder.class);
    builder
        .userDetailsService(userDetailsService)
        .passwordEncoder(passwordEncoder());
    return builder.build();
}

الـ Authentication Manager هو اللي بيقرر إذا الـ Username والـ Password صح أو لا.

Auth Controller وSign Up

@RestController
@RequestMapping("/auth")
public class AuthController {

    @Autowired
    private AuthService authService;

    @PostMapping("/sign-up")
    public ResponseEntity<GlobalResponse<String>> signUp(
            @Valid @RequestBody SignUpRequest request) {
        authService.signUp(request);
        return new ResponseEntity<>(
            new GlobalResponse<>("Signed up successfully"), HttpStatus.CREATED
        );
    }
}

Sign Up DTO

public record SignUpRequest(
    @NotBlank(message = "Username is required")
    String username,

    @Size(min = 5, max = 50, message = "Password must be between 5 and 50 characters")
    String password,

    @NotNull
    UUID employeeId
) {}

Auth Service

@Service
public class AuthService {

    @Autowired
    private UserAccountRepository userAccountRepository;

    @Autowired
    private EmployeeRepository employeeRepository;

    @Autowired
    private PasswordEncoder passwordEncoder;

    public void signUp(SignUpRequest request) {
        Employee employee = employeeRepository.findById(request.employeeId())
            .orElseThrow(() -> CustomResponseException.resourceNotFound(
                "Employee not found"
            ));

        UserAccount account = new UserAccount();
        account.setUsername(request.username());
        account.setPassword(passwordEncoder.encode(request.password()));
        account.setEmployee(employee);

        userAccountRepository.save(account);
    }
}

passwordEncoder.encode() بيستخدم BCrypt لتشفير الباسورد قبل الحفظ. لا تحفظ الباسورد كـ Plain Text أبداً.

اختبار النظام

بالدرس الجاي رح نضيف JWT Tokens بدل ما نبعث Username وPassword مع كل طلب.