JSF Filter: Criando um sistema de login com criptografia MD5

Neste artigo veremos como construir um sistema de login com JSF 2.0 utilizando Filters. Nosso sistema de login contar� ainda com um n�vel a mais de segurança, implementando a criptografia MD5 nas senhas, evitando assim que as mesmas possam ser visualizadas por qualquer um.

Em JSF, o Filter � um recurso que possibilita o gerenciamento de todas as requisiç�es HTTP do seu servidor, filtrando o endereço que est� sendo acessado. Sendo assim, quando o usu�rio Jo�o acessar aquela URL que � proibida, voc� pode imediatamente redirecion�-lo para outro endereço, antes que a resposta seja dada ao cliente.

O MD5 ou Message-Digest Algorithm 5 � um algoritmo hash de 128bits unidirecional e pelo simples fato de ser unidirecional n�o h� como decriptar o mesmo, ou seja, se voc� criptografar determinada senha em MD5, n�o ter� como fazer o processo inverso, que seria descobrir a senha contida no MD5. Ent�o se n�o h� como decriptar um hash MD5, como saberemos se a senha que o usu�rio digitou est� correta? Pense um pouco, n�s podemos criptografar a senha digitada pelo usu�rio para MD5 e simplesmente comparar os dois hash MD5, sendo assim, se os dois forem iguais, saberemos que a senha est� correta. Mas caso o usu�rio esqueça a senha, n�o h� maneira de recuper�-la, apenas gerar uma nova senha. � por esse motivo que em muitos sistemas a recuperaç�o da senha � na verdade a geraç�o de uma nova senha.

Criptografar a senha em MD5 lhe d� muitos pontos em segurança, confiabilidade e qualidade. Começando pelo fato de que qualquer pessoa que tiver acesso ao banco de dados n�o poder� visualizar as senhas de nenhum usu�rio, pois imagine se o usu�rio �joao2014� utiliza sua senha para outras coisas como: bank online, e-mail, facebook e etc.

Por isso, a senha do usu�rio deve ser uma informaç�o sigilosa que nem o desenvolvedor deve ter conhecimento, por uma quest�o simples de �tica profissional. Existem ainda outros algoritmos HASH para criptografar informaç�es, mas n�o � nosso foco estud�-los.

Construindo sistema de login

Al�m do JSF, trabalharemos com outros frameworks para nos auxiliar no desenvolvimento desta aplicaç�o, mas n�o � obrigatoriedade us�-los, pois voc� pode adaptar o mesmo para a sua realidade. Usaremos ent�o o JPA/Hibernate, Spring Framework e o nosso banco de dados ser� o PostgreSQL, mas fique a vontade para escolher outro de sua prefer�ncia. Lembrando que n�o mostraremos configuraç�es b�sicas de JPA ou mesmo Spring, j� que estamos partindo do principio que o foco deste artigo � mostrar a construç�o de um Login com Filter.

Observe na Listagem 1 a criaç�o da tabela usuario.


  CREATE TABLE usuario
  (
    id serial NOT NULL,
    data_cadastro date,
    email character varying(255),
    nome character varying(255),
    senha character varying(255),
    CONSTRAINT usuario_pkey PRIMARY KEY (id ),
    CONSTRAINT usuario_email_key UNIQUE (email )
  )

Listagem 1. Criaç�o da Tabela

Criada a tabela acima em nosso banco de dados, precisamos criar nossa classe Usuario, que ficar� como definido na Listagem 2.


import java.util.Date;
 
import javax.persistence.Column;
import javax.persistence.Entity;
import javax.persistence.NamedQueries;
import javax.persistence.NamedQuery;
import javax.persistence.Table;
import javax.persistence.Temporal;
import javax.persistence.TemporalType;
import javax.persistence.Transient;
 
@Entity
@NamedQueries(value = { @NamedQuery(name = "Usuario.findByEmailSenha",
  query = "SELECT c FROM Usuario c "
  + "WHERE c.email = :email AND c.senha = :senha")})
@Table(name = "usuario")
public class Usuario {

   /**
    *
    */
   private static final long serialVersionUID = 1L;
   @Transient
   public static final String FIND_BY_EMAIL_SENHA = 
     "Usuario.findByEmailSenha";       

   @Id
   @GeneratedValue(strategy = 
      javax.persistence.GenerationType.IDENTITY)
   private Integer id;
   

   @Column
   private String nome;

   @Column(unique = true)
   private String email;

   @Column
   private String senha;

   @Column(name = "data_cadastro")
   @Temporal(TemporalType.DATE)
   private Date dataCadastro;

   public Integer getId() {
       return id;
   }

   public void setId(Integer id) {
       this.id = id;
   }
   
   public String getNome() {
       return nome;
   }

   public void setNome(String nome) {
       this.nome = nome.trim();
   }
   
   public String getEmail() {
       return email;
   }

   public void setEmail(String email) {
       this.email = email.trim().toLowerCase();
   }

   public String getSenha() {
       return senha;
   }

   public void setSenha(String senha) {
       this.senha = senha.trim();
   }

   public Date getDataCadastro() {
       return dataCadastro;
   }

   public void setDataCadastro(Date dataCadastro) {
       this.dataCadastro = dataCadastro;
   }

   @Override
   public int hashCode() {
       final int prime = 31;
       int result = 1;
       result = prime * result + ((id == null) ? 0 :
       id.hashCode());
       return result;
   }

   @Override
   public boolean equals(Object obj) {
     if (this == obj)
              return true;
     if (obj == null)
              return false;
     if (getClass() != obj.getClass())
              return false;
     
     return (obj instanceof AbstractBean) ? 
       (this.getId() == null ? this == obj :
       this.getId().equals((
        (AbstractBean)obj).getId())):false;
   }        
}

Listagem 2. Criando Classe Usuario

Nossa classe � completa e possui todas as notaç�es JPA necess�rias, juntamente com os m�todos equals() e hashCode() e as namedQueries que nos ser�o �teis para pesquisar os usu�rios no banco e dados.

Como dissemos anteriormente, se fossemos mostrar detalhes da construç�o de cada parte do sistema com por exemplo: DAO, (Data Access Object), BO (Bussiness Object) e Configuraç�es, nosso artigo perderia o foco, ent�o mostraremos agora os m�todos de verificaç�o de login presentes em nosso BO, chamado UsuarioBOImpl (Listagem 3).


// Verifica se usu�rio existe ou se pode logar
public Usuario isUsuarioReadyToLogin(String email, String senha) {
   try {
      email = email.toLowerCase().trim();
      logger.info("Verificando login do usu�rio " + email);
      List retorno = dao.findByNamedQuery(
          Usuario.FIND_BY_EMAIL_SENHA,
          new NamedParams("email", email
          .trim(), "senha", convertStringToMd5(senha)));

      if (retorno.size() == 1) {
             Usuario userFound = (Usuario) retorno.get(0);
             return userFound;
      }

      return null;
   } catch (DAOException e) {
      e.printStackTrace();
      throw new BOException(e.getMessage());
   }
}

Listagem 3. M�todo de validaç�o do usu�rio no UsuarioBOImpl

Bom, nosso m�todo recebe como par�metro um Email e Senha, que s�o passados para o DAO utilizando aquela NamedQuery chamada �findByEmailSenha� que definimos em nosso Bean Usuario. O importante aqui � perceber duas coisas:

A senha que � passada por par�metro n�o est� criptografada, sendo assim, n�o conseguir�amos comparar com a senha no banco. Ent�o antes de passar o par�metro ao DAO, convertemos a senha para MD5 com o m�todo �convertStringToMD5(senha)�.
Caso esse retorno do DAO seja uma Lista com um elemento, significa que o usu�rio foi encontrado no banco e retornamos o mesmo, caso contr�rio o retorno ser� �null�.

Veja na Listagem 4 como � nosso m�todo para converter de String para MD5.


private String convertStringToMd5(String valor) {
   MessageDigest mDigest;
   try { 
      //Instanciamos o nosso HASH MD5, poder�amos usar outro como
      //SHA, por exemplo, mas optamos por MD5.
     mDigest = MessageDigest.getInstance("MD5");
            
     //Convert a String valor para um array de bytes em MD5
     byte[] valorMD5 = mDigest.digest(valor.getBytes("UTF-8"));
     
     //Convertemos os bytes para hexadecimal, assim podemos salvar
     //no banco para posterior comparaç�o se senhas
     StringBuffer sb = new StringBuffer();
     for (byte b : valorMD5){
            sb.append(Integer.toHexString((b & 0xFF) |
            0x100).substring(1,3));
     }

     return sb.toString();
                
   } catch (NoSuchAlgorithmException e) {
     // TODO Auto-generated catch block
     e.printStackTrace();
     return null;
   } catch (UnsupportedEncodingException e) {
     // TODO Auto-generated catch block
     e.printStackTrace();
     return null;
  }
}

Listagem 4. M�todo conversor de String para MD5

Ent�o agora temos dois m�todos importantes para nossa aplicaç�o, no BO. Um para verificar se o usu�rio � v�lido e outro para converter a senha para MD5. O pr�ximo passo � criar um ManagedBean que comunicar� a p�gina XHTML de Login com o nosso BO, que se UsuarioMBImpl, e tamb�m mostraremos apenas os m�todos importantes. Observe a Listagem 5.


//True se usu�rio est� logado e false caso contr�rio
private boolean loggedIn;
 
//Armazena o usu�rio logado
private Usuario usuarioLogado;
 
//Email e senha digitado pelo usu�rio na p�gina XHTML
private String email, senha;     
 
public String getEmail() {
return email;
}
 
public void setEmail(String email) {
       this.email = email;
}
 
public String getSenha() {
       return senha;
}
 
public void setSenha(String senha) {
       this.senha = senha;
}
 
//Realiza o login caso de tudo certo
public String doLogin(){
                    
       //Verifica se o e-mail e senha existem e se o usuario pode logar          
       Usuario usuarioFound = (Usuario) 
         usuarioBO.isUsuarioReadyToLogin(email, senha);
             
       //Caso n�o tenha retornado nenhum usuario, ent�o mostramos um erro
       //e redirecionamos ele para a p�gina login.xhtml              
      //para ele realiza-lo novamente          
       if (usuarioFound == null){
             addErrorMessage("Email ou Senha errado, tente novamente !");
             FacesContext.getCurrentInstance().validationFailed();
             return "/login/login.xhtml?faces-redirect=true";     
       }else{
         //caso tenha retornado um usuario, setamos a vari�vel loggedIn      
         //como true e guardamos o usuario encontrado na vari�vel 
         //usuarioLogado. Depois de tudo, mandamos o usu�rio 
         //para a p�gina index.xhtml
         loggedIn = true;
         usuarioLogado = usuarioFound;
         return "/restricted/index.xhtml?faces-redirect=true";
       }
}
 
//Realiza o logout do usu�rio logado
public String doLogout(){
  
       //Setamos a vari�vel usuarioLogado como nulo, ou seja, limpamos
      //os dados do usu�rio que estava logado e depois setamos a vari�vel
      //loggedIn como false para sinalizar que o usu�rio n�o est� mais           
      //logado
       usuarioLogado = null;
       loggedIn = false;
       //Mostramos um mensagem ao usu�rio e redirecionamos ele para a         
       //p�gina de login
       addInfoMessage("Logout realizado com sucesso !");
       return "/login/login.xhtml?faces-redirect=true";
}

Listagem 5. ManagedBean para Login do Usu�rio

No c�digo acima temos uma chamada ao nosso m�todo �isUsuarioReadyToLogin()� que est� no nosso BO criado anteriormente. Caso a inst�ncia da vari�vel �usuarioFound� seja nula, significa que n�o foi encontrado nenhum usu�rio na base, ent�o simplesmente retornamos um erro ao usu�rio e redirecionamos o mesmo para a p�gina de login novamente. Caso seja encontrado algum usu�rio setamos a vari�vel �loggedIn� como true, guardamos os dados do usu�rio logado na vari�vel usuarioLogado e redirecionamos ele para o index.xhtml, ou seja, a p�gina de bem vindo.

O m�todo de logout � simples, apenas fazemos o inverso que fizemos no m�todo de login, setando o loggedIn como false e o usuarioLogado como nulo.

Vamos ver agora nossa p�gina XHTML de Login, conforme a Listagem 6.


<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN"
"http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml"
     xmlns:h="http://java.sun.com/jsf/html"
     xmlns:f="http://java.sun.com/jsf/core"
     xmlns:ui="http://java.sun.com/jsf/facelets"
     xmlns:p="http://primefaces.org/ui"
     xmlns:pe="http://primefaces.org/ui/extensions">

<h:head>
     <h:outputStylesheet library="css" name="login.css" />
</h:head>
<h:body>

     <h:form id="formLogin" enctype="multipart/form-data">
           <p:growl autoUpdate="true" id="messages" />

           <p:panelGrid styleClass="semBorda" columns="2">

             <h:outputText value="Email: " />
             <p:inputText value="#{usuarioMB.email}" 
                styleClass="lowercase"
                 size="35" required="true"
               requiredMessage="O Email � obrigat�rio" />

             <h:outputText value="Senha: " />
             <p:password value="#{usuarioMB.senha}"
               size="35" required="true" 
                requiredMessage="A Senha � obrigat�ria" />

           </p:panelGrid>

           <p:panelGrid columns="2" styleClass="semBorda">
                  <p:commandButton icon="ui-icon-unlocked" 
                     value="Entrar"
                    action="#{usuarioMB.doLogin}" />
                  <p:commandButton icon="ui-icon-mail-closed" 
                    value="Recuperar Senha"
                    action="#{usuarioMB.doLogin}" />
           </p:panelGrid>

     </h:form>
</h:body>
</html>

Listagem 6. login.xhtml

Temos ent�o quase todo mecanismo pronto:

A p�gina de login
A comunicaç�o do XHTML com o BO atrav�s do ManagedBean
As tabelas do banco e o mapeamento via JPA no Java da nossa classe Usuario
As validaç�es e convers�es no BO.

Falta agora o principal, que � criar o Filter para direcionar o usu�rio para o local certo, ent�o começaremos definindo o filter no arquivo web.xml, de acordo com a Listagem 7.


  <!--  login filter -->
  <filter>
      <filter-name>LoginFilter</filter-name>
      <filter-class>br.com.meuprojeto.LoginFilter</filter-class>    
  </filter>
  <filter-mapping>
      <filter-name>LoginFilter</filter-name>
      <url-pattern>/restricted/*</url-pattern>
  </filter-mapping>

Listagem 7. Definindo filter no web.xml

Acima estamos definindo duas coisas:

Dizemos atrav�s da tag que a nossa classe respons�vel por realizar o controle do filtro fica em br.com.meuprojeto.LoginFilter e chama-se LoginFilter.
Atrav�s da tag dizemos que o LoginFilter (definido atrav�s do ) deve interceptar todas as requisiç�es que passam por �/restricted/*�, ou seja, tudo que estiver dentro do diret�rio restricted ser� redirecionado para o LoginFilter que tomar� alguma decis�o ou simplesmente mandar� prosseguir com a requisiç�o. Este � o conceito chave, ent�o entenda que se voc� acessar �/restricted/paginabbbb.xhtml� automaticamente voc� ser� enviado para o LoginFilter, claro que de forma impercept�vel.

Ent�o finalmente nosso LoginFilter ser� como o da Listagem 8.


import java.io.IOException;
 
import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
 
import br.com.meuprojeto.mb.UsuarioMBImpl;
 
public class LoginFilter implements Filter {
 
     public void destroy() {
               // TODO Auto-generated method stub

     }

     public void doFilter(ServletRequest request, 
      ServletResponse response,
      FilterChain chain) throws IOException, ServletException {

               //Captura o ManagedBean chamado �usuarioMB�
               UsuarioMBImpl usuarioMB = (UsuarioMBImpl) 
               ((HttpServletRequest) request)
                 .getSession().getAttribute("usuarioMB");

               //Verifica se nosso ManagedBean ainda n�o 
               //foi instanciado ou caso a
               //vari�vel loggedIn seja false, assim saberemos que  
               // o usu�rio n�o est� logado
               if (usuarioMB == null || !usuarioMB.isLoggedIn()) {
                 String contextPath = ((HttpServletRequest) request)
                  .getContextPath();
                   //Redirecionamos o usu�rio imediatamente 
                   //para a p�gina de login.xhtml
                 ((HttpServletResponse) response).sendRedirect
                  (contextPath + "/login/login.xhtml");
               } else {
                      //Caso ele esteja logado, apenas deixamos 
                      //que o fluxo continue
                    chain.doFilter(request, response);
               }
     }

     public void init(FilterConfig arg0) throws ServletException {
       // TODO Auto-generated method stub

     }

}

Listagem 8. LoginFilter

Fizemos quest�o de mostrar toda a classe LoginFilter para que voc� possa perceber a sua totalidade. Veja que a �nica funç�o desta classe (neste exemplo simples) � mandar o usu�rio para a p�gina de login.xhtml ou mandar ele prosseguir com a requisiç�o atrav�s do �chain.doFilter�.

Recuperaç�o de senha

Como b�nus a este artigo, decidimos acrescentar mais um m�todo muito �til para que voc� possa implementar a geraç�o de novas senhas automaticamente. Como voc� est� trabalhando com senhas criptografadas em MD5, n�o h� a possibilidade de recuperar uma senha perdida, ou seja, aquela senha que o usu�rio por algum motivo esqueceu.

A �nica forma de acessar o sistema novamente � gerando uma nova senha para este usu�rio. Ent�o sugerimos o m�todo da Listagem 9, mas fique a vontade para adicionar a complexidade que achar necess�ria ao mesmo.


  public String gerarNovaSenha() {
    String[] carct = { "0", "1", "2", "3", "4", "5", "6", "7", "8", "9",
                "a", "b", "c", "d", "e", "f", "g", "h", "i", "j", "k", "l",
                "m", "n", "o", "p", "q", "r", "s", "t", "u", "v", "w", "x",
                "y", "z", "A", "B", "C", "D", "E", "F", "G", "H", "I", "J",
                "K", "L", "M", "N", "O", "P", "Q", "R", "S", "T", "U", "V",
                "W", "X", "Y", "Z" };
   
    String senha = "";
   
    for (int x = 0; x < 10; x++) {
         int j = (int) (Math.random() * carct.length);
         senha += carct[j];
   
    }
   
    return senha;
  }

Listagem 9. M�todo gerador de senhas

Voc� pode utilizar o m�todo acima gerando uma nova senha para o usu�rio e enviado ao seu e-mail ou mesmo mostrando diretamente na tela, o que n�o � muito seguro.

Com essa aplicaç�o � poss�vel criar uma sistema de login poderoso e robusto, obviamente que realizando algumas modificaç�es como, por exemplo, a adiç�o de �Perfis de Usu�rio�.

Veja como torna-se simples controlar o que o usu�rio est� fazendo com nosso LoginFilter, pois temos a URL para onde ele deseja ir, cabe a n�s decidir se ele deve ou n�o continuar. Poder�amos at� criar um log de todos os acessos em cada URL, na hora e minuto exato que ele acessou e muitos outros recursos.

Para finalizar, � importante salientar que existem outros m�todos para implementaç�o de um sistema de login, frameworks com o Spring Security ou o JAAS e etc. Mas um bom filter pode realizar tarefas t�o robustas quanto, s� depende do n�vel de complexidade adotado.

JSF Filter: Criando um sistema de login com criptografia MD5

Veja neste artigo como criar um sistema de login utilizando a criptografia MD5 e JSF 2.0 e Filter.

Construindo sistema de login

Recuperaç�o de senha

Artigos relacionados