Eu devo gerar um Admin Initializer? 👀

[andrefelipebarros]

Dúvida: Devo criar um Comando para Gerar o Admin Automaticamente com Senhas Aleatórias?

Contexto

Estou considerando a implementação de um comando que cria um usuário admin automaticamente na primeira execução da aplicação. A ideia é garantir que sempre haja um usuário admin disponível no sistema sem a necessidade de criá-lo manualmente. A senha seria gerada de forma aleatória para maior segurança.

Aqui está o código que pensei em usar:

Código Proposto

import org.springframework.boot.CommandLineRunner;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.stereotype.Component;
import java.security.SecureRandom;
import java.util.Locale;
import java.util.Objects;
import java.util.Random;

@Component
public class AdminInitializer implements CommandLineRunner {

    private final UserRepository userRepository;
    private final PasswordEncoder passwordEncoder;

    public AdminInitializer(UserRepository userRepository, PasswordEncoder passwordEncoder) {
        this.userRepository = userRepository;
        this.passwordEncoder = passwordEncoder;
    }

    @Override
    public void run(String... args) {
        if (userRepository.findByUsername("admin").isEmpty()) {
            String password = generateRandomPassword(12); // Gerar senha aleatória de 12 caracteres
            User admin = new User();
            admin.setUsername("admin");
            admin.setPassword(passwordEncoder.encode(password)); // Senha criptografada
            admin.setRole(Role.ROLE_ADMIN);
            userRepository.save(admin);
            System.out.println("Usuário admin criado com a senha: " + password);
        }
    }

    // Método para gerar uma senha aleatória
    private String generateRandomPassword(int length) {
        String characters = "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789!@#$%^&*()_+";
        Random random = new SecureRandom();
        StringBuilder password = new StringBuilder(length);
        for (int i = 0; i < length; i++) {
            password.append(characters.charAt(random.nextInt(characters.length())));
        }
        return password.toString();
    }
}

O que o código faz:

1. Verifica se o usuário "admin" já existe no banco.
2. Se não existir, gera uma senha aleatória de 12 caracteres.
3. Cria o usuário admin com a senha gerada e a criptografa.
4. Atribui o role ROLE_ADMIN.
5. Salva o usuário admin no banco de dados.
6. Imprime no console a senha gerada para o admin.

Perguntas:

• Devo implementar esse comando para gerar automaticamente o usuário admin?

  • Isso seria útil em um ambiente de desenvolvimento ou teste, mas pode não ser ideal em um ambiente de produção.

• Caso eu use senhas aleatórias, qual seria o melhor processo para garantir a segurança das senhas geradas? Como garantir que a senha seja segura o suficiente?

• Devo evitar que a senha aleatória seja exibida no console ou seria aceitável exibi-la em um cenário de teste?

• Existe alguma outra abordagem que poderia ser mais segura ou mais adequada para criar o usuário admin?

Gostaria de saber se essa abordagem faz sentido ou se seria melhor criar o usuário admin de outra forma.

[gavar-dev]

Eu acho que uma ideia interessante, até pq assim a api pode sempre esta atualizada com os dados mais atuais do jogo. Podemos criar uma página onde a pessoa pode adicionar o personagem no banco de dados.

[gavar-dev]

Seria um uma atribuição específica para o usuário "admin".

[andrefelipebarros]

Como tem a dependência do Spring Security, precisamos acessar a api através de um login, com o spring security eu posso colocar se aquela url pode ser ou não acessada por um user normal ou por um admin somente.

Minha pergunta é se eu faço sempre que buildar o projeto gerar um admin e uma senha aleatória para usarmos, ou se eu devo criar um admin com senha específicas.

[andrefelipebarros]

Devo criar um login de admin com senha aleatória?

[gavar-dev]

Sim 👍

[andrefelipebarros]

Beleza vou providenciar e depois podemos dar uma olhada junto no discord.