Security — autorizações¶

Collection: authorizations. Database: nome igual ao tenant no MultiTenantFactory. A integração Keycloak guarda parte das credenciais fora do Mongo; a entidade Authorization não contém campos de senha ou client secret.

Modelos visuais¶

Autorização e política OIDC¶

external e validation são objetos embutidos.

Autorização e política OIDC; visão simplificada em tema escuro.

Explorar diagramas detalhados com zoom

Legenda e convenções dos modelos. Os dicionários e evidências desta página permanecem a referência dos campos.

%%{init: {"theme":"base","themeVariables":{"fontFamily":"Arial, sans-serif","fontSize":"16px","lineColor":"#64748b","primaryTextColor":"#172b4d"},"flowchart":{"htmlLabels":true,"useMaxWidth":true,"nodeSpacing":28,"rankSpacing":38,"padding":14,"curve":"linear","subGraphTitleMargin":{"top":12,"bottom":16}},"sequence":{"useMaxWidth":true,"actorMargin":28,"width":145,"height":45,"diagramMarginX":32,"diagramMarginY":12,"messageMargin":24,"wrap":true,"mirrorActors":false},"themeCSS":".edgeLabel, .edgeLabel p {background-color:var(--diagram-surface)!important;color:var(--diagram-text)!important}\n.cluster rect {fill:var(--diagram-group)!important;stroke:var(--diagram-line)!important}\n.cluster-label span, .cluster-label text {color:var(--diagram-text)!important;fill:var(--diagram-text)!important}\n.flowchart-link, .actor-line {stroke:var(--diagram-line)!important}\nmarker path {fill:var(--diagram-line)!important;stroke:var(--diagram-line)!important}\n.actor {fill:var(--diagram-domain)!important;stroke:var(--diagram-domain-border)!important}\ntext.actor, .messageText, .loopText, .labelText {fill:var(--diagram-text)!important}\n.messageLine0, .messageLine1, .loopLine {stroke:var(--diagram-line)!important}\n.labelBox {fill:var(--diagram-surface)!important;stroke:var(--diagram-line)!important}\n.note {fill:var(--diagram-async)!important;stroke:var(--diagram-async-border)!important}\n.noteText {fill:var(--diagram-text)!important}\n.nodeLabel, .nodeLabel p, .nodeLabel span {color:var(--diagram-text)!important}\n.node .nodeLabel, .node .nodeLabel p {font-size:17px;font-weight:600;line-height:1.4;text-align:center}\n.nodeLabel small {display:inline-block;margin-top:4px;font-size:15px;font-weight:400;line-height:1.4;color:var(--diagram-description)!important}\ntext.actor, text.actor tspan {font-size:17px;font-weight:600}\n.node.entry rect, .node.entry polygon, .node.entry path, .node.entry circle {fill:var(--diagram-entry)!important;stroke:var(--diagram-entry-border)!important}\n.node.domain rect, .node.domain polygon, .node.domain path, .node.domain circle {fill:var(--diagram-domain)!important;stroke:var(--diagram-domain-border)!important}\n.node.security rect, .node.security polygon, .node.security path, .node.security circle {fill:var(--diagram-security)!important;stroke:var(--diagram-security-border)!important}\n.node.store rect, .node.store polygon, .node.store path, .node.store circle {fill:var(--diagram-store)!important;stroke:var(--diagram-store-border)!important}\n.node.async rect, .node.async polygon, .node.async path, .node.async circle {fill:var(--diagram-async)!important;stroke:var(--diagram-async-border)!important}\n.node.external rect, .node.external polygon, .node.external path, .node.external circle {fill:var(--diagram-external)!important;stroke:var(--diagram-external-border)!important}\n text.actor tspan, .loopText tspan, .labelText tspan, .messageText tspan, .noteText tspan {fill:var(--diagram-text)!important}\n\n"}}%%
flowchart LR
    auth["authorizations<br/><small>Configuração e tipo</small>"]:::store
    keycloak(["Keycloak<br/><small>Realms e clients</small>"]):::external
    external["external<br/><small>OIDC · documento embutido</small>"]:::security
    auth -->|clientId / keycloakClientId| keycloak
    auth -->|Embutido| external
    classDef security stroke-width:1.5px;
    classDef store stroke-width:1.5px;
    classDef external stroke-width:1.5px;

Tipos: BASIC, API_KEY, OAUTH2_PROVIDED, OAUTH2_EXTERNAL. expectedHeader configura o header esperado. external contém URL OpenID, issuer, audience e flags validation.{iss,aud,exp,iat,nbf}. Flags booleanas representam política de validação, não resultados de autenticação.

O repository insere, substitui e exclui por _id; consulta clientId, texto e tipo, com paginação/ordenação. existsByClientId é uma checagem de aplicação; não há índice secundário unique correspondente declarado neste repository. Não há TTL ou versionamento por revisão. Atualização/exclusão emitem hooks de invalidação; exclusão consulta referências no Core e precisa coordenar efeitos no Keycloak.

Fontes: seleção do banco, repository, serviços e credenciais. Consulte ownership para referências a autorizações de outro tenant.

A criação exige name não vazio e type não nulo em CreateAuthorizationDTO. Requisitos adicionais dependem do tipo (por exemplo, usuário/senha de BASIC). Isso não torna credenciais campos da collection: os handlers tratam a identidade no provedor externo. A nulabilidade Java abaixo não substitui essas validações de entrada.

Dicionário de documentos¶

Os nomes BSON abaixo respeitam @BsonId/@BsonProperty. A nulabilidade descreve o tipo Java, não uma validação de schema Mongo. Valores iniciais Java precedem os construtores e serviços; os defaults de criação e invariantes estão descritos acima. Referências anuláveis não significam que a API aceite omiti-las em todas as operações. Campos de mapas/documentos livres não possuem schema fechado no modelo.

Propriedades calculadas expostas por getters públicos são identificadas separadamente: fazem parte da superfície do codec POJO, não do estado independente da entidade. @BsonIgnore é respeitado. A representação UUID depende da configuração do codec; os tipos de transporte JSON não substituem os tipos BSON.

Collection / documento raiz	Modelo
`authorizations`	Authorization

authorizations — Authorization¶

Authorization.

Campo BSON	Tipo Java / estrutura	Representação	Nulabilidade / valor inicial
`_id`	ObjectId	ObjectId	Identificador BSON; tipo e geração conforme o ciclo de criação
`type`	AuthorizationType	enum string	Referência anulável; inicial Java: `null`
`name`	String	string	Referência anulável; inicial Java: `null`
`clientId`	String	string	Referência anulável; inicial Java: `null`
`keycloakClientId`	String	string	Referência anulável; inicial Java: `null`
`expectedHeader`	String	string	Referência anulável; inicial Java: `null`
`external`	OAuth2ExternalDetails	documento embutido	Referência anulável; inicial Java: `null`
`createdAt`	Instant	data/hora	Referência anulável; inicial Java: `null`
`updatedAt`	Instant	data/hora	Referência anulável; inicial Java: `null`

Exemplo de estrutura¶

Fragmento derivado dos campos do modelo vinculado acima, com valores substituídos por identificadores/textos sintéticos e data fixa. Não é um payload de criação nem um documento completo. ObjectId/data usam notação Extended JSON; nenhum dado de ambiente foi copiado.

{
  "_id": {
    "$oid": "000000000000000000000001"
  },
  "type": "BASIC",
  "name": "exemplo-sanitizado",
  "clientId": "exemplo-id"
}

Estruturas embutidas, herança e enums¶

Estes tipos não criam collections próprias. Quando uma entidade raiz aparece dentro de um snapshot, a mesma estrutura é embutida naquele caminho. Tipos de elementos de arrays e valores de mapas estão vinculados nas tabelas.

OAuth2ExternalDetails¶

entity/OAuth2ExternalDetails.java.

Campo BSON	Tipo Java / estrutura	Representação	Nulabilidade / valor inicial
`openIdInfoUrl`	String	string	Referência anulável; inicial Java: `null`
`expectedIssuer`	String	string	Referência anulável; inicial Java: `null`
`audience`	String	string	Referência anulável; inicial Java: `null`
`validation`	OAuth2ValidationConfig	documento embutido	Referência anulável; inicial Java: `null`

OAuth2ValidationConfig¶

entity/OAuth2ValidationConfig.java.

Campo BSON	Tipo Java / estrutura	Representação	Nulabilidade / valor inicial
`iss`	boolean	boolean	Primitivo não nulo; inicial Java: `false`
`aud`	boolean	boolean	Primitivo não nulo; inicial Java: `false`
`exp`	boolean	boolean	Primitivo não nulo; inicial Java: `false`
`iat`	boolean	boolean	Primitivo não nulo; inicial Java: `false`
`nbf`	boolean	boolean	Primitivo não nulo; inicial Java: `false`

AuthorizationType¶

enums/AuthorizationType.java.

Valores: BASIC, API_KEY, OAUTH2_PROVIDED, OAUTH2_EXTERNAL.