Autenticação

A API do FitLocus utiliza autenticação baseada em tokens JWT (JSON Web Tokens) para proteger seus endpoints. Este guia explica como autenticar suas requisições e gerenciar sessões de usuário.

Visão Geral

O FitLocus implementa um sistema de autenticação robusto que:

Utiliza tokens JWT para autenticação stateless
Suporta autenticação via email/senha
Integra-se com Firebase Authentication para login social
Implementa controle de acesso baseado em funções (RBAC)
Gerencia sessões com expiração e renovação de tokens

Fluxo de Autenticação

1. Registro de Usuário

Para criar uma nova conta, utilize o endpoint de registro:

POST /users/register

Payload:

{
  "name": "Nome Completo",
  "email": "[email protected]",
  "password": "senha123",
  "userType": "ALUNO", // ou "PERSONAL"
  "requestLocation": "APP", // ou "WEB"
  "confirmed": true
}

Resposta:

{
  "user": {
    "id": 123,
    "name": "Nome Completo",
    "email": "[email protected]",
    "userType": "ALUNO"
  },
  "token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...",
  "userId": 123,
  "success": true
}

Para autenticar um usuário existente:

POST /users/login

Payload:

{
  "email": "[email protected]",
  "password": "senha123"
}

Resposta:

{
  "user": {
    "id": 123,
    "name": "Nome Completo",
    "email": "[email protected]",
    "userType": "ALUNO"
  },
  "token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...",
  "userId": 123,
  "success": true
}

Para autenticar usando o Firebase Authentication:

POST /users/firebase-login

Payload:

{
  "firebaseToken": "firebase-token-gerado-pelo-sdk"
}

Resposta:

{
  "user": {
    "id": 123,
    "name": "Nome Completo",
    "email": "[email protected]",
    "userType": "ALUNO"
  },
  "token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...",
  "userId": 123,
  "success": true
}

Utilizando o Token JWT

Após autenticar, você receberá um token JWT que deve ser incluído em todas as requisições subsequentes no cabeçalho Authorization:

Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...

Exemplo de requisição autenticada:

curl -X GET \
  'http://localhost:8080/api/users/profile' \
  -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...'

Estrutura do Token

O token JWT contém as seguintes claims:

{
  "sub": "123", // ID do usuário
  "name": "Nome Completo",
  "email": "[email protected]",
  "userType": "ALUNO", // ou "PERSONAL"
  "iat": 1619712000, // Timestamp de emissão
  "exp": 1619798400 // Timestamp de expiração
}

Renovação de Token

Os tokens JWT têm validade de 24 horas. Para renovar um token antes que expire, utilize o endpoint:

POST /users/refresh-token

Cabeçalho:

Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...

Resposta:

{
  "token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...",
  "success": true
}

Logout

Para invalidar um token (logout):

POST /users/logout

Cabeçalho:

Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...

Resposta:

{
  "message": "Logout realizado com sucesso",
  "success": true
}

Controle de Acesso

O FitLocus implementa controle de acesso baseado em funções (RBAC) utilizando o campo userType do usuário. Existem dois tipos principais de usuário:

ALUNO: Acesso a funcionalidades de execução de treinos e acompanhamento de progresso
PERSONAL: Acesso a funcionalidades de criação de treinos e gerenciamento de alunos

Endpoints protegidos verificam o tipo de usuário e aplicam as restrições de acesso apropriadas:

@PreAuthorize("hasRole('PERSONAL')")
@GetMapping("/students")
public ResponseEntity<List<UserDTO>> getStudents() {
    // Implementação...
}

Implementação no Frontend

Armazenamento do Token

No frontend, o token JWT deve ser armazenado no localStorage:

// Após login bem-sucedido
localStorage.setItem('token', response.data.token);
localStorage.setItem('user', JSON.stringify(response.data.user));

Interceptor de Requisições

Configure um interceptor para incluir automaticamente o token em todas as requisições:

// Exemplo com Axios
axios.interceptors.request.use(config => {
  const token = localStorage.getItem('token');
  if (token) {
    config.headers.Authorization = `Bearer ${token}`;
  }
  return config;
});

Verificação de Autenticação

Implemente um hook para verificar se o usuário está autenticado:

export const useAuth = () => {
  const [isAuthenticated, setIsAuthenticated] = useState(false);
  const [user, setUser] = useState(null);
  
  useEffect(() => {
    const token = localStorage.getItem('token');
    const userData = localStorage.getItem('user');
    
    if (token && userData) {
      setIsAuthenticated(true);
      setUser(JSON.parse(userData));
    }
  }, []);
  
  return { isAuthenticated, user };
};

Considerações de Segurança

HTTPS: Todas as comunicações com a API devem ser realizadas através de HTTPS para proteger o token JWT durante a transmissão.
Armazenamento Seguro: No frontend, o token deve ser armazenado de forma segura (localStorage para aplicações web, SecureStorage para aplicações móveis).
Expiração de Token: Os tokens têm validade limitada (24 horas) para mitigar riscos em caso de comprometimento.
Validação de Token: O backend valida a assinatura e a expiração de cada token em todas as requisições.
Proteção contra CSRF: A autenticação baseada em token JWT já oferece proteção contra ataques CSRF.

Troubleshooting

Erros Comuns

Código	Mensagem	Solução
401	Token inválido	Verifique se o token está sendo enviado corretamente no cabeçalho Authorization
401	Token expirado	Renove o token utilizando o endpoint /users/refresh-token
403	Acesso negado	Verifique se o usuário tem permissão para acessar o recurso
400	Credenciais inválidas	Verifique se o email e senha estão corretos

Depuração

Para depurar problemas de autenticação:

Verifique se o token está sendo enviado corretamente no cabeçalho Authorization
Decodifique o token JWT em jwt.io para verificar as claims
Verifique se o token não está expirado
Confirme se o usuário tem as permissões necessárias para acessar o recurso

Introdução

Usuários

Exercícios

Treinos

Personal-Aluno

Pagamentos

Autenticação

Autenticação

Visão Geral

Fluxo de Autenticação

1. Registro de Usuário

Utilizando o Token JWT

Estrutura do Token

Renovação de Token

Logout

Controle de Acesso

Implementação no Frontend

Armazenamento do Token

Interceptor de Requisições

Verificação de Autenticação

Considerações de Segurança

Troubleshooting

Erros Comuns

Depuração

Recursos Adicionais

​Autenticação

​Visão Geral

​Fluxo de Autenticação

​1. Registro de Usuário

​2. Login com Email e Senha

​3. Login com Firebase

​Utilizando o Token JWT

​Estrutura do Token

​Renovação de Token

​Logout

​Controle de Acesso

​Implementação no Frontend

​Armazenamento do Token

​Interceptor de Requisições

​Verificação de Autenticação

​Considerações de Segurança

​Troubleshooting

​Erros Comuns

​Depuração

​Recursos Adicionais

Autenticação

Visão Geral

Fluxo de Autenticação

1. Registro de Usuário

2. Login com Email e Senha

3. Login com Firebase

Utilizando o Token JWT

Estrutura do Token

Renovação de Token

Logout

Controle de Acesso

Implementação no Frontend

Armazenamento do Token

Interceptor de Requisições

Verificação de Autenticação

Considerações de Segurança

Troubleshooting

Erros Comuns

Depuração

Recursos Adicionais