DDDにおける認可の扱いとKotlinにおける実装パターン / authorization-for-ddd-and-kotlin-implement-pattern

Slide 1

Slide 1 text

Slide 2

Slide 2 text

2 2 ©2024 Loglass Inc. 株式会社ログラス開発部エンジニア村本雄太 / Yuta Muramoto (@urmot2) 自己紹介株式会社ログラスでLoglass⼈員計画という新規プロダクトの開発をしています。普段はKotlin + SpringBootで開発しており、Kotlin Festでは「認可 x DDD」という内容でプロポーザルを出したが、お⾒送りになったので、今回リベンジさせてもらいます。

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Slide 8

Slide 8 text

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Slide 11

Slide 11 text

11 11 ©2024 Loglass Inc. しかし彼らはモデルには明確な制限があって、それ以上に広げすぎては行けないということを理解していなかった。その結果、セキュリティや権限の情報をコラボレーションモデルに組み込んでしまうという、間違いを犯してしまった。 (中略)  つまりそれは、二つのモデルをひとつに混ぜ込んでしまうということだ。程なく彼らも気がついた。この混乱する状況は、セキュリティについての関心事をコアドメインに混ぜ込んだことに起因するものである。まさにコアビジネスロジックのど真ん中で、開発者がクライアントの権限をチェックしてからリクエストを処理していたのだ。    by 実践ドメイン駆動設計第2章「ドメイン、サブドメイン、境界づけられたコンテキスト」   DDDにおける認可について

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Slide 18

Slide 18 text

18 18 ©2024 Loglass Inc. 認可のベストプラクティスでは？承認はすべてのアプリケーションにとって重要な要素ですが、ユーザーにはほとんど見えません。   また、通常はコア機能やビジネスロジックとは無関係です。  https://www.osohq.com/academy/what-is-authorization   上記にはさまざまな順列や組み合わせがありますが、ほとんどのアプリケーションでは通常、次の設定をお勧めします。     1. 認証を処理するには、ID プロバイダーを使用します。   2. アプリケーション自体で認証を強制します。   3. 承認インターフェースを追加して、承認ロジックをアプリケーションコードから分離します。   https://www.osohq.com/academy/what-is-authorization  

Slide 19

Slide 19 text

Slide 20

Slide 20 text

Slide 21

Slide 21 text

Slide 22

Slide 22 text

Slide 23

Slide 23 text

Slide 24

Slide 24 text

Slide 25

Slide 25 text

Slide 26

Slide 26 text

Slide 27

Slide 27 text

Slide 28

Slide 28 text

Slide 29

Slide 29 text

Slide 30

Slide 30 text

Slide 31

Slide 31 text

Slide 32

Slide 32 text

Slide 33

Slide 33 text

Slide 34

Slide 34 text

34 34 ©2024 Loglass Inc. まとめ認可ロジックはコアドメインから分離する！ ● IDDD本でも、Oso Authorization Academyでも認可ロジックの分離を推奨しています   ● 認可ロジックを分離する方法として以下を紹介しました   a. 共通interfaceパターン   b. Authorizedモナド  ● 認可ロジックは取得系のほうが考えることが多く難しいです   ● Spring Securityなどのライブラリを利用することでうまく分離可能な場合もあります   ● ユースケースやプロダクトの状況に合わせて最適な実装方法を選択する必要は依然としてある  

Slide 35

Slide 35 text