Un compte désactivé — exercice corrigé de Spring Boot : écrire le serveur (école d'ingénieur) (chapitre 8)

Un compte désactivé

Sécuriser l'application · niveau 1 (application)

Énoncé

Ajouter un compte stagiaire, de rôle ADMIN mais désactivé (actif = false). Que reçoit-il, même avec le bon mot de passe ? Où le décide-t-on ?

Corrigé

Le compte, ajouté à data.sql avec false dans la colonne actif, reçoit 401 :


$ curl -i -u stagiaire:stage-2026 http://localhost:8000/api/moi
HTTP/1.1 401
WWW-Authenticate: Basic realm="Librairie du Campus"
Content-Type: application/problem+json;charset=UTF-8
Content-Length: 171

{"status":401,"title":"Authentification requise","detail":"Identifiez-vous pour accéder à cette ressource.","erreur":"Identifiez-vous pour accéder à cette ressource."}

La décision est prise par ComptesDuPersonnel, qui transmet disabled(!u.isActif()) ; Spring Security refuse l'authentification d'un compte désactivé (DisabledException), avant même de vérifier le mot de passe. Désactiver un compte plutôt que le supprimer garde la trace de ce qu'il a fait.