Всем привет! Я задался вопросом о том, что полезного может получить айтишник от приобщения к современному искусству. В тексте результаты моих размышлений. Если есть интерес к теме – приглашаю к дискуссии.

Чувство прекрасного

Начнем с простого и тривиального – это эстетическая составляющая искусства. Не буду пускаться в размышления о том, насколько российский программист эстетически подкован. Тема веселая, но сильно спекулятивная и неоднозначная. Согласимся, что, как и любому человеку, программисту эстетический вкус точно не помешает. Самое время для фразы «я просто оставлю это здесь». Ниже — мнение с одного из иностранных форумов по поводу особенностей российских разработчиков. Интересный образчик мнения со стороны. Я просто оставлю это здесь:

«Их миссия в жизни, кажется, состоит в том, чтобы использовать наиболее интеллектуально превосходный метод решения любой задачи и продемонстрировать это. Кажется, что у всех людей справа от бывшего железного занавеса есть этот фетиш: абстрактная наука и математика. Если есть что-то связанное с алгоритмами, то они напишут самый потрясающий код, используя самые сильные знания в CS. Однако они никогда не отличались эстетическим чувством, поэтому UI / UX — это то, в чем они не особо хороши. Их код выглядит как их язык — кратко, остро и по существу. Красиво — но как бульдозер, а не как Porsche. Если вам нужно решить сложные проблемы, то их код будет лучшим. Если вы хотите создать хорошо продаваемый продукт, то, возможно, вам нужны специалисты из других стран в вашей команде, чтобы уравновесить их великолепие».

Если отбросить рассуждения о том, что в жизни всегда должно быть место для прекрасного и оставить только жесткие формулировки, то для того, чтобы создать качественный продукт, видимо, все-таки придется прокачать модули «эстетического» восприятия. Искусство тебе в помощь. И современное в том числе. Ты же современный человек.

Пространство неизвестного

Что изображено на этой картине? Непонятно. Но стоит она $80 млн.

Можно уметь воспринимать непонятное, и тогда ты критически относишься к себе – допускаешь диалог. А можно не уметь.

Если в голове нет модуля, отвечающего за восприятие «непонятного», то ты работаешь в режиме «я – самый умный». То есть только ты знаешь, как правильно. Результатом такой работы может являться продукт, имеющий серьезные дефекты. Например, могут возникать проблемы с масштабированием. Ты можешь написать гениальный код, потому что ты – гений и знаешь, как выполнить задачу нестандартно. Но масштабировать готовый продукт будешь не ты, а какой-нибудь индус, который, разумеется, оценит твою гениальность, но разобраться с твоим кодом ему будет сложно. Так может быть, заказчику проще сразу нанять команду индусов? Вместо тебя одного. В конечном счете это может быть выгоднее.

Если ты даешь шанс непонятному, то имплицитно готов к уступкам в виде чужого мнения или знания, которым пока не обладаешь. В этом смысле современное искусство – это лекарство от вульгарного индивидуализма. Есть то, что ты не понимаешь? Хорошо. Ты отдаешь себе отчет в том, что у того, что ты не понимаешь, может быть смысл? Замечательно. Продолжаем работать.

Важно оставлять в голове пространство для непонятного, потому что наличие этого пространства является конкурентным преимуществом — если ты знаешь, что есть то, чего ты пока не понимаешь, то ты готов к развитию и диалогу.

Современное искусство – это знак «неизвестного».

Определенный стиль мышления

Современное искусство развивается там, где его покупают. Разумеется, основными покупателями работ современных художников являются люди достаточно обеспеченные, то есть те, кто могут позволить себе приобрести то, что еще недавно было экспонатом на выставке. Здесь следует обратить внимание на важную деталь – то, что сейчас называется «современным искусством» появилось и быстро развивалось именно в западных странах, а его потребителями (читай — покупателями) становились люди с определенным стилем мышления, выработанным под действием специфических культурных практик. Одной из причин крайней популярности современно искусства на Западе является то, что основными потребителями современного искусства являются те люди, которых оно отсылает к их же способу существования. Это вопрос определенного когнитивного стиля. В тех странах, где современное искусство развивается быстро и эффективно, доминируют своеобразные модели поведения, закрепленные формальными и неформальными институтами – культурой и формальными правилами социальной игры. Особенностью этих моделей поведения является то, что они способствуют эффективности именно в этой социальной системе – они заточены под то, чтобы приводить человека к успеху именно в обществе с такой структурой формальных и неформальных правил. Успех – это деньги, слава, уважение и другие приятные бонусы к существованию. У всего этого есть своя цена.

Именно в этой социальной системе для того, чтобы быть эффективным, нужно создать нечто новое — чтобы заработать деньги, люди должны создавать то, чего еще не было, удержаться в процессе создания новшества и не останавливаться в случае неудачи. Разумеется, это довольно сложно и требует поддержки в виде культурного фона. Интенция на новшество создает специфическую культуру, спутником которой является и определенный когнитивный стиль. Эти люди проходили через «мясорубку поиска» — это постоянная трансгрессия существования, включающая риск и обязательные издержки в виде времени, неудач, постоянных попыток создания того, чего еще не было. Это непрекращающееся поиск, который в конечном счете приводит к позитивному результату. Либо не приводит. Но если результат есть, то человек приходит на выставку в галерею современного искусства и эти странные объекты отсылают его к тому, что является его способом существования, они отсылают к его жизни и, возможно, его ностальгии. В этом случае объект современного искусства – это знак определенного стиля мышления, знак, который отсылает к вполне определенной антропологической практике.

Вот только эта практика характерна лишь для некоторых обществ – тех, развитие которых основано на создании инноваций. В других обществах современное искусство приобретает скорее симулятивный характер, а объекты современного искусства являются лишь статусными приобретениями или попыткой имитировать этот способ существования.

Любимым примером институциональных экономистов является самый богатый человек Мексики – Карлос Слим. Аджемоглу и Робинсон сравнивают Карлоса Слима и Билла Гейтса (на момент написания книги «Почему одни страны богатые, а другие бедные» 1-е и 2-е место в списке самых богатых людей мира). Билл Гейтс является основателем крупнейшей инновационной компании, он начал свой путь с создания программного обеспечения. Мексиканец Карслос Слим заработал свои деньги не благодаря собственным изобретениям – он их заработал благодаря знакомствам в высших эшелонах власти, что позволило ему стать мексиканским королем госзаказа и создать свою монополию при помощи крайне высоких барьеров входа для конкурентов.

Экономические институты США и Мексики сильно различаются. В США доминируют так называемые инклюзивные институты, которые позволяют большинству людей свободно и эффективно заниматься экономической деятельностью. В Мексике доминируют экстрактивные институты, которые исключают большинство людей из пространства дележки. То, что позволило Карлосу Слиму заработать свои миллиарды в Мексике, не сработало в США: когда он попытался выйти на рынок США, то потерпел поражение – социальные связи больше не работали.

Однако различие в экономических институтах – это только видимое различие. Они влекут за собой и различия в моделях поведения, а в конечном счете и в отборе доминирующих когнитивных стилей. Для того, чтобы преуспеть, например, в США нужно уметь создавать новое. Для того, чтобы преуспеть в Мексике, нужно уметь играть в социальные игры и грамотно ограничивать доступ к ресурсам другим людям. Эти модели поведения сильно различаются. Знаком первой из этих моделей как раз и является современное искусство. Другими словами, современное искусство – это игра не для всех обществ. Да, представители обществ с доминированием экстрактивных институтов могут включаться в эту игру, но это будет симулятивной практикой без отсылки к их когнитивным особенностям и их способу существования. Карлос Слим является крупнейшим филантропом Мексики – он построил музей искусства в Мехико. Но для него это лишь символический «отмыв» денег, попытка мимикрировать под западных предпринимателей, самостоятельно построивших новый продукт. Дело не только в разнице экономических институтов, но и в разнице доминирующих когнитивных стилей элит.

Если теперь мы обратимся к России, то какие институты доминируют здесь? Можно смягчить вопрос: какие институты доминировали еще недавно? Как в России в основном зарабатывается большой капитал? Какой когнитивный стиль доминирует здесь? Что, на твой взгляд, в современной России важнее: навык создания нового продукта или навык заведения полезных знакомств? Какой из этих навыков поддерживается культурными кодами?

Возможно, в России деньги и статус зарабатываются не так, как они зарабатываются на Западе; людьми, которые имеют другой когнитивный стиль. Это значит, что между элитами могут быть фундаментальные различия в способах существования. В этом случае современное искусство – это знак определенного стиля мышления, дефицитного для России. В России не все хорошо с совриском, потому что современное искусство не отсылает его потенциальных потребителей к их опыту. Это вопрос доминирующих правил социальной игры и отбора стиля мышления, наиболее подходящего под эти правила.

Зачем программисту современное искусство? Затем, чтобы напомнить о своем способе существования – своих проектах, своей эпохе «бури и натиска». Современное искусство – это актуализация индивидуального существования. Если у тебя нет знакомого заместителя министра, то все зависит только от тебя. Дерзай. И возможно, когда-нибудь тебе захочется зайти в галерею и купить этот странный объект, который отошлет тебя к тому тебе, которым ты был, когда проходил через свою «мясорубку поиска». Мир меняется, Россия меняется, правила игры тоже меняются.

Знак определенного институционального окружения

Современное искусство – это пространство перманентной трансгрессии, то есть выхода за границы стандартного существования. Для того, чтобы можно было выйти за некоторый границы эти границы должны существовать. Современное искусство наиболее активно развивается в правовых обществах, где жизнь человека формируется некоторыми формальными правилами, нарушение которых наказывается законом. Если подобные ограничения существуют, то появляется и ценность в снятии этих ограничений. По крайней мере символическая. Эту функцию и выполняет современное искусство. И это – одна из важнейших функций современного искусства. В этом смысле оно играет ту же роль, что древние языческие ритуалы, проводимые раз в год. Раз в год нарушалось правило, на нарушение которого действовало табу.

Однако в странах без доминирования правовых отношений подобная практика является лишней. Какой смысл в знаке выхода за границы возможного, если можно все? Подобная практика ни к чему не отсылает. В этих условиях современно искусство теряет свой смысл. Если человек из правового общества приходит в галерею современного искусства, то что он видит? Он видит выход за границы возможного. По крайней мере, пытается найти этот смысл, имплицитно содержащийся в объекте искусства. Если в галерею современного искусства приходит человек из неправового общества – что он видит? Ничего. Или что-то странное, что по каким-то причинам люди покупают за большие деньги. Нет правил – нет потребности в символическом выходе за их пределы. Нет потребности выхода за границы – нет современного искусства.

Поэтому современное искусство отсылает не только к определенному когнитивному стилю, но и к определенному институциональному окружению. В неправовых обществах современное искусство развивается плохо, потому что из трансгрессивного механизма превращается в симулятивный конструкт.

Если нет фиксированных правил и нет потребности в деформации границ существующих правил, то может наблюдаться инфляция идеи современного искусства.

Пространство перманентной инновации

То, что называется «современным искусством», является объективацией перманентной инновации. Основой современного искусства является идея создания новшества. Принципиальным отличием современного искусства от искусства классического является то, что классическое искусство изображало реальный объект. Например, пейзаж, натюрморт или портрет. Классическое искусство – это фокус на изображении реального или близкого к реальному объекту. Современное искусство играет в другие игры. Его задача создать не подобие реального объекта, а то, чего еще не было.

Почему мы вешаем на стенах своих квартир картины, на которых изображены солнечные лесные опушки? Эволюционная эстетика подсказывает: потому что срабатывают древние инстинкты тех времен, когда наши предки по опушкам селились и корнеплоды собирали. А в чащу им нельзя было. Там – съедят. Сегодня смотрит гоминид с развитыми лобными долями на солнечную опушку на стене и инстинктивно радуется – вспоминает родные просторы. Классическое искусство должно доставлять удовольствие. Современное искусство – это совсем другая история.

Если проводить параллели с экономикой, то близкими к современному искусству окажутся такие явления, как «созидательное разрушение», выход из «алого океана» и другие модели, в фокусе которых создание новшества и деформация прежней структуры. Другими словами, современное искусство – это объективация того, что позволяет западной культуре демонстрировать высокие темпы создания инноваций.

Современное искусство становится пространством специфической антропологической практики. В данном контексте можно даже не понимать это самое современное искусство – важно лишь определить условие его существования и поместить себя в это специфическое пространство. Ты приходишь на выставку, тебя окружают экспонаты, смысл которых тебе часто непонятен, но ты знаешь, что основанием окружающего тебя является постоянный поиск нового, объективация этого поиска. Такая практика способствует появлению модели поведения, в основе которой как раз и лежит постоянный поиск возможности для создания новшества.

Можно быть профессионалом, а можно обладать навыком создания нового продукта. И это не одно и то же. Постоянный поиск вариантов создания того, чего еще не было – это специфическая модель поведения. И эта модель отличается от той, которая позволяет создавать пусть и гениальные в качестве своего исполнения, но все же симуляции уже существующего. В борьбе за новый цифровой продукт важным навыком становится способность генерировать новые идеи, на основе которых создается новшество. Поэтому для современного IT-специалиста полезной практикой оказывается погружение в пространство «перманентной инновации», которым является современное искусство. Это погружение помогает выработать специфическую модель поведения. Здесь речь идет не только о поиске вдохновения, которое может вдруг подкинуть идею во время неспешной прогулки вдоль стены со странными образами, но о сознательной выработке полезной модели поведения. Это как регулярные занятия спортом.

Галерея современного искусства – это не столько объекты, сколько место объективации процесса создания новшества. Поэтому важно воспринимать современное искусство как антропологическую практику. Это полезная практика для специалистов в области цифровых технологий, потому что новый цифровой продукт, ориентированный, прежде всего, на широкого потребителя, создается в условиях сверхконкурентных рынков, где преимуществами являются способность быстро реагировать на изменения в потребностях людей и способность генерировать идеи для создания новых продуктов.

P.S.

Надеюсь, я убедил тебя отбросить предубеждения относительно современного искусства и начать относится к нему чуть более благосклонно.

Уильяма Шекспира знают без малого все. Не только в Британии, но и во всем мире. Это поэт №1.

А кто знает Александра Поупа? Британцы изучают его в университетах, но мы уверены, что среди читателей Хабра с его творчеством знакомы очень немногие. Поуп — это второй по цитируемости поэт в английском языке, автор переводов Гомера и создатель целого ряда идиом, которые сегодня считаются «народными».

А дядька-то на самом деле был очень крут. Поэтому сегодня расскажем именно о нем.

Александр Поуп: поэт, переводчик и просто душнила

Согласно с данными The Oxford Dictionary of Quotations, Александр Поуп — это второй англоязычный поэт по цитируемости в мире. Но многие используют его афоризмы и идиомы, даже не зная имени автора. 

Он жил в XVII-XVIII веке, но его сатира остается актуальной и по сегодня, а его переводы «Илиады» и «Одиссеи» Гомера и сегодня изучают на филологических факультетах в британских вузах.

Интересно, что Поуп достаточно вольно обошелся с оригиналами. Главное изменение — он полностью переписал произведение так называемым «героическим стихом». Он дает чуть больше творческой свободы в стихотворении, чтобы не привязываться к жесткой ритмике.

Послушайте, как звучит «Илиада» на английском. Обратите внимание на ритмику и рифмы.

Впрочем, подобные вольности пришлись не по вкусу многим литераторам. Ричард Бентли, британский критик и филолог, а также современник Поупа, писал ему: 

It is a pretty poem, Mr. Pope, but you must not call it Homer.

Это неплохая поэма, мистер Поуп, но вы должны перестать называть ее гомеровской. 

Но самое интересное в жизни Поупа началось, когда он стал писать сатирические поэмы, в которых высмеивал не только несовершенство общества, но и отдельных личностей. Причем под раздачу попадали не только одиозные персоны, но даже знакомые Поупа, с которыми он был во вполне приятельских отношениях.

Произведение «Опыт о критике» (An Essay on Criticism) буквально сделало неизвестного литератора одной из топовых фигур в британской поэзии. Он писал, что плохая критика наносит куда больше вреда, чем плохие стихи. 

Поуп в сатирической манере высмеивал критиков, которые настолько неквалифицированы, что не могут понять смыслов литературы и делают ошибочные выводы. И что более прискорбно — из-за низкой квалификации они не могут понять, что их выводы ошибочны. 

Tis hard to say, if greater Want of Skill
Appear in Writing or in Judging ill;
But, of the two, less dang’rous is th’ Offence,
To tire our Patience, than mis-lead our Sense:
Some few in that, but Numbers err in this,
Ten Censure wrong for one who Writes amiss;
A Fool might once himself alone expose,
Now One in Verse makes many more in Prose.

***

(Пер. А Субботина)
Не часто блещет мастерством пиит,
Равно и критик, что его хулит;
Однако лучше докучать стихом,
Чем с толку сбить неправедным судом.
Немало многогрешных там и тут,
Один скропает — десять оболгут;
Разоблачит себя невежда сам,
Коль пристрастится к виршам иль к речам. 

За жесткую сатиру над известными личностями Поуп получил прозвище The Wicked Wasp of Twickenham — Злобная оса Туикенема. Для справки: Туикенем — это пригород Лондона, где проживал писатель. 

Критикам не слишком понравились подобные изречения, поэтому Александр Поуп буквально вел с ними холодную войну. Историки утверждают, что когда он стал достаточно известным, то никуда не выходил без револьвера и своего немецкого дога. 

А учитывая, что сам Поуп был практически карликом (его рост был 137 см) из-за перенесенного туберкулеза костей, да и в целом довольно болезным, это повлияло также и на психическое здоровье писателя. Со временем его критика становилась все более жесткой, а он сам замыкался в себе.

После восстания якобитов в 1715 году Поуп начал критически отзываться также о политиках и государственных деятелях, из-за чего получил несколько высокопоставленных недоброжелателей. Поэмы The Rape of the Lock («Похищение локона»), The Dunciad («Дунсиада») и Moral Essays («Опыты о морали») считаются одними из наиболее смысловых произведений Поупа и английской литературы в целом.

Поуп настолько хорошо жонглировал словами, создавая новые смыслы, что многие из этих цитат ушли в народ и стали самостоятельными фразеологизмами. 

Топ-5 самых известных фраз Александра Поупа

Буквально на днях рассказывали об идиомах, но не привели ни одной от Поупа. А все потому, что их набралось на отдельный материал и мы захотели дать их все вместе. А если хотите почитать про идиомы еще, вот еще статья «Дурацкие идиомы английского языка, которые не имеют смысла (на первый взгляд)».

Damn with faint praise

Дословно переводится как «проклятье слабой похвалой». Так называют похвалу настолько нейтральную и бессмысленную, что она превращается в порицание. Это емкое словосочетание Поуп использовал в поэме Epistle to Dr Arbuthnot («Послание к доктору Арбутноту»).

К сожалению, единственный из известных переводов этого произведения на русский язык был создан в 1798 году, поэтому сильно устарел.

Чтобы было более понятно, что такое damn with faint praise, приведем пример:

I just love your dress! It really helps disguise your hips.

Мне очень нравится твое платье! Оно и правда помогает скрыть твои бедра.

Подруга вроде и похвалила платье, но при этом почти прямо сказала, что бедра у собеседницы не ахти.

Интересно, что в русском языке нет полноценного аналога этой фразы. Приблизительно по смыслу совпадает «начали за здравие, кончили за упокой», но это сильно приблизительно.  

A little learning is a dangerous thing

Прежде чем стать пословицей, эта фраза немного изменилась. Большинство носителей языка знают ее как «A little knowledge is a dangerous thing» — досл. «Полузнание — опасная вещь». В литературных адаптациях пословицу иногда передают как «Полузнание хуже незнания». 

Встретилась эта фраза в поэме «Опыт о критике». Именно здесь и дальше Поуп в очень остром сатирическом стиле высмеивает критиков, у которых недостаточно знаний. 

A little learning is a dangerous thing;
Drink deep, or taste not the Pierian spring;
There shallow draughts intoxicate the brain,
And drinking largely sobers us again.       

***

(пер. М.Бычков)
И полузнайство ложь в себе таит;
Струею упивайся пиерид:
Один глоток пьянит рассудок твой,
Пьешь много — снова с трезвой головой.

Сегодня практически никто из нейтивов не знает, что автор пословицы — Александр Поуп. А ею активно пользуются даже в популярной культуре:

Fools rush in where angels fear to tread

Дословный перевод — «Дураки лезут туда, куда ангелы ступить боятся». Это сложная контекстная пословица, которая при этом не несет осмотрительных смыслов. Когда вы говорите, что кто-то «rush in where angels fear to tread», то вы мягко журите его, ведь он ставит себя в опасное или неудобное положение, не думая о последствиях. Самый близкий аналог в русском — это «Дураку закон не писан», но английский вариант куда менее категоричен и груб. 

Встречаем эту фразу тоже в «Опыте о критике»:  

Name a new Play, and he’s the Poet’s Friend,
Nay show’d his Faults—but when wou’d Poets mend?
No Place so Sacred from such Fops is barr’d,
Nor is Paul’s Church more safe than Paul’s Church-yard:
Nay, fly to Altars; there they’ll talk you dead;
For Fools rush in where Angels fear to tread.

***

(пер. М.Бычков)
Неудержим хлыщей таких напор,
Не защищен от них не только двор
Собора Павла, но и сам собор:
У алтаря найдут и даже тут
Своею болтовней вас изведут.
Всегда туда кидается дурак,
Где ангел не решится сделать шаг.

И хоть в поэме это довольно острая и сатирическая поддевка, сегодня она воспринимается больше как дружеское подтрунивание насчет чей-то безрассудности или беспечности.

По традиции, пример из песни. На этот раз несравненного Элвиса (которая по факту является кавером на одноименный хит Фрэнка Синатры):

Fritter away

Идиома переводится как «растрачивать, разбазаривать, профукать». Впервые она была использована в поэме «Дунсиада», сатирическом произведении на манер «Илиады» Вергилия, но высмеивающим пороки английского общества. Поэма прославляет богиню Тупость и ее приспешников, которые завезли в Британию слабоумие и безвкусие.

К сожалению, полноценного перевода «Дунсиады» на русский нет. Поэтому приводим текст только на английском. А поэма очень острая. Вот прямо понятно, почему из-за нее так полыхало у многих англичан и почему у Поупа вдруг появилось довольно много врагов.

How random thoughts now meaning chance to find,
Now leave all memory of sense behind:
How Prologues into Prefaces decay,
And these to Notes are fritter’d quite away:
How index-learning turns no student pale,
Yet holds the eel of science by the tail:
How, with less reading than makes felons scape,
Less human genius than God gives an ape,
Small thanks to France, and none to Rome or Greece,
A past, vamp’d future, old revived, new piece,
’Twixt Plautus, Fletcher, Shakspeare, and Corneille,
Can make a Cibber, Tibbald, or Ozell.

Идиому действительно используют в разговорной речи и в художественной литературе, поэтому сразу добавьте ее в словарь для изучения.

I will not stand by, while you fritter away my family’s fortune.

Я не намерен больше смотреть, как ты проматываешь состояние моей семьи.

И как еще один пример — сингл практически неизвестной группы The New Faith, которая на сегодня уже и распалась:

Hope springs eternal

Буквально его можно перевести как «надежда существует вечно». А в русском языке для этой пословицы есть прекрасный эквивалент — «Надежда умирает последней». Английский вариант этой фразы впервые придумал именно Поуп в своей поэме «Опыт о человеке».  

Hope springs eternal in the human breast;
Man never Is, but always To be blest.
The soul, uneasy, and confin’d from home,
Rests and expatiates in a life to come.

***

(пер. М.Бычков)
Надежда в нашем сердце, как звезда;
Благословенье в будущем всегда,
На родину в томлении спеша,
Иную жизнь предчувствует душа.

В английском языке есть и выражение «hope dies last» — прямой перевод фразы «надежда умирает последней». Но вариант Поупа куда более литературный и благозвучный, поэтому многие носители предпочитают использовать именно его.   

И да, у нас есть музыкальные примеры практически на все идиомы и фразеологизмы в английском. Ловите песню датской пауэр-метал группы Pyramaze:

Александр Поуп — это крайне любопытный исторический пример того, как даже острейшая сатира, раздражающая многих, порождает множество пословиц и идиоматических выражений, которые уходят в народ. Да и вообще, именами персонажей Поупа названы три спутника Урана: Ариэль, Умбриэль, Белинда — из поэмы «Похищение локона». Какие еще писатели могут похвастаться подобным? Только Шекспир, который дал имена остальным двадцати четырем 🙂

Хотите учить английский с интересом и без скучных упражнений? Записывайтесь на бесплатный пробный урок с преподавателем и учите фразеологизмы на любой вкус.

Онлайн-школа EnglishDom.com — вдохновляем выучить английский через технологии и человеческую заботу

Только для читателей Хабра первый урок с преподавателем в интерактивном цифровом учебнике бесплатно! А при покупке занятий получите до 3 уроков в подарок!

Получи целый месяц премиум-подписки на приложение ED Words в подарок. Введи промокод april21 на этой странице или прямо в приложении ED Words. Промокод действителен до 01.06.2021.

Наши продукты:

• Учи английские слова в мобильном приложении ED Words

• Учи английский от А до Z в мобильном приложении ED Courses

• Установи расширение для Google Chrome, переводи английские слова в интернете и добавляй их на изучение в приложении Ed Words

• Учи английский в игровой форме в онлайн тренажере

• Закрепляй разговорные навыки и находи друзей в разговорных клубах

• Смотри видео лайфхаки про английский на YouTube-канале EnglishDom 

Перевод статьи подготовлен в рамках набора учащихся на курс «Разработчик на Spring Framework».

Приглашаем также всех желающих на открытый демо-урок «Конфигурация Spring-приложений». На занятии рассмотрим, как можно конфигурировать Spring Boot приложения с помощью свойств:
— properties vs. YAML
— @Value + SpEL
— @ConfigurationProperties
— Externalized конфигурация.
Присоединяйтесь!

Разрабатывая корпоративные веб-приложения, каждый из нас рано или поздно сталкивается с необходимостью обеспечить их безопасность и защитить их ресурсы от несанкционированного доступа. Нужно определить роли для управления доступом, которые будут назначаться пользователям или группам и наделять их полномочиями выполнять те или иные операции в приложении.

Okta — это облачный сервис, который позволяет управлять удостоверениями и доступом. Согласно документации Okta, это сервис корпоративного уровня, который создан для управления удостоверениями в облачной среде, но при этом совместим и со многими локальными приложениями. С его помощью ИТ-специалисты могут управлять доступом сотрудников к любому приложению или устройству. Сервис развернут на надежной и защищенной облачной платформе, которая обладает широкими возможностями аудита и тесно интегрируется с локальными приложениями, службами каталогов и системами управления удостоверениями. Подробную информацию о том, как Okta интегрируется с приложениями, можно получить по этой ссылке.

Для авторизации пользователей в Okta используется протокол OAuth2. Подробнее о протоколе OAuth2 и стандарте Open ID Connect (OIDC) можно почитать в блоге Okta.

В этой статье мы рассмотрим демонстрационное приложение «Контакты» и настройку разрешений на просмотр, создание, редактирование и удаление контактов. Это вторая часть цикла статей о приложении «Контакты», посвященная его защите с помощью Okta. О базовом приложении подробно написано в первой статье цикла: «Разработка веб-приложения на Spring Boot + Angular».

Полный код, фрагменты которого мы рассматриваем в этой статье, доступен на GitHub.

В итоге наше приложение будет иметь следующую архитектуру:

О том, как контейнеризировать это приложение и развернуть его в кластере Kubernetes, можно узнать по ссылкам:

Kubernetes: развертывание приложения на Angular + Java / Spring Boot в Google Kubernetes Engine (GKE)

Kubernetes: развертывание приложения на Angular + Spring Boot в облаке Microsoft Azure

Конфигурация на портале разработчика Okta

Для начала нам нужно настроить учетную запись Okta и добавить приложение в Okta. Здесь можно создать учетную запись разработчика бесплатно.

После создания учетной записи мы можем добавить наше приложение в консоль администрирования Okta. Для этого выберем вкладку Applications (Приложения) и щелкнем Add Application (Добавить приложение).

Выберем в качестве платформы Single Page App (Одностраничное приложение) и настроим его так, как показано на скриншоте ниже. Здесь мы отметим только опцию Authorization code (Код авторизации), поскольку нам не нужно, чтобы токен возвращался непосредственно в URL-адресе (о связанных с этим рисках безопасности написано в этой статье в блоге Okta).

В нашем случае требуется два перенаправления входа: во-первых, когда пользователь входит в приложение через пользовательский интерфейс, куда сервер авторизации Okta должен перенаправлять пользователя с указанием кода авторизации, а во-вторых — когда пользователь напрямую вызывает открытые API серверной части. Также выберем здесь PKCE.

OAuth предлагает различные «потоки авторизации» (authorization code flows) — выбор конкретного потока зависит от сценария использования приложения. О том, какой поток OAuth выбрать, можно прочитать в этой статье на Medium или в документации Okta. Пользовательский интерфейс нашего демонстрационного приложения представляет собой одностраничное приложение на Angular, поэтому выберем неявный поток (implicit flow) с дополнительной проверкой для обмена кодом (Proof Key Code Exchange, PKCE).

Авторизация запросов через сервер авторизации

Для авторизации всех входящих запросов к приложению нам понадобится сервер авторизации. В нашем примере используется сервер авторизации, который Okta предоставляет по умолчанию. Если вы захотите написать собственный сервер для авторизации запросов, это тоже возможно; тогда нужно будет указать в Okta ссылку на его конечную точку.

Чтобы увидеть сервер авторизации на портале Okta, нужно выбрать пункт меню, показанный ниже на скриншоте.

Добавление заявлений о группах (groups claims) в приложение «Контакты»

Для демонстрации создадим группу Admin. Администратор будет обладать правами на создание/редактирование/удаление.

О том, как создать группу и идентифицировать ее с помощью токена доступа, можно узнать в блоге Okta. В официальном блоге Okta описана автономная конфигурация приложения на Spring Boot в качестве веб-проекта Okta. В нашем случае менять тип проекта не нужно. Мы просто создадим группы и включим заявления о группах в токен доступа, выдаваемый сервером авторизации.

На скриншотах ниже показано, как мы создали группу, связали ее с нашим приложением и включили заявление о группах в токен доступа.

Настроив проект через консоль администрирования Okta описанным выше способом, можно приступать к его интеграции с приложением «Контакты» для защиты доступа к приложению.

Настройка Okta в клиентской части приложения

Для защиты клиентской части приложения «Контакты» воспользуемся SDK-библиотекой Okta для Angular. Мы будем авторизовывать пользователя, перенаправляя его на конечную точку авторизации, настроенную для нашей организации в Okta. Библиотеку можно установить с помощью npm:

npm install @okta/okta-angular --save

Чтобы реализовать этот промежуточный слой, после установки нужно будет указать значения из клиента OIDC, полученные на предыдущем этапе. Также понадобится URL-адрес организации в Okta — его можно узнать на домашней странице консоли разработчика Okta.

В файле app.module.ts создадим объект конфигурации и в нем установим true для параметра PKCE.

const oktaConfig = { issuer: 'https://{yourOktaDomain}/oauth2/default', redirectUri: window.location.origin + '/implicit/callback', clientId: 'your clientId', pkce: true };

Этот объект нужно добавить в раздел providers. Также импортируем OktaAuthModule:

import { OktaAuthModule, OktaCallbackComponent } from '@okta/okta-angular'; import {OKTA_CONFIG} from '@okta/okta-angular'; .... imports:[ ... OktaAuthModule ... ] providers: [ ... { provide: OKTA_CONFIG, useValue: oktaConfig } ... ]

В модуле обработки маршрутов приложения зададим защиту маршрута, воспользовавшись Route Guard из Angular. Вот фрагмент кода из app-routing-module.ts:

import { OktaCallbackComponent } from '@okta/okta-angular'; ... const routes: Routes = [ { path: 'contact-list', canActivate: [ OktaAuthGuard ], component: ContactListComponent }, { path: 'contact', canActivate: [ OktaAuthGuard, AdminGuard ], component: EditContactComponent }, { path: 'implicit/callback', component: OktaCallbackComponent }, { path: '', redirectTo: 'contact-list', pathMatch: 'full' }, ];

Здесь мы защищаем просмотр контактов с помощью AuthGuard, а создание, обновление, удаление контактов — с помощью AdminGuard и OktaAuthGuard.

Метод canActivate в OktaAuthGuard используется для проверки того, прошел ли пользователь процедуру аутентификации. Если нет, он перенаправляется на страницу входа Okta; если да, мы позволяем ему просматривать страницу, на которую ведет маршрут.

async canActivate(route: ActivatedRouteSnapshot, state: RouterStateSnapshot) { this.authenticated = await this.okta.isAuthenticated(); if (this.authenticated) { return true; } // Redirect to login flow. this.oktaAuth.loginRedirect(); return false; }

Аналогичным образом метод canActivate в AdminGuard проверяет, принадлежат ли вошедшие в систему пользователи к группе Admin; если нет, запрос на доступ к маршруту отклоняется и выводится предупреждение.

async canActivate(route: ActivatedRouteSnapshot, state: RouterStateSnapshot) { this.user = await this.okta.getUser(); const result = this.user.groups.find((group) => group === 'Admin'); if (result) { return true; } else { alert('User is not authorized to perform this operation'); return false; } }

Ниже показана последовательность операций, которые выполняются, когда пользователь пытается обратиться к маршруту /contact-list для просмотра списка контактов.

Ниже представлена последовательность операций, демонстрирующая принцип работы PKCE. В случае одностраничного приложения, если токен возвращается непосредственно как часть URL-адреса перенаправления, любое расширение браузера может получить доступ к токену еще до того, как его увидит приложение. Это представляет потенциальную угрозу безопасности. Для снижения этого риска в PKCE вычисляется хэш SHA256 от случайной строки верификатора кода (code verifier), и этот хэш включается в запрос кода доступа как контрольное значение (code challenge). Когда поступает запрос на обмен токена доступа на код доступа, сервер авторизации может снова вычислить хэш SHA256 от верификатора кода и сопоставить результат с сохраненным контрольным значением.

Библиотека для Angular производит все эти операции за кадром: вычисляет хэш от верификатора кода с помощью алгоритма SHA256 и обменивает токен на код доступа, сопоставляя верификатор кода с контрольным значением.

Настройка Okta в серверной части приложения

Для того чтобы приложение Spring Boot поддерживало Okta, нужно установить следующие зависимости:

<dependency> <groupId>com.okta.spring</groupId> <artifactId>okta-spring-boot-starter</artifactId> <version>1.2.1</version> <exclusions> <exclusion> <groupId>org.springframework.security.oauth</groupId> <artifactId>spring-security-oauth2</artifactId> </exclusion> </exclusions> </dependency> <dependency> <groupId>org.springframework.security.oauth</groupId> <artifactId>spring-security-oauth2</artifactId> <version>2.4.0.RELEASE</version> </dependency>

Spring Security OAuth2 и Okta Spring Boot Starter следует добавить в classpath, тогда Spring настроит поддержку Okta во время запуска.

Укажем следующие значения конфигурации для настройки и подключения Spring к приложению Okta:

okta.oauth2.client-id=<clientId> okta.oauth2.issuer=https://{yourOktaDomain}/oauth2/default okta.oauth2.groups-claim=groups

В классе SpringSecurity нужно указать, что приложение Spring Boot является сервером ресурсов:

@EnableWebSecurity @EnableGlobalMethodSecurity(prePostEnabled = true) @Profile("dev") @Slf4j public class SecurityDevConfiguration extends WebSecurityConfigurerAdapter { @Override protected void configure(HttpSecurity http) throws Exception{ http.cors().and().csrf().disable(); http.cors().configurationSource(request -> new CorsConfiguration(corsConfiguratione())); // http.authorizeRequests().antMatchers(HttpMethod.OPTIONS, "/**").permitAll() // .and(). http.antMatcher("/**") .authorizeRequests() .antMatchers(HttpMethod.OPTIONS, "/**").permitAll() .antMatchers("/").permitAll() .anyRequest().authenticated(); http.oauth2ResourceServer(); }

При такой конфигурации конечные точки нашего приложения защищены. Если попробовать обратиться к конечной точке /contacts по адресу http://localhost:8080/api/contacts, будет возвращена ошибка 401, поскольку запрос не пройдет через фильтр аутентификации.

Для того чтобы предоставить права на создание, обновление и удаление контактов только администратору, нужно включить защиту методов в классе SpringSecurityConfig при помощи следующей аннотации:

@EnableGlobalMethodSecurity(prePostEnabled = true)

На конечных точках, которые мы хотим защитить, можно выполнять проверку ролей с помощью PreAuthorize следующим образом:

@PreAuthorize("hasAuthority('Admin')") public Contact saveContact(@RequestBody Contact contact,@AuthenticationPrincipal Principal userInfo) {

Для получения сведений о вошедшем в систему пользователе можно использовать объект Principal (@AuthenticationPrincipal).

Защита доступа к API из клиентской части приложения с помощью токена доступа

Теперь Okta защищает и клиентскую, и серверную часть нашего приложения. Когда клиентская часть направляет запрос к API, она должна передавать токен доступа в заголовке авторизации. В Angular для этого можно использовать перехватчик HttpInterceptor. В классе перехватчика авторизации можно задать токен доступа для любого HTTP-запроса следующим образом:

private async handleAccess(request: HttpRequest<any>, next: HttpHandler): Promise<HttpEvent<any>> { const accessToken = await this.oktaAuth.getAccessToken(); if ( accessToken) { request = request.clone({ setHeaders: { Authorization: 'Bearer ' + accessToken } }); } return next.handle(request).toPromise(); } }

Прямой доступ к API приложения через внешний сервер API

Если все настроено правильно, пользовательский интерфейс нашего приложения сможет получать доступ к API серверной части. В корпоративных приложениях часто присутствует несколько микросервисов, к которым обращается пользовательский интерфейс приложения, а также ряд микросервисов, доступ к которым открыт непосредственно для других приложений или пользователей. Так как наше приложение настроено как одностраничное, в настоящее время оно поддерживает доступ только из JavaScript-кода. Чтобы открыть доступ к микросервисам как к API для других потребителей API, нужно создать в Okta серверное приложение с типом «веб-приложение», а затем создать микросервисы как одностраничные приложения и разрешить единый вход для доступа к ним (технически мы имеем дело с двумя разными приложениями в Okta).

Я разработал небольшое решение, позволяющее обойти эту проблему. Мы по-прежнему будем использовать неявный поток с PKCE, но на этот раз не станем перенаправлять пользователя на страницу входа (при направлении запроса к API войти в Okta в ручном режиме невозможно, поскольку в этом случае пользователем будет пользователь API). Вместо этого будем следовать следующему алгоритму.

Я создал сервер API, то есть микросервис-обертку, предоставляющий список API, к которым мы хотим открыть доступ как к серверным API.

Эта обертка выдает токены доступа с указанием конечной точки входа, а затем вызывает нужный API, используя токен доступа.

Она выступает в роли прокси-сервера для основного серверного API нашего приложения и открывает доступ к необходимым сервисам. В ней используется библиотека Spring Cloud OpenFeign, предназначенная для написания декларативных REST-клиентов. Такая обертка представляет собой очень простой способ создания клиентов для веб-сервисов. Она позволяет сократить количество кода при написании потребителей веб-сервисов на базе REST, а также поддерживает перехватчики, позволяющие реализовать любые промежуточные операции, которые должны выполняться до направления запроса к API. В нашем случае мы будем использовать перехватчик для задания токена доступа и распространения прав доступа пользователей. Дополнительные сведения о Feign доступны по этой ссылке.

При правильной настройке все конечные точки нашего приложения, а также компоненты клиентской части приложения будут надежно защищены. Доступ к нему будет открыт только для авторизованных пользователей. О том, как контейнеризировать это приложение и развернуть его в кластере Kubernetes, можно прочитать по ссылкам:

Kubernetes: развертывание приложения на Angular + Java / Spring Boot в Google Kubernetes Engine (GKE)

Kubernetes: развертывание приложения на Angular + Spring Boot в облаке Microsoft Azure

Узнать подробнее о курсе «Разработчик на Spring Framework»

Смотреть вебинар «Конфигурация Spring-приложений»