Spring Secutity

Spring Security — карта

Название файла сохранено ради старых Obsidian-ссылок. Основной конспект: Безопасность приложения Spring Security.

Что повторить

• filter chain и Метод configure Spring Security;
• аутентификация и авторизация;
• SecurityContext и распространение контекста между потоками;
• PasswordEncoder;
• session, CSRF и CORS;
• method security;
• 401 и 403;
• тесты запрещённого доступа.

Вопросы для повторения

1. Spring Security находится внутри controller? Нет, основная цепочка выполняется раньше.
2. Role и authority строго разные типы? Role — соглашение поверх authority, часто с префиксом ROLE_.
3. Достаточно ли скрыть кнопку в UI? Нет, сервер обязан проверять право.
4. Почему нужно тестировать отказ? Ошибки конфигурации чаще открывают лишний доступ, чем ломают разрешённый путь.