Security — Auth, JWT & Method Security

Spring Security

Spring Security schützt Endpoints, Methoden und Daten. Default: alle Routen sind authentifiziert.

Lektion 36: SecurityFilterChain

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        return http
            .csrf(csrf -> csrf.disable())
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/api/public/**").permitAll()
                .requestMatchers("/api/admin/**").hasRole("ADMIN")
                .anyRequest().authenticated()
            )
            .sessionManagement(s -> s.sessionCreationPolicy(SessionCreationPolicy.STATELESS))
            .oauth2ResourceServer(o -> o.jwt(Customizer.withDefaults()))
            .build();
    }
}

Lektion 37: Authentifizierung mit JWT

@Bean
JwtDecoder jwtDecoder() {
    return NimbusJwtDecoder.withSecretKey(
        Keys.hmacShaKeyFor(System.getenv("JWT_SECRET").getBytes())
    ).build();
}

JWT = Header.Payload.Signature. Stateless: kein Server-Session nötig.

Lektion 38: Passwort-Hashing

@Bean
PasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder(12);  // cost factor
}

Nie Klartext-Passwörter. BCrypt mit cost factor 12 ist Standard.

Lektion 39: Method-Level Security

@Service
public class AdminService {
    @PreAuthorize("hasRole('ADMIN')")
    public void deleteUser(Long id) { /* ... */ }

    @PostAuthorize("returnObject.owner == authentication.name")
    public Document getDocument(Long id) { /* ... */ }
}

@PreAuthorize prüft vor der Ausführung, @PostAuthorize nach der Ausführung.

Lektion 40: Security-Kontext & Testing

@Test
@WithMockUser(roles = "ADMIN")
void adminCanDelete() throws Exception {
    mockMvc.perform(delete("/api/admin/users/1"))
        .andExpect(status().isNoContent());
}