Authorization & Web Security

Tổng Quan Module: Phân Quyền và Bảo Mật Web

Khám phá cơ chế phân quyền phương thức với @PreAuthorize AOP proxy, xử lý lọc dữ liệu, cấu hình CORS và phòng chống CSRF cho ứng dụng Spring.

@PreAuthorize & AOP proxy — cơ chế method security

Hiểu rõ cơ chế AOP Proxy của @PreAuthorize và @PostAuthorize trong Spring Security, xử lý triệt để lỗi bypass self-call và kiểm thử an toàn.

Lọc Dữ Liệu Method Security và PermissionEvaluator

Khám phá @PreFilter, @PostFilter, rủi ro tải dữ liệu in-memory và triển khai phân quyền chi tiết với PermissionEvaluator trong Spring Security 6.

CORS — Same-Origin Policy, Preflight và Spring Security

Hiểu rõ Same-Origin Policy, cơ chế preflight OPTIONS, cấu hình CorsConfigurationSource an toàn trong Spring Security 6 và cấm kỵ wildcard credentials.

CSRF — Cross-Site Request Forgery và Chiến Lược Bảo Vệ

Khám phá bản chất tấn công CSRF, mô hình Synchronizer Token, Double-Submit Cookie và lý do stateless JWT API có thể vô hiệu hóa CSRF an toàn.

Mini-challenge: TaskFlow v3 — JWT + role-based access control

Thực hành bảo vệ TaskFlow v3 bằng JWT, phân quyền RBAC đa tầng, cơ chế thu hồi refresh token và kiểm thử tích hợp toàn diện trong Spring Security.

Tổng Kết Phân Quyền và Bảo Mật Web trong Spring Security

Tổng kết kiến thức phân quyền method security, kiểm soát truy cập đối tượng, cấu hình CORS chuẩn xác và chiến lược phòng thủ CSRF trong Spring Security 6.