Configuración básica

Añade una sola dependencia a un proyecto Spring Boot y tu aplicación se vuelve inaccesible. Todas las URL exigen autenticación, aparece un formulario de inicio de sesión y se muestra una contraseña aleatoria en la consola al arrancar. Este comportamiento sorprende, pero refleja una decisión de diseño defendible: Spring Security parte del principio de que todo está cerrado y te pide que abras explícitamente lo que deba estar abierto.

Es lo contrario del enfoque ingenuo, en el que se protegen las páginas sensibles una por una. Ese enfoque siempre falla de la misma manera: el día que alguien añade un controlador de administración sin pensar en la seguridad, la URL es pública. Con una posición por defecto cerrada, el olvido produce un 401 embarazoso en preproducción, no una fuga de datos en producción.

Esta lección te lleva del comportamiento por defecto a una configuración escrita por ti. Vas a declarar un bean SecurityFilterChain, decidir qué URL son públicas, conectar una página de inicio de sesión propia y un cierre de sesión limpio. Verás sobre todo los dos errores que más tiempo cuestan: una regla de autorización colocada en un lugar donde nunca se alcanzará, y una página de inicio de sesión protegida por la misma regla que se supone que permite satisfacer.