Introducción a Spring Security

La mayoría de los fallos de seguridad que se encuentran en producción no vienen de un algoritmo criptográfico roto. Vienen de un desarrollador que ha copiado una configuración encontrada en internet, sin saber exactamente qué permitía. Un permitAll() algo demasiado amplio, una regla de autorización colocada después de otra que la absorbe, una protección desactivada «para que funcione en local» y nunca reactivada: ese es el día a día de las auditorías.

Spring Security es un framework que hace la seguridad declarativa. Esa es su fuerza y su trampa. Su fuerza, porque basta una decena de líneas para obtener un sistema de autenticación correcto, resistente a los ataques clásicos, con contraseñas hasheadas de forma adecuada. Su trampa, porque esas diez líneas parecen una configuración inocua, cuando cada una de ellas decide quién puede leer qué.

Este curso parte, por tanto, del modelo antes que de la sintaxis. Primero comprenderás dónde se inserta Spring Security en el tratamiento de una petición HTTP, qué objeto representa al usuario actual y cómo distingue el framework dos preguntas que se confunden constantemente: «¿quién eres?» y «¿tienes derecho a hacerlo?». Una vez asentado este modelo, la configuración deja de ser una letanía y se convierte en algo que se lee.