Introduction à Spring Security

La plupart des failles de sécurité que l'on rencontre en production ne viennent pas d'un algorithme cryptographique cassé. Elles viennent d'un développeur qui a copié une configuration trouvée en ligne, sans savoir exactement ce qu'elle autorisait. Un permitAll() un peu large, une règle d'autorisation placée après une autre qui l'absorbe, une protection désactivée « pour que ça marche en local » et jamais réactivée : voilà le quotidien des audits.

Spring Security est un framework qui rend la sécurité déclarative. C'est sa force et son piège. Sa force, parce qu'une dizaine de lignes suffisent à obtenir un système d'authentification correct, résistant aux attaques classiques, avec des mots de passe hachés convenablement. Son piège, parce que ces dix lignes ressemblent à de la configuration anodine, alors que chacune décide de qui peut lire quoi.

Ce cours part donc du modèle avant la syntaxe. Vous allez d'abord comprendre où Spring Security s'insère dans le traitement d'une requête HTTP, quel objet représente l'utilisateur courant, et comment le framework distingue deux questions que l'on confond sans arrêt : « qui êtes-vous ? » et « avez-vous le droit ? ». Une fois ce modèle en place, la configuration cesse d'être une incantation et devient de la lecture.