Introdução ao Spring Security

A maioria das falhas de segurança encontradas em produção não vem de um algoritmo criptográfico quebrado. Vem de um desenvolvedor que copiou uma configuração encontrada na internet, sem saber exatamente o que ela permitia. Um permitAll() um pouco amplo demais, uma regra de autorização colocada depois de outra que a absorve, uma proteção desativada "para funcionar localmente" e nunca reativada: esse é o dia a dia das auditorias.

O Spring Security é um framework que torna a segurança declarativa. Essa é a sua força e a sua armadilha. Sua força, porque uma dezena de linhas basta para obter um sistema de autenticação correto, resistente aos ataques clássicos, com senhas armazenadas com hash de maneira adequada. Sua armadilha, porque essas dez linhas parecem uma configuração inofensiva, quando cada uma delas decide quem pode ler o quê.

Este curso parte, portanto, do modelo antes da sintaxe. Você vai começar entendendo onde o Spring Security se insere no processamento de uma requisição HTTP, qual objeto representa o usuário atual e como o framework distingue duas perguntas que são confundidas o tempo todo: "quem é você?" e "você tem permissão?". Com esse modelo em mente, a configuração deixa de ser uma invocação mágica e passa a ser simples leitura.