Spring Security

Основа с Middle

Цепочка фильтров, аутентификация, JWT и OAuth 2.0, авторизация методов.

Что важно знать

Запрос проходит цепочку фильтров; каждый отвечает за свою часть.
SecurityContext хранит аутентифицированного пользователя.
Resource server проверяет JWT по ключам провайдера.
@PreAuthorize с выражениями — проверка прав на уровне метода.
CSRF включён по умолчанию — для API с токенами его настраивают осознанно.

Критерии освоения

Middle ≈ 10 ч

Настраивает SecurityFilterChain для REST API с JWT
Подключает вход через OAuth 2.0 и OIDC и сервер ресурсов
Защищает методы через @PreAuthorize с проверкой владельца ресурса

Практика. Защитить API заказов JWT-токенами внешнего провайдера, разграничить роли и проверку владельца.

Senior ≈ 6 ч

Объясняет устройство цепочки фильтров и пишет свой фильтр аутентификации
Проектирует безопасность для нескольких сервисов и клиентов

Практика. Реализовать аутентификацию по API-ключу для партнёров отдельной цепочкой фильтров рядом с JWT для пользователей.

Вопросы с собеседований

Чем cookie отличается от server-side session? Junior
Cookie — небольшие данные, которые хранит браузер и отправляет с каждым запросом к домену. Серверная сессия — данные на сервере, а в cookie лежит только её идентификатор…
Как в Spring Security устроены аутентификация и авторизация — какие объекты за них отвечают? Middle
Аутентификация: фильтр извлекает учётные данные → AuthenticationManager (через AuthenticationProvider, UserDetailsService, PasswordEncoder) проверяет → готовый Authentication…
Как устроена SecurityFilterChain в Spring Security? Senior
Spring Security — цепочка сервлетных фильтров. В контейнер встраивается DelegatingFilterProxy → FilterChainProxy, который выбирает подходящую SecurityFilterChain по запросу и…
Почему HTTP называют протоколом без состояния (stateless)? Junior
Каждый запрос HTTP независим: сервер не помнит предыдущие. Чтобы связать запросы одного пользователя, нужен явный механизм — cookie с идентификатором сессии или токен.
Когда CSRF-защита нужна в Spring Security, а когда её часто отключают? Middle
CSRF-защита нужна, когда браузер сам прикладывает учётные данные — cookie сессии. Для stateless API с токеном в заголовке Authorization её обычно отключают: браузер не подставит…
Чем JWT отличается от OAuth2/OIDC? Senior
Разные уровни: JWT — формат токена (подписанный JSON). OAuth2 — протокол делегирования доступа: как приложение получает токен доступа к API от имени пользователя. OIDC …

Разборы темы

HTTP, cookies и сессии
Семантика HTTP-методов и кэширование, cookies и их флаги безопасности, stateful против stateless сессий, HTTPS и граница authn/authz.
Аутентификация: JWT, OAuth2/OIDC и method security
Структура и валидация JWT, проблема отзыва, роли OAuth2 и authorization code flow, OIDC, и авторизация на уровне методов.
Spring Security: фильтр-цепочка и авторизация
SecurityFilterChain, аутентификация (UserDetailsService/PasswordEncoder), SecurityContext, авторизация запросов и CSRF/CORS/сессии.

← Вся карта «Spring»

Закрытая бета

Знать тему — половина дела

На живом собеседовании sotto слышит вопрос интервьюера и показывает короткий ответ и план. Оставьте контакт — пришлём доступ и промокод.

Промокод на 2 часа — сверх пробных 30 минут
Программа для Windows — скачать сразу, войти — через Яндекс ID или VK ID
Первыми узнаете о версии для Mac — пока sotto только для Windows
Прямая связь с разработчиком: что улучшить — сделаем