springboot-security

Topics in the source

• Spring Boot セキュリティレビュー
• 認証
• 認可
• 入力検証
• SQLインジェクション防止
• CSRF保護
• シークレット管理
• セキュリティヘッダー

認証の追加、入力処理、エンドポイント作成、またはシークレット処理時に使用します。 ステートレスJWTまたは失効リスト付き不透明トークンを優先 セッションには httpOnly、Secure、SameSite=Strict クッキーを使用 OncePerRequestFilter またはリソースサーバーでトークンを検証 メソッドセキュリティを有効化: @EnableMethodSecurity @PreAuthorize("hasRole('ADMIN')") または @PreAuthorize("@authz.canEdit(#id)") を使用 デフォルトで拒否し、必要なスコープのみ公開 @Valid を使用してコントローラーでBean Validationを使用 DTOに制約を適用: @NotBlank、@Email、@Size、カスタムバリデーター レンダリング前にホワイトリストでHTMLをサニタイズ Spring Dataリポジトリまたはパラメータ化クエリを使用 ネイティブクエリには :param バインディングを使用し、文字列を連結しない ブラウザセッションアプリの場合はCSRFを有効にし、フォーム/ヘッダーにトークンを含める Bearerトークンを使用する純粋なAPIの場合は、CSRFを無効にしてステートレス認証に依存 ソースコードにシークレットを含めない。環境変数またはvaultから読み込む application.yml を認証情報から解放し、プレースホルダーを使用 トークンとDB認証情報を定期的にローテーション 高コストなエンドポイントにBucket4jまたはゲートウェイレベルの制限を適用 バーストをログに記録してアラートを送信し、リトライヒント付きで429を返す CIでOWASP Dependency Check / Snykを実行 Spring BootとSpring Securityをサポートされているバージョンに保つ 既知のCVEでビルドを失敗させる シークレット、トークン、パスワード、完全なPANデータをログに記録しない 機密フィールドを編集し、構造化JSONロギングを使用 サイズ、コンテンツタイプ、拡張子を検証 Webルート外に保存し、必要に応じてスキャン [ ] 認証トークンが正しく検証され、期限切れになっている [ ] すべての機密パスに認可ガードがある [ ] すべての入力が検証およびサニタイズされている [ ] 文字列連結されたSQLがない [ ] アプリケーションタイプに対してCSRF対策が正しい [ ] シークレットが外部化され、コミットされていない [ ] セキュリティヘッダーが設定されている [ ] APIにレート制限がある [ ] 依存関係がスキャンされ、最新である [ ] ログに機密データがない 注意: デフ

This is an excerpt. Refer to the complete source and its current requirements.