quarkus-security

原文涵盖的主题

• Quarkus Security Review
• When to Activate
• Authentication
• JWT Authentication
• Custom Authentication Filter
• Authorization
• Role-Based Access Control
• Programmatic Security

認証、認可、入力検証によってQuarkusアプリケーションを保護するためのベストプラクティス。 認証追加（JWT、OIDC、Basic認証） @RolesAllowedまたはSecurityIdentityで認可実装 ユーザー入力検証（Bean Validation、カスタムバリデータ） CORS設定またはセキュリティヘッダー構成 シークレット管理（Vault、環境変数、設定ソース） レート制限またはブルートフォース対策追加 CVEの依存関係スキャン MicroProfile JWTまたはSmallRye JWT操作 Configuration (application.properties): セキュリティ注意: X-Forwarded-For を直接使用しないでください — クライアントで偽装できます。 サーブレットリクエストからの実際のリモートアドレスを使用するか、利用可能な場合は認証ID（APIキー、JWTサブジェクト）を使用します。 本番環境では常にHTTPSを使用 ステートレス認証にはJWTまたはOIDCを有効化 宣言的認可に@RolesAllowedを使用 Bean Validationで全入力検証 BCryptでパスワードハッシュ化（プレーンテキスト厳禁） VaultまたはLambda環境変数でシークレット保存 SQLインジェクション防止にパラメータ化クエリを使用 全レスポンスにセキュリティヘッダー追加 公開エンドポイントにレート制限実装 機密操作を監査ログに記録 依存関係を最新に保ちCVEスキャン実施 プログラム的チェックにSecurityIdentityを使用 適切なCORSポリシー設定 認証・認可経路をテスト