Name: Springboot Security
Author: Rx-K8

Spring Bootセキュリティレビュー

認証の追加、入力処理、エンドポイント作成、シークレットの扱いの際に使用します。

認証

ステートレスJWTまたは失効リスト付きの不透明トークンを優先する
セッションには httpOnly, Secure, SameSite=Strict クッキーを使用する
OncePerRequestFilter またはリソースサーバーでトークンを検証する

@Component
public class JwtAuthFilter extends OncePerRequestFilter {
  private final JwtService jwtService;

  public JwtAuthFilter(JwtService jwtService) {
    this.jwtService = jwtService;
  }

  @Override
  protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response,
      FilterChain chain) throws ServletException, IOException {
    String header = request.getHeader(HttpHeaders.AUTHORIZATION);
    if (header != null && header.startsWith("Bearer ")) {
      String token = header.substring(7);
      Authentication auth = jwtService.authenticate(token);
      SecurityContextHolder.getContext().setAuthentication(auth);
    }
    chain.doFilter(request, response);
  }
}

Spring Bootセキュリティレビュー

認証の追加、入力処理、エンドポイント作成、シークレットの扱いの際に使用します。

認証

ステートレスJWTまたは失効リスト付きの不透明トークンを優先する
セッションには httpOnly, Secure, SameSite=Strict クッキーを使用する
OncePerRequestFilter またはリソースサーバーでトークンを検証する

@Component
public class JwtAuthFilter extends OncePerRequestFilter {
  private final JwtService jwtService;

  public JwtAuthFilter(JwtService jwtService) {
    this.jwtService = jwtService;
  }

  @Override
  protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response,
      FilterChain chain) throws ServletException, IOException {
    String header = request.getHeader(HttpHeaders.AUTHORIZATION);
    if (header != null && header.startsWith("Bearer ")) {
      String token = header.substring(7);
      Authentication auth = jwtService.authenticate(token);
      SecurityContextHolder.getContext().setAuthentication(auth);
    }
    chain.doFilter(request, response);
  }
}

Springboot Security

Spring Bootセキュリティレビュー

認証

Springboot Security

Spring Bootセキュリティレビュー

認証

認可

入力検証

SQLインジェクション防止

CSRF保護

シークレット管理

セキュリティヘッダー

レート制限

依存関係セキュリティ

ロギングとPII

ファイルアップロード

リリース前チェックリスト

1password

Springboot Security

Security Review

Laravel Security

Security Review

Django Security