springboot-security

name springboot-security description Spring Security best practices for authn/authz, validation, CSRF, secrets, headers, rate limiting, and dependency security in Java Spring Boot services. origin ECC Spring Boot Güvenlik İncelemesi Auth ekleme, girişi işleme, endpoint oluşturma veya gizli bilgilerle uğraşırken kullanın. Ne Zaman Aktif Edilir Kimlik doğrulama ekleme (JWT, OAuth2, session-based) Yetkilendirme uygulama (@PreAuthorize, role-based erişim) Kullanıcı girişini doğrulama (Bean Validation, custom validator'lar) CORS, CSRF veya güvenlik başlıklarını yapılandırma Gizli bilgileri yönetme (Vault, ortam değişkenleri) Rate limiting veya brute-force koruması ekleme Bağımlılıkları CVE için tarama Kimlik Doğrulama İptal listesi ile stateless JWT veya opaque token'ları tercih edin Session'lar için httpOnly , Secure , SameSite=Strict cookie'leri kullanın Token'ları OncePerRequestFilter veya resource server ile doğrulayın @Component public class JwtAuthFilter extends OncePerRequestFilter { private final JwtService jwtService; public JwtAuthFilter (JwtService jwtService) { this .jwtService = jwtService; } @Override protected void doFilterInternal (HttpServletRequest request, HttpServletResponse response, FilterChain chain) throws ServletException, IOException { String header = request.getHeader(HttpHeaders.AUTHORIZATION); if (header != null && header.startsWith( "Bearer " )) { String token = header.substring( 7 ); Authentication auth = jwtService.authenticate(token); SecurityContextHolder.getContext().setAuthentication(auth); } chain.doFilter(request, response); } } Yetkilendirme Method güvenliğini etkinleştirin: @EnableMethodSecurity @PreAuthorize("hasRole('ADMIN')") veya @PreAuthorize("@authz.canEdit(#id)") kullanın Varsayılan olarak reddedin; sadece gerekli scope'ları açığa çıkarın @RestController @RequestMapping("/api/admin") public class AdminController { @PreAuthorize("hasRole('ADMIN')") @GetMapping("/users") public List<UserDto> listUsers () { return userService.findAll(); } @PreAuthorize("@authz.isOwner(#id, authentication)") @DeleteMapping("/users/{id}") public ResponseEntity<Void> deleteUser ( @PathVariable Long id) { userService.delete(id); return ResponseEntity.noContent().build(); } } Girdi Doğrulama Controller'larda @Valid ile Bean Validation kullanın DTO'lara kısıtlamalar uygulayın: @NotBlank , @Email , @Size , custom validator'lar Render etmeden önce herhangi bir HTML'i whitelist ile temizleyin // KÖTÜ: Validation yok @PostMapping("/users") public User createUser ( @RequestBody UserDto dto) { return userService.create(dto); } // İYİ: Doğrulanmış DTO public record CreateUserDto ( @NotBlank @Size(max = 100) String name, @NotBlank @Email String email, @NotNull @Min(0) @Max(150) Integer age ) {} @PostMapping("/users") public ResponseEntity<UserDto> createUser ( @Valid @RequestBody CreateUserDto dto) { return ResponseEntity.status(HttpStatus.CREATED) .body(userService.create(dto)); } SQL Injection Önleme Spring Data repository'leri veya parametreli sorgular kullanın Native sorgular için :param binding'leri kullanın; string'leri asla birleştirmeyin // KÖTÜ: Native sorguda string birleştirme @Query(value = "SELECT * FROM users WHERE name = '" + name + "'", nativeQuery = true) // İYİ: Parametreli native sorgu @Query(value = "SELECT * FROM users WHERE name = :name", nativeQuery = true) List<User> findByName ( @Param("name") String name) ; // İYİ: Spring Data türetilmiş sorgu (otomatik parametreli) List<User> findByEmailAndActiveTrue (String email) ; Parola Kodlama Parolaları her zaman BCrypt veya Argon2 ile hash'leyin — asla düz metin saklamayın Manuel hash'leme değil PasswordEncoder bean'i kullanın @Bean public PasswordEncoder passwordEncoder () { return new BCryptPasswordEncoder ( 12 ); // cost faktörü 12 } // Servis içinde public User register (CreateUserDto dto) { String hashedPassword = passwordEncoder.encode(dto.password()); return userRepository.save( new User (dto.email(), hashedPassword)); } CSRF Koruması Tarayıcı session uygulamaları için CSRF'i etkin tutun; formlara/başlıklara token ekleyin Bearer token'lı saf API'ler için CSRF'i devre dışı bırakın ve stateless auth'a güvenin http .csrf(csrf -> csrf.disable()) .sessionManagement(sm -> sm.sessionCreationPolicy(SessionCreationPolicy.STATELESS)); Gizli Bilgi Yönetimi Kaynak kodda gizli bilgi yok; env veya vault'tan yükleyin application.yml 'i kimlik bilgilerinden arınmış tutun; yer tutucular kullanın Token'ları ve DB kimlik bilgilerini düzenli olarak döndürün # KÖTÜ: application.yml'de sabit kodlanmış spring: datasource: password: mySecretPassword123 # İYİ: Ortam değişkeni yer tutucu spring: datasource: password: ${DB_PASSWORD} # İYİ: Spring Cloud Vault entegrasyonu spring: cloud: vault: uri: https://vault.example.com token: ${VAULT_TOKEN} Güvenlik Başlıkları http .headers(headers -> headers .contentSecurityPolicy(csp -> csp .policyDirectives( "default-src 'self'" )) .frameOptions(HeadersConfigurer.FrameOptionsConfig::sameOrigin) .xssProtection(Customizer.withDefaults()) .referrerPolicy(rp -> rp.policy(ReferrerPolicyHeaderWriter.ReferrerPolicy.NO_REFERRER))); CORS Yapılandırması CORS'u controller başına değil, güvenlik filtre seviyesinde yapılandırın İzin verilen origin'leri kısıtlayın — production'da asla * kullanmayın @Bean public CorsConfigurationSource corsConfigurationSource () { CorsConfiguration config = new CorsConfiguration (); config.setAllowedOrigins(List.of( "https://app.example.com" )); config.setAllowedMethods(List.of( "GET" , "POST" , "PUT" , "DELETE" )); config.setAllowedHeaders(List.of( "Authorization" , "Content-Type" )); config.setAllowCredentials( true ); config.setMaxAge( 3600L ); UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource (); source.registerCorsConfiguration( "/api/**" , config); return source; } // SecurityFilterChain içinde: http.cors(cors -> cors.configurationSource(corsConfigurationSource())); Rate Limiting Pahalı endpoint'lerde Bucket4j veya gateway seviyesi limitler uygulayın Patlamalarda logla ve uyar; yeniden deneme ipuçları ile 429 döndür // Endpoint başına rate limiting için Bucket4j kullanma @Component public class RateLimitFilter extends OncePerRequestFilter { private final Map<String, Bucket> buckets = new ConcurrentHashMap <>(); private Bucket createBucket () { return Bucket.builder() .addLimit(Bandwidth.classic( 100 , Refill.intervally( 100 , Duration.ofMinutes( 1 )))) .build(); } @Override protected void doFilterInternal (HttpServletRequest request, HttpServletResponse response, FilterChain chain) throws ServletException, IOException { String clientIp = request.getRemoteAddr(); Bucket bucket = buckets.computeIfAbsent(clientIp, k -> createBucket()); if (bucket.tryConsume( 1 )) { chain.doFilter(request, response); } else { response.setStatus(HttpStatus.TOO_MANY_REQUESTS.value()); response.getWriter().write( "{\"error\": \"Rate limit exceeded\"}" ); } } } Bağımlılık Güvenliği CI'da OWASP Dependency Check / Snyk çalıştırın Spring Boot ve Spring Security'yi desteklenen sürümlerde tutun Bilinen CVE'lerde build'leri başarısız yapın Loglama ve PII Gizli bilgileri, token'ları, parolaları veya tam PAN verilerini asla loglamayın Hassas alanları redakte edin; yapılandırılmış JSON loglama kullanın Dosya Yüklemeleri Boyutu, content type'ı ve uzantıyı doğrulayın Web root dışında saklayın; gerekirse tarayın Yayın Öncesi Kontrol Listesi Auth token'ları doğru şekilde doğrulanmış ve süresi dolmuş Her hassas path'te yetkilendirme korumaları Tüm girişler doğrulanmış ve temizlenmiş String-birleştirilmiş SQL yok Uygulama türü için doğru CSRF duruşu Gizli bilgiler harici; hiçbiri commit edilmemiş Güvenlik başlıkları yapılandırılmış API'lerde rate limiting Bağımlılıklar taranmış ve güncel Loglar hassas verilerden arınmış Unutmayın : Varsayılan olarak reddet, girişleri doğrula, en az ayrıcalık ve önce yapılandırma ile güvenli.