Spring Boot Security Best Practices

Укрепите свой Java-бэкенд с помощью навыка Claude Code для Spring Boot Security. Реализуйте JWT, OAuth2, контроль доступа на основе ролей и защиту от SQL-инъекций.

Безопасность и тестирование ★ 172,008 GitHub (172,008 ★)

Этот навык даёт Claude специализированные знания по обеспечению безопасности сервисов Spring Boot: шаблоны реализации JWT/OAuth2-аутентификации, авторизации на уровне методов и валидации входных данных. Он помогает разработчикам применять критические меры защиты, такие как предотвращение SQL-инъекций, CSRF-защита, ограничение скорости запросов, а также рекомендует хранить конфиденциальные данные в переменных окружения или HashiCorp Vault. Это комплексный аудитор безопасности и ассистент по реализации для современной Java-разработки на бэкенде, гарантирующий, что каждая конечная точка защищена от распространённых угроз.

Ключевые возможности

01172 008 звёзд на GitHub

02Надёжная валидация входных данных с помощью Bean Validation и очистки DTO

03Комплексная защита от SQL-инъекций и CSRF-уязвимостей

04Шаблоны реализации stateless-аутентификации с JWT и OAuth2

05Ролевой контроль доступа и контроль на уровне методов с помощью @PreAuthorize

06Ограничение скорости запросов и защита от перебора с помощью Bucket4j

Сценарии использования

01Укрепление существующих микросервисов Spring Boot против уязвимостей OWASP Top 10

02Создание stateless REST API с безопасной аутентификацией на JWT

03Реализация сложной логики авторизации для мультитенантных приложений

name	springboot-security
description	Spring Security best practices for authn/authz, validation, CSRF, secrets, headers, rate limiting, and dependency security in Java Spring Boot services.
origin	ECC

Spring Boot Güvenlik İncelemesi

Auth ekleme, girişi işleme, endpoint oluşturma veya gizli bilgilerle uğraşırken kullanın.

Ne Zaman Aktif Edilir

Kimlik doğrulama ekleme (JWT, OAuth2, session-based)
Yetkilendirme uygulama (@PreAuthorize, role-based erişim)
Kullanıcı girişini doğrulama (Bean Validation, custom validator'lar)
CORS, CSRF veya güvenlik başlıklarını yapılandırma
Gizli bilgileri yönetme (Vault, ortam değişkenleri)
Rate limiting veya brute-force koruması ekleme
Bağımlılıkları CVE için tarama

Kimlik Doğrulama

İptal listesi ile stateless JWT veya opaque token'ları tercih edin
Session'lar için httpOnly, Secure, SameSite=Strict cookie'leri kullanın
Token'ları OncePerRequestFilter veya resource server ile doğrulayın

@Component
public class JwtAuthFilter extends OncePerRequestFilter {
  private final JwtService jwtService;

  public JwtAuthFilter(JwtService jwtService) {
    this.jwtService = jwtService;
  }

  @Override
  protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response,
      FilterChain chain) throws ServletException, IOException {
    String header = request.getHeader(HttpHeaders.AUTHORIZATION);
    if (header != null && header.startsWith("Bearer ")) {
      String token = header.substring(7);
      Authentication auth = jwtService.authenticate(token);
      SecurityContextHolder.getContext().setAuthentication(auth);
    }
    chain.doFilter(request, response);
  }
}

Yetkilendirme

Method güvenliğini etkinleştirin: @EnableMethodSecurity
@PreAuthorize("hasRole('ADMIN')") veya @PreAuthorize("@authz.canEdit(#id)") kullanın
Varsayılan olarak reddedin; sadece gerekli scope'ları açığa çıkarın

@RestController
@RequestMapping("/api/admin")
public class AdminController {

  @PreAuthorize("hasRole('ADMIN')")
  @GetMapping("/users")
  public List<UserDto> listUsers() {
    return userService.findAll();
  }

  @PreAuthorize("@authz.isOwner(#id, authentication)")
  @DeleteMapping("/users/{id}")
  public ResponseEntity<Void> deleteUser(@PathVariable Long id) {
    userService.delete(id);
    return ResponseEntity.noContent().build();
  }
}

Girdi Doğrulama

Controller'larda @Valid ile Bean Validation kullanın
DTO'lara kısıtlamalar uygulayın: @NotBlank, @Email, @Size, custom validator'lar
Render etmeden önce herhangi bir HTML'i whitelist ile temizleyin

// KÖTÜ: Validation yok
@PostMapping("/users")
public User createUser(@RequestBody UserDto dto) {
  return userService.create(dto);
}

// İYİ: Doğrulanmış DTO
public record CreateUserDto(
    @NotBlank @Size(max = 100) String name,
    @NotBlank @Email String email,
    @NotNull @Min(0) @Max(150) Integer age
) {}

@PostMapping("/users")
public ResponseEntity<UserDto> createUser(@Valid @RequestBody CreateUserDto dto) {
  return ResponseEntity.status(HttpStatus.CREATED)
      .body(userService.create(dto));
}

SQL Injection Önleme

Spring Data repository'leri veya parametreli sorgular kullanın
Native sorgular için :param binding'leri kullanın; string'leri asla birleştirmeyin

// KÖTÜ: Native sorguda string birleştirme
@Query(value = "SELECT * FROM users WHERE name = '" + name + "'", nativeQuery = true)

// İYİ: Parametreli native sorgu
@Query(value = "SELECT * FROM users WHERE name = :name", nativeQuery = true)
List<User> findByName(@Param("name") String name);

// İYİ: Spring Data türetilmiş sorgu (otomatik parametreli)
List<User> findByEmailAndActiveTrue(String email);

Parola Kodlama

Parolaları her zaman BCrypt veya Argon2 ile hash'leyin — asla düz metin saklamayın
Manuel hash'leme değil PasswordEncoder bean'i kullanın

@Bean
public PasswordEncoder passwordEncoder() {
  return new BCryptPasswordEncoder(12); // cost faktörü 12
}

// Servis içinde
public User register(CreateUserDto dto) {
  String hashedPassword = passwordEncoder.encode(dto.password());
  return userRepository.save(new User(dto.email(), hashedPassword));
}

CSRF Koruması

Tarayıcı session uygulamaları için CSRF'i etkin tutun; formlara/başlıklara token ekleyin
Bearer token'lı saf API'ler için CSRF'i devre dışı bırakın ve stateless auth'a güvenin

http
  .csrf(csrf -> csrf.disable())
  .sessionManagement(sm -> sm.sessionCreationPolicy(SessionCreationPolicy.STATELESS));

Gizli Bilgi Yönetimi

Kaynak kodda gizli bilgi yok; env veya vault'tan yükleyin
application.yml'i kimlik bilgilerinden arınmış tutun; yer tutucular kullanın
Token'ları ve DB kimlik bilgilerini düzenli olarak döndürün

# KÖTÜ: application.yml'de sabit kodlanmış
spring:
  datasource:
    password: mySecretPassword123

# İYİ: Ortam değişkeni yer tutucu
spring:
  datasource:
    password: ${DB_PASSWORD}

# İYİ: Spring Cloud Vault entegrasyonu
spring:
  cloud:
    vault:
      uri: https://vault.example.com
      token: ${VAULT_TOKEN}

Güvenlik Başlıkları

http
  .headers(headers -> headers
    .contentSecurityPolicy(csp -> csp
      .policyDirectives("default-src 'self'"))
    .frameOptions(HeadersConfigurer.FrameOptionsConfig::sameOrigin)
    .xssProtection(Customizer.withDefaults())
    .referrerPolicy(rp -> rp.policy(ReferrerPolicyHeaderWriter.ReferrerPolicy.NO_REFERRER)));

CORS Yapılandırması

CORS'u controller başına değil, güvenlik filtre seviyesinde yapılandırın
İzin verilen origin'leri kısıtlay��n — production'da asla * kullanmayın

@Bean
public CorsConfigurationSource corsConfigurationSource() {
  CorsConfiguration config = new CorsConfiguration();
  config.setAllowedOrigins(List.of("https://app.example.com"));
  config.setAllowedMethods(List.of("GET", "POST", "PUT", "DELETE"));
  config.setAllowedHeaders(List.of("Authorization", "Content-Type"));
  config.setAllowCredentials(true);
  config.setMaxAge(3600L);

  UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
  source.registerCorsConfiguration("/api/**", config);
  return source;
}

// SecurityFilterChain içinde:
http.cors(cors -> cors.configurationSource(corsConfigurationSource()));

Rate Limiting

Pahalı endpoint'lerde Bucket4j veya gateway seviyesi limitler uygulayın
Patlamalarda logla ve uyar; yeniden deneme ipuçları ile 429 döndür

// Endpoint başına rate limiting için Bucket4j kullanma
@Component
public class RateLimitFilter extends OncePerRequestFilter {
  private final Map<String, Bucket> buckets = new ConcurrentHashMap<>();

  private Bucket createBucket() {
    return Bucket.builder()
        .addLimit(Bandwidth.classic(100, Refill.intervally(100, Duration.ofMinutes(1))))
        .build();
  }

  @Override
  protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response,
      FilterChain chain) throws ServletException, IOException {
    String clientIp = request.getRemoteAddr();
    Bucket bucket = buckets.computeIfAbsent(clientIp, k -> createBucket());

    if (bucket.tryConsume(1)) {
      chain.doFilter(request, response);
    } else {
      response.setStatus(HttpStatus.TOO_MANY_REQUESTS.value());
      response.getWriter().write("{\"error\": \"Rate limit exceeded\"}");
    }
  }
}

Bağımlılık Güvenliği

CI'da OWASP Dependency Check / Snyk çalıştırın
Spring Boot ve Spring Security'yi desteklenen sürümlerde tutun
Bilinen CVE'lerde build'leri başarısız yapın

Loglama ve PII

Gizli bilgileri, token'ları, parolaları veya tam PAN verilerini asla loglamayın
Hassas alanları redakte edin; yapılandırılmış JSON loglama kullanın

Dosya Yüklemeleri

Boyutu, content type'ı ve uzantıyı doğrulayın
Web root dışında saklayın; gerekirse tarayın

Yayın Öncesi Kontrol Listesi

Auth token'ları doğru şekilde doğrulanmış ve süresi dolmuş
Her hassas path'te yetkilendirme korumaları
Tüm girişler doğrulanmış ve temizlenmi��
String-birleştirilmiş SQL yok
Uygulama türü için doğru CSRF duruşu
Gizli bilgiler harici; hiçbiri commit edilmemiş
Güvenlik başlıkları yapılandırılmış
API'lerde rate limiting
Bağımlılıklar taranmış ve güncel
Loglar hassas verilerden arınmış

Unutmayın: Varsayılan olarak reddet, girişleri doğrula, en az ayrıcalık ve önce yapılandırma ile güvenli.

🔐 Что это

Этот skill — сборник лучших практик безопасности для Java-сервисов на Spring Boot. Он охватывает все ключевые аспекты: аутентификацию (JWT, OAuth2, session-based), авторизацию на уровне методов, валидацию входных данных, защиту от CSRF, XSS и SQL-инъекций, управление секретами, настройку CORS, rate limiting, безопасность зависимостей и логирование. Skill предназначен для разработчиков, которые хотят внедрить или проверить защиту в своих Spring Boot-приложениях.

⚙️ Как работает

Skill описывает практики в виде конкретных примеров кода и рекомендаций, которые можно сразу применить в проекте.

🔑 Аутентификация

Stateless JWT: рекомендуется использовать фильтр OncePerRequestFilter для извлечения и валидации токена. Skill показывает пример JwtAuthFilter, который проверяет заголовок Authorization со схемой Bearer, парсит токен через JwtService и устанавливает аутентификацию в SecurityContextHolder.
Session-based: для сессий следует применять httpOnly, Secure, SameSite=Strict cookie, чтобы защитить их от межсайтовых атак.
Opaque tokens: поддерживаются через настройку Spring Security Resource Server.

🛡️ Авторизация

Включается аннотацией @EnableMethodSecurity в конфигурации.
Для защиты endpoint'ов используется @PreAuthorize с SpEL-выражениями. Skill приводит пример controlle'ра для администраторов, где метод listUsers доступен только роли ADMIN, а deleteUser — только владельцу ресурса (через метод бина #authz.isOwner).
Принцип: запрещено всё по умолчанию, разрешение даётся только под конкретные роли или условия.

✅ Валидация входных данных

На уровне DTO используются Bean Validation-аннотации (@NotBlank, @Email, @Size, @Min, @Max).
В контроллере DTO помечается @Valid, чтобы Spring автоматически проверял данные перед выполнением метода.
Для защиты от XSS skill рекомендует очищать HTML через whitelist-проверки перед отображением.
Пример: плохой вариант — метод createUser без валидации; хороший — record CreateUserDto с ограничениями и use ResponseEntity.

🗄️ Защита от SQL-инъекций

Главное правило — никогда не конкатенировать строки в SQL. Вместо этого использовать:
- Spring Data JPA derived query methods (безопасны автоматически).
- @Query с параметрами: :name для named параметров.
Skill показывает плохой пример с конкатенацией и правильный — с параметризованным запросом.

🔒 Хранение паролей

Пароли должны хэшироваться с помощью BCrypt (рекомендуется BCryptPasswordEncoder с cost-фактором 12) или Argon2.
Вместо ручного шифрования используется бин PasswordEncoder, который инжектится в сервисы.
Пример: passwordEncoder.encode(...) при регистрации пользователя.

🧩 CSRF и CORS

CSRF: для браузерных приложений с сессиями CSRF должен быть включён; для stateless API (с Bearer token) — можно отключить через csrf.disable().
CORS: конфигурацию задают на уровне бин CorsConfigurationSource, где указывают разрешённые origin'ы (setAllowedOrigins), методы и заголовки. Skill запрещает использовать * в production.

🔐 Управление секретами

Пароли, токены и ключи нельзя хранить в коде или в application.yml. Вместо этого используются переменные окружения (${DB_PASSWORD}) или Spring Cloud Vault.
Регулярная ротация секретов упоминается как обязательная.

🛡️ HTTP-заголовки и Rate Limiting

Настройка заголовков безопасности (Content-Security-Policy, X-Frame-Options, XSS-Protection, Referrer-Policy) через http.headers(...).
Для rate limiting skill предлагает библиотеку Bucket4j с фильтром RateLimitFilter, который ограничивает запросы по IP (например, 100 запросов в минуту). При превышении лимита возвращается статус 429 Too Many Requests.

📦 Безопасность зависимостей

В CI/CD рекомендуется запускать OWASP Dependency Check или Snyk для поиска уязвимостей (CVE).
Spring Boot и Spring Security должны быть на поддерживаемых версиях; build должен падать, если обнаружены известные CVE.

🔍 Логирование PII

Запрещено логировать пароли, токены, номера кредитных карт и другие персональные данные. Skill рекомендует настроить маскировку в логах и отдавать предпочтение структурированному JSON-логированию.

🧪 Когда использовать

Этот skill уместно применять:

При старте нового Spring Boot-проекта: чтобы заложить безопасную архитектуру с нуля.
При добавлении аутентификации или авторизации: JWT, OAuth2, session-based, role-based access.
При настройке взаимодействия с клиентами: CORS, CSRF, security headers.
При работе с секретами: настройка Vault, интеграция с env-переменными.
При защите от атак: SQL injection, XSS, brute-force (rate limiting).
Перед релизом: как чеклист для аудита безопасности.

⚠️ Важно знать

Всегда придерживайтесь принципов запрещено всё по умолчанию, минимальные привилегии, валидация на входе.
Skill не заменяет глубокого аудита безопасности — это набор типовых практик. Для сложных сценариев (например, fine-grained authorization, многопоточность) требуются расширенные настройки.
Примеры кода — это каркас, который нужно адаптировать под свою бизнес-логику и используемые версии зависимостей.
Rate limiting на уровне IP — начальный уровень; в production лучше использовать gateway (например, Spring Cloud Gateway) или более продвинутые решения для распределённых систем.

Установка одной командой.

npx skillfish add affaan-m/everything-claude-code springboot-security

Источник: https://mcpmarket.com/tools/skills/spring-boot-security-best-practices-7