Seminar Spring Boot 4 – Sicherheit mit Spring Security, OAuth 2.0 und OpenID Connect

Einordnung und Nutzen

Das Seminar vermittelt Anwendungssicherheit als durchgängiges Modell aus Authentifizierung, Autorisierung, Tokenprüfung, Session- beziehungsweise Clienttyp und fachlichen Berechtigungen. Spring Security wird über Security Filter Chain und Authorization Manager nachvollziehbar konfiguriert.

OAuth 2.0 und OpenID Connect werden für Ressourcenserver, Client und Login-Szenarien umgesetzt. Tokenvalidierung, Schlüsselrotation, CORS, CSRF, Method Security, Security-Tests und sichere Fehlerdiagnose bilden den Produktionsrahmen.

Inhaltsübersicht

• Einordnung und Nutzen
• Lernziele
• Seminarinhalte
• Praxisübungen
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Spring-Security-Filterkette und Authentifizierungszustand erklären.
• Ressourcenserver und OIDC-Login passend zum Anwendungstyp konfigurieren.
• JWT, Scopes, Claims und Schlüsselrotation sicher validieren.
• URL-, Methoden- und fachliche Autorisierung kombinieren.
• Security mit negativen Tests, Audit und Observability absichern.

Seminarinhalte

Tag 1: Security-Modell, Filterkette und lokale Authentifizierung

1. Bedrohungsmodell, Schutzobjekte und Vertrauensgrenzen der Anwendung definieren.
2. Security Filter Chain, SecurityContext und Authentication nachvollziehen.
3. Password Encoding und lokale Benutzer nur für geeignete Szenarien einsetzen.
4. Öffentliche und geschützte Endpunkte explizit konfigurieren.
5. Session, stateless API und Browseranwendung unterscheiden.
6. CORS und CSRF anhand des Client- und Credential-Modells behandeln.
7. Authentifizierungs- und Zugriffsfehler ohne Informationsleck abbilden.

Tag 2: OAuth 2.0, OpenID Connect und Tokenvalidierung

1. Rollen von Authorization Server, Resource Server, Client und Benutzer einordnen.
2. Authorization Code mit PKCE, Client Credentials und ungeeignete Flows unterscheiden.
3. JWT-Signatur, Issuer, Audience, Zeitangaben und Claims validieren.
4. Scopes und Rollen sauber auf Anwendungsberechtigungen abbilden.
5. OIDC-Login und Benutzerinformationen in eine Webanwendung integrieren.
6. Schlüsselrotation, Clock Skew und nicht erreichbare Metadaten behandeln.
7. Tokenfehler und unzulässige Claims mit automatisierten Tests prüfen.

Tag 3: Autorisierung, Härtung, Tests und Betrieb

1. Method Security und fachliche Autorisierung mit Domänenkontext umsetzen.
2. Mandanten-, Eigentümer- und Objektberechtigungen prüfen.
3. Security Header, TLS-Annahmen und Secret-Schutz in den Betrieb einordnen.
4. Testbenutzer, Mock-JWT und echte Tokenpfade passend verwenden.
5. Positive, negative und Missbrauchsfälle als Security-Tests automatisieren.
6. Audit-Ereignisse, Metriken und Logs ohne Token- oder Personendatenleck erfassen.
7. Fehlkonfiguration, abgelaufenen Schlüssel und Rechteeskalation in einer Diagnoseübung bearbeiten.

Praxisübungen

• API mit Security Filter Chain und expliziten Zugriffsregeln absichern.
• OAuth-2.0-Ressourcenserver mit JWT-, Issuer- und Audience-Prüfung konfigurieren.
• Fachliche Objektberechtigung auf Methodenebene implementieren.
• Abgelaufenes Token, falsche Audience, CORS- und CSRF-Fehler testen.
• Audit- und Diagnosepfad ohne Ausgabe sensibler Tokeninhalte aufbauen.

Zielgruppe und Voraussetzungen

Zielgruppe: Java- und Spring-Entwicklung, Security Engineering, IAM-Integration und technische Architektur.

Voraussetzungen: Gute Spring-Boot-, Java- und HTTP-Kenntnisse. Grundverständnis von TLS, JSON und Webanwendungen.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Implementierungsschritte, Messungen und kontrollierte Fehlerfälle vertieft. Jede Übung enthält einen definierten Ausgangszustand, Prüfpunkte und eine nachvollziehbare Ergebniskontrolle. Die Seminarbeispiele werden in einer durchgängigen Codebasis aufgebaut, damit Zusammenhänge zwischen Konfiguration, Fachlogik, Tests und Betrieb sichtbar bleiben.