Seminar Spring Boot – Security mit OAuth2 und OpenID Connect

Inhaltsverzeichnis

• Seminarprofil
• Lernziele
• Schwerpunkte
• Praxisübungen
• Zielgruppe und Vorkenntnisse

Seminarprofil

Security muss an den Vertrauensgrenzen einer Anwendung beginnen und darf nicht auf einzelne Annotationen reduziert werden. Dieses Seminar erklärt die Filterkette von Spring Security und setzt darauf Authentifizierung, Autorisierung sowie OAuth2- und OpenID-Connect-Szenarien auf.

Eine Beispielanwendung wird als geschützte Web- und REST-Anwendung ausgebaut. Resource Server, JWT-Prüfung, OAuth2 Login, Clientzugriffe, methodenbasierte Regeln, CORS, CSRF, Passwortbehandlung und Security-Tests werden mit nachvollziehbaren Bedrohungsannahmen verbunden.

Lernziele

• Security Filter Chain und Requestverarbeitung verstehen
• Authentifizierung und Autorisierung klar voneinander trennen
• REST-APIs als OAuth2 Resource Server mit JWT absichern
• OpenID-Connect-Login und OAuth2-Clientzugriffe konfigurieren
• URL-, Rollen-, Authority- und methodenbasierte Regeln entwickeln
• CORS, CSRF, Session, Secrets und Fehlerantworten sicher gestalten
• Security-Konfiguration und Angriffsvarianten automatisiert testen

Schwerpunkte

Security-Architektur

• Filter Chain, Security Context und Authentication
• User, Principal, Granted Authorities und Access Decisions
• Sichere Defaults und explizite Freigaberegeln

Authentifizierung

• In-Memory, JDBC und benutzerdefinierte Benutzerquellen
• Password Encoder und sichere Passwortspeicherung
• Sessions, stateless APIs und Remember-Me-Einordnung

Autorisierung

• Request Matcher, Rollen und Authorities
• Method Security und fachliche Zugriffsregeln
• Mandanten-, Objekt- und Kontextbezug

OAuth2 Resource Server

• JWT-Struktur, Signatur, Issuer und Audience
• Authorities Mapping und benutzerdefinierte Claims
• Fehlerantworten, Tokenablauf und Schlüsselrotation

OpenID Connect und OAuth2 Client

• Authorization Code Flow und Login
• Client Credentials für Servicekommunikation
• Tokenweitergabe und kontrollierte Clientregistrierungen

Browser- und API-Schutz

• CSRF, CORS, Security Headers und Session Fixation
• Inputgrenzen, Fehlerdetails und Informationslecks
• Secrets, Konfiguration und sichere Betriebsendpunkte

Security-Tests

• Mock Users, JWT und methodenbasierte Tests
• Web- und Integrationstests für erlaubte und verbotene Zugriffe
• Negative Tests, Tokenfehler und Regressionen

Praxisübungen

1. Eine Security Filter Chain mit expliziten öffentlichen und geschützten Pfaden konfigurieren.
2. Benutzer, Passwortkodierung und rollenbasierte Regeln für eine Webfunktion umsetzen.
3. Eine REST-API als JWT-basierten Resource Server absichern.
4. Claims auf Authorities und fachliche Methodenregeln abbilden.
5. OpenID-Connect-Login oder einen OAuth2-Client für einen externen Aufruf ergänzen.
6. CORS-, CSRF- und Fehlerbehandlungsregeln für Browser und API prüfen.
7. Positive und negative Security-Tests einschließlich ungültiger und abgelaufener Tokens automatisieren.

Zielgruppe und Vorkenntnisse

Zielgruppe: Java- und Spring-Entwicklung, Backend- und API-Entwicklung, Softwarearchitektur sowie technische Security-Verantwortung.

Vorkenntnisse: Gute Spring-Boot- und Java-Kenntnisse sowie Grundlagen zu HTTP, REST und Websicherheit. OAuth2-Vorkenntnisse sind nicht erforderlich.