#spring-security

CSRF from Scratch: Browser Mechanics, Attacks, and Spring Security Implementation [Full Handbook]

Bài viết giải thích cơ chế hoạt động của CSRF trong trình duyệt, cách thức tấn công và triển khai bảo vệ bằng Spring Security, cung cấp hướng dẫn toàn diện từ cơ bản đến nâng cao.

Lập trình viên Spring Security nên đọc bài này để hiểu rõ cơ chế CSRF từ cơ bản đến triển khai thực tế, giúp bảo vệ ứng dụng chống lại tấn công giả mạo yêu cầu từ các trang web khác mà không cần phải biết chi tiết về cơ chế bảo mật web.

Secure Your APIs: OAuth2 and JWT for Beginners

OAuth2 và JWT là hai cơ chế quan trọng giúp bảo mật API trong Spring Boot. Bài viết hướng dẫn cách kết hợp chúng để xác thực token, quản lý phạm vi truy cập (scopes), vai trò (roles) và kiểm soát truy cập chi tiết.

Một lập trình viên cần đọc bài này để hiểu cách triển khai bảo mật API hiệu quả bằng OAuth2 và JWT, giúp xây dựng hệ thống an toàn với xác thực và quyền hạn rõ ràng ngay từ giai đoạn thiết kế.

Week 7 of #100DaysOfCode: Back to the Fundamentals

Sau hai tuần bận rộn xây dựng VeriFund và triển khai dự án, tác giả quay trở lại học các kiến thức cơ bản về Java và Spring Boot trong tuần thứ 7 của thử thách #100DaysOfCode.

Lập trình viên nên đọc bài này để tái nhắc lại cơ bản về lập trình—những kiến thức nền tảng như cấu trúc dữ liệu, thuật toán cơ bản—để tránh mất gốc khi chuyển sang các dự án phức tạp như backend Spring Boot.

Dynamic Authorization Scopes in Spring Authorization Server

A step-by-step guide to extending Spring Authorization Server to support dynamic OAuth 2.0 scopes — scopes not known in advance by the authorization server. Covers when dynamic scopes are useful (e.g., single-operation tokens for transfers or sensitive updates), and walks through the required customizations: scope validation logic via a custom AuthenticationValidator, consent validation using a Predicate, a custom consent page with Thymeleaf, and end-to-end integration testing with WebEnvironment.RANDOM_PORT and RestTestClient. Code separates Spring-specific adapter code from business logic via a DynamicScopeService.