Cookie như tấm thẻ hội viên trình duyệt tự chìa ra ở mọi cửa của một tên miền — kể cả khi kẻ xấu đẩy bạn tới đó. CSRF đo từ đầu tới cuối, ba thay đổi của Security 6, và vì sao mã lỗi bạn thấy không phải mã ban đầu.
Phân quyền như một thư viện: thẻ chứng bạn là ai ở quầy, nhưng mỗi khu đọc, mỗi tủ khoá trong khu, và câu hỏi 'cuốn này của AI' là ba lớp khác nhau. 401 khác 403, cái bẫy tiền tố ROLE_, lỗ hổng tự gọi qua proxy, và IDOR.
Băm mật khẩu như một ổ khoá một chiều nặng và quay chậm có chủ đích: kiểm được chìa nhưng không đọc ngược ra chìa. Đo BCrypt theo từng mức cost, giới hạn 72 byte, DelegatingPasswordEncoder, và cách đổi thuật toán mà không bắt ai đặt lại mật khẩu.
Spring Security như một bộ lọc nước nhiều tầng: nước qua một dãy lõi cố định, mỗi lõi lọc đúng một thứ, sai thứ tự là hỏng cả dãy — và cái van cuối mặc định ĐÓNG. Mười lăm bộ lọc in ra thật, năm header tự bật, và cấu hình đúng thứ tự.
ORM giấu việc truy cập CSDL quá giỏi, và mọi vấn đề tốn kém của tầng dữ liệu nằm đúng ở chỗ nó giấu. Bảng quyết định rút từ bảy phép đo thật, ba dòng cấu hình đáng đặt vào mọi dự án, và bốn thói quen đáng mang theo.
Cache trong bộ nhớ như cuốn sổ tay riêng trên bàn mỗi người; Redis như một tấm bảng chung ngoài hành lang ai cũng đọc cũng ghi — phải đi ra đó một chuyến, đổi lại ai cũng thấy cùng một thứ. Đo cache/session/khoá/bộ đếm, và vì sao phải đếm lượt đi về.