MockMvc như tập dượt trên sân khấu dựng tạm: tái hiện tầng MVC rất thật, nhưng không có toà nhà thật quanh nó (container) và không có khán giả thật (trình duyệt). Ba loại lỗi chỉ lộ khi diễn thật, và bốn test bảo mật đáng viết.
Đi một vòng quanh toà nhà của mình rà từng cánh cửa: chỗ thủng không phải cửa chính (xác thực) mà là cánh cửa khoá rồi vẫn mở cho nhầm người (IDOR), lối kỹ thuật bị quên (Actuator), cái chuông gọi bất kỳ số nào (SSRF). Danh sách kiểm kèm cách tìm.
Header bảo mật như nội quy server dán ở cửa, nhưng người gác cửa thi hành là trình duyệt. CSP là danh sách khách mời cho script. Sáu header đo được, CSP viết cho đúng, HSTS biến mất sau nginx, và cái bẫy test xanh.
JWT như vòng đeo tay lễ hội dán niêm: ai cũng đọc được chữ in trên đó, không giả được, nhưng cổng đã phát thì không thu lại được tới khi hết hạn. Session như vé gửi đồ. Đo bốn kiểu token giả bị chặn, chi phí ký/xác minh, và vì sao không thu hồi được là vấn đề thật.
Cookie như tấm thẻ hội viên trình duyệt tự chìa ra ở mọi cửa của một tên miền — kể cả khi kẻ xấu đẩy bạn tới đó. CSRF đo từ đầu tới cuối, ba thay đổi của Security 6, và vì sao mã lỗi bạn thấy không phải mã ban đầu.
Phân quyền như một thư viện: thẻ chứng bạn là ai ở quầy, nhưng mỗi khu đọc, mỗi tủ khoá trong khu, và câu hỏi 'cuốn này của AI' là ba lớp khác nhau. 401 khác 403, cái bẫy tiền tố ROLE_, lỗ hổng tự gọi qua proxy, và IDOR.