Băm mật khẩu như một ổ khoá một chiều nặng và quay chậm có chủ đích: kiểm được chìa nhưng không đọc ngược ra chìa. Đo BCrypt theo từng mức cost, giới hạn 72 byte, DelegatingPasswordEncoder, và cách đổi thuật toán mà không bắt ai đặt lại mật khẩu.
Spring Security như một bộ lọc nước nhiều tầng: nước qua một dãy lõi cố định, mỗi lõi lọc đúng một thứ, sai thứ tự là hỏng cả dãy — và cái van cuối mặc định ĐÓNG. Mười lăm bộ lọc in ra thật, năm header tự bật, và cấu hình đúng thứ tự.
Default exchange là một exchange thật với binding ngầm không gỡ được — và là cửa sau vòng qua mọi luật định tuyến bạn dựng lên.
ThreadLocal dùng để làm gì, hai cái bẫy khi có pool luồng — rò dữ liệu giữa các request và giữ lại 110MB sau GC — và ScopedValue của Java 21.
JDBC từ đầu: PreparedStatement chặn injection bằng cách tách cú pháp khỏi dữ liệu, getInt trên cột NULL trả về 0, chèn hàng loạt nhanh gấp 74 lần, và setFetchSize bị bỏ qua trong im lặng nếu quên setAutoCommit(false).
Nhóm đặt tên, tham lam và không tham lam, biên từ; và một phép đo cho thấy ví dụ ReDoS trong sách giáo khoa đã hết tác dụng với JDK 21, còn kiểu bùng nổ thật thì nằm ở sáu nhóm .* liền nhau — 19 giây cho một chuỗi 120 ký tự.