Sáu kết quả đo đi ngược trực giác, bốn chỗ proxy làm chú thích biến mất, danh sách kiểm đầy đủ trước khi lên sản xuất, và ba nguyên tắc. Vì sao triệu chứng không bao giờ tương ứng với mức nghiêm trọng.
MockMvc như tập dượt trên sân khấu dựng tạm: tái hiện tầng MVC rất thật, nhưng không có toà nhà thật quanh nó (container) và không có khán giả thật (trình duyệt). Ba loại lỗi chỉ lộ khi diễn thật, và bốn test bảo mật đáng viết.
Header bảo mật như nội quy server dán ở cửa, nhưng người gác cửa thi hành là trình duyệt. CSP là danh sách khách mời cho script. Sáu header đo được, CSP viết cho đúng, HSTS biến mất sau nginx, và cái bẫy test xanh.
Access token của OAuth2 như chìa khoá valet: cho phép làm một việc cụ thể mà không phải là bạn; OIDC mới kẹp thêm tấm thẻ căn cước (id_token) trả lời 'ai'. Luồng duy nhất còn đúng năm 2026, PKCE, đăng nhập Google trong Spring, và ánh xạ vào người dùng.
JWT như vòng đeo tay lễ hội dán niêm: ai cũng đọc được chữ in trên đó, không giả được, nhưng cổng đã phát thì không thu lại được tới khi hết hạn. Session như vé gửi đồ. Đo bốn kiểu token giả bị chặn, chi phí ký/xác minh, và vì sao không thu hồi được là vấn đề thật.
Cookie như tấm thẻ hội viên trình duyệt tự chìa ra ở mọi cửa của một tên miền — kể cả khi kẻ xấu đẩy bạn tới đó. CSRF đo từ đầu tới cuối, ba thay đổi của Security 6, và vì sao mã lỗi bạn thấy không phải mã ban đầu.