Người dùng vai USER gọi được phương thức @PreAuthorize("hasRole('ADMIN')") — chỉ cần gọi vòng qua chính lớp đó
401 khác 403 đo được, luật theo HTTP method, @PreAuthorize và @PostAuthorize chạy thật, và lỗ hổng do proxy.
#spring-security
9 bài viết
Hai mật khẩu hoàn toàn khác nhau, BCrypt nói chúng khớp — vì nó cắt ở byte thứ 72
Đo BCrypt theo từng mức cost, giới hạn 72 byte đo được, DelegatingPasswordEncoder, và cách đổi thuật toán mà không bắt ai đặt lại mật khẩu.
Thêm một dòng phụ thuộc, mọi endpoint trả 401 và console in ra một mật khẩu — mười lăm bộ lọc vừa được cắm vào
Chuỗi lọc mặc định của Spring Security in ra đầy đủ, năm header bảo mật tự bật, và cách cấu hình cho đúng thứ tự.