Access token của OAuth2 như chìa khoá valet: cho phép làm một việc cụ thể mà không phải là bạn; OIDC mới kẹp thêm tấm thẻ căn cước (id_token) trả lời 'ai'. Luồng duy nhất còn đúng năm 2026, PKCE, đăng nhập Google trong Spring, và ánh xạ vào người dùng.
JWT như vòng đeo tay lễ hội dán niêm: ai cũng đọc được chữ in trên đó, không giả được, nhưng cổng đã phát thì không thu lại được tới khi hết hạn. Session như vé gửi đồ. Đo bốn kiểu token giả bị chặn, chi phí ký/xác minh, và vì sao không thu hồi được là vấn đề thật.
Cookie như tấm thẻ hội viên trình duyệt tự chìa ra ở mọi cửa của một tên miền — kể cả khi kẻ xấu đẩy bạn tới đó. CSRF đo từ đầu tới cuối, ba thay đổi của Security 6, và vì sao mã lỗi bạn thấy không phải mã ban đầu.
Phân quyền như một thư viện: thẻ chứng bạn là ai ở quầy, nhưng mỗi khu đọc, mỗi tủ khoá trong khu, và câu hỏi 'cuốn này của AI' là ba lớp khác nhau. 401 khác 403, cái bẫy tiền tố ROLE_, lỗ hổng tự gọi qua proxy, và IDOR.
Băm mật khẩu như một ổ khoá một chiều nặng và quay chậm có chủ đích: kiểm được chìa nhưng không đọc ngược ra chìa. Đo BCrypt theo từng mức cost, giới hạn 72 byte, DelegatingPasswordEncoder, và cách đổi thuật toán mà không bắt ai đặt lại mật khẩu.
Spring Security như một bộ lọc nước nhiều tầng: nước qua một dãy lõi cố định, mỗi lõi lọc đúng một thứ, sai thứ tự là hỏng cả dãy — và cái van cuối mặc định ĐÓNG. Mười lăm bộ lọc in ra thật, năm header tự bật, và cấu hình đúng thứ tự.