Spring Boot 安全审查

在添加身份验证、处理输入、创建端点或处理密钥时使用。

身份验证

• 优先使用无状态 JWT 或带有撤销列表的不透明令牌
• 对于会话，使用 httpOnly、Secure、SameSite=Strict cookie
• 使用 OncePerRequestFilter 或资源服务器验证令牌

@Component
public class JwtAuthFilter extends OncePerRequestFilter {
  private final JwtService jwtService;

  public JwtAuthFilter(JwtService jwtService) {
    this.jwtService = jwtService;
  }