Spring Security filter architecture
Security của servlet application bắt đầu trước controller: request được chọn vào một security filter chain, xác thực principal, lưu context và kiểm tra authorization ở nhiều boundary.
DelegatingFilterProxy và FilterChainProxy
Servlet container gọi DelegatingFilterProxy, bridge tới Spring bean FilterChainProxy. FilterChainProxy chọn SecurityFilterChain đầu tiên có matcher phù hợp rồi chạy security filters theo order. Khi có nhiều chains cho API và UI, matcher/order phải không chồng lấn ngoài ý muốn.
Authentication flow
- Authentication filter lấy credential và tạo unauthenticated
Authenticationrequest. AuthenticationManager, thường làProviderManager, thử cácAuthenticationProvider.- Provider xác minh credential và trả authenticated principal hoặc ném failure.
- Thành công được lưu vào
SecurityContext; thất bại đi qua entry point hoặc failure handler.
Password phải dùng adaptive one-way encoder như bcrypt, PBKDF2, scrypt hoặc Argon2 với work factor phù hợp. Upgrade encoding khi user đăng nhập thành công thay vì giữ hash yếu mãi.
SecurityContext và thread boundary
SecurityContextHolder strategy thường gắn context với thread; filter load/save context qua repository theo session hoặc stateless policy. Async task và thread pool cần context propagation có chủ đích và cleanup sau execution để tránh mất hoặc leak principal giữa requests.
Authorization nhiều lớp
| Boundary | Vai trò | Không thay thế |
|---|---|---|
| Request authorization | Cho phép URL/method theo principal và authority. | Object ownership hoặc tenant isolation. |
| Method security | Bảo vệ service method qua proxy. | Query/data filtering đúng tenant. |
| Domain/application checks | Kiểm invariant, ownership và state transition. | Authentication và protocol controls. |
Thiết kế deny-by-default; scope/role chỉ là input. Object-level authorization phải được kiểm ở use case hoặc query để ngăn IDOR và cross-tenant access.
CSRF, CORS và session
CSRF được bật mặc định cho browser session vì cookie được tự động gửi. Stateless bearer API có threat model khác, nhưng không tắt CSRF máy móc nếu vẫn dùng cookie. CORS cần được xử lý trước security vì preflight thường không mang credential. Với login session, cân nhắc session-fixation protection, timeout và concurrent-session policy.
OAuth2 Resource Server
JWT decoder phải validate signature, issuer và timestamps; audience thường cần validator bổ sung theo API. Mapping scopes/claims thành authorities không thay domain authorization. Opaque-token introspection thêm network dependency nên cần timeout, failure policy và cache có thời hạn phù hợp.
Security headers và error contract
Security headers là defense-in-depth. AuthenticationEntryPoint tạo 401 khi chưa authenticated; AccessDeniedHandler tạo 403 khi principal không đủ quyền. JSON API không nên redirect sang HTML login. Log security decision phải redact credentials và tuyệt đối không ghi raw access token.