Spring Security in der Praxis

Termine und Buchung

Microservices absichern mit Spring Security, OAuth 2.0 und OpenID Connect (OIDC)

Spring Security bildet das Fundament für Authentifizierung und Autorisierung in Spring-Anwendungen. In Microservice-Architekturen müssen Identitäten, Tokens und Zugriffsentscheidungen jedoch zusätzliche Systemgrenzen überwinden. Dieses Training führt deshalb die Grundlagen von Spring Security mit OAuth 2.0, OpenID Connect (OIDC) und Spring Authorization Server zusammen.

An zwei intensiven Trainingstagen erarbeitest du dir Schritt für Schritt ein tiefes Verständnis der zentralen Spring-Security-Konzepte. Dazu sicherst du eine durchgängige Beispielanwendung ab: von der Security Filter Chain bis zum OAuth 2.0 Resource Server. Moderne Verfahren für Authentifizierung und Autorisierung lernst du dabei direkt in der Anwendung kennen.

Die Praxis steht im Mittelpunkt. In Hands-on-Sessions konfigurierst, testest und beobachtest du das Security-Verhalten der Anwendung. Du arbeitest unter anderem mit MFA, Passkeys, sicheren Passwort-Hashes, JWTs, Opaque Tokens sowie Browser- und Service-to-Service-Flows.

Agenda

Tag 1: Spring Security Grundlagen und Anwendung

• Einführung in Security
  • Schutzziele und Bedrohungen, Standards sowie Authentifizierung, Autorisierung und Auditing
• Spring Security Grundlagen
  • Grundprinzipien, die Security Filter Chain, ‚SecurityContext‘ und sichere Standardeinstellungen von Spring Boot
• Authentifizierung
  • Bausteine der Authentifizierung, Benutzerspeicher, HTTP Basic, Form Login, MFA, Passkeys und Session Management
• Request- und Message-Autorisierung
  • Zugriffsregeln für HTTP, Request Matcher, Rollen, benutzerdefinierte Bedingungen, Auditing und WebSockets
• Methoden- und Domänenobjektsicherheit
  • Security-Annotationen, Vor- und Nachbedingungen, Rückgabewerte sowie die Weitergabe des ‚SecurityContext‘
• Security-Tests und Observability
  • Tests mit MockMvc, Testidentitäten, Security Events, Audit und Metriken

Tag 2: Passwörter, Web-Sicherheit und OAuth 2.0

• Sichere Passwortspeicherung
  • Adaptive Hashes, ‚PasswordEncoder‘, ‚DelegatingPasswordEncoder‘ und transparente Upgrades
• Schutz vor häufigen Web-Schwachstellen
  • Security Headers, Content Security Policy, CSRF-Schutz sowie HTTPS und HSTS
• OAuth 2.0 und OpenID Connect (OIDC)
  • Rollen, Grant Types, PKCE, unterschiedliche Tokenarten und Social Login
• Spring Authorization Server
  • Endpoints, Client-Registrierung, Discovery, Schlüssel und die Anpassung von Tokens
• Ressourcen mit OAuth 2.0 schützen und aufrufen
  • Resource Server und Client, JWTs, Opaque Tokens, Service-to-Service-Zugriffe, DPoP und BFF
• Optionale Vertiefungsübungen
  • DPoP, Passkey-Persistenz, Trade-offs verschiedener Tokens und Bonusaufgaben
• Ausblick und abschließendes Security Review
  • Technisch aktuell bleiben, Fehlkonfigurationen analysieren und Schutzmaßnahmen wiederherstellen

Dein Nutzen

Zielgruppe

Softwareentwickler:innen, Architekt:innen und IT-Profis, die mit Spring oder Java arbeiten und ihre Kenntnisse im Bereich Sicherheit vertiefen möchten.

Voraussetzungen

• Erfahrung in der Entwicklung von Spring- oder Java-Anwendungen
• Laptop mit Entwicklungsumgebung (IntelliJ, Eclipse, VS Code)
• Maven & aktuelle Java-Version
• Internetzugang & Berechtigung zur Softwareinstallation

Lernziele

Deine Trainer:innen