O que é Spring Security?

Spring Security é um dos frameworks mais utilizados no desenvolvimento de aplicações Java, oferecendo soluções completas para autenticação e autorização. Ele se integra ao ecossistema Spring, facilitando a criação de aplicações seguras, desde a proteção de APIs REST até sistemas de login mais complexos utilizando padrões como OAuth2 e OpenID Connect.

Principais Funcionalidades

1. Autenticação e Autorização: No Spring Security, a autenticação verifica a identidade de um usuário, enquanto a autorização controla o acesso a recursos com base nas permissões. Com a nova abordagem, é possível definir essas regras de forma fluida e programática, sem herdar classes como WebSecurityConfigurerAdapter, que foi descontinuada.
2. Proteção Contra Ameaças Comuns:

• CSRF (Cross-Site Request Forgery): Spring Security oferece proteção automática contra ataques CSRF.
• XSS (Cross-Site Scripting): Garante que entradas maliciosas não comprometam a segurança da aplicação.
• Segurança de Cabeçalhos HTTP: Implementa melhores práticas de segurança em relação a cabeçalhos HTTP para evitar ataques como clickjacking e outros.

1. OAuth2 e OpenID Connect: O Spring Security facilita a integração com provedores de autenticação externos, como Google e Facebook, para autenticação baseada em OAuth2 e OpenID Connect.
2. 
   

Mudanças Recentes

A principal mudança na versão mais recente do Spring Security é a remoção da classe WebSecurityConfigurerAdapter. Agora, a configuração é realizada por meio de componentes individuais e beans, com uma abordagem mais funcional e flexível.

Aqui está um exemplo de configuração de autenticação usando a nova abordagem:

@Configuration
@EnableWebSecurity
public class SecurityConfig {

  @Bean
  public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
      http
          .authorizeHttpRequests(authz -> authz
              .requestMatchers("/publico/**").permitAll()
              .anyRequest().authenticated()
          )
          .formLogin(withDefaults());
      return http.build();
  }

  @Bean
  public UserDetailsService userDetailsService() {
      UserDetails user = User.withDefaultPasswordEncoder()
          .username("user")
          .password("password")
          .roles("USER")
          .build();
      return new InMemoryUserDetailsManager(user);
  }
}

Neste exemplo:

• authorizeHttpRequests() define as regras de autorização.
• formLogin() habilita o login via formulário com as configurações padrão.
• Um usuário em memória é configurado com o método User.withDefaultPasswordEncoder().
• 
  

Como Spring Security Funciona?

Spring Security trabalha adicionando uma cadeia de filtros de segurança, que interceptam as requisições antes que elas cheguem aos seus endpoints. Esses filtros podem ser personalizados conforme necessário. A arquitetura permite que você escolha quais rotas requerem autenticação, quais permissões os usuários precisam ter, e como gerenciar sessões, autenticação e tokens.

Configuração via Beans

Na nova versão do Spring Security, as configurações são feitas usando a anotação @EnableWebSecurity e beans, em vez de herdar uma classe de configuração. Isso torna o código mais modular e fácil de manter. O uso de SecurityFilterChain permite maior flexibilidade para configurar o comportamento da segurança na aplicação.

Vantagens de Usar Spring Security

• Proteção Completa: Fornece uma segurança abrangente para qualquer tipo de aplicação web, protegendo contra as ameaças mais comuns.
• Abordagem Modular: Com a nova abordagem baseada em componentes, o Spring Security se torna mais flexível e fácil de configurar.
• Suporte a Padrões Modernos: Spring Security oferece suporte nativo a OAuth2 e OpenID Connect, facilitando a integração com provedores externos de autenticação.
• Personalização: A configuração por beans permite personalizar o comportamento da segurança de forma mais granular e modular.