Springboot Security

affaan-m/ECC/docs/ja-JP/skills/springboot-security

by affaan-mef648e01899ba3e8dc6371642deaaf64b4477775No license275K starsListed Oct 9, 2026Updated Oct 9, 2026Repository updated 4 days ago

Spring Security best practices for authn/authz, validation, CSRF, secrets, headers, rate limiting, and dependency security in Java Spring Boot services.

Instructions onlySecurity Software Development

AI-generated overview

Spring Boot security review guidance covering authentication, authorization, validation, CSRF, secrets, headers, rate limiting and dependencies.

What it does: Provides a checklist-style reference for reviewing and hardening Java Spring Boot services. It covers authentication token handling, method-level authorization, input validation, SQL injection prevention, CSRF configuration, secret management, security headers, rate limiting, dependency scanning, logging and PII, and file uploads. It includes Java code snippets and a pre-release checklist, but produces no files or scripts.
When to use it: Use when adding authentication, handling input, creating endpoints, or managing secrets in a Spring Boot service. Also useful as a pre-release security review checklist for such services.
Requirements: No scripts or tooling are bundled; it is guidance only. Applying the advice assumes a Java Spring Boot project with Spring Security, and mentions optional external tools such as Bucket4j, OWASP Dependency Check or Snyk, and a vault for secrets.

Spring Boot セキュリティレビュー

認証の追加、入力処理、エンドポイント作成、またはシークレット処理時に使用します。

認証

ステートレスJWTまたは失効リスト付き不透明トークンを優先
セッションには httpOnly、Secure、SameSite=Strict クッキーを使用
OncePerRequestFilter またはリソースサーバーでトークンを検証

java

@Componentpublic class JwtAuthFilter extends OncePerRequestFilter {  private final JwtService jwtService;
  public JwtAuthFilter(JwtService jwtService) {    this.jwtService = jwtService;  }
  @Override  protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response,      FilterChain chain) throws ServletException, IOException {    String header = request.getHeader(HttpHeaders.AUTHORIZATION);    if (header != null && header.startsWith("Bearer ")) {      String token = header.substring(7);      Authentication auth = jwtService.authenticate(token);      SecurityContextHolder.getContext().setAuthentication(auth);    }    chain.doFilter(request, response);  }}

@Componentpublic class JwtAuthFilter extends OncePerRequestFilter {  private final JwtService jwtService;
  public JwtAuthFilter(JwtService jwtService) {    this.jwtService = jwtService;  }
  @Override  protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response,      FilterChain chain) throws ServletException, IOException {    String header = request.getHeader(HttpHeaders.AUTHORIZATION);    if (header != null && header.startsWith("Bearer ")) {      String token = header.substring(7);      Authentication auth = jwtService.authenticate(token);      SecurityContextHolder.getContext().setAuthentication(auth);    }    chain.doFilter(request, response);  }}

認可

メソッドセキュリティを有効化: @EnableMethodSecurity
@PreAuthorize("hasRole('ADMIN')") または @PreAuthorize("@authz.canEdit(#id)") を使用
デフォルトで拒否し、必要なスコープのみ公開

入力検証

@Valid を使用してコントローラーでBean Validationを使用
DTOに制約を適用: @NotBlank、@Email、@Size、カスタムバリデーター
レンダリング前にホワイトリストでHTMLをサニタイズ

SQLインジェクション防止

Spring Dataリポジトリまたはパラメータ化クエリを使用
ネイティブクエリには :param バインディングを使用し、文字列を連結しない

CSRF保護

ブラウザセッションアプリの場合はCSRFを有効にし、フォーム/ヘッダーにトークンを含める
Bearerトークンを使用する純粋なAPIの場合は、CSRFを無効にしてステートレス認証に依存

java

http  .csrf(csrf -> csrf.disable())  .sessionManagement(sm -> sm.sessionCreationPolicy(SessionCreationPolicy.STATELESS));

http  .csrf(csrf -> csrf.disable())  .sessionManagement(sm -> sm.sessionCreationPolicy(SessionCreationPolicy.STATELESS));

シークレット管理

ソースコードにシークレットを含めない。環境変数またはvaultから読み込む
application.yml を認証情報から解放し、プレースホルダーを使用
トークンとDB認証情報を定期的にローテーション

セキュリティヘッダー

java

http  .headers(headers -> headers    .contentSecurityPolicy(csp -> csp      .policyDirectives("default-src 'self'"))    .frameOptions(HeadersConfigurer.FrameOptionsConfig::sameOrigin)    .xssProtection(Customizer.withDefaults())    .referrerPolicy(rp -> rp.policy(ReferrerPolicyHeaderWriter.ReferrerPolicy.NO_REFERRER)));

http  .headers(headers -> headers    .contentSecurityPolicy(csp -> csp      .policyDirectives("default-src 'self'"))    .frameOptions(HeadersConfigurer.FrameOptionsConfig::sameOrigin)    .xssProtection(Customizer.withDefaults())    .referrerPolicy(rp -> rp.policy(ReferrerPolicyHeaderWriter.ReferrerPolicy.NO_REFERRER)));

レート制限

高コストなエンドポイントにBucket4jまたはゲートウェイレベルの制限を適用
バーストをログに記録してアラートを送信し、リトライヒント付きで429を返す

依存関係のセキュリティ

CIでOWASP Dependency Check / Snykを実行
Spring BootとSpring Securityをサポートされているバージョンに保つ
既知のCVEでビルドを失敗させる

ロギングとPII

シークレット、トークン、パスワード、完全なPANデータをログに記録しない
機密フィールドを編集し、構造化JSONロギングを使用

ファイルアップロード

サイズ、コンテンツタイプ、拡張子を検証
Webルート外に保存し、必要に応じてスキャン

リリース前チェックリスト

注意: デフォルトで拒否し、入力を検証し、最小権限を適用し、設定によるセキュリティを優先します。

Source and attribution

Source:affaan-m/ECCindocs/ja-JP/skills/springboot-securityat commitef648e0

License: No license

Content belongs to its original authors. SourceWeft indexes it from a public repository.

Report or request removal

Springboot Security

Spring Boot セキュリティレビュー

認証

認可

入力検証

SQLインジェクション防止

CSRF保護

シークレット管理

セキュリティヘッダー

レート制限

依存関係のセキュリティ

ロギングとPII

ファイルアップロード

リリース前チェックリスト

Source and attribution

More from affaan-m/ECC

Unified Notifications Ops

Verification Loop

Ui To Vue

Unified Memory

Visa Doc Translate

Team Builder

More in Security

Kyc Rules

Kyc Rules

Compliance Tracking

Dpop Adoption

Secops Triage

Secops Investigate