怎样保护 Spring Boot 应用？

直接回答

围绕实际入口设计认证、授权、会话或令牌、输入限制、传输与秘密管理，再配置Spring Security等基础设施。引入security starter可提供默认保护，但不是完整业务权限设计。当前应使用SecurityFilterChain等配置方式，不能复制已移除的WebSecurityConfigurerAdapter方案。

讲清原理

身份认证回答“是谁”，授权回答“可访问什么”。仅要求登录仍不能阻止越权读取其他用户订单，需要资源归属校验。浏览器自动携带凭据时，要正确处理CSRF；CORS不替代CSRF，也不控制所有非浏览器客户端。

管理端点与业务接口可有不同暴露策略。密码用适合的编码器，凭据不入源码或日志；TLS、错误响应与审计也应覆盖真实部署链路。

例子与易错点

至少验证游客拒绝、已登录仍越权拒绝、允许访问与写请求校验。无Cookie的API也不能仅凭“前后端分离”就断定可以关闭全部CSRF保护，应看凭据实际传递方式。

相关题：第 22 题、第 30 题、第 38 题。