IA Cheatsheets

¡Excelente elección! Spring Security es un pilar fundamental para la seguridad en aplicaciones Spring y Spring Boot. Aquí tienes un “cheatsheet” completo y bien estructurado de Spring Security, optimizado para ser claro y conciso para una IA conversacional.

🔒 Spring Security Cheatsheet Completo 🔒

Spring Security es un framework potente y altamente personalizable para autenticación y autorización. Se integra perfectamente con aplicaciones Spring y Spring Boot, proporcionando una seguridad robusta para aplicaciones web, APIs REST y microservicios.

1. 🌟 Conceptos Clave

2. 🛠️ Configuración Inicial

  1. Dependencia (Maven pom.xml):

    <dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>
&lt;!-- Para JPA/Base de datos, si no la tienes ya -->
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-data-jpa</artifactId>
</dependency>

  2. Clase de Configuración de Seguridad:

    • Crea una clase con @Configuration y @EnableWebSecurity.
    • A partir de Spring Security 5.7+, la configuración se hace predominantemente a través de un bean de SecurityFilterChain.
    import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.method.configuration.EnableMethodSecurity; // Para seguridad a nivel de método
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityCustomizer; // Para ignorar peticiones
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.security.web.SecurityFilterChain;
import org.springframework.security.web.util.matcher.AntPathRequestMatcher; // Para ignorar recursos estáticos

@Configuration
@EnableWebSecurity // Habilita la seguridad web
@EnableMethodSecurity // Habilita seguridad a nivel de método (ej. @PreAuthorize)
public class SecurityConfig {

    // 1. PasswordEncoder (¡Obligatorio para contraseñas seguras!)
    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    // 2. Configuración de la cadena de filtros de seguridad (HTTP Security)
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            // Deshabilita CSRF para APIs REST (considera CSRF para aplicaciones web con formularios)
            .csrf(csrf -&gt; csrf.disable())
            // O: .csrf(Customizer.withDefaults()) // CSRF habilitado por defecto y configurado

            // Configuración de autorización de peticiones HTTP
            .authorizeHttpRequests(authorize -&gt; authorize
                // Permitir acceso a recursos públicos (login, registro)
                .requestMatchers("/public/**", "/auth/**", "/h2-console/**").permitAll()
                // Requerir rol ADMIN para /admin/**
                .requestMatchers("/admin/**").hasRole("ADMIN")
                // Requerir rol USER para /user/**
                .requestMatchers("/user/**").hasAnyRole("USER", "ADMIN")
                // Cualquier otra petición debe estar autenticada
                .anyRequest().authenticated()
            )
            // Configuración de formulario de login
            .formLogin(form -&gt; form
                .loginPage("/login")        // URL de la página de login personalizada
                .permitAll()                // Permitir acceso a la página de login
                .defaultSuccessUrl("/dashboard", true) // Redirigir después de login exitoso
                .failureUrl("/login?error") // Redirigir si falla el login
            )
            // Configuración de logout
            .logout(logout -&gt; logout
                .logoutRequestMatcher(new AntPathRequestMatcher("/logout")) // URL para el logout
                .logoutSuccessUrl("/login?logout") // Redirigir después de logout exitoso
                .invalidateHttpSession(true) // Invalidar sesión HTTP
                .deleteCookies("JSESSIONID") // Eliminar cookies
                .permitAll()
            );

        // Importante para H2 Console si CSRF está deshabilitado:
        http.headers(headers -&gt; headers.frameOptions(frameOptions -&gt; frameOptions.sameOrigin()));

        return http.build();
    }

    // 3. (Opcional) Ignorar peticiones para recursos estáticos o Swagger
    // Si no se hace aquí, el filterChain principal también las procesará
    @Bean
    public WebSecurityCustomizer webSecurityCustomizer() {
        return (web) -&gt; web.ignoring()
            .requestMatchers(
                "/images/**",
                "/js/**",
                "/css/**",
                "/webjars/**",
                "/swagger-ui/**",
                "/v3/api-docs/**"
            );
    }

    // --- Configuración de Autenticación (sección 3) ---
}

3. 🔑 Autenticación

3.1. Autenticación en Memoria (Solo para Desarrollo/Pruebas)

3.2. Autenticación Basada en Base de Datos (Personalizada)

4. 👮 Autorización

4.1. Autorización a Nivel de URL (Configurada en SecurityFilterChain)

4.2. Autorización a Nivel de Método

5. 📚 Acceso a los Detalles del Usuario Autenticado

6. 🌐 Características Comunes de Seguridad Web

7. 🚀 Integración con JWT / OAuth2 (Mención)

8. 💡 Buenas Prácticas y Consejos

Este cheatsheet te proporciona una referencia completa y concisa de Spring Security, cubriendo sus aspectos esenciales para la autenticación y autorización en tus aplicaciones Spring Boot.