Spring Boot セキュリティレビュー

認証の追加、入力処理、エンドポイント作成、またはシークレット処理時に使用します。

認証

ステートレスJWTまたは失効リスト付き不透明トークンを優先
セッションには
```
httpOnly
```
、
```
Secure
```
、
```
SameSite=Strict
```
クッキーを使用
```
OncePerRequestFilter
```
またはリソースサーバーでトークンを検証

@Component
public class JwtAuthFilter extends OncePerRequestFilter {
  private final JwtService jwtService;

  public JwtAuthFilter(JwtService jwtService) {
    this.jwtService = jwtService;
  }

  @Override
  protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response,
      FilterChain chain) throws ServletException, IOException {
    String header = request.getHeader(HttpHeaders.AUTHORIZATION);
    if (header != null && header.startsWith("Bearer ")) {
      String token = header.substring(7);
      Authentication auth = jwtService.authenticate(token);
      SecurityContextHolder.getContext().setAuthentication(auth);
    }
    chain.doFilter(request, response);
  }
}

認可

メソッドセキュリティを有効化:
```
@EnableMethodSecurity
```

@PreAuthorize("hasRole('ADMIN')")

または

@PreAuthorize("@authz.canEdit(#id)")

を使用

デフォルトで拒否し、必要なスコープのみ公開

入力検証

```
@Valid
```
を使用してコントローラーでBean Validationを使用
DTOに制約を適用:
```
@NotBlank
```
、
```
@Email
```
、
```
@Size
```
、カスタムバリデーター
レンダリング前にホワイトリストでHTMLをサニタイズ

SQLインジェクション防止

Spring Dataリポジトリまたはパラメータ化クエリを使用
ネイティブクエリには
```
:param
```
バインディングを使用し、文字列を連結しない

CSRF保護

ブラウザセッションアプリの場合はCSRFを有効にし、フォーム/ヘッダーにトークンを含める
Bearerトークンを使用する純粋なAPIの場合は、CSRFを無効にしてステートレス認証に依存

http
  .csrf(csrf -> csrf.disable())
  .sessionManagement(sm -> sm.sessionCreationPolicy(SessionCreationPolicy.STATELESS));

シークレット管理

ソースコードにシークレットを含めない。環境変数またはvaultから読み込む
```
application.yml
```
を認証情報から解放し、プレースホルダーを使用
トークンとDB認証情報を定期的にローテーション

セキュリティヘッダー

http
  .headers(headers -> headers
    .contentSecurityPolicy(csp -> csp
      .policyDirectives("default-src 'self'"))
    .frameOptions(HeadersConfigurer.FrameOptionsConfig::sameOrigin)
    .xssProtection(Customizer.withDefaults())
    .referrerPolicy(rp -> rp.policy(ReferrerPolicyHeaderWriter.ReferrerPolicy.NO_REFERRER)));

レート制限

高コストなエンドポイントにBucket4jまたはゲートウェイレベルの制限を適用
バーストをログに記録してアラートを送信し、リトライヒント付きで429を返す

依存関係のセキュリティ

CIでOWASP Dependency Check / Snykを実行
Spring BootとSpring Securityをサポートされているバージョンに保つ
既知のCVEでビルドを失敗させる

ロギングとPII

シークレット、トークン、パスワード、完全なPANデータをログに記録しない
機密フィールドを編集し、構造化JSONロギングを使用

ファイルアップロード

サイズ、コンテンツタイプ、拡張子を検証
Webルート外に保存し、必要に応じてスキャン

リリース前チェックリスト

注意: デフォルトで拒否し、入力を検証し、最小権限を適用し、設定によるセキュリティを優先します。

Everything-claude-code springboot-security

Spring Boot セキュリティレビュー

認証

認可

入力検証

SQLインジェクション防止

CSRF保護

シークレット管理

セキュリティヘッダー

レート制限

依存関係のセキュリティ

ロギングとPII

ファイルアップロード

リリース前チェックリスト