آموزش Spring Security 7 + OAuth2 + JWT + Auth0 + Keycloak [جدید]

آنچه یاد خواهید گرفت:

• به معماری Spring Security 7؛ شامل احراز هویت، مجوزدهی، زنجیره فیلترهای امنیتی و جریان داخلی درخواست‌ها مسلط شوید.
• احراز هویت کاربران را با استفاده از UserDetailsService ،PasswordEncoder و مدیریت کاربران مبتنی بر پایگاه داده پیاده‌سازی کنید.
• تفاوت نقش‌ها و اختیارات را درک کنید و کنترل دسترسی مبتنی بر نقش (RBAC) و مبتنی بر ویژگی (ABAC) را در اپلیکیشن های واقعی پیاده‌سازی کنید.
• امنیت در سطح اندپوینت و سطح متد را با استفاده از PreAuthorize@ و PostAuthorize@ اعمال کنید.
• تطابق‌دهنده‌های درخواست شامل Ant ،MVC ،Regex و رویکردهای مدرن Spring Security 6 را درک کنید.
• به اصول OAuth2؛ شامل بازیگران، دامنه‌ها، جریان‌ها و معماری مجوزدهی امن مسلط شوید.
• جریان کد مجوزدهی و جریان PKCE را که در وب اپلیکیشن های مدرن و موبایل استفاده می‌شوند، پیاده‌سازی کنید.
• جریان اعتبارنامه‌های مشتری را برای ارتباط امن ماشین‌به‌ماشین پیاده‌سازی کنید.
• جریان توکن تازه‌سازی را پیاده‌سازی کنید و چرخه عمر توکن و بهترین شیوه های امنیتی را درک کنید.
• به امنیت JWT؛ شامل ساختار توکن، ادعاها، امضا، تأیید و رمزنگاری کلید عمومی/خصوصی مسلط شوید.
• اعتبارسنجی JWT را با استفاده از JwtDecoder و JwtAuthenticationConverter در Spring Boot پیاده‌سازی کنید.
• OIDC (OpenID Connect) را درک کنید و چگونگی عملکرد لایه هویت بر روی OAuth2 را بیاموزید.
• معماری ورود یک‌بارمصرف (SSO) را با استفاده از OAuth2 و OIDC پیاده‌سازی کنید.
• محافظت CSRF را درک کنید و بدانید چرا Spring Security به‌صورت پیش‌فرض CSRF را فعال می‌کند.
• پیکربندی CORS را پیاده‌سازی کنید و رفتار امنیتی بین‌سایتی را درک کنید.
• Auth0 را؛ شامل اپلیکیشن ها، APIها، مخاطب، نقش‌ها و نگاشت مجوزها در JWT پیاده‌سازی کنید.
• Keycloak را؛ شامل قلمرو، مشتریان، نقش‌ها، گروه‌ها و پیکربندی تأمین‌کننده هویت پیاده‌سازی کنید.
• سوشیال لاگین را با استفاده از Google و GitHub با OAuth2 / OIDC پیاده‌سازی کنید.
• کنترل دسترسی مبتنی بر نقش (RBAC) را در میکروسرویس‌ها با استفاده از نقش‌ها و مجوزهای استخراج‌شده از توکن‌های JWT پیاده‌سازی کنید.
• تفاوت JWT و توکن‌های مبهم را درک کنید و بدانید هر استراتژی توکن چه زمانی باید استفاده شود.
• معماری امنیتی سرتاسری مورد استفاده در اپلیکیشن های سازمانی واقعی را طراحی کنید.
• یک اپلیکیشن فول استک با Angular + Spring Boot بسازید که با Spring Security امن شده باشد.
• یک اثبات مفهوم (POC) فول استک با Auth0 بسازید که ورود، نقش‌ها، مجوزها و APIهای امن‌شده با JWT را پیاده‌سازی کند.
• یک اثبات مفهوم (POC) فول استک با Keycloak بسازید که قلمرو، مشتریان، نقش‌ها و میکروسرویس‌های امن را پیاده‌سازی کند.
• جریان کامل احراز هویت را از ورود در فرانت‌اند تا APIهای امن بک‌اند پیاده‌سازی کنید.
• بهترین شیوه های امنیتی را اعمال کنید و از اشتباهات رایج در سیستم‌های تولیدی جلوگیری کنید.
• تفاوت‌های Keycloak و Auth0 را درک کنید و بدانید چه زمانی هرکدام را انتخاب کنید.

پیش‌نیازهای دوره

• دانش اولیه از Java و Spring Boot
• درک از APIهای REST و مفاهیم HTTP
• آشنایی اولیه با Angular یا فرانت‌اند مفید است، اما الزامی نیست.
• نیازی به دانش قبلی از Spring Security، OAuth2 یا JWT نیست.
• سیستمی که بتواند Java، IDE و مرورگر را اجرا کند.

توضیحات دوره

قرار است چه چیزهایی را پوشش دهیم

مبانی Spring Security

• تسلط به امنیت
• امنیت در Spring Boot و میکروسرویس‌ها
• چرا برای اپلیکیشن Spring Boot خود به امنیت نیاز دارید؟
• Spring Security چیست؟
• مفاهیم کلیدی Spring Security
• احراز هویت
• مجوزدهی
• فیلترهای Servlet 
• جایگزین‌های آن چیست؟
• پیاده‌سازی امنیت - مسئولیت با چه کسی است
• بیایید شروع کنیم!
• چرا 401؟
• جمع‌بندی
• Spring Security: قرارداد بر پیکربندی
• بازیگران کلیدی در چارچوب احراز هویت
• جریان احراز هویت در Spring Security
• بین‌های خودکار پیکربندی‌شده در Spring Security
• UserDetailsService
• PasswordEncoder

پیکربندی Spring Security

• مقدمه‌ای بر POC 2
• بازنویسی تنظیمات پیش‌فرض
• سفارشی‌سازی پیکربندی Spring Security
• چرا احراز هویت اکنون شکست می‌خورد؟
• رفع احراز هویت به‌صورت گام‌به‌گام
• تعریف اعتبارنامه‌های کاربر
• افزودن کاربر به InMemoryUserDetailsManager
• تعریف یک بین برای PasswordEncoder
• چرا باید از احراز هویت پایه HTTP اجتناب کنیم؟

مدیریت کاربران

• مدیریت کاربران
• اجزای مدیریت کاربران
• UserDetails
• UserDetailsManager
• User
• سفارشی‌سازی سرویس جزئیات کاربر
• POC 3
• ایجاد جدول کاربر و اختیار
• نگاشت جدول کاربر و اختیارات
• چرا اختیارات به‌صورت فوری واکشی می‌شوند؟
• بازیابی اختیارات ذخیره‌شده از متن امنیتی

مجوزدهی

• مجوزدهی
• مجوزدهی چگونه کار می‌کند؟
• قرار است چه چیزهایی یاد بگیریم؟
• اختیار اعطاشده
• تفاوت بین اختیارات و نقش‌ها
• سطوح پیاده‌سازی مجوزدهی
• مجوزدهی در سطح اندپوینت

زنجیره فیلترهای امنیتی

• زنجیره فیلترهای امنیتی
• تعریف یک زنجیره فیلتر
• تغییر دادن زنجیره فیلتر
• چرا هنوز 403؟
• ()anyRequest().authenticated
• ()anyRequest().permitAll
• ()anyRequest().hasAuthority
• ()anyRequest().hasAnyAuthority
• نقش
• ()anyRequest().hasRole
• ()anyRequest().hasAnyRole
• 401 در برابر 403
• ()anyRequest().access
• مزیت ()anyRequest().access
• عیب ()anyRequest().access()
• ()anyRequest().denyAll

تطابق‌دهنده‌های درخواست

• متدهای تطابق‌دهنده
• فهرست همه متدهای تطابق‌دهنده
• تطابق‌دهنده درخواست
• متدهای تطابق‌دهنده درخواست
• تشبیه دنیای واقعی
• ()requestMatchers در این تنظیم چگونه کار می‌کند؟
• قطعه کد

انواع تطابق‌دهنده‌ها

• تطابق‌دهنده Ant
• متدهای تطابق‌دهنده ANT
• چرا محبوب بود؟
• نمونه در Spring Security 5.x
• چرا در Spring Security 6+ منسوخ شد؟
• تطابق‌دهنده MVC
• متدهای تطابق‌دهنده MVC
• چرا استفاده می‌شد؟
• تطابق‌دهنده Regex
• ()regexMatchers
• چرا از آن استفاده کنیم؟
• تطابق‌دهنده نوع ارسال‌کننده
• هدف - DispatcherType چیست؟
• تطابق‌دهنده مسیر Servlet
• هدف
• آیا در اپلیکیشن Spring Boot واقعاً مرتبط است؟
• ترکیب همه متدهای تطابق‌دهنده

امنیت در سطح متد

• مجوزدهی در سطح متد
• الان در چه وضعیتی هستیم؟
• آیا می‌توان از Spring Security در اپلیکیشن های غیروب استفاده کرد؟
• کجا می‌توان امنیت در سطح متد را اعمال کرد؟
• چرا از امنیت در سطح متد استفاده کنیم؟
• نقش احراز هویت در فعال‌سازی امنیت در سطح متد
• چرا نباید همراه با امنیت در سطح متد از ()permitAll استفاده کرد؟
• قطعه کد
• فعال‌سازی امنیت در سطح متد
• متد جدید فعال‌سازی مجوزدهی در سطح متد
• در پشت صحنه چه اتفاقی می‌افتد؟
• چرا به آن «جنبه پشت صحنه» گفته می‌شود؟
• آیا با مجوزدهی در سطح متد می‌توان از کلاس خدایی جلوگیری کرد؟
• بهترین شیوه
• اولویت قوانین: پیکربندی امنیتی در برابر مجوزدهی در سطح متد
• ملاحظه عملکرد: مجوزدهی در سطح متد در برابر سطح فیلتر
• چگونه امنیت در سطح متد فراتر از فیلترها عمل می‌کند؟
• PreAuthorize@ چندخطی برای قوانین امنیتی پیچیده
• معایب قوانین چندخطی
• فراتر رفتن از SpEL: بررسی‌های امنیتی مبتنی بر بین
• مجوزدهی پس از اجرا
• تفاوت بین PreAuthorize@ و PostAuthorize@

فیلترها در امنیت سطح متد

• فیلتر پیش از اجرا
• فیلتر پیش از اجرا - نکات کلیدی
• فیلتر پس از اجرا - نکات کلیدی
• اشتباهات رایج فیلتر پس از اجرا
• فیلتر پیش از اجرا در برابر فیلتر پس از اجرا
• @Pre/@PostAuthorize در برابر @Pre/@PostFilter

مبانی OAuth 2 و OIDC

• OAuth 2 و OIDC
• مبانی
• بازیگران/نقش‌ها در OAuth2
• جریان OAuth 2
• راه‌حل OAuth 2.0
• چرا این موضوع قدرتمند است؟
• مراحل در OAuth 2
• چگونه توکن را دریافت کنیم؟
• هسته اصلی چگونگی کار OAuth2 + Spring Security
• انواع اعطا
• انواع نوع‌های اعطا
• نوع‌های اعطای منسوخ‌شده
• اصل امنیتی اصلی OAuth
• چرا نوع اعطای رمزعبور منسوخ شد؟
• جایگزین مدرن
• چرا نوع اعطای ضمنی منسوخ شد؟
• جمع‌بندی

جریان کد مجوزدهی

• جریان کد مجوزدهی
• نوع اعطای کد مجوزدهی چیست؟
• جریان گام‌به‌گام
• مزایا
• معایب

جریان کد مجوزدهی با PKCE

• PKCE چیست؟
• چرا PKCE معرفی شد؟
• بازیگران
• جریان کد مجوزدهی با PKCE - گام‌به‌گام
• PKCE چگونه از حملات جلوگیری می‌کند
• تأییدکننده و چالش چگونه کار می‌کنند؟
• تشبیه دنیای واقعی: قفل و کلید
• جمع‌بندی جریان PKCE
• کد مجوزدهی در برابر کد مجوزدهی + PKCE
• نکاتی که باید به خاطر بسپارید

جریان اعتبارنامه‌های مشتری

• نوع اعطای اعتبارنامه‌های مشتری
• اعطای اعتبارنامه‌های مشتری چیست؟
• چه زمانی از آن استفاده کنیم؟
• بازیگران
• جریان (گام‌به‌گام)
• پاسخ معمول توکن
• متدهای احراز هویت مشتری با سرور مجوزدهی
• نگاشت دامنه‌ها → اختیارات چگونه کار می‌کند؟
• دامنه‌ها و اختیارات
• توکن‌ها: JWT در برابر مبهم
• ملاحظات امنیتی / بهترین شیوه ها
• اشتباهات و نکات مهم

جریان توکن تازه‌سازی

• نوع اعطای توکن تازه‌سازی
• توکن تازه‌سازی چیست؟
• چرا توکن‌های تازه‌سازی وجود دارند؟
• چه کسانی از جریان توکن تازه‌سازی استفاده می‌کنند؟
• جریان نوع اعطای توکن تازه‌سازی
• توکن‌های تازه‌سازی ثابت (قابل استفاده مجدد)
• توکن‌های تازه‌سازی چرخشی (یک‌بارمصرف)
• سرورهای OAuth2 چگونه تصمیم می‌گیرند؟
• مشتریان چه کاری باید انجام دهند؟
• عمرهای کلیدی توکن
• چرا توکن‌های تازه‌سازی حساس هستند؟
• جریان توکن تازه‌سازی در برابر جریان توکن دسترسی

توکن‌ها

• توکن مبهم چیست؟
• توکن مبهم چگونه کار می‌کند؟
• پاسخ درون‌نگری
• توکن‌های غیرمبهم در برابر توکن‌های مبهم

JWT

• JWTها
• JWT چیست؟
• ساختار اولیه JWT
• JWT چگونه کار می‌کند؟
• متدهای امضای JWT
• ادعاهای رایج در JWT
• JWTها چگونه تأیید می‌شوند؟
• کلیدهای خصوصی و عمومی
• /jwks.json چیست؟
• چرا JWTها این‌قدر محبوب هستند؟
• محدودیت‌ها / مشکلات رایج

OIDC

• OIDC
• OIDC چیست؟
• جریان کد مجوزدهی با PKCE
• مثال واقعی (ورود با Google)
• چرا OIDC به وجود آمد؟
• OIDC واقعاً چیست؟
• اجزای اصلی در OIDC
• توکن هویت
• ادعاهای استاندارد در توکن هویت
• دامنه‌های OIDC
• اندپوینت های OIDC
• مزایای OIDC
• اشتباهات رایج
• Nonce
• چرا Nonce؟

SSO

• SSO
• SSO چیست؟
• بازیگران در SSO
• مراحل SSO
• چرا SSO کار می‌کند؟
• اشتباهات رایج SSO
• مزیت امنیتی SSO
• سناریوهای خروج از SSO
• چرا OAuth2 + OIDC برای SSO الزامی هستند؟

CSRF

• CSRF
• CSRF چیست؟
• رفتار اصلی مرورگر
• چرا CSRF خطرناک است؟
• وب‌سایت‌ها چگونه CSRF را متوقف می‌کنند؟
• چرا Spring Security به‌صورت پیش‌فرض CSRF را فعال می‌کند؟

CORS

• CORS
• CORS چیست؟
• چرا CORS وجود دارد؟
• خاستگاه چیست؟
• قانون CORS
• پیکربندی CORS در Spring Boot
• اشتباهات رایج CORS
• CORS در برابر CSRF

POC فول استک

• POC فول استک
• معرفی اپلیکیشن Foodify
• رابط کاربری اپلیکیشن Foodify در POC
• بک‌اند اپلیکیشن Foodify در POC
• پیکربندی‌های Auth0
• پیاده‌سازی Spring Security

Auth0

• Auth0 چیست؟
• اجزای کلیدی Auth0
• در زمان ورود چه اتفاقی می‌افتد؟
• چرا از Auth0 استفاده کنیم؟
• احراز هویت چندعاملی
• سوشیال لاگین
• هویت متمرکز
• بهره‌وری توسعه‌دهنده
• چه زمانی باید خودتان بسازید؟

نقش‌ها و مجوزها

• تفاوت احراز هویت و مجوزدهی چیست؟
• OAuth2 / OIDC چیست؟
• معماری اثبات مفهوم سرتاسری با Auth0
• اپلیکیشن در Auth0 چیست؟
• API در Auth0 چیست؟
• مخاطب چیست؟
• نقش‌ها چیستند؟
• مجوزها چیستند؟
• نقش‌ها در برابر مجوزها
• RBAC
• چرا RBAC استفاده می‌شود؟
• چرا نقش‌ها و مجوزها در JWT؟

پردازش JWT در Spring Security

• JwtDecoder چیست؟
• JwtAuthenticationConverter چیست؟
• اختیار در Spring چیست؟
• پیشوند ROLE_
• اشتباهات رایج

مراحل پیاده‌سازی

• مراحل پیاده‌سازی Spring Security
• مراحل راه‌اندازی Auth0
• مراحل افزودن نقش‌ها به توکن
• در بک‌اند چه اتفاقی می‌افتد؟
• جریان نهایی (سرتاسری)
• مفاهیم کلیدی
• اشتباهات رایج

Keycloak

• Keycloak
• Keycloak چیست؟
• معماری سطح بالا
• اصطلاحات اصلی
• انواع مشتریان
• انواع نقش
• دامنه مشتری
• گروه‌ها
• تأمین‌کننده هویت
• جریان‌ها
• Keycloak در برابر Auth0
• مقایسه قابلیت‌ها
• چه کسی باید Keycloak را انتخاب کند و چه کسی Auth0؟

سوشیال لاگین

• سوشیال لاگین
• سوشیال لاگین چیست؟
• سوشیال لاگین چگونه کار می‌کند؟
• مزایای سوشیال لاگین
• پیکربندی تأمین‌کنندگان هویت در Keycloak
• مراحل ورود با Google
• مراحل سوشیال لاگین با GitHub

این دوره برای چه کسانی مناسب است؟

• توسعه‌دهندگان Java که می‌خواهند Spring Security را عمیقاً بیاموزند.
• توسعه‌دهندگانی که APIهای REST امن را با Spring Boot می‌سازند.
• توسعه‌دهندگانی که برای سوالات مصاحبه Spring Security آماده می‌شوند.
• توسعه‌دهندگان بک‌اند یا فول استک که با میکروسرویس‌ها کار می‌کنند.
• توسعه‌دهندگانی که می‌خواهند تجربه عملی با OAuth2 ،JWT ،Auth0 و Keycloak داشته باشند.
• مهندسانی که اپلیکیشن سازمانی امن طراحی می‌کنند.