Formación corporativa en Spring Security

Este módulo se centra en cómo Spring Security gestiona el ciclo de vida de los usuarios: el registro, el inicio de sesión y los distintos mecanismos modernos de autenticación. Se cubren UserDetailsService con persistencia en base de datos mediante JdbcUserDetailsManager, el mecanismo Remember Me para sesiones persistentes, los One-Time Token para flujos sin contraseña y las Passkeys basadas en WebAuthn / FIDO2, que permiten autenticación fuerte sin contraseñas. El objetivo es que sea capaz de elegir el mecanismo adecuado a cada caso de uso y combinarlo con la infraestructura de persistencia de la aplicación.

El módulo de Spring Security en Web MVC aborda la seguridad en aplicaciones web tradicionales construidas con Spring MVC y Thymeleaf. Se profundiza en la gestión de sesiones HTTP con HttpSessionEventPublisher, las estrategias frente al session fixation, el control de sesiones concurrentes, el logout personalizado con limpieza de cookies y destrucción de sesión, la protección CSRF más allá de la configuración por defecto y las cabeceras HTTP de seguridad como X-Frame-Options, X-Content-Type-Options, Strict-Transport-Security y Referrer-Policy. El enfoque es práctico: cada concepto se acompaña de configuración funcional sobre una aplicación Thymeleaf real.

Este módulo enseña cómo proteger APIs REST stateless con JSON Web Tokens en aplicaciones Spring Boot. Se parte del filtro de autenticación JWT y se evoluciona hacia configuraciones de grado productivo: generación y validación de tokens firmados con HMAC o RSA, refresh tokens con rotación, inclusión de claims personalizados (roles, tenants, scopes), manejo de errores con AuthenticationEntryPoint y AccessDeniedHandler, y políticas de sesión STATELESS coherentes con el modelo REST. Los ejemplos están alineados con la biblioteca JJWT 0.12.x y el oauth2ResourceServer.jwt() cuando el token se valida contra una JWKS.

El módulo de OAuth2 y OpenID Connect presenta los tres roles que Spring Security puede asumir dentro del estándar OAuth 2.1: Client para delegar la autenticación a proveedores externos como GitHub o Google, Resource Server para exponer APIs protegidas por tokens emitidos por un Authorization Server, y Authorization Server para emitir nuestros propios tokens mediante Spring Authorization Server. Se explican los distintos flujos (Authorization Code con PKCE, Client Credentials, Device Code), la validación de tokens JWT contra un JWKS y la introspección de tokens opacos (RFC 7662). Es el módulo más relevante cuando la arquitectura incluye SSO, microservicios federados o integraciones con proveedores de identidad corporativos.

La autorización en Spring Security se define mediante reglas a nivel de URL o a nivel de método. Este módulo profundiza en authorizeHttpRequests con requestMatchers, la construcción de un AuthorizationManager personalizado para decisiones no triviales y el uso de anotaciones de seguridad como @PreAuthorize, @PostAuthorize, @PreFilter y @PostFilter. Se introduce el Spring Expressión Language (SpEL) aplicado a objetos de dominio, incluyendo el uso de @securityService.* para delegar decisiones en beans propios. Terminas el módulo con una estrategia completa para modelar permisos granulares (por rol, por recurso, por tenant) en aplicaciones reales.

El bloque final del curso reúne los temas avanzados que diferencian una aplicación simplemente funcional de una aplicación lista para producción. Se estudian los eventos de autenticación y autorización con ApplicationEventPublisher y AuthenticationEventPublisher para implementar auditoría, alertas y rate limiting. Se configura la Content Security Policy a través de HeadersConfigurer, mitigando XSS y otras inyecciones. El módulo cierra con testing de integración usando @WithMockUser, SecurityMockMvcRequestPostProcessors, MockJwt y Testcontainers para levantar bases de datos reales en los tests. Incluye un proyecto final que integra todos los conceptos del itinerario.

El módulo de producción y patrones modernos lleva Spring Security a entornos empresariales reales. Cubre rate limiting con Bucket4j para mitigar abuso de APIs, method security avanzado con @PreAuthorize y SpEL aplicado a dominios complejos, mTLS para autenticación mutua entre microservicios, SSO empresarial con SAML 2.0 integrando Entra ID y Okta, multi-tenant security con SecurityContext aislado por tenant y gestión de secrets con HashiCorp Vault. Cierra con la securización de los endpoints de Spring Boot Actuator y un repaso a OWASP Top 10 2025 aplicado a Spring.

El módulo de reactivo y observabilidad profundiza en escenarios menos habituales pero críticos. Aprenderás a configurar Spring Security sobre WebFlux con ReactiveAuthenticationManager y ServerSecurityContextRepository, a implementar el flujo OAuth2 Authorization Code con PKCE para clientes públicos como SPAs y móvil, y a procesar back-channel logout desde proveedores OpenID. La parte de observabilidad cubre Micrometer con tags de usuario, Content Security Policy estricta con nonces y Trusted Types, y un sistema de auditoría basado en correlation IDs para trazar peticiones entre microservicios. Termina con un proyecto integrador que combina autenticación, autorización, observabilidad y testing en una arquitectura empresarial.