web:framework:spring:security

Différences

Ci-dessous, les différences entre deux révisions de la page.

Lien vers cette vue comparative

Les deux révisions précédentes Révision précédente
Prochaine révision		 Révision précédente
web:framework:spring:security [2026/10/26 10:55] – [Configuration des rôles] jcheronweb:framework:spring:security [2026/10/26 11:24] (Version actuelle) – [Mise en place CSRF] jcheron
Ligne 52: Ligne 52:
 </sxh> </sxh>
  
-<wrap info>+<wrap info round>
 Les chaînes passées à **requestMatchers** sont interprétées comme des patterns de chemin. Il n'est plus nécessaire d'utiliser **AntPathRequestMatcher** (déprécié dans les versions récentes). Les chaînes passées à **requestMatchers** sont interprétées comme des patterns de chemin. Il n'est plus nécessaire d'utiliser **AntPathRequestMatcher** (déprécié dans les versions récentes).
 </wrap> </wrap>
  
-<wrap important>+<wrap important round>
 La protection CSRF est **activée par défaut**. Ne la désactivez pas (**csrf.disable()**) sans raison valable, voir la section [[#mise_en_place_csrf|Mise en place CSRF]]. La protection CSRF est **activée par défaut**. Ne la désactivez pas (**csrf.disable()**) sans raison valable, voir la section [[#mise_en_place_csrf|Mise en place CSRF]].
 </wrap> </wrap>
Ligne 196: Ligne 196:
 </wrap> </wrap>
  
-<wrap important>+<wrap important round>
 Attention aux **dépendances circulaires** : si **UserService** injecte **PasswordEncoder** et que le bean **PasswordEncoder** est défini dans une classe qui injecte **UserService**, Spring échouera au démarrage. Ici, **SecurityConfig** ne dépend pas de **UserService**, donc tout va bien. Attention aux **dépendances circulaires** : si **UserService** injecte **PasswordEncoder** et que le bean **PasswordEncoder** est défini dans une classe qui injecte **UserService**, Spring échouera au démarrage. Ici, **SecurityConfig** ne dépend pas de **UserService**, donc tout va bien.
 </wrap> </wrap>
Ligne 309: Ligne 309:
 </sxh> </sxh>
  
-<wrap important>+<wrap important round>
 La console H2 ne doit **jamais** être exposée en production. Idéalement, placez cette configuration dans un profil Spring dédié (**@Profile("dev")**). La console H2 ne doit **jamais** être exposée en production. Idéalement, placez cette configuration dans un profil Spring dédié (**@Profile("dev")**).
 </wrap> </wrap>
Ligne 503: Ligne 503:
 </sxh> </sxh>
  
-<wrap info>+<wrap info round>
 Avec **Thymeleaf**, le token CSRF est inséré automatiquement dans les formulaires utilisant **th:action**. Avec **Thymeleaf**, le token CSRF est inséré automatiquement dans les formulaires utilisant **th:action**.
 </wrap> </wrap>
  
-<wrap important>+<wrap important round>
 Attention à la route **/logout** : avec CSRF activé, elle doit être accédée uniquement via un **POST** incluant le token CSRF. Attention à la route **/logout** : avec CSRF activé, elle doit être accédée uniquement via un **POST** incluant le token CSRF.
 </wrap> </wrap>
  
 Voir [[https://docs.spring.io/spring-security/reference/servlet/exploits/csrf.html|Spring Cross Site Request Forgery]] Voir [[https://docs.spring.io/spring-security/reference/servlet/exploits/csrf.html|Spring Cross Site Request Forgery]]
  • web/framework/spring/security.1793008511.txt.gz
  • Dernière modification : il y a 12 heures
  • de jcheron