Spring Security Basics

Spring Security’ye başlamadan önce ortak dil

Security konusu çoğu zaman kavramlar birbirine karıştığı için zor görünür. Bu sözlük, modül boyunca aynı kelimeleri aynı anlamda kullanmamızı sağlar.

Spring Security ne işe yarar?

Spring Security, uygulamana gelen request’lerin kimden geldiğini ve o kişinin ne yapmaya yetkili olduğunu kontrol eden güvenlik katmanıdır.

Normalde bir REST API yazdığında request doğrudan controller method’una gelir gibi düşünürsün. Ancak production uygulamasında bu yeterli değildir. Bazı endpoint’ler herkese açık olabilir, bazıları login gerektirebilir, bazıları ise sadece belirli role sahip kullanıcılara açık olmalıdır. Bu kontrolü her controller method’unun içine if yazarak yapmak hem tekrar üretir hem de güvenlik açıklarına davetiye çıkarır.

Spring Security burada devreye girer ve şunu söyler: “Request controller’a gelmeden önce ben araya gireyim. Önce bu kişinin kim olduğunu anlayayım, sonra bu endpoint’e erişmeye yetkisi var mı karar vereyim.” Bu yüzden Spring Security’yi sadece login ekranı veya JWT üretimi olarak düşünmemek gerekir. Asıl değer, güvenlik kararlarını merkezi, okunabilir ve test edilebilir bir katmanda toplamaktır.

“Sen kimsin?” ve “Ne yapabilirsin?” ayrımı

Spring Security’de en temel ayrım authentication ve authorization ayrımıdır. Bu ayrım netleşmeden JWT, role, filter chain veya method security anlatımı havada kalır.

Kullanıcı: gokhan
Şifre doğru mu?
Token geçerli mi?
Bu request gerçekten bu kullanıcıdan mı geliyor?

Bu kullanıcı /api/accounts/me endpoint'ine girebilir mi?
Bu kullanıcı ADMIN işlemi yapabilir mi?
Transfer onaylama yetkisi var mı?

Günlük kodda nasıl görünür?

Authentication başarılı olduğunda Spring Security bir Authentication objesi oluşturur ve bunu SecurityContext içine koyar. Authorization aşamasında ise bu Authentication içindeki authority/role bilgilerine bakılarak karar verilir.

@GetMapping("/api/accounts/me")
public AccountResponse me(Authentication authentication) {
    String username = authentication.getName();
    return accountQueryService.findAccountOf(username);
}

Request controller’a gelmeden önce nereden geçer?

Spring Security’nin kalbi filter chain’dir. Controller, service veya repository’den önce HTTP request’in geçtiği güvenlik koridoru gibi düşünebilirsin.

Servlet tabanlı Spring Boot uygulamasında Spring Security, servlet filter mekanizmasını kullanır. Bu zincirde birden fazla filter bulunabilir: token okuyan filter, username/password authentication yapan filter, exception handling filter, authorization filter gibi. Biz çoğu zaman bütün filter’ları tek tek yazmayız; SecurityFilterChain bean’i ile hangi request’in hangi kurala tabi olduğunu tanımlarız.

Modern Spring Boot Security config nasıl görünür?

Spring Boot 3 / Spring Security 6+ tarafında eski WebSecurityConfigurerAdapter yaklaşımı yerine genellikle SecurityFilterChain bean’i tanımlanır. Bu yapı daha okunabilir ve daha composition-friendly bir model sunar.

package com.definex.minibank.security;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.http.HttpMethod;
import org.springframework.security.config.annotation.method.configuration.EnableMethodSecurity;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configurers.AbstractHttpConfigurer;
import org.springframework.security.config.http.SessionCreationPolicy;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.security.web.SecurityFilterChain;
import org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter;

@Configuration
@EnableMethodSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(
            HttpSecurity http,
            JwtAuthenticationFilter jwtAuthenticationFilter
    ) throws Exception {
        return http
                .csrf(AbstractHttpConfigurer::disable)
                .sessionManagement(session ->
                        session.sessionCreationPolicy(SessionCreationPolicy.STATELESS))
                .authorizeHttpRequests(auth -> auth
                        .requestMatchers("/api/auth/**", "/actuator/health").permitAll()
                        .requestMatchers(HttpMethod.GET, "/api/accounts/**").hasAnyRole("USER", "ADMIN")
                        .requestMatchers("/api/admin/**").hasRole("ADMIN")
                        .anyRequest().authenticated()
                )
                .addFilterBefore(jwtAuthenticationFilter, UsernamePasswordAuthenticationFilter.class)
                .build();
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

Bu config ne söylüyor?

JWT ile stateless API güvenliği

JWT, login olmuş kullanıcının kimlik ve yetki bilgisini her request’te taşıyabilmesi için kullanılan imzalı token modelidir.

Session tabanlı uygulamalarda kullanıcı login olduktan sonra sunucu tarafında session tutulur. REST API ve mikroservis mimarisinde ise çoğu zaman stateless yaklaşım tercih edilir. Bu durumda sunucu her kullanıcı için session saklamaz; istemci her request’te token gönderir. Spring Security de bu token’ı okuyup doğrular, ardından SecurityContext’i oluşturur.

Bearer token request’te nasıl taşınır?

GET /api/accounts/me HTTP/1.1
Host: localhost:8080
Authorization: Bearer eyJhbGciOiJIUzI1NiJ9...

Training için sade JWT yaklaşımı

Bu eğitimde external identity provider veya authorization server kurmayacağız. MiniBank içinde sade bir JwtService ve JwtAuthenticationFilter yazacağız. Ama production’da kurumsal sistemler çoğu zaman OAuth2/OpenID Connect, merkezi identity provider ve resource server konfigürasyonu ile çalışır.

package com.definex.minibank.security;

import jakarta.servlet.FilterChain;
import jakarta.servlet.ServletException;
import jakarta.servlet.http.HttpServletRequest;
import jakarta.servlet.http.HttpServletResponse;
import java.io.IOException;
import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;
import org.springframework.security.core.context.SecurityContextHolder;
import org.springframework.stereotype.Component;
import org.springframework.web.filter.OncePerRequestFilter;

@Component
public class JwtAuthenticationFilter extends OncePerRequestFilter {

    private final JwtService jwtService;

    public JwtAuthenticationFilter(JwtService jwtService) {
        this.jwtService = jwtService;
    }

    @Override
    protected void doFilterInternal(
            HttpServletRequest request,
            HttpServletResponse response,
            FilterChain filterChain
    ) throws ServletException, IOException {

        String header = request.getHeader("Authorization");

        if (header == null || !header.startsWith("Bearer ")) {
            filterChain.doFilter(request, response);
            return;
        }

        String token = header.substring(7);
        AuthenticatedUser user = jwtService.parseAndValidate(token);

        UsernamePasswordAuthenticationToken authentication =
                new UsernamePasswordAuthenticationToken(
                        user.username(),
                        null,
                        user.authorities()
                );

        SecurityContextHolder.getContext().setAuthentication(authentication);
        filterChain.doFilter(request, response);
    }
}

PasswordEncoder neden gerekli?

Şifreleri düz metin olarak saklamak production’da kabul edilemez. Spring Security’de şifre doğrulama için PasswordEncoder kullanılır. Eğitimde BCryptPasswordEncoder göstereceğiz. Böylece login sırasında gelen ham şifre, saklanan hash ile güvenli şekilde karşılaştırılır.

boolean matches = passwordEncoder.matches(rawPassword, storedPasswordHash);

if (!matches) {
    throw new InvalidCredentialsException();
}

Yetki kontrolünü service method seviyesine taşımak

URL seviyesinde güvenlik önemlidir; ama bazı business işlemleri için service method seviyesinde de yetki kontrolü yapmak daha güvenlidir.

Örneğin /api/admin/reports endpoint’i zaten ADMIN gerektiriyor olabilir. Ama aynı rapor üretme method’u başka bir controller’dan, scheduled job’dan veya ileride eklenecek farklı bir akıştan çağrılabilir. Kritik business method’un kendi üzerinde de güvenlik kuralı olması, güvenlik niyetini koda daha yakın taşır.

@Service
public class AdminReportService {

    @PreAuthorize("hasRole('ADMIN')")
    public AdminReport generateDailyRiskReport() {
        return new AdminReport();
    }
}

@EnableMethodSecurity aktif olduğunda @PreAuthorize gibi annotation’lar devreye girer. Bu da bize URL güvenliği ile method güvenliğini birlikte kullanma imkanı verir.

Bu modülden akılda kalması gerekenler