Spring 应用认证与权限配置检查

原名：spring-security

按项目版本核对认证、授权和浏览器防护，整理配置及权限测试方案。

中文 Skills 技能说明

给 Java 应用接登录和角色权限时，先分清项目版本以及浏览器会话和令牌接口的差别。提供脱敏配置、路由范围和权限规则，技能整理过滤器链、方法权限、JWT 或 OIDC 接入、CSRF/CORS 及测试要点。它聚焦 Spring 技术栈，区别于一般安全审阅；示例中的无状态接口配置不能直接复制到带 Cookie 的页面。身份服务、账号、框架和测试工具另配，按当前官方版本核验地区、费用与数据位置；不读取或公开密钥，不为测试通过放开全部接口或关闭必要防护。仅在授权系统检查，修改后验证未登录、权限不足及正确权限场景，结果不等于安全认证。

上游能力依据

上游原始适用说明：Configure, test and review Spring Security 6/7 in Spring Boot 3/4 apps: SecurityFilterChain lambda DSL, method security, OAuth2 resource server with JWT, OIDC login, CSRF/CORS, password encoding, headers, actuator protection, and MockMvc security tests. Use when adding or auditing authentication and authorization.

上游 SKILL.md 主要章节（保留原文标题）：

Safety rules
First: detect the version
Core configuration
Decision guide
Dependencies (pin through the Boot BOM, no explicit versions)
Verify

使用边界

先复现问题并固定测试范围，再生成或执行测试。测试通过只能证明已覆盖的场景，不能代替生产环境验收。

作者、翻译与许可证

原作者: GitHub, Inc. 与 awesome-copilot contributors
中文翻译: CEOFans翻译
许可证: MIT
上游来源: https://github.com/github/awesome-copilot/tree/96543145e9cb97711020b57b9d88f968062c4fc7/skills/spring-security

适用范围

平台：linux、macos、windows；标签：Spring Security、认证授权、权限测试

安全提示

基础静态扫描不等于绝对安全。技能可能调用命令、浏览器、云服务或本地文件，请在最小权限环境中使用，高风险操作必须人工确认。

如发现侵权、许可证或安全问题，可在本页前台提交投诉，管理员复核后可立即下架。