O Spring Security é um dos módulos mais robustos e versáteis do framework Spring, projetado para fornecer segurança completa a aplicações Java. Com ele, é possível configurar autenticação, autorização e outras práticas de segurança.
Para entender melhor o Spring Security, vamos explorar os conceitos de autenticação e autorização, além de anotações e práticas comuns, como o uso de tokens para proteger os dados e as interações dos usuários.
A segurança no Spring Security começa com os conceitos de autenticação e autorização, que têm funções distintas:

Autenticação: Esse é o processo de verificação da identidade do usuário. Geralmente, a autenticação exige que o usuário forneça credenciais, como login e senha, que são comparadas com as informações armazenadas em um banco de dados ou outro sistema de autenticação. Assim, o sistema garante que quem está tentando acessar o sistema é quem diz ser. Um exemplo é uma aplicação de estoque, onde um usuário precisa se autenticar antes de visualizar ou cadastrar itens.
Autorização: Após a autenticação, o próximo passo é verificar se o usuário tem permissão para acessar determinados recursos. No exemplo do sistema de estoque, imaginemos que há diferentes papéis, como ADMIN e FUNCIONARIO. Apenas um usuário com o papel ADMIN pode adicionar itens no estoque, enquanto o FUNCIONARIO pode, por exemplo, apenas visualizar itens. Se João, que tem papel FUNCIONARIO, tentar adicionar um item no estoque, essa ação será bloqueada.

O Spring Security oferece diversas anotações para simplificar a implementação de regras de segurança. Algumas das mais usadas são:

@PreAuthorize: Realiza a verificação de permissões antes que o método seja executado. Por exemplo:


@PreAuthorize("hasRole('ADMIN')")
public void adicionarItemEstoque() {
// Código para adicionar item
}
Esse método só será executado se o usuário tiver a role "ADMIN".

@Secured: Similar ao @PreAuthorize, mas com uma configuração mais direta, @Secured permite especificar quais roles podem acessar determinado método.

@Secured({"ROLE_ADMIN", "ROLE_USER"})
public void acessarMetodoRestrito() {
// Código para método restrito
}
Neste caso, o método só é acessível para usuários com roles "ROLE_ADMIN" ou "ROLE_USER".

Em aplicativos modernos, especialmente em APIs REST, o uso de autenticação baseada em tokens é muito comum. O Spring Security facilita a integração com JWT, um padrão seguro e leve que permite a criação de sessões stateless nas quais o token é enviado a cada requisição.
Ao realizar o login, o usuário recebe um token JWT assinado pelo servidor, que é armazenado no cliente e enviado nas próximas requisições. O Spring Security valida o token, verificando as permissões e a autenticidade do usuário antes de permitir o acesso ao recurso solicitado.

Além da autenticação e autorização, o Spring Security oferece funcionalidades adicionais para proteger ainda mais as aplicações:

Proteção Contra Ataques CSRF: O Cross-Site Request Forgery (CSRF) é um tipo de ataque que o Spring Security ajuda a mitigar ao gerar tokens específicos para cada sessão do usuário, impedindo que requisições maliciosas sejam aceitas.
Criptografia de Senhas: O Spring Security fornece classes e configurações para criptografar senhas antes de armazená-las, evitando que sejam armazenadas em texto puro, o que é uma prática insegura.
Filtros de Segurança: Utiliza uma cadeia de filtros que intercepta as requisições HTTP para aplicar verificações de segurança, como autenticação de usuários e validação de tokens.

O Spring Security é uma ferramenta completa e robusta que eleva o nível de segurança das aplicações Java, integrando autenticação, autorização e proteção contra ataques comuns em um único framework. Com recursos como suporte a anotações (@PreAuthorize, @Secured, entre outras), autenticação por tokens JWT e proteção contra CSRF, o Spring Security oferece soluções adequadas para aplicações de qualquer porte.