Seminar NestJS – API-Sicherheit mit Authentifizierung und Autorisierung

Sichere APIs entstehen nicht durch einen einzelnen Guard, sondern durch mehrere abgestimmte Schutzschichten. Dieses Seminar zeigt, wie Identitäten geprüft, Berechtigungen nachvollziehbar durchgesetzt und typische Angriffsflächen im gesamten Request-Lifecycle reduziert werden.

Die Teilnehmer arbeiten mit einer realistischen Backend-Anwendung und treffen bewusste Architekturentscheidungen für Token, Sitzungen, Rollen, Policies, Geheimnisse, Fehlerausgaben und Protokollierung. Sicherheitsmaßnahmen werden nicht isoliert betrachtet, sondern mit Wartbarkeit, Testbarkeit und Betrieb verbunden.

Seminarziele

Sie entwickeln ein konsistentes Sicherheitsmodell für NestJS-Anwendungen und können zwischen Authentifizierung und Autorisierung sauber trennen.

Sie implementieren Schutzmechanismen so, dass sie zentral konfigurierbar, automatisiert testbar und für spätere Erweiterungen geeignet sind.

Seminarinhalte

Sicherheitsarchitektur und Bedrohungsmodell

• Schutzbedarfe, Vertrauensgrenzen und Angriffsflächen einer typischen HTTP-API bestimmen
• Request-Lifecycle, Middleware, Pipes, Guards, Interceptors und Exception Filters sicher einordnen
• Sicherheitsrelevante Konfiguration zwischen Entwicklung, Test und Produktion trennen

Authentifizierung und Identitätsprüfung

• Lokale Anmeldung, sichere Passwortverarbeitung und kontrollierte Fehlermeldungen umsetzen
• Passport-Strategien, JWT-Zugriffstoken, Refresh-Token und Sitzungsvarianten vergleichen
• Token-Lebenszyklen, Widerruf, Rotation und Schlüsselwechsel fachlich planen

Autorisierung und Berechtigungsmodelle

• Rollenbasierte, claimbasierte und regelbasierte Zugriffskontrolle unterscheiden
• Custom Decorators, Reflector und Guards für wiederverwendbare Policies einsetzen
• Mandantenfähigkeit, Ressourcenbesitz und feldbezogene Berechtigungen berücksichtigen

Härtung der API

• Validierung, Transformation und Whitelisting für eingehende Daten konsequent konfigurieren
• CORS, CSRF-Schutz, Security Header und Rate Limiting passend zum Anwendungstyp einsetzen
• Sensible Daten in Logs, Fehlerantworten und serialisierten Objekten vermeiden

Prüfung und Betrieb

• Unit-, Integrations- und End-to-End-Tests für positive und negative Zugriffsfälle erstellen
• Sicherheitsrelevante Ereignisse protokollieren, ohne Geheimnisse oder personenbezogene Daten offenzulegen
• Checklisten für Konfigurationsprüfung, Schlüsselverwaltung und sichere Bereitstellung entwickeln

Praxisorientierung

Im durchgängigen Übungsprojekt wird eine zunächst ungeschützte API schrittweise abgesichert. Jede Schutzschicht wird mit automatisierten Tests belegt; Fehlkonfigurationen werden gezielt erzeugt und analysiert.

Am Ende liegt ein nachvollziehbares Muster für eine sichere NestJS-Anwendung vor, das auf eigene Projekte übertragen und an unternehmensinterne Vorgaben angepasst werden kann.