Seminar Vaadin Security mit Spring Security

Seminarprofil

Das Seminar behandelt die Absicherung von Vaadin-Anwendungen vom Login bis zur Datenzeile. Spring Security, VaadinSecurityConfigurer, rollenbasierte View-Regeln, Service-Autorisierung, Session-Schutz, Fehlerbehandlung und Sicherheitstests werden zu einem durchgängigen Konzept verbunden.

Lernziele

• Authentifizierung und Login-Abläufe korrekt konfigurieren
• Views, Navigation, Services und Datenzugriffe konsistent autorisieren
• Rollen, Berechtigungen und Benutzerkontext sauber modellieren
• Session-, CSRF-, Upload- und Fehlerfälle sicher behandeln
• negative Sicherheitstests und technische Prüfroutinen etablieren

Zielgruppe

Vaadin- und Spring-Entwickler, Architekten, Security-Verantwortliche und Teams mit geschützten Fachanwendungen.

Voraussetzungen

Praxis in Java, Spring Boot und Vaadin Flow; Grundkenntnisse in Spring Security sind hilfreich.

Inhaltsverzeichnis

1. Kapitel 1: Sicherheitsmodell und Bedrohungsanalyse
2. Kapitel 2: Authentifizierung mit Spring Security
3. Kapitel 3: Autorisierung auf allen Ebenen
4. Kapitel 4: Härtung und Sicherheitstests

Kapitel 1: Sicherheitsmodell und Bedrohungsanalyse

Inhaltsverzeichnis

• serverseitige Flow-Architektur
• Vertrauensgrenzen und Eingaben
• Session und Benutzerkontext
• Bedrohungen, Schutzbedarf und Protokollierung

Schritt-für-Schritt-Anleitung

1. Schutzbedarf und sensible Daten der Beispielanwendung erfassen.
2. Vertrauensgrenzen zwischen Browser, UI, Service und Datenbank markieren.
3. Angriffs- und Missbrauchsszenarien priorisieren.
4. Prüf- und Protokollierungsanforderungen festlegen.

Kapitel 2: Authentifizierung mit Spring Security

Inhaltsverzeichnis

• Security-Abhängigkeiten und Konfiguration
• VaadinSecurityConfigurer
• Login, Logout und Fehlerseiten
• Benutzerinformationen und optionale Identitätsanbieter

Schritt-für-Schritt-Anleitung

1. Sicherheitsabhängigkeiten und Konfigurationsklasse anlegen.
2. Login-View und Erfolgsnavigation einrichten.
3. Logout und abgelaufene Sitzungen kontrolliert behandeln.
4. Benutzerdaten über einen gekapselten Sicherheitsservice bereitstellen.

Kapitel 3: Autorisierung auf allen Ebenen

Inhaltsverzeichnis

• View-Annotationen
• rollenabhängige Navigation
• Methoden- und Service-Schutz
• datenbezogene Berechtigungen

Schritt-für-Schritt-Anleitung

1. Jede Route mit einer expliziten Zugriffsregel versehen.
2. Menüs nur als Komfort, nicht als Sicherheitsgrenze behandeln.
3. Geschäftsmethoden serverseitig absichern.
4. Datenabfragen anhand des Benutzerkontexts begrenzen.

Kapitel 4: Härtung und Sicherheitstests

Inhaltsverzeichnis

• CSRF, Sessions und Nebenläufigkeit
• Validierung, Uploads und Ausgaben
• Fehler- und Auditinformationen
• negative Tests und Review-Checkliste

Schritt-für-Schritt-Anleitung

1. Session- und Request-Einstellungen kontrollieren.
2. Dateien und Eingaben unabhängig von der UI validieren.
3. Fehlermeldungen ohne interne Details gestalten.
4. Unberechtigte Navigation, Service-Aufrufe und Datenzugriffe automatisiert testen.

Praxisprojekt

Eine ungesicherte Fachanwendung erhält Login, rollenabhängige Views, Service- und Datenautorisierung, sichere Fehlerbehandlung und automatisierte Negativtests.

Arbeitsweise

Geführte Sicherheitskonfiguration, Code-Reviews, Angriffsszenarien und Tests gegen absichtlich fehlerhafte Beispielimplementierungen.