综合练习

把本 track 串起来：审查一个 Spring REST API 的安全 posture，对照 OWASP、传输、CORS、认证与运维基线，输出可执行的 remediation 清单。目标不是「找茬表演」，而是形成 可复用的 Review 模板，与 sb-security、oauth-security 衔接。

学习目标

• 独立完成一次后端 API 安全 walkthrough
• 对照 sec-intro 至 sec-saml 的检查项
• 将发现映射到具体配置或代码改动

任务说明

任选 其一：

A. 审查本站 backend（推荐）

克隆或打开 CodeRoadMap backend 模块，针对 对外 REST API（如 tracks、auth 相关）完成下方清单，记录 已满足 / 待改进 / 不适用。

B. 审查你工作中的 Spring Boot 项目

脱敏前提下（无真实密钥、hostname、客户名），对一个小模块做同样审查，写进内部 wiki 或 PR comment。

审查清单

1. 传输与边界

• 生产是否 全程 HTTPS（sec-ssl）
• 是否禁止 HTTP 传密码、token、Cookie 无 Secure
• 网关 / LB 是否正确传递 X-Forwarded-Proto

2. 认证与会话

• 密码是否 bcrypt/Argon2（sec-hash）
• 会话 Cookie 或 JWT 配置：HttpOnly、Secure、SameSite、exp（sec-auth-cookie、sec-auth-token）
• Basic 是否仅内网且 TLS（sec-auth-basic）
• 若用 OAuth/OIDC，redirect、state、PKCE（oauth-flows、oauth-pkce）

3. 授权与输入