Spring Security 基础概念：认证与授权到底有什么区别？
做 Java 后端，安全是绕不过去的坎。Spring Security 是 Spring 生态里的安全框架，市面上绝大多数 Spring Boot 项目都在用它。但很多人搞不清楚两个基本概念：认证（Authentication）和授权（Authorization）。
零信任时代的身份认证：从密码→MFA→FIDO2→持续验证的进化之路
身份是零信任的第一支柱。Cisco Talos 2024年报告显示：60%的事件响应案例涉及身份安全问题。但在零信任语境下，"身份认证"四个字的内涵已经发生了根本性的变化——不是一次登录管全天，而是每一次访问、每一步操作、每一秒都在验证。
2.3 关键转变：意图表达 + 验收定义 > 语法记忆
一段让我心情复杂的面试对话去年面试一个三年经验的后端工程师。简历上写"精通 Python、熟悉 Java、了解 Redis"。我问他：「你最近一周写了多少代码？多少是自己手敲的？多少是 AI 生成的？
别把 JWT 当成加密令牌：Symfony LexikJWTAuthenticationBundle 实战
别把 JWT 当成加密令牌：Symfony LexikJWTAuthenticationBundle 实战详解前后端分离项目里，常见做法是先用账号密码换取一个 Token，再把 Token 放进后续 API 请求。
第25讲 Spring Boot 权限控制与JWT认证
教学目标维度目标知识目标理解认证与授权的区别；掌握JWT结构（Header/Payload/Signature）；了解BCrypt加密原理；了解RBAC权限模型技能目标能够使用JJWT库生成和验证Token；能够编写登录接口发放JWT；能够编写拦截器解析Token；能够使用BCr
JWT 和 Session 到底选谁？我踩了 3 年坑，终于有答案了
JWT 和 Session：我踩完坑才搞明白，你不用再踩了摘要：JWT 和 Session 是两种最常用的身份认证方案，但很多项目选型的时候全凭"别人用什么我就用什么"，结果线上问题一箩筐。这篇文章从原理到源码，从优点到坑点，把两种方案彻底拆清楚，帮你做对技术选型。
Apache Shiro：Spring Boot 安全框架，轻量级认证授权一步到位
做 Java 后端开发，安全问题永远绕不开。登录认证、权限校验、会话管理、密码加密，每个模块都要写一遍，重复且枯燥。Spring Security 功能强大但学习曲线陡峭，光是一个配置类就能劝退一票新手。
Spring Security (16) ：CSRF / CORS / Session，知道怎么关怎么配就行
用 Spring Security 写接口，最常遇到的三件事：跨域请求被拦截、POST 请求报 403（CSRF Token 缺失）、登录状态莫名其妙丢了。新手要么全部关掉，要么照抄网上的配置，出了问题完全不知道该调哪里。这三个东西本质上是不同层面的安全机制。