springboot-security

springboot-security 技能概览

springboot-security 是一套实用的 Spring Boot 安全指南，适合需要在不猜测 Spring Security 默认行为的前提下，更安全地实现认证、输入处理和端点保护的团队。在你需要决定如何为 Java 服务添加认证、授权、CSRF/CORS 控制、请求头、安全密钥处理、限流或依赖检查时，适合使用 springboot-security 技能。

这个技能适合做什么

这个技能更适合想要获得安全导向实施方案的工程师和评审者，而不是泛泛的教程。它主要回答的是：“这个 Spring Boot 应用我应该先改哪里？哪些模式足够安全，可以直接采用？”

什么时候最适合用

在安全审计、全新服务初始化，或者上线前加固已有 API 时，使用 springboot-security 最合适。尤其当你需要判断设计应使用 session、JWT 还是 opaque token，验证逻辑应该放在哪里，以及哪些安全控制是必选、哪些只是可选时，它会特别有用。

主要区别在哪里

springboot-security 的价值在于它对常见失误点有明确立场：认证边界、请求验证、token 处理和安全配置。它不是用来讲解 Spring Security 理论的，而是帮助你做出能降低配置错误风险的实际决策。

如何使用 springboot-security 技能

安装并激活它

使用仓库自带的 skill manager，把 springboot-security 技能安装到你的 Claude Code 环境中，然后将它指向你想要审查或修改的 Spring Boot 代码库。如果你的工作流使用 skills 目录，那么在起草安全敏感代码、评审意见或审计备注时，保持这个技能处于激活状态。

输入要足够具体

springboot-security 的使用方式在你提供应用类型、认证模型、威胁关注点和当前技术栈时效果最好。高质量输入可以像这样：

• “Review this Spring Boot API for JWT auth, role checks, and CSRF gaps.”
• “Design security for a session-based admin console with form login.”
• “Audit this controller layer for validation and authorization mistakes.”

像“make this secure”这种输入太宽泛了。最好补充服务是浏览器端还是纯 API、是否保存用户 session，以及你需要的是修复方案还是代码评审。

按这个顺序阅读仓库

先看 SKILL.md，了解推荐的工作流；再查看与你任务对应的章节：认证、授权、验证和安全控制。如果这个技能嵌在更大的仓库里，在做实现决定前，还要检查 README.md、AGENTS.md、metadata.json 以及任何链接的 helper 或 reference 路径。

用它做具体评审和实现

把 springboot-security 当作决策支持工具来用。让它帮你把端点映射到所需角色，识别验证应该在哪一层发生，并标出 secrets 或 token 可能暴露的位置。为了获得更好的输出，请提供 controller 名称、端点路径、示例 payload，以及当前安全配置，这样技能才能给出具体修改建议，而不是泛泛的最佳实践。

springboot-security 技能 FAQ

springboot-security 只适合审计吗？

不是。springboot-security 技能同样适用于新功能开发、重构，以及上线前加固，不只是 Security Audit 任务。它在你需要在写代码之前先拿到推荐模式时，价值最大。

我需要先懂 Spring Security 吗？

只要对 Spring Boot 有基础了解，就可以开始使用。这个技能在你已经知道应用的登录模型，并且想要获得关于安全配置、请求过滤和端点保护的指导时，最有帮助。

什么时候不该用它？

如果你的问题和安全无关，或者你需要的是深入的框架调试，但没有认证、验证或密钥管理相关诉求，就不要用 springboot-security。如果你想做的是覆盖无关子系统的完整架构评审，它也不是合适选择。

它和普通 prompt 有什么区别？

普通 prompt 往往只会给出一次性的建议。springboot-security 技能会为 Spring Boot 安全工作提供一套可重复使用的指南，帮助你在多轮迭代中保持评审标准、实现步骤和审计检查点一致。

如何改进 springboot-security 技能

让应用上下文更具体

想要更好的 springboot-security 结果，最有效的方法就是一开始就说明应用形态和安全约束。要明确这是无状态服务、面向浏览器、多租户、公共 API，还是仅内部使用。这些信息会直接改变 session、CSRF、CORS 和 token 存储的正确答案。

提供真实材料，不要只给抽象描述

如果你希望得到可执行的输出，请提供 controller 代码片段、filter/config 类、请求/响应示例，以及你已经在使用的认证流程。springboot-security 技能在能看到真实的端点结构和安全规则时，判断会更准确。

要求做安全决策，而不只是要清单

好的迭代方式是：“为这个 API 在 JWT 和服务器 session 之间做选择，然后解释取舍和实现步骤。”这样会迫使 springboot-security 技能给出一个你能直接落地的决策，而不是一份泛泛的控制项列表。

第一轮之后再收紧范围

先用第一轮答案找出最高风险的缺口，然后再用更聚焦的后续输入重新运行 springboot-security：比如缺失的角色检查、token 过期处理、验证覆盖范围，或依赖扫描发现的问题。这样可以让下一轮更集中，也能提高修复方案的质量。