affaan-m/quarkus-security

Quarkus 安全最佳实践，涵盖身份认证、授权、JWT/OIDC、RBAC、输入校验、CSRF、机密管理以及依赖安全。

研究分析开发 Agent Agent 技能调研 Quarkus 安全配置 JWT 身份认证角色权限控制 CSRF 防护密钥管理

技术栈: cursor24万+许可证: MIT开发者: affaan-m

Skill 介绍Skill 文件

重要提示：本站仅作 Skill 资源导航与收录，正文以 GitHub 原仓库为准，版权归原项目所有。

在 GitHub 查看 ↗

原文译文

以下为摘要预览，完整内容请查看 GitHub 原文。

Quarkus Güvenlik İncelemesi

Kimlik doğrulama, yetkilendirme ve girdi doğrulama ile Quarkus uygulamalarını güvenli hale getirmek için en iyi uygulamalar.

When to Use

Kimlik doğrulama ekleme (JWT, OIDC, Basic Auth)
@RolesAllowed veya SecurityIdentity ile yetkilendirme uygulama
Kullanıcı girişini doğrulama (Bean Validation, özel doğrulayıcılar)
CORS veya güvenlik başlıklarını yapılandırma
Gizli bilgileri yönetme (Vault, ortam değişkenleri, config kaynakları)
Rate limiting veya brute-force koruması ekleme
Bağımlılıkları CVE için tarama
MicroProfile JWT veya SmallRye JWT ile çalışma

How It Works

Quarkus güvenliğini katmanlı uygulayın: JWT/OIDC veya Basic Auth ile kimliği doğrulayın, SecurityIdentity ve @RolesAllowed ile yetki kararlarını merkezileştirin, Bean Validation ile girdileri sınırlandırın, CORS ve güvenlik başlıklarını açıkça yapılandırın, gizli bilgileri Vault veya ortam değişkenleri üzerinden yönetin.

Examples

Kimlik Doğrulama

JWT Kimlik Doğrulama

// JWT ile korunan resource
@Path("/api/protected")
@Authenticated
public class ProtectedResource {

  @Inject
  JsonWebToken jwt;

  @Inject
  SecurityIdentity securityIdent…

以下为摘要预览，完整内容请查看 GitHub 原文。

Quarkus 安全审查

通过身份认证、授权与输入校验保护 Quarkus 应用的最佳实践。

适用场景

添加身份认证（JWT、OIDC、Basic Auth）
使用 @RolesAllowed 或 SecurityIdentity 实现授权
校验用户输入（Bean Validation、自定义校验器）
配置 CORS 或安全响应头
管理机密（Vault、环境变量、配置源）
添加速率限制或暴力破解防护
扫描依赖项中的 CVE
使用 MicroProfile JWT 或 SmallRye JWT

工作原理

按分层方式实施 Quarkus 安全：使用 JWT/OIDC 或 Basic Auth 进行身份认证，通过 SecurityIdentity 与 @RolesAllowed 集中授权决策，使用 Bean Validation 约束输入，显式配置 CORS 与安全响应头，通过 Vault 或环境变量管理机密。

示例

身份认证

JWT 身份认证

// 受 JWT 保护的 resource
@Path("/api/protected")
@Authenticated
public class ProtectedResource {

  @Inject
  JsonWebToken jwt;

  @Inject
  SecurityIdentity securityIdentity;

  @GET
  public Response getData() {
    String username = jwt.getName();
    Set<String> roles = jwt.getGroups();
    return Response.ok(Map.of(
        "username", username,
        "roles", roles,
        "principal", securityIdentity.getPrincipal().getName()
    )).build();
  }
}

配置（application.properties）：

mp.jwt.verify.publickey.location=publicKey.pem
mp.jwt.verify.issuer=https://auth.example.com

# OIDC
quarkus.oidc.auth-server-url=https://auth.example.com/realms/myrealm
quarkus.oidc.client-id=backend-service
…

重要提示：源文件不在本站托管，请通过 GitHub 查看与下载。

索引更新于 8/25/2026, 9:18:05 PMGitHub ↗

SKILL.md12.4 KB在 GitHub 查看 ↗