Giáo trình Spring Boot MVC và REST API · Chương 8/12: Đăng nhập, phân quyền và bảo vệ request · Bài 17/28 · Biên soạn tháng 10/2026.

Mục tiêu bài học

Cấu hình Security bằng bean hiện hành, chạy đăng nhập form và hiểu cách lưu mật khẩu một chiều.

Security làm việc trước Controller

Spring Security dùng chuỗi filter để xử lý xác thực, phiên đăng nhập và kiểm soát truy cập trước khi request đi vào Controller. Khi thêm starter Security, một số đường dẫn có thể bị yêu cầu đăng nhập. Đây là hành vi mặc định cần hiểu và cấu hình có chủ đích, không phải lỗi MVC.

Giáo trình dùng SecurityFilterChain bean và lambda DSL. Không kế thừa WebSecurityConfigurerAdapter theo các bài cũ. Các phiên bản Security được Boot quản lý; không tự ghim một bản Security cũ để một class đã bị loại bỏ xuất hiện trở lại.

Tệp trong mã nguồn mẫu: src/main/java/com/hocvietcode/academy/SecurityConfig.java. Đoạn dưới được trích từ tệp này; xem bản tải về để có đủ import và phần còn lại.

@Bean PasswordEncoder encoder(){return new BCryptPasswordEncoder();}
@Bean UserDetailsService users(PasswordEncoder encoder,AppSettings settings){
    String encoded=encoder.encode(settings.demoPassword());
    return new InMemoryUserDetailsManager(User.withUsername("teacher").password(encoded).roles("TEACHER").build(),User.withUsername("student").password(encoded).roles("STUDENT").build());
}

PasswordEncoder không phải mã hóa để giải mã lại

BCryptPasswordEncoder tạo hash có salt; khi đăng nhập, hệ thống so khớp mật khẩu nhập với hash. Không lưu mật khẩu thô và không cố giải mã hash để hiển thị lại cho người quản trị. Đổi mật khẩu nghĩa là tạo hash mới, không chỉnh chuỗi hash bằng tay.

InMemoryUserDetailsManager tạo teacher và student để học luồng bảo mật. Hai tài khoản dùng mật khẩu từ biến môi trường HVC_DEMO_PASSWORD và được hash khi khởi động. Người dùng này không được lưu vào bảng riêng, không có đăng ký hay khôi phục mật khẩu; triển khai tài khoản thật cần kho người dùng và chính sách vòng đời phù hợp.

Form login và logout

formLogin dùng trang đăng nhập mặc định của Spring Security; nhập username/password rồi server tạo trạng thái authentication phù hợp. Với đăng nhập thành công, mẫu chuyển đến /courses. Logout mặc định xử lý POST với CSRF token; fragment menu dùng form thay vì link GET.

HTTP Basic được bật để thuận tiện kiểm tra API ở các bài sau. Nó gửi thông tin xác thực theo mỗi request phù hợp và phải đi qua HTTPS ngoài máy cục bộ. Base64 trong Basic không phải mã hóa bảo mật. Với sản phẩm có API cho ứng dụng độc lập, cần lựa chọn mô hình xác thực, OAuth2/OIDC hoặc token đúng nhu cầu, thay vì tự viết JWT từ đầu trong khóa cơ bản.

Kiểm tra phiên và lỗi đăng nhập

Mở /login, đăng nhập teacher rồi vào /admin/courses/new. Đăng xuất, thử student và so sánh quyền ở bài sau. Mật khẩu sai không nên tiết lộ tài khoản có tồn tại hay không. Kiểm thử login trong bộ mẫu dùng chính PasswordEncoder và UserDetailsService, còn các test quyền có thể tạo authentication giả để chạy nhanh.

Khi thay mật khẩu demo trong môi trường, khởi động lại ứng dụng để bean người dùng được tạo lại. Không ghi mật khẩu vào log để xác nhận cấu hình. Cookie session cần thuộc tính và HTTPS phù hợp khi triển khai; mẫu chạy localhost chưa thay thế cấu hình bảo mật vận hành.

Lỗi thường gặp và lưu ý

• Không dùng {noop} hoặc lưu mật khẩu thô vì nghĩ đây chỉ là admin nội bộ.
• Không nhầm Authentication (là ai) với Authorization (được phép làm gì).

Ghi nhớ

SecurityFilterChain định nghĩa hành vi web; PasswordEncoder xử lý hash; kho người dùng demo chỉ phục vụ học và kiểm thử.

Tài liệu đối chiếu

• Username/password authentication
• Password Storage