Spring Security 是 Spring 生态的安全框架，核心是一整条 Servlet 过滤器链：请求进来先经过一串过滤器，依次完成认证（Authentication，你是谁）、授权（Authorization，你能做什么）、以及 CSRF、CORS、会话管理等横切安全能力。

1. 核心概念

概念	含义
Authentication	认证：确认「你是谁」，产出 Authentication 对象
Authorization	授权：判断「你能做什么」，决定放行或拒绝
SecurityFilterChain	过滤器链，安全逻辑的实际执行者
SecurityContext	保存当前请求的认证信息（通常放 ThreadLocal）
UserDetailsService	加载用户及其权限的接口
PasswordEncoder	口令编码器（如 BCrypt）
AuthenticationManager	认证的总入口，编排认证流程

信息安全管理认证 - ISO27001详解。

ISO27001起源和发展

信息安全管理实用规则ISO/IEC27001的前身为英国的BS7799标准，该标准由英国标准协会（BSI）于1995年2月提出，并于1995年5月修订而成的。1999年BSI重新修改了该标准。BS7799分为两个部分：

BS7799-1，信息安全管理实施规则

BS7799-2，信息安全管理体系规范。

第一部分对信息安全管理给出建议，供负责在其组织启动、实施或维护安全的人员使用；第二部分说明了建立、实施和文件化信息安全管理体系（ISMS）的要求，规定了根据独立组织的需要应实施安全控制的要求。

随着国内对网络安全的逐步重视，以及《网络安全法》的出台， 在金融、电力、广电、医疗、教育等行业，主管单位明确要求从业机构的信息系统（APP）要开展等级保护工作。落实到企业，包含等级保护认证和每年的护网活动等。

什么是等级保护？

在中国，信息安全等级保护广义上为涉及到该工作的标准、产品、系统、信息等均依据等级保护思想的安全工作；狭义上一般指信息系统（APP）安全等级保护。

信息安全等级保护：

• 对信息系统分等级进行安全保护和监管；
• 对信息安全产品的使用实行分等级管理；
• 对信息安全事件实行分等级响应、处置。

能力成熟度模型集成认证 - CMMI。

什么是软件过程

在开发产品或构建系统时，遵循一系列可预测的步骤（即路线图）是非常重要的，它有助于及时交付高质量的产品。软件开发中所遵循的路线图称为“软件过程”。过程是活动的集合，活动是任务的集合。

软件过程有3层含义：

• 一是个体含义，即指软件产品或系统在生存周期中的某一类活动的集合，如软件开发过程、软件管理过程等；
• 二是整体含义，即指软件产品或系统在所有上述含义下的软件过程的总体；
• 三是工程含义，即指解决软件过程的工程，应用软件的原则、方法来构造软件过程模型，并结合软件产品的具体要求进行实例化，以及在用户环境下的运作，以此进一步提高软件的生产率，降低成本。

常见企业开发和系统认证详解。

相关文章

常见企业开发和系统认证相关文章。

• 能力成熟度模型集成认证 - CMMI
  • 在美国国防部的支持下，1987年，卡内基·梅隆大学软件工程研究所率先推出了软件工程评估项目的研究成果--软件过程能力成熟度模型（Capability Maturity Model of Software，即CMM），其研究目的是提供一种评价软件承接方能力的方法，同时它可帮助软件组织改进其软件过程。CMM是对软件组织进化阶段的描述，随着软件组织定义、实施、测量、控制和改进其软件过程，软件组织的能力经过这些阶段逐步提高。该能力成熟度模型使软件组织能够较容易的确定其当前过程的成熟度并识别其软件过程执行中的薄弱环节，确定对软件质量和过程改进最为关键的几个问题，从而形成对其过程的改进策略。软件组织只要关注并认真实施一组有限的关键实践活动，就能稳步的改善其全组织的软件过程，使全组织的软件过程能力持续增长。
• 信息安全等级保护认证
  • 随着国内对网络安全的逐步重视，以及《网络安全法》的出台， 在金融、电力、广电、医疗、教育等行业，主管单位明确要求从业机构的信息系统（APP）要开展等级保护工作。落实到企业，包含等级保护认证和每年的护网活动等。
• 信息安全管理认证 - ISO27001
  • 信息安全管理实用规则ISO/IEC27001的前身为英国的BS7799标准，该标准由英国标准协会（BSI）于1995年2月提出，并于1995年5月修订而成的。1999年BSI重新修改了该标准。BS7799分为两个部分:BS7799-1，信息安全管理实施规则; BS7799-2，信息安全管理体系规范。第一部分对信息安全管理给出建议，供负责在其组织启动、实施或维护安全的人员使用；第二部分说明了建立、实施和文件化信息安全管理体系（ISMS）的要求，规定了根据独立组织的需要应实施安全控制的要求。