Spring Security 6.3 新功能
内容提要
Spring Security 6.3 引入了安全增强功能，包括对 JDK 序列化的支持。讨论了序列化设计的挑战，建议使用替代库或自定义支持。其他功能包括改进的授权和领域对象保护。还提到了密码检查器和 OAuth 2.0 令牌交换支持。总体而言，Spring Security 6.3 带来了显著的安全增强。
延伸解读
序列化兼容性调整的实际影响
Spring Security 6.3 将类序列化改为与前一个次要版本进行兼容性检查，这缓解了升级后持久会话无法反序列化的问题。但文章指出，该设计仍可能影响 Canary 发布流程，导致用户需重新登录；在 RMI 场景中，若两端版本不一致，仍会抛出 InvalidClassException。因此，升级时需评估会话存储和远程调用的版本一致性。
元注释参数化如何减少重复代码
通过 PrePostTemplateDefaults bean 和 @PreAuthorize 的模板化支持，开发者可以定义如 @CustomHasAnyRole 的元注释，并将角色作为参数传入。这避免了为每个角色单独创建注解的冗余，同时保持方法安全表达式的可读性。文章示例显示，同一注解可灵活用于不同角色组合，适合权限模型较复杂的应用。
返回值授权与失败处理的配合
@AuthorizeReturnObject 注解对方法返回的域对象进行授权检查，确保只有具备相应权限的用户才能访问对象属性。当授权失败时，默认抛出 AccessDeniedException，但可通过 MethodAuthorizationDeniedHandler 接口自定义处理，例如返回掩码值。这种机制适合需要细粒度控制敏感数据暴露的场景，但需注意处理逻辑应避免泄露信息。
密码泄露检查与令牌交换的适用场景
HaveIBeenPwnedRestApiPasswordChecker 可依据泄露密码数据库检查用户密码，适合在注册或改密时阻止已泄露密码。OAuth 2.0 令牌交换支持则允许资源服务器在保留用户身份的前提下，将现有令牌交换为面向其他服务的令牌，解决跨服务受众不匹配的问题。两者分别增强了凭证安全和分布式授权能力。
Q&A
Spring Security 6.3 引入了哪些主要的新功能？
Spring Security 6.3 引入了被动 JDK 序列化支持、改进的授权、@AuthorizeReturnObject 注释、密码检查器和 OAuth 2.0 令牌交换支持等功能。
被动 JDK 序列化支持在 Spring Security 6.3 中有什么挑战？
被动 JDK 序列化支持可能导致版本不兼容问题，尤其是在不同版本的 Spring Security 之间反序列化时，可能会出现 InvalidClassException 异常。
如何使用 @AuthorizeReturnObject 注释来保护域对象？
使用 @AuthorizeReturnObject 注释可以确保只有授权用户才能访问特定的域对象，例如在获取账户余额时，只有具有读取权限的用户才能访问。
Spring Security 6.3 中的密码检查器是如何工作的？
密码检查器通过检查用户提供的密码是否在泄露密码数据库中来验证密码的安全性，确保用户注册时使用的密码未被泄露。
OAuth 2.0 令牌交换支持在 Spring Security 6.3 中的应用场景是什么？
OAuth 2.0 令牌交换支持允许客户端在保留用户身份的同时交换令牌，适用于资源服务器需要调用其他服务时的场景。
Spring Security 6.3 中如何处理授权失败？
Spring Security 6.3 提供了 MethodAuthorizationDeniedHandler 接口来处理授权失败，可以自定义处理逻辑，例如返回屏蔽值而不是抛出异常。
