Spring Security 6 & JWT Authentication · درس

تهيئة ترويسات الأمان وHTTPS

عزّز أمان تطبيق Spring في بيئة الإنتاج باستخدام ترويسات أمان HTTP وHSTS وفرض HTTPS للحماية من هجمات النقل والمتصفح الشائعة

تهيئة ترويسات الأمان وHTTPS درس مجاني في Spring Security 6 & JWT Authentication على CoddyKit. هذا هو الدرس 4 من أصل 4. يمكنك قراءة الدرس كاملاً أدناه مجاناً — ثم تمرن عليه مباشرة في المتصفح باستخدام محرر أكواد مدمج ومدرس ذكاء اصطناعي متاح 24/7. هذا الدرس جزء من مسار التعلم في Spring Security 6 & JWT Authentication، وتقدمك يتزامن عبر الويب وتطبيق CoddyKit. تتضمن دورة Spring Security 6 & JWT Authentication 4 دروس في المجموع.

بعض أجزاء هذا الدرس لم تُترجم بعد وتظهر باللغة الإنجليزية.

Defense at the Transport Layer

Even a well-secured backend is exposed if traffic travels unencrypted or the browser mishandles your responses. Security headers and HTTPS close these gaps at the transport and browser layer.

Why HTTPS Is Non-Negotiable

Over plain HTTP, tokens and credentials can be read or modified by anyone on the network. HTTPS encrypts traffic and verifies the server identity, and is mandatory wherever JWTs travel.

Forcing HTTPS in Spring

Use requiresChannel to redirect any HTTP request to HTTPS automatically.

http.requiresChannel(c -> c.anyRequest().requiresSecure());

HSTS

HTTP Strict Transport Security tells browsers to only ever use HTTPS for your domain, preventing downgrade attacks. Spring enables it by default for secure requests.

http.headers(h -> h
    .httpStrictTransportSecurity(hsts -> hsts
        .maxAgeInSeconds(31536000)
        .includeSubDomains(true)));

Content Security Policy

A Content-Security-Policy header limits which sources of scripts and styles the browser will load, a strong defense against cross-site scripting (XSS).

http.headers(h -> h
    .contentSecurityPolicy(c -> c
        .policyDirectives("default-src 'self'")));

Clickjacking Protection

The X-Frame-Options header stops your pages from being embedded in iframes on other sites, blocking clickjacking. Spring sets DENY by default.

http.headers(h -> h
    .frameOptions(f -> f.deny()));

Preventing MIME Sniffing

The X-Content-Type-Options: nosniff header stops browsers from guessing content types, which can turn an uploaded file into executable script. It is on by default in Spring Security.

Referrer Policy

The Referrer-Policy header controls how much URL information leaks to other sites when users follow links, protecting tokens or ids that might sit in URLs.

http.headers(h -> h
    .referrerPolicy(r -> r.policy(
        ReferrerPolicy.SAME_ORIGIN)));

Disabling the Cache for Sensitive Pages

Spring adds cache-control headers to keep authenticated responses out of browser and proxy caches, so a logged-out user on a shared machine cannot hit Back to see private data.

Cookies for Tokens

If you store tokens in cookies, mark them HttpOnly (JS cannot read), Secure (HTTPS only), and SameSite to mitigate XSS and CSRF.

Cookie c = new Cookie('token', value);
c.setHttpOnly(true);
c.setSecure(true);

Verifying Your Headers

After deploying, scan your site with tools like securityheaders.com or curl to confirm each header is present and correctly valued. Trust nothing until you have checked the live response.

curl -I https://yourapp.example.com

Quick Check

Test your understanding of security headers.

Recap

You learned to harden the transport and browser layer:

Force HTTPS with requiresChannel and enable HSTS
Use CSP, X-Frame-Options, and nosniff to block XSS and clickjacking
Set HttpOnly, Secure, SameSite on token cookies
Verify headers on the live deployment

These headers add cheap, high-value protection in production.

الأسئلة الشائعة

هل درس «تهيئة ترويسات الأمان وHTTPS» مجاني؟

نعم — نص درس «تهيئة ترويسات الأمان وHTTPS» كامل متاح مجاناً هنا على الويب. لتمرينه بشكل تفاعلي (محرر أكواد مدمج ومدرس ذكاء اصطناعي متاح 24/7) وفتح باقي دورة Spring Security 6 & JWT Authentication، انتقل إلى CoddyKit PRO. تتضمن دورة Spring Security 6 & JWT Authentication 4 دروس في المجموع.

ماذا ستتعلم في «تهيئة ترويسات الأمان وHTTPS»؟

عزّز أمان تطبيق Spring في بيئة الإنتاج باستخدام ترويسات أمان HTTP وHSTS وفرض HTTPS للحماية من هجمات النقل والمتصفح الشائعة تتمرن على Spring Security 6 & JWT Authentication مع أكواد عملية تشغلها مباشرة في المتصفح، ومدرس ذكاء اصطناعي متاح 24/7 يجيب على أسئلتك أثناء عملك.

هل أحتاج إلى خبرة سابقة لأبدأ Spring Security 6 & JWT Authentication؟

لا تُشترط خبرة سابقة. Spring Security 6 & JWT Authentication على CoddyKit منظم للمبتدئين حتى المتقدمين، لذا يمكنك البدء من هنا أو من البداية والتقدم بسرعتك الخاصة. هذا هو الدرس 4 من أصل 4.

كم من الوقت يستغرق درس «تهيئة ترويسات الأمان وHTTPS»؟

معظم دروس CoddyKit تستغرق حوالي 5–10 دقائق. كل منها موجز وتفاعلي، لذا تحرز تقدماً مستمراً وتستأنف من حيث توقفت عبر الويب والتطبيق.

هل يمكنني كتابة وتشغيل أكواد في درس Spring Security 6 & JWT Authentication هذا؟

نعم. كل درس في Spring Security 6 & JWT Authentication يتضمن محرر أكواد مدمج، لذا تكتب وتشغل أكواداً حقيقية مباشرة في متصفحك وتحصل على تعليقات فورية من الذكاء الاصطناعي — بدون إعداد محلي.

جميع الدروس في هذه الدورة

← العودة إلى Spring Security 6 & JWT Authentication