Spring Security con JWT y OAuth2

Spring Security tiene fama de ser la pieza más opaca del ecosistema Spring, y la consecuencia es peligrosa: configuraciones copiadas de tutoriales que nadie del equipo sabe explicar, protegiendo sistemas con datos reales. En seguridad, no entender tu propia configuración no es deuda técnica: es una vulnerabilidad esperando su momento.

Este curso desmonta esa opacidad. Empieza por la arquitectura real del framework (la cadena de filtros, el SecurityContext, los AuthenticationProviders) para que cada línea de configuración tenga significado. Sobre esa base se implementa autenticación stateless con JWT bien hecha: emisión y validación de tokens, renovación, revocación y los errores de implementación que convierten un JWT en un agujero, como algoritmos mal validados o tokens eternos.

La segunda mitad cubre OAuth2 y OpenID Connect con rigor conceptual y práctica real: roles del protocolo, flujo authorization code con PKCE, integración con Keycloak como identity provider y configuración de la aplicación como resource server. Se completa con autorización fina por roles y a nivel de método, protección frente a CSRF y CORS bien configurado, y una batería de tests de seguridad, porque la seguridad que no se prueba se rompe sin avisar.