NEW
Font size
WorksheetsUntitled Quiz
Total questions: 38
Worksheet time: 19mins
Quelle différence décrit le mieux l’authentification par rapport à l’autorisation ?
L’authentification vérifie les permissions, l'autorisation vérifie l'identité.
L'authentification vérifie l'identité, l'autorisation vérifie les permissions.
Les deux signifient la même chose.
L’authentification se fait uniquement côté frontend.
Laquelle des attaques suivantes consiste à injecter du code (script) dans une page Web ?
XSS (Cross-Site Scripting)
Brute force
Session fixation
CSRF
Pourquoi Basic Auth doit-il obligatoirement être utilisé via HTTPS ?
Parce qu'il ne fonctionne pas sans HTTPS.
Parce que les identifiants encodés en Base64 peuvent être lus en clair sur le réseau.
Parce que Spring Security l'exige obligatoirement.
Parce qu'il génère automatiquement des cookies sécurisés.
Quel composant intercepte réellement les requêtes HTTP dans une application sécurisée avec Spring Security moderne ?
DispatcherServlet
SecurityFilterChain
HandlerMapping
WebSecurityConfigurerAdapter
Quel élément a été supprimé dans Spring Security 6+ au profit d’une configuration basée sur des beans ?
WebSecurityConfigurerAdapter
SecurityFilterChain
AuthenticationManager
UserDetailsService
Quel est le rôle principal de DelegatingFilterProxy ?
Gérer les cookies de session JSESSIONID.
Rediriger les exceptions vers les contrôleurs.
Insérer Spring Security dans la chaîne de filtres du conteneur (Tomcat, etc.).
Encoder les mots de passe avec BCrypt.
Quel est l'ordre logique du flux d’authentification Basic Auth dans Spring Security ?
Filter → Controller → Provider → SecurityContext
AuthenticationProvider → Filter → Controller
Client → BasicAuthenticationFilter → AuthenticationManager → AuthenticationProvider
DispatcherServlet → PasswordEncoder → Provider
Quel bean est indispensable pour activer Spring Security dans une configuration moderne (sans WebSecurityConfigurerAdapter) ?
@Bean AuthenticationProvider
@Bean SecurityFilterChain
@Bean WebSecurityConfigurerAdapter
@Bean DispatcherSecurity
Quel est l'encodage utilisé dans l’en-tête HTTP Authorization pour Basic Auth ?
SHA-256
Base64
BCrypt
URL Encoding
Comment les mots de passe doivent-ils être stockés côté backend ?
En clair dans la base.
Encodés en Base64.
Hashés avec salage (ex : BCrypt).
Compressés en GZIP.
Quel PasswordEncoder est recommandé dans les applications modernes ?
NoOpPasswordEncoder
MD5PasswordEncoder
BCryptPasswordEncoder
Sha1PasswordEncoder
Quel mécanisme protège contre la réutilisation d’une session volée (session fixation) ?
CSRF
Salage des mots de passe
Protection contre la session fixation (renouvellement de session)
Base64
Pourquoi CSRF est-il désactivé par défaut dans une API REST pure (stateless) ?
Parce que REST n’utilise pas (en général) les cookies de session du navigateur.
Parce que POST n’existe pas en REST.
Parce que Basic Auth le désactive automatiquement.
Parce que Spring Security 6 ne supporte plus CSRF.
CORS sert principalement à :
Chiffrer les requêtes HTTP.
Empêcher l’accès à la base de données.
Autoriser ou bloquer des domaines externes à appeler l’API.
Générer le cookie JSESSIONID.
Quel filtre intercepte les identifiants (username/password) lors d’un Form Login classique ?
BasicAuthenticationFilter
UsernamePasswordAuthenticationFilter
AuthorizationFilter
SecurityContextPersistenceFilter
Quelle affirmation décrit le mieux la différence entre Basic Auth et Form Login ?
Basic Auth est stateful, Form Login est stateless.
Les deux reposent sur des tokens JWT.
Basic Auth est stateless, Form Login est stateful (session + JSESSIONID).
Form Login ne fonctionne pas avec JSON.
Quel composant orchestre la décision d’authentification en appelant les AuthenticationProvider ?
AuthenticationProvider
SecurityFilterChain
AuthenticationManager (souvent ProviderManager)
DispatcherServlet
Quel composant charge un utilisateur à partir d’une base de données ou d’une autre source ?
UserDetails
UserDetailsService
AuthenticationManager
PasswordEncoder
En Basic Auth, à quelle fréquence l’en-tête Authorization est-il envoyé par le client ?
Une seule fois au login.
À chaque requête protégée.
Uniquement si la session expire.
Uniquement lors des requêtes POST.
Que valide principalement un AuthenticationProvider ?
Le contrôleur REST ciblé.
Le mot de passe et les informations de l’utilisateur (UserDetails).
La structure de la requête HTTP.
Le token JWT.
Pourquoi une API REST doit-elle être sécurisée sérieusement ?
Parce que les données transitent en JSON.
Parce qu’elle est exposée publiquement et souvent attaquée de façon automatisée.
Parce que Postman utilise Basic Auth.
Parce qu’elle ne supporte pas HTTPS.
Dans HttpSecurity, quelle méthode configure les règles d’autorisation sur les endpoints ?
csrf()
cors()
authorizeHttpRequests()
formLogin()
Où commence réellement le pipeline de sécurité Spring Security lors d’une requête HTTP ?
Dans un contrôleur @RestController.
Dans le PasswordEncoder.
Dans un filtre de la SecurityFilterChain.
Dans la base de données.
À quel mécanisme appartient le cookie JSESSIONID ?
Basic Auth stateless.
Form Login (authentification basée sur sessions).
JWT stateless.
OAuth2 avec access token.
Dans Spring Security, que représente techniquement ROLE_ADMIN ?
Un mot de passe administrateur.
Une authority prefixed par 'ROLE_' (ex : 'ROLE_ADMIN').
Un scope OAuth2.
Un token chiffré côté client.
Quel statut HTTP est renvoyé lorsqu’un utilisateur AUTHENTIFIÉ mais NON AUTORISÉ accède à une ressource ?
200 OK
302 Found
401 Unauthorized
403 Forbidden
Parmi ces choix, quelle est une bonne pratique essentielle en sécurité des mots de passe ?
Sauvegarder les mots de passe encodés en Base64.
Désactiver BCrypt pour augmenter les performances.
Ne jamais stocker de mot de passe en clair.
Utiliser toujours NoOpPasswordEncoder.
Que signifie le principe de « Defense in Depth » ?
Utiliser un seul mécanisme de sécurité très fort.
Appliquer plusieurs couches de sécurité complémentaires.
Utiliser exclusivement HTTPS.
Activer le mode debug de Spring Security.
Quel composant applique réellement la logique d’autorisation sur les requêtes dans Spring Security moderne ?
BasicAuthenticationFilter
AuthorizationFilter
ProviderManager
DispatcherServlet
Quel est le rôle de Base64 dans le mécanisme Basic Auth ?
Chiffrer le mot de passe.
Encoder la chaîne username:password pour la rendre transmissible dans un header HTTP.
Hasher le mot de passe.
Stocker les rôles utilisateur.
Que produit l’encodage Base64 de la chaîne "username:password" ?
Un hash unique non réversible.
Une chaîne encodée réversible.
Un cookie de session.
Un token JWT signé.
Pourquoi CSRF est-il activé par défaut pour le Form Login ?
Parce que Form Login repose sur des sessions/cookies sujettes aux attaques CSRF.
Parce qu'il envoie des tokens JWT.
Parce que les navigateurs l’imposent.
Parce que REST l’exige.
Quel composant s’occupe de charger et sauvegarder le SecurityContext (dans la session pour un formLogin par exemple) ?
SecurityContextPersistenceFilter
BasicAuthenticationFilter
UsernamePasswordAuthenticationFilter
ExceptionTranslationFilter
Quel est le rôle principal du PasswordEncoder dans Spring Security ?
Signer les tokens JWT.
Chiffrer la requête HTTP.
Hasher les mots de passe (et vérifier les matches).
Encoder les objets JSON.
Que renvoie typiquement Spring Security si l’en-tête Basic Authorization est absent pour un endpoint protégé ?
200 OK
302 Found
401 Unauthorized
500 Internal Server Error
CHOIX MULTIPLE Quel est le rôle du SecurityContextHolder ?
Stocker les informations de l'utilisateur authentifié pour la requête en cours.
Gérer la connexion à la base de données.
Générer des certificats SSL.
Remplacer le AuthenticationManager
Quelle est la différence entre une "Authority" et un "Role" dans Spring Security ?
Il n'y a aucune différence technique.
Un rôle est une autorité dont le nom commence par le préfixe ROLE_.
Une autorité est plus puissante qu'un rôle
Les autorités sont pour le frontend, les rôles pour le backend.
Quelle interface devez-vous implémenter pour personnaliser la manière dont les utilisateurs sont récupérés (ex: via une API externe ou une DB spécifique) ?
AuthenticationProvider
UserDetailsService
PasswordEncoder
AccessDecisionManager
