spring-security je moloch... Odporucam video
https://www.youtube.com/watch?v=8rnOsF3RVQc (dve poznamky: 1. toto imho "deep dive" nieje 2. podobne informacie v textovej podobe sa mi nepodarilo najst ani v dokumentacii a ani v roznych blogoch. Len tuna to je pekne pokopy a vysvetlene pre zaciatocnika)
So springom a jeho oauth2 podporou sa da pohodlne pouzit napriklad Keycloack. Pripravte sa ale na kusok ucenia sa, alebo aspon citania blogov a stackoverflow, kym dosiahnete, co chcete...
Druha vec je, ked sa zamotate do CSRF a CORS... Napriklad ked zabezpecite endpointy cez OAuth2 (napriklad tak, ako to spravi defoltne vygenerovany projekt cez JHipster generator), tak je znacna sanca, ze /actuator/info endpoint nebude mat korektne nastavene CORSy a nepojde prevolat z webovej aplikacie, ktora by rada zistila verziu backendu. Neprejde pre-flight check (ak teda chceme ziskat json, kde je preflight povinny).
Proste security pri ako-tak serioznom projekte moze zozrat znacne mnozstvo casu, ked to robite prvy krat a poznate http len ako transportny protokol a nie ako "totie web technologie, co su aktualne v totých browseroch".