quarkus-security

name	quarkus-security
description	Buenas prácticas de seguridad en Quarkus para autenticación, autorización, JWT/OIDC, RBAC, validación de entrada, CSRF, gestión de secretos y seguridad de dependencias.
origin	ECC

Revisión de Seguridad Quarkus

Buenas prácticas para asegurar aplicaciones Quarkus con autenticación, autorización y validación de entrada.

Cuándo Activar

• Agregar autenticación (JWT, OIDC, Basic Auth)
• Implementar autorización con @RolesAllowed o SecurityIdentity
• Validar entrada de usuario (Bean Validation, validadores personalizados)
• Configurar CORS o cabeceras de seguridad
• Gestionar secretos (Vault, variables de entorno, fuentes de configuración)
• Agregar limitación de velocidad o protección contra fuerza bruta
• Escanear dependencias por CVEs
• Trabajar con MicroProfile JWT o SmallRye JWT

Autenticación

Autenticación JWT

// Recurso protegido con JWT
@Path("/api/protected")
@Authenticated
public class ProtectedResource {

  @Inject
  JsonWebToken jwt;

  @Inject
  SecurityIdentity securityIdentity;

  @GET
  public Response getData() {
    String username  jwt.getName();
    Set<String> roles = jwt.getGroups();
     Response.ok(Map.of(
        , username,
        , roles,
        , securityIdentity.getPrincipal().getName()
    )).build();
  }
}