Desarrollo de una aplicación web segura con Spring Boot

Lo primero, el objetivo general de este TFM es poner de manifiesto los riesgos de seguridad que existen al realizar el desarrollo de una aplicación web, así como las medidas de seguridad que han de aplicarse para mitigarlos. La aplicación se desarrollará utilizando el framework Spring Boot, se analizará la seguridad ofrecida por el mismo y se ilustrarán ejemplos para evitar las vulnerabilidades y ataques mostrados en el documento. Para el desarrollo también se ha implementado Thymeleaf, se mostrarán también las ventajas con respecto a la seguridad por su implementación. La aplicación consiste en una tienda de compra online, con las funcionalidades generales para una aplicación de este tipo, como ver lista de productos, pedidos o el carrito, comprar carrito, gestión de usuarios etc. Además, cuenta con dos roles con funcionalidades diferentes, una para administradores y otra para clientes, y se puede interactuar con la aplicación como usuario anónimo. Por último, se ha empleado una base de datos relacional para el almacenamiento de datos, MySql, y se ha empleado RUP como metodología de desarrollo. Para el escaneo de vulnerabilidades se ha empleado la herramienta ZAP de OWASP. Abstract: First of all, the general objective of this TFM is to highlight the security risks that exist when developing a web application, as well as the security measures to be applied to mitigate them. The application will be developed using the Spring Boot framework, the security offered by it will be analyzed and examples will be illustrated to avoid the vulnerabilities and attacks shown in the document. Thymeleaf has also been implemented for development, the advantages regarding security for its implementation will also be shown. The application consists of an online shopping store, with the general functionalities for an application of this type, such as viewing the list of products, orders or the cart, buying cart, user management, etc. In addition, it has two roles with different functionalities, one for administrators and another for clients, and it is possible to interact with the application as an anonymous user. Finally, a relational database has been used for data storage, MySql, and RUP has been used as a development methodology. For vulnerability scanning, the OWASP ZAP tool has been used