从浏览器自动携带凭据的行为出发，理解 CSRF 攻击、同步 token、SameSite 和 Spring Security 的防护边界。

梳理 Spring Security Authorization 的权限表示、方法鉴权、角色层级和 AuthorizationFilter。

梳理 Spring Security Authentication 的核心对象、认证过滤器、会话持久化与 remember-me 机制。

从 Servlet Filter、DelegatingFilterProxy、FilterChainProxy 和 SecurityFilterChain 理解 Spring Security 的整体架构。

梳理 Spring Security 中密码存储、bcrypt 强度选择和 DelegatingPasswordEncoder 的兼容设计。

从内嵌 Tomcat 的启动过程出发，解释 Spring Boot MVC 如何注册 DispatcherServlet、Filter 和 ServletContextInitializer。

从 DispatcherServlet 初始化、WebApplicationContext 层级、请求处理流程到 CORS，整理 Spring Web MVC 的核心机制。

从 SpringBootTestContextBootstrapper、配置类探测、slice test、MockMvc 到 @MockBean，梳理 Spring Boot Test 的测试层次。

从 MockMvc 的使用方式进入源码，解释它如何在没有 Tomcat 的情况下模拟 Servlet 和 DispatcherServlet 请求处理。

从 TestContextManager、TestContext、TestExecutionListener 和 ContextLoader 出发，理解 Spring TestContext Framework。