I vincoli di sicurezza sono regole di accesso che indicano a un contenitore web quali utenti, ruoli, metodi HTTP o pattern di URL possono raggiungere un endpoint protetto. Nei server Java come Tomcat, fanno parte del livello di autorizzazione: prima che venga eseguito il percorso del codice dell'applicazione, il contenitore verifica se la richiesta corrisponde alle regole di protezione configurate.
Sono importanti perché una piccola discrepanza nell'analisi del percorso, nella riscrittura del proxy o nella mappatura dell'endpoint può rendere raggiungibile una risorsa protetta quando non dovrebbe esserlo. In pratica, gli aggressori cercano queste lacune per aggirare i controlli di accesso o raggiungere endpoint WebSocket, percorsi di amministrazione o altri gestori sensibili. I difensori riducono il rischio testando il percorso proxy esatto usato in produzione, mantenendo coerente l'analisi delle richieste tra i vari livelli e verificando che i vincoli si applichino a ogni forma equivalente di URL. Se il front end e l'applicazione non concordano sul significato di una richiesta, i vincoli di sicurezza possono fallire senza segnali evidenti.