كيف تعمل المصادقة والتفويض مع Spring Security وJWT؟

Question

IT Interview Practice · Accepted Answer

Spring Security سلسلة مرشّحات (filter chain) على مستوى الـ servlet تعترض كل طلب قبل وصوله إلى متحكمك. **المصادقة (authentication)** تجيب على "من أنت؟"؛ و**التفويض (authorization)** يجيب على "هل يُسمح لك بهذا؟". لواجهات REST عديمة الحالة، النهج الشائع هو **JWT** (JSON Web Token) بدل الجلسات على جانب الخادم.

## تدفّق الـ JWT

```text
POST /login (user+pass) ──▶ AuthController verifies ──▶ signs JWT ──▶ returns token
                                                                          │
Client stores it, then sends on every call:                              ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter validates ──▶ controller
```

يُوقّع الرمز من الخادم، فيستطيع مرشّح في الطلبات اللاحقة التحقق منه *دون بحث في قاعدة البيانات* — وهذا ما يجعله عديم الحالة وقابلًا للتوسّع أفقيًا.

## إعداد سلسلة المرشّحات

```java
@Configuration
@EnableMethodSecurity // يُفعّل @PreAuthorize على الدوال
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // API عديم الحالة: لا كوكي CSRF
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // نقطة نهاية مفتوحة
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // فحص الدور
              .anyRequest().authenticated())            // كل ما عدا ذلك يحتاج رمزًا
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## التفويض على مستوى الدالة

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## لماذا يهم

المصادقة هي حيث تقع حوادث الأمن، لذا يصغي المُحاورون للغرائز الصحيحة: **جزّئ كلمات المرور بـ BCrypt** (لا تخزّن نصًا صريحًا أبدًا)، وأبقِ الـ JWTs قصيرة العمر مع refresh tokens، وفضّل الرموز عديمة الحالة للتوسّع مع معرفة المقايضة — لا تستطيع إبطال JWT فوريًا دون قائمة رفض (denylist). معرفة *لماذا* يُعطّل CSRF لواجهات الرموز تُظهر فهمًا حقيقيًا، لا إعدادًا مُنسوخًا.

تدفّق الـ JWT

إعداد سلسلة المرشّحات

التفويض على مستوى الدالة

لماذا يهم

أسئلة ذات صلة