Spring Security ও JWT দিয়ে authentication এবং authorization কীভাবে কাজ করে?

Question

IT Interview Practice · Accepted Answer

Spring Security হলো একটি servlet **filter chain** যা প্রতিটি request আপনার controller-এ পৌঁছানোর আগে আটকায়। **Authentication** উত্তর দেয় "তুমি কে?"; **authorization** উত্তর দেয় "তোমার কি এটি করার অনুমতি আছে?"। stateless REST API-এর জন্য সাধারণ পন্থা হলো server-side session-এর বদলে **JWT** (JSON Web Token)।

## JWT প্রবাহ

```text
POST /login (user+pass) ──▶ AuthController verifies ──▶ signs JWT ──▶ returns token
                                                                          │
Client stores it, then sends on every call:                              ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter validates ──▶ controller
```

token-টি server দ্বারা signed, তাই পরবর্তী request-এ একটি filter এটি *database lookup ছাড়াই* যাচাই করতে পারে — এটাই একে stateless ও অনুভূমিকভাবে scalable করে।

## filter chain কনফিগার করা

```java
@Configuration
@EnableMethodSecurity // enables @PreAuthorize on methods
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // stateless API: no CSRF cookie
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // open endpoint
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // role check
              .anyRequest().authenticated())            // everything else needs a token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## method-স্তরের authorization

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## এটি কেন গুরুত্বপূর্ণ

Auth-এই security incident ঘটে, তাই interviewer-রা সঠিক প্রবৃত্তির জন্য কান পাতেন: **BCrypt দিয়ে password hash করা** (কখনো plaintext সংরক্ষণ নয়), JWT-কে refresh token সহ স্বল্পস্থায়ী রাখা, এবং scalability-এর জন্য stateless token-কে প্রাধান্য দেওয়া কিন্তু trade-off জানা — denylist ছাড়া আপনি একটি JWT তাৎক্ষণিকভাবে বাতিল করতে পারবেন না। token API-এর জন্য *কেন* CSRF নিষ্ক্রিয় করা হয় তা জানা copy-paste config নয়, প্রকৃত বোঝাপড়া দেখায়।

JWT প্রবাহ

filter chain কনফিগার করা

method-স্তরের authorization

এটি কেন গুরুত্বপূর্ণ

সম্পর্কিত প্রশ্ন