Jak funguje autentizace a autorizace se Spring Security a JWT?

Question

IT Interview Practice · Accepted Answer

Spring Security je servletový **řetězec filtrů**, který zachytí každý požadavek dřív, než dorazí k vašemu controlleru. **Autentizace** odpovídá na „kdo jsi?“; **autorizace** odpovídá na „smíš tohle udělat?“. Pro bezstavová REST API je běžným přístupem **JWT** (JSON Web Token) místo server-side session.

## JWT flow

```text
POST /login (user+heslo) ──▶ AuthController ověří ──▶ podepíše JWT ──▶ vrátí token
                                                                          │
Klient jej uloží a poté posílá při každém volání:                        ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter validuje ──▶ controller
```

Token je podepsán serverem, takže při pozdějších požadavcích jej filtr může ověřit *bez dotazu do databáze* — právě to jej činí bezstavovým a horizontálně škálovatelným.

## Konfigurace řetězce filtrů

```java
@Configuration
@EnableMethodSecurity // umožní @PreAuthorize na metodách
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // bezstavové API: žádná CSRF cookie
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // otevřený endpoint
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // kontrola role
              .anyRequest().authenticated())            // vše ostatní vyžaduje token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## Autorizace na úrovni metody

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## Proč je to důležité

V autentizaci se dějí bezpečnostní incidenty, takže tazatelé naslouchají správným instinktům: **hashujte hesla pomocí BCrypt** (nikdy neukládejte plaintext), držte JWT krátkoživotné s refresh tokeny a preferujte bezstavové tokeny kvůli škálovatelnosti, ale znejte kompromis — JWT nemůžete okamžitě zneplatnit bez denylistu. Vědomí, *proč* je CSRF pro tokenová API vypnuté, ukazuje skutečné pochopení, ne konfiguraci copy-paste.

JWT flow

Konfigurace řetězce filtrů

Autorizace na úrovni metody

Proč je to důležité

Související otázky