Hvordan fungerer authentication og authorization med Spring Security og JWT?

Question

IT Interview Practice · Accepted Answer

Spring Security er en servlet-**filterkæde**, der opfanger hver request, før den når din controller. **Authentication** besvarer "hvem er du?"; **authorization** besvarer "har du lov til at gøre dette?". For stateless REST-API'er er den almindelige tilgang **JWT** (JSON Web Token) i stedet for serverside-sessioner.

## JWT-flowet

```text
POST /login (user+pass) ──▶ AuthController verifies ──▶ signs JWT ──▶ returns token
                                                                          │
Client stores it, then sends on every call:                              ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter validates ──▶ controller
```

Tokenet er signeret af serveren, så ved senere requests kan et filter verificere det *uden et databaseopslag* — det er det, der gør det stateless og horisontalt skalerbart.

## At konfigurere filterkæden

```java
@Configuration
@EnableMethodSecurity // enables @PreAuthorize on methods
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // stateless API: no CSRF cookie
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // open endpoint
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // role check
              .anyRequest().authenticated())            // everything else needs a token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## Autorisation på metodeniveau

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## Hvorfor det betyder noget

Auth er, hvor sikkerhedshændelser sker, så interviewere lytter efter korrekte instinkter: **hash passwords med BCrypt** (gem aldrig plaintext), hold JWT'er kortlivede med refresh tokens, og foretræk stateless tokens for skalerbarhed, men kend afvejningen — du kan ikke øjeblikkeligt tilbagekalde en JWT uden en denylist. At vide *hvorfor* CSRF er deaktiveret for token-API'er viser reel forståelse, ikke copy-paste-konfiguration.

JWT-flowet

At konfigurere filterkæden

Autorisation på metodeniveau

Hvorfor det betyder noget

Relaterede spørgsmål