Wie funktionieren Authentifizierung und Autorisierung mit Spring Security und JWT?

Question

IT Interview Practice · Accepted Answer

Spring Security ist eine Servlet-**Filter-Chain**, die jede Anfrage abfängt, bevor sie deinen Controller erreicht. **Authentifizierung** beantwortet „Wer bist du?“; **Autorisierung** beantwortet „Darfst du das tun?“. Für zustandslose REST-APIs ist der übliche Ansatz **JWT** (JSON Web Token) statt serverseitiger Sessions.

## Der JWT-Ablauf

```text
POST /login (user+pass) ──▶ AuthController verifies ──▶ signs JWT ──▶ returns token
                                                                          │
Client stores it, then sends on every call:                              ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter validates ──▶ controller
```

Das Token wird vom Server signiert, sodass ein Filter es bei späteren Anfragen *ohne Datenbankabfrage* verifizieren kann – das macht es zustandslos und horizontal skalierbar.

## Die Filter-Chain konfigurieren

```java
@Configuration
@EnableMethodSecurity // enables @PreAuthorize on methods
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // stateless API: no CSRF cookie
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // open endpoint
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // role check
              .anyRequest().authenticated())            // everything else needs a token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## Autorisierung auf Methodenebene

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## Warum es wichtig ist

Auth ist der Ort, an dem Sicherheitsvorfälle passieren, deshalb horchen Interviewer auf korrekte Instinkte: **Passwörter mit BCrypt hashen** (niemals Klartext speichern), JWTs kurzlebig halten mit Refresh-Tokens und zustandslose Tokens für Skalierbarkeit bevorzugen, aber den Trade-off kennen – du kannst ein JWT nicht sofort ohne eine Denylist widerrufen. Zu wissen, *warum* CSRF für Token-APIs deaktiviert wird, zeigt echtes Verständnis, keine Copy-Paste-Konfiguration.

Der JWT-Ablauf

Die Filter-Chain konfigurieren

Autorisierung auf Methodenebene

Warum es wichtig ist

Ähnliche Fragen