Πώς λειτουργούν η authentication και η authorization με το Spring Security και το JWT;

Question

IT Interview Practice · Accepted Answer

Το Spring Security είναι μια servlet **filter chain** που παρεμβάλλεται σε κάθε request πριν φτάσει στον controller σου. Η **authentication** απαντά «ποιος είσαι;»· η **authorization** απαντά «σου επιτρέπεται να το κάνεις αυτό;». Για stateless REST APIs, η συνήθης προσέγγιση είναι το **JWT** (JSON Web Token) αντί για server-side sessions.

## Η ροή του JWT

```text
POST /login (user+pass) ──▶ AuthController verifies ──▶ signs JWT ──▶ returns token
                                                                          │
Client stores it, then sends on every call:                              ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter validates ──▶ controller
```

Το token υπογράφεται από τον server, οπότε στα επόμενα requests ένα filter μπορεί να το επαληθεύσει *χωρίς αναζήτηση στη βάση δεδομένων* — αυτό είναι που το κάνει stateless και οριζόντια κλιμακώσιμο.

## Ρύθμιση της filter chain

```java
@Configuration
@EnableMethodSecurity // enables @PreAuthorize on methods
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // stateless API: no CSRF cookie
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // open endpoint
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // role check
              .anyRequest().authenticated())            // everything else needs a token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## Authorization σε επίπεδο method

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## Γιατί έχει σημασία

Το auth είναι εκεί που συμβαίνουν τα περιστατικά ασφαλείας, οπότε οι συνεντευκτές ακούν για σωστά ένστικτα: **hash των passwords με BCrypt** (ποτέ αποθήκευση σε plaintext), διατήρηση των JWTs βραχύβιων με refresh tokens, και προτίμηση stateless tokens για κλιμακωσιμότητα, αλλά με γνώση του trade-off — δεν μπορείς να ανακαλέσεις ακαριαία ένα JWT χωρίς denylist. Το να ξέρεις *γιατί* το CSRF απενεργοποιείται για token APIs δείχνει πραγματική κατανόηση, όχι copy-paste config.

Η ροή του JWT

Ρύθμιση της filter chain

Authorization σε επίπεδο method

Γιατί έχει σημασία

Σχετικές ερωτήσεις