¿Cómo funcionan la autenticación y la autorización con Spring Security y JWT?

Question

IT Interview Practice · Accepted Answer

Spring Security es una **cadena de filtros** de servlet que intercepta cada petición antes de que llegue a tu controlador. La **autenticación** responde a "¿quién eres?"; la **autorización** responde a "¿tienes permiso para hacer esto?". Para APIs REST stateless, el enfoque habitual es **JWT** (JSON Web Token) en lugar de sesiones del lado servidor.

## El flujo JWT

```text
POST /login (user+pass) ──▶ AuthController verifica ──▶ firma el JWT ──▶ devuelve el token
                                                                          │
El cliente lo guarda y luego lo envía en cada llamada:                   ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter valida ──▶ controlador
```

El token lo firma el servidor, así que en peticiones posteriores un filtro puede verificarlo *sin una consulta a la base de datos*: eso es lo que lo hace stateless y escalable horizontalmente.

## Configurar la cadena de filtros

```java
@Configuration
@EnableMethodSecurity // habilita @PreAuthorize en los métodos
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // API stateless: sin cookie CSRF
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // endpoint abierto
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // comprobación de rol
              .anyRequest().authenticated())            // todo lo demás necesita un token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## Autorización a nivel de método

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## Por qué es importante

La auth es donde ocurren los incidentes de seguridad, así que los entrevistadores escuchan si tienes buenos instintos: **hashear las contraseñas con BCrypt** (nunca almacenar texto plano), mantener los JWT de vida corta con refresh tokens, y preferir tokens stateless por escalabilidad pero conocer el compromiso: no puedes revocar un JWT al instante sin una denylist. Saber *por qué* se desactiva CSRF en las APIs de token demuestra comprensión real, no configuración copiada y pegada.

El flujo JWT

Configurar la cadena de filtros

Autorización a nivel de método

Por qué es importante

Preguntas relacionadas