Miten autentikointi ja autorisointi toimivat Spring Securityllä ja JWT:llä?

Question

IT Interview Practice · Accepted Answer

Spring Security on servlet-**filter chain**, joka sieppaa jokaisen pyynnön ennen kuin se saavuttaa controllerisi. **Autentikointi** vastaa kysymykseen "kuka olet?"; **autorisointi** vastaa kysymykseen "onko sinulla lupa tehdä tämä?". Tilattomille REST-API:lle yleinen lähestymistapa on **JWT** (JSON Web Token) palvelinpuolen sessioiden sijaan.

## JWT-flow

```text
POST /login (user+pass) ──▶ AuthController verifies ──▶ signs JWT ──▶ returns token
                                                                          │
Client stores it, then sends on every call:                              ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter validates ──▶ controller
```

Palvelin allekirjoittaa tokenin, joten myöhemmissä pyynnöissä filter voi verifioida sen *ilman tietokantahakua* — juuri se tekee siitä tilattoman ja horisontaalisesti skaalautuvan.

## Filter chainin konfigurointi

```java
@Configuration
@EnableMethodSecurity // enables @PreAuthorize on methods
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // stateless API: no CSRF cookie
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // open endpoint
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // role check
              .anyRequest().authenticated())            // everything else needs a token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## Metoditason autorisointi

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## Miksi se on tärkeää

Auth on paikka, jossa tietoturvaloukkaukset tapahtuvat, joten haastattelijat kuuntelevat oikeita vaistoja: **hashaa salasanat BCryptillä** (älä koskaan tallenna selkokielisenä), pidä JWT:t lyhytikäisinä refresh-tokeneilla, ja suosi tilattomia tokeneita skaalautuvuuden vuoksi mutta tunne kompromissi — et voi peruuttaa JWT:tä välittömästi ilman denylistiä. Se, että tiedät *miksi* CSRF on poistettu käytöstä token-API:lle, osoittaa aitoa ymmärrystä, ei copy-paste-konfiguraatiota.

JWT-flow

Filter chainin konfigurointi

Metoditason autorisointi

Miksi se on tärkeää

Aiheeseen liittyvät kysymykset