Comment fonctionnent l'authentification et l'autorisation avec Spring Security et JWT ?

Question

IT Interview Practice · Accepted Answer

Spring Security est une **chaîne de filtres** de servlet qui intercepte chaque requête avant qu'elle n'atteigne votre contrôleur. L'**authentification** répond à « qui êtes-vous ? » ; l'**autorisation** répond à « avez-vous le droit de faire cela ? ». Pour les API REST sans état, l'approche courante est le **JWT** (JSON Web Token) plutôt que des sessions côté serveur.

## Le flux JWT

```text
POST /login (user+pass) ──▶ AuthController verifies ──▶ signs JWT ──▶ returns token
                                                                          │
Client stores it, then sends on every call:                              ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter validates ──▶ controller
```

Le token est signé par le serveur, si bien que lors des requêtes ultérieures un filtre peut le vérifier *sans consultation de base de données* — c'est ce qui le rend sans état et scalable horizontalement.

## Configurer la chaîne de filtres

```java
@Configuration
@EnableMethodSecurity // active @PreAuthorize sur les méthodes
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // API sans état : pas de cookie CSRF
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // endpoint ouvert
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // vérification de rôle
              .anyRequest().authenticated())            // tout le reste nécessite un token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## Autorisation au niveau méthode

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## Pourquoi c'est important

L'auth est le lieu où surviennent les incidents de sécurité, aussi les recruteurs guettent-ils les bons réflexes : **hacher les mots de passe avec BCrypt** (ne jamais stocker en clair), garder les JWT à courte durée de vie avec des refresh tokens, et préférer les tokens sans état pour la scalabilité tout en connaissant le compromis — vous ne pouvez pas révoquer instantanément un JWT sans une denylist. Savoir *pourquoi* le CSRF est désactivé pour les API à token montre une vraie compréhension, pas de la config copiée-collée.

Le flux JWT

Configurer la chaîne de filtres

Autorisation au niveau méthode

Pourquoi c'est important

Questions connexes