Conas a oibríonn fíordheimhniú agus údarú le Spring Security agus JWT?

Question

IT Interview Practice · Accepted Answer

Is **slabhra scagairí** servlet é Spring Security a idircheapann gach iarratas sula sroicheann sé do rialtóir. Freagraíonn **fíordheimhniú (authentication)** "cé thú féin?"; freagraíonn **údarú (authorization)** "an bhfuil cead agat é seo a dhéanamh?". Le haghaidh APIs REST stádasaonta, is é an cur chuige coitianta ná **JWT** (JSON Web Token) in ionad seisiún ar thaobh an fhreastalaí.

## An sreabhadh JWT

```text
POST /login (user+pass) ──▶ AuthController verifies ──▶ signs JWT ──▶ returns token
                                                                          │
Client stores it, then sends on every call:                              ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter validates ──▶ controller
```

Sínítear an token ag an bhfreastalaí, agus mar sin ar iarratais níos déanaí is féidir le scagaire é a fhíorú *gan cuardach bunachair sonraí* — sin an rud a fhágann stádasaonta agus in-scálaithe go cothrománach é.

## An slabhra scagairí a chumrú

```java
@Configuration
@EnableMethodSecurity // enables @PreAuthorize on methods
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // stateless API: no CSRF cookie
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // open endpoint
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // role check
              .anyRequest().authenticated())            // everything else needs a token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## Údarú ar leibhéal modha

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## Cén fáth a bhfuil sé tábhachtach

Is in auth a tharlaíonn teagmhais slándála, agus mar sin éisteann agallóirí le dea-instinní: **haiseáil pasfhocail le BCrypt** (ná stóráil gnáththéacs riamh), coinnigh JWTanna gearrshaolach le refresh tokens, agus roghnaigh tokens stádasaonta le haghaidh in-scálaitheachta ach bíodh a fhios agat faoin malartú — ní féidir leat JWT a chúlghairm láithreach gan denylist. Nuair a bhíonn a fhios agat *cén fáth* a bhfuil CSRF díchumasaithe le haghaidh APIs token léiríonn sé fíorthuiscint, ní cumraíocht chóipeáil-agus-greamaigh.

An sreabhadh JWT

An slabhra scagairí a chumrú

Údarú ar leibhéal modha

Cén fáth a bhfuil sé tábhachtach

Ceisteanna gaolmhara