Spring Security और JWT के साथ authentication और authorization कैसे काम करते हैं?

Question

IT Interview Practice · Accepted Answer

Spring Security एक servlet **filter chain** है जो हर request को आपके controller तक पहुँचने से पहले intercept करती है। **Authentication** का उत्तर है "आप कौन हैं?"; **authorization** का उत्तर है "क्या आपको ऐसा करने की अनुमति है?"। Stateless REST APIs के लिए, आम तरीका server-side sessions के बजाय **JWT** (JSON Web Token) है।

## JWT flow

```text
POST /login (user+pass) ──▶ AuthController verifies ──▶ signs JWT ──▶ returns token
                                                                          │
Client stores it, then sends on every call:                              ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter validates ──▶ controller
```

Token को server द्वारा sign किया जाता है, इसलिए बाद की requests पर एक filter इसे *बिना किसी database lookup के* verify कर सकता है — यही इसे stateless और horizontally scalable बनाता है।

## Filter chain को configure करना

```java
@Configuration
@EnableMethodSecurity // enables @PreAuthorize on methods
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // stateless API: no CSRF cookie
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // open endpoint
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // role check
              .anyRequest().authenticated())            // everything else needs a token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## Method-level authorization

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## यह क्यों महत्वपूर्ण है

Auth वहाँ है जहाँ security की घटनाएँ होती हैं, इसलिए interviewer सही सहज-बुद्धि (instincts) सुनना चाहते हैं: **passwords को BCrypt से hash करें** (कभी plaintext store न करें), JWTs को refresh tokens के साथ अल्पकालिक (short-lived) रखें, और scalability के लिए stateless tokens को प्राथमिकता दें पर trade-off जानें — आप किसी denylist के बिना किसी JWT को तुरंत revoke नहीं कर सकते। यह जानना कि token APIs के लिए CSRF *क्यों* disable किया जाता है, copy-paste config नहीं, बल्कि असली समझ दिखाता है।

JWT flow

Filter chain को configure करना

Method-level authorization

यह क्यों महत्वपूर्ण है

संबंधित प्रश्न