Kako funkcioniraju autentifikacija i autorizacija sa Spring Securityjem i JWT-om?

Question

IT Interview Practice · Accepted Answer

Spring Security je servletski **lanac filtera** koji presreće svaki zahtjev prije nego dođe do vašeg kontrolera. **Autentifikacija** odgovara na "tko ste?"; **autorizacija** odgovara na "smijete li ovo učiniti?". Za stateless REST API-je uobičajen pristup je **JWT** (JSON Web Token) umjesto sesija na strani poslužitelja.

## JWT tijek

```text
POST /login (user+pass) ──▶ AuthController provjerava ──▶ potpisuje JWT ──▶ vraća token
                                                                          │
Klijent ga sprema, zatim šalje pri svakom pozivu:                         ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter validira ──▶ controller
```

Token potpisuje poslužitelj, pa pri kasnijim zahtjevima filter može provjeriti token *bez pretraživanja baze podataka* — upravo to ga čini stateless i horizontalno skalabilnim.

## Konfiguriranje lanca filtera

```java
@Configuration
@EnableMethodSecurity // omogućuje @PreAuthorize na metodama
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // stateless API: bez CSRF cookieja
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // otvorena krajnja točka
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // provjera role
              .anyRequest().authenticated())            // sve ostalo treba token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## Autorizacija na razini metode

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## Zašto je to važno

Autentifikacija je mjesto gdje se događaju sigurnosni incidenti, pa ispitivači slušaju ispravne instinkte: **hashirajte lozinke s BCryptom** (nikad ne pohranjujte plaintext), držite JWT-ove kratkotrajnima uz refresh tokene i preferirajte stateless tokene radi skalabilnosti, ali znajte kompromis — ne možete trenutačno opozvati JWT bez denylist popisa. Znanje *zašto* je CSRF onemogućen za token API-je pokazuje stvarno razumijevanje, a ne copy-paste konfiguraciju.

JWT tijek

Konfiguriranje lanca filtera

Autorizacija na razini metode

Zašto je to važno

Povezana pitanja