Hogyan működik a hitelesítés és az autorizáció Spring Securityvel és JWT-vel?

Question

IT Interview Practice · Accepted Answer

A Spring Security egy servlet **filter chain**, amely minden kérést elfog, mielőtt az elérné a controlleredet. A **hitelesítés** a „ki vagy te?" kérdésre válaszol; az **autorizáció** arra, hogy „megteheted-e ezt?". Stateless REST API-khoz az elterjedt megközelítés a **JWT** (JSON Web Token) a szerveroldali session-ök helyett.

## A JWT folyamat

```text
POST /login (user+pass) ──▶ AuthController verifies ──▶ signs JWT ──▶ returns token
                                                                          │
Client stores it, then sends on every call:                              ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter validates ──▶ controller
```

A tokent a szerver írja alá, így a későbbi kéréseknél egy filter *adatbázis-lekérdezés nélkül* tudja verifikálni — ez teszi statelessé és horizontálisan skálázhatóvá.

## A filter chain konfigurálása

```java
@Configuration
@EnableMethodSecurity // enables @PreAuthorize on methods
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // stateless API: no CSRF cookie
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // open endpoint
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // role check
              .anyRequest().authenticated())            // everything else needs a token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## Metódus-szintű autorizáció

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## Miért fontos

Az auth az a hely, ahol a biztonsági incidensek történnek, ezért az interjúztatók a helyes ösztönökre figyelnek: **jelszavak hashelése BCrypttel** (soha ne tárolj plaintextet), a JWT-k rövid élettartamúak refresh tokenekkel, és részesítsd előnyben a stateless tokeneket a skálázhatóságért, de ismerd a kompromisszumot — egy JWT-t nem tudsz azonnal visszavonni denylist nélkül. Ha tudod, *miért* van kikapcsolva a CSRF a token API-knál, az valódi megértést mutat, nem copy-paste configot.

A JWT folyamat

A filter chain konfigurálása

Metódus-szintű autorizáció

Miért fontos

Kapcsolódó kérdések