Bagaimana authentication dan authorization bekerja dengan Spring Security dan JWT?

Question

IT Interview Practice · Accepted Answer

Spring Security adalah sebuah **filter chain** servlet yang mencegat setiap request sebelum mencapai controller Anda. **Authentication** menjawab "siapa Anda?"; **authorization** menjawab "apakah Anda diizinkan melakukan ini?". Untuk REST API yang stateless, pendekatan umum adalah **JWT** (JSON Web Token) alih-alih session di sisi server.

## Alur JWT

```text
POST /login (user+pass) ──▶ AuthController verifies ──▶ signs JWT ──▶ returns token
                                                                          │
Client stores it, then sends on every call:                              ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter validates ──▶ controller
```

Token ditandatangani oleh server, sehingga pada request berikutnya sebuah filter bisa memverifikasinya *tanpa lookup database* — itulah yang membuatnya stateless dan bisa diskalakan secara horizontal.

## Mengonfigurasi filter chain

```java
@Configuration
@EnableMethodSecurity // enables @PreAuthorize on methods
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // stateless API: no CSRF cookie
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // open endpoint
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // role check
              .anyRequest().authenticated())            // everything else needs a token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## Authorization tingkat method

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## Mengapa ini penting

Auth adalah tempat insiden keamanan terjadi, jadi interviewer mendengarkan insting yang benar: **hash password dengan BCrypt** (jangan pernah menyimpan plaintext), buat JWT berumur pendek dengan refresh token, dan utamakan token stateless untuk skalabilitas tetapi ketahui trade-off-nya — Anda tidak bisa mencabut (revoke) JWT secara instan tanpa denylist. Mengetahui *mengapa* CSRF dinonaktifkan untuk API berbasis token menunjukkan pemahaman yang nyata, bukan konfigurasi copy-paste.

Alur JWT

Mengonfigurasi filter chain

Authorization tingkat method

Mengapa ini penting

Pertanyaan terkait