Come funzionano autenticazione e autorizzazione con Spring Security e JWT?

Question

IT Interview Practice · Accepted Answer

Spring Security è una **filter chain** servlet che intercetta ogni richiesta prima che raggiunga il tuo controller. L'**autenticazione** risponde a "chi sei?"; l'**autorizzazione** risponde a "ti è permesso farlo?". Per le API REST stateless, l'approccio comune è il **JWT** (JSON Web Token) invece delle sessioni lato server.

## Il flusso JWT

```text
POST /login (user+pass) ──▶ AuthController verifies ──▶ signs JWT ──▶ returns token
                                                                          │
Client stores it, then sends on every call:                              ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter validates ──▶ controller
```

Il token è firmato dal server, quindi nelle richieste successive un filtro può verificarlo *senza una lookup sul database* — è ciò che lo rende stateless e scalabile orizzontalmente.

## Configurare la filter chain

```java
@Configuration
@EnableMethodSecurity // enables @PreAuthorize on methods
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // stateless API: no CSRF cookie
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // open endpoint
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // role check
              .anyRequest().authenticated())            // everything else needs a token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## Autorizzazione a livello di metodo

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## Perché è importante

L'autenticazione è dove accadono gli incidenti di sicurezza, quindi gli intervistatori ascoltano per cogliere gli istinti corretti: **fai l'hash delle password con BCrypt** (non memorizzare mai testo in chiaro), mantieni i JWT a vita breve con i refresh token, e preferisci i token stateless per la scalabilità ma conosci il compromesso — non puoi revocare istantaneamente un JWT senza una denylist. Sapere *perché* il CSRF è disabilitato per le API a token dimostra vera comprensione, non configurazione copia-incolla.

Il flusso JWT

Configurare la filter chain

Autorizzazione a livello di metodo

Perché è importante

Domande correlate