Spring Security と JWT で認証と認可はどう機能するのか?

Question

IT Interview Practice · Accepted Answer

Spring Security は、すべてのリクエストがコントローラに到達する前に傍受するサーブレットの **フィルタチェーン** です。**認証** は "あなたは誰か?" に答え、**認可** は "これを行う権限があるか?" に答えます。ステートレスな REST API では、サーバーサイドセッションの代わりに **JWT** (JSON Web Token) を使うのが一般的なアプローチです。

## JWT のフロー

```text
POST /login (user+pass) ──▶ AuthController verifies ──▶ signs JWT ──▶ returns token
                                                                          │
Client stores it, then sends on every call:                              ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter validates ──▶ controller
```

トークンはサーバーによって署名されているため、以降のリクエストではフィルタが *データベース検索なしに* それを検証できます — それがステートレスで水平スケール可能である理由です。

## フィルタチェーンの設定

```java
@Configuration
@EnableMethodSecurity // enables @PreAuthorize on methods
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // stateless API: no CSRF cookie
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // open endpoint
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // role check
              .anyRequest().authenticated())            // everything else needs a token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## メソッドレベルの認可

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## なぜ重要なのか

認証・認可はセキュリティインシデントが起きる場所なので、面接官は正しい直感を聞き取ります: **BCrypt でパスワードをハッシュ化する** (平文を決して保存しない)、JWT はリフレッシュトークンとともに短命に保つ、スケーラビリティのためにステートレストークンを優先するがトレードオフを知っている — denylist なしに JWT を即座に失効させることはできない、など。トークン API で *なぜ* CSRF が無効化されるかを知っていることは、コピペの設定ではなく本当の理解を示します。

JWT のフロー

フィルタチェーンの設定

メソッドレベルの認可

なぜ重要なのか

関連する質問