როგორ მუშაობს authentication და authorization Spring Security-სა და JWT-ით?

Question

IT Interview Practice · Accepted Answer

Spring Security არის servlet-ის **filter chain**, რომელიც ყოველ request-ს კონტროლერამდე მისვლის წინ იჭერს. **Authentication** პასუხობს კითხვას „ვინ ხარ?"; **authorization** კი — „ამის უფლება გაქვს?". უმდგომარეო REST API-ებისთვის გავრცელებული მიდგომაა **JWT** (JSON Web Token) სერვერის მხარის session-ების ნაცვლად.

## JWT-ის ნაკადი

```text
POST /login (user+pass) ──▶ AuthController verifies ──▶ signs JWT ──▶ returns token
                                                                          │
Client stores it, then sends on every call:                              ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter validates ──▶ controller
```

token-ს სერვერი ხელს აწერს, ამიტომ შემდგომ request-ებზე filter-ს მისი ვერიფიცირება *database-ის მოკითხვის გარეშე* შეუძლია — სწორედ ეს ხდის მას უმდგომარეოსა და ჰორიზონტალურად სკალირებადს.

## filter chain-ის კონფიგურაცია

```java
@Configuration
@EnableMethodSecurity // enables @PreAuthorize on methods
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // stateless API: no CSRF cookie
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // open endpoint
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // role check
              .anyRequest().authenticated())            // everything else needs a token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## მეთოდის დონის authorization

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## რატომ არის ეს მნიშვნელოვანი

auth-ში ხდება უსაფრთხოების ინციდენტები, ამიტომ ინტერვიუერები სწორ ინსტინქტებს უსმენენ: **პაროლების ჰეშირება BCrypt-ით** (არასოდეს შეინახო plaintext-ად), JWT-ების ხანმოკლედ შენახვა refresh token-ებით და უმდგომარეო token-ების არჩევა სკალირებადობისთვის, თუმცა trade-off-ის ცოდნით — JWT-ის მყისიერად გაუქმება denylist-ის გარეშე შეუძლებელია. იმის ცოდნა, *რატომ* ითიშება CSRF token API-ებისთვის, რეალურ გაგებაზე მიანიშნებს და არა copy-paste კონფიგზე.

JWT-ის ნაკადი

filter chain-ის კონფიგურაცია

მეთოდის დონის authorization

რატომ არის ეს მნიშვნელოვანი

დაკავშირებული კითხვები