Kaip veikia autentifikacija ir autorizacija su Spring Security ir JWT?

Question

IT Interview Practice · Accepted Answer

Spring Security yra servletų **filtrų grandinė** (filter chain), perimanti kiekvieną kreipinį prieš jam pasiekiant jūsų kontrolerį. **Autentifikacija** atsako „kas tu esi?“; **autorizacija** atsako „ar tau leidžiama tai daryti?“. Būsenos neturintiems (stateless) REST API dažnas metodas yra **JWT** (JSON Web Token) vietoj serverio pusės sesijų.

## JWT eiga

```text
POST /login (user+pass) ──▶ AuthController verifies ──▶ signs JWT ──▶ returns token
                                                                          │
Client stores it, then sends on every call:                              ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter validates ──▶ controller
```

Žetoną pasirašo serveris, todėl vėlesniuose kreipiniuose filtras gali jį patikrinti *be kreipimosi į duomenų bazę* — būtent tai daro jį stateless ir horizontaliai keičiamą masteliu.

## Filtrų grandinės konfigūravimas

```java
@Configuration
@EnableMethodSecurity // įjungia @PreAuthorize ant metodų
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // stateless API: jokio CSRF cookie
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // atviras endpoint
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // rolės patikra
              .anyRequest().authenticated())            // visam kitam reikia žetono
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## Metodo lygio autorizacija

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## Kodėl tai svarbu

Autentifikacija yra ten, kur nutinka saugumo incidentai, todėl interviuotojai klausosi teisingų instinktų: **maišykite slaptažodžius su BCrypt** (niekada nesaugokite plaintext), laikykite JWT trumpaamžius su refresh žetonais ir rinkitės stateless žetonus dėl mastelio, bet žinokite kompromisą — negalite akimirksniu atšaukti JWT be denylist. Žinojimas, *kodėl* CSRF išjungiamas žetonų API, rodo tikrą supratimą, o ne kopijuok-įklijuok konfigūraciją.

JWT eiga

Filtrų grandinės konfigūravimas

Metodo lygio autorizacija

Kodėl tai svarbu

Susiję klausimai