Spring Security आणि JWT सह authentication आणि authorization कसे चालतात?

Question

IT Interview Practice · Accepted Answer

Spring Security हा एक servlet **filter chain** आहे जो प्रत्येक request तुमच्या controller पर्यंत पोहोचण्यापूर्वी अडवतो. **Authentication** "तुम्ही कोण आहात?" याचे उत्तर देते; **authorization** "तुम्हाला हे करण्याची परवानगी आहे का?" याचे उत्तर देते. Stateless REST APIs साठी, नेहमीचा दृष्टिकोन म्हणजे server-side sessions ऐवजी **JWT** (JSON Web Token).

## JWT flow

```text
POST /login (user+pass) ──▶ AuthController verifies ──▶ signs JWT ──▶ returns token
                                                                          │
Client stores it, then sends on every call:                              ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter validates ──▶ controller
```

Token server कडून signed असतो, त्यामुळे नंतरच्या requests वर एक filter तो *database lookup शिवाय* verify करू शकतो — यामुळेच तो stateless आणि horizontally scalable होतो.

## filter chain configure करणे

```java
@Configuration
@EnableMethodSecurity // enables @PreAuthorize on methods
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // stateless API: no CSRF cookie
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // open endpoint
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // role check
              .anyRequest().authenticated())            // everything else needs a token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## Method-पातळीवरील authorization

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## हे का महत्त्वाचे आहे

Auth मध्येच security घटना घडतात, त्यामुळे interviewers योग्य अंतःप्रेरणा ऐकतात: **BCrypt ने passwords hash करा** (कधीही plaintext साठवू नका), JWTs अल्पायुषी ठेवा आणि refresh tokens वापरा, आणि scalability साठी stateless tokens ना प्राधान्य द्या पण trade-off जाणा — denylist शिवाय तुम्ही JWT तात्काळ revoke करू शकत नाही. Token APIs साठी CSRF *का* बंद केले जाते हे जाणणे copy-paste config नव्हे तर खरी समज दर्शवते.

JWT flow

filter chain configure करणे

Method-पातळीवरील authorization

हे का महत्त्वाचे आहे

संबंधित प्रश्न