Bagaimana authentication dan authorization berfungsi dengan Spring Security dan JWT?

Question

IT Interview Practice · Accepted Answer

Spring Security ialah satu **rantai penapis (filter chain)** servlet yang memintas setiap permintaan sebelum ia sampai ke controller anda. **Authentication** menjawab "siapa anda?"; **authorization** menjawab "adakah anda dibenarkan melakukan ini?". Untuk REST API tanpa keadaan (stateless), pendekatan lazim ialah **JWT** (JSON Web Token) dan bukannya sesi di sebelah pelayan.

## Aliran JWT

```text
POST /login (user+pass) ──▶ AuthController verifies ──▶ signs JWT ──▶ returns token
                                                                          │
Client stores it, then sends on every call:                              ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter validates ──▶ controller
```

Token ditandatangani oleh pelayan, jadi pada permintaan kemudian satu penapis boleh mengesahkannya *tanpa carian pangkalan data* — itulah yang menjadikannya stateless dan boleh berskala secara mendatar.

## Mengkonfigurasi rantai penapis

```java
@Configuration
@EnableMethodSecurity // enables @PreAuthorize on methods
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // stateless API: no CSRF cookie
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // open endpoint
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // role check
              .anyRequest().authenticated())            // everything else needs a token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## Authorization peringkat kaedah

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## Mengapa ia penting

Auth ialah tempat insiden keselamatan berlaku, jadi penemu duga mendengar naluri yang betul: **hash kata laluan dengan BCrypt** (jangan sekali-kali simpan teks biasa), kekalkan JWT berhayat pendek dengan refresh token, dan utamakan token stateless untuk keboleh­skalaan tetapi ketahui pertukarannya — anda tidak boleh membatalkan JWT serta-merta tanpa senarai nafi (denylist). Mengetahui *mengapa* CSRF dilumpuhkan untuk API token menunjukkan pemahaman sebenar, bukan konfigurasi salin-tampal.

Aliran JWT

Mengkonfigurasi rantai penapis

Authorization peringkat kaedah

Mengapa ia penting

Soalan berkaitan