Kif jaħdmu l-awtentikazzjoni u l-awtorizzazzjoni b'Spring Security u JWT?

Question

IT Interview Practice · Accepted Answer

Spring Security hija **filter chain** ta' servlet li tinterċetta kull request qabel ma tasal għall-controller tiegħek. L-**awtentikazzjoni** twieġeb "min int?"; l-**awtorizzazzjoni** twieġeb "għandek permess tagħmel dan?". Għal REST APIs stateless, l-approċċ komuni huwa **JWT** (JSON Web Token) minflok sessions fuq in-naħa tas-server.

## Il-fluss tal-JWT

```text
POST /login (user+pass) ──▶ AuthController verifies ──▶ signs JWT ──▶ returns token
                                                                          │
Client stores it, then sends on every call:                              ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter validates ──▶ controller
```

It-token huwa ffirmat mis-server, allura f'requests aktar tard filter jista' jivverifikah *mingħajr lookup fid-database* — dak huwa dak li jagħmlu stateless u skalabbli b'mod orizzontali.

## Kif tikkonfigura l-filter chain

```java
@Configuration
@EnableMethodSecurity // enables @PreAuthorize on methods
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // stateless API: no CSRF cookie
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // open endpoint
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // role check
              .anyRequest().authenticated())            // everything else needs a token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## Awtorizzazzjoni fil-livell tal-metodu

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## Għaliex huwa importanti

L-auth hija fejn jiġru l-inċidenti tas-sigurtà, allura l-intervistaturi jisimgħu għal istinti korretti: **hash tal-passwords b'BCrypt** (qatt taħżen plaintext), żomm il-JWTs ta' ħajja qasira b'refresh tokens, u ppreferi tokens stateless għall-iskalabbiltà imma kun af it-trade-off — ma tistax tirrevoka JWT istantanjament mingħajr denylist. Li tkun taf *għaliex* is-CSRF huwa diżattivat għal APIs bit-tokens juri fehim reali, mhux config ikkupjat u mwaħħal.

Il-fluss tal-JWT

Kif tikkonfigura l-filter chain

Awtorizzazzjoni fil-livell tal-metodu

Għaliex huwa importanti

Mistoqsijiet relatati