Spring Security र JWT सँग authentication र authorization कसरी काम गर्छन्?

Question

IT Interview Practice · Accepted Answer

Spring Security एउटा servlet **filter chain** हो जसले हरेक request तपाईंको controller मा पुग्नुअघि intercept गर्छ। **Authentication** ले "तपाईं को हुनुहुन्छ?" को जवाफ दिन्छ; **authorization** ले "के तपाईंलाई यो गर्न अनुमति छ?" को जवाफ दिन्छ। Stateless REST API हरूका लागि, सामान्य दृष्टिकोण server-side session को सट्टा **JWT** (JSON Web Token) हो।

## JWT flow

```text
POST /login (user+pass) ──▶ AuthController verifies ──▶ signs JWT ──▶ returns token
                                                                          │
Client stores it, then sends on every call:                              ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter validates ──▶ controller
```

Token server द्वारा sign गरिएको हुन्छ, त्यसैले पछिका request हरूमा filter ले यसलाई *database lookup बिना नै* verify गर्न सक्छ — त्यसैले यो stateless र horizontally scalable हुन्छ।

## Filter chain configure गर्दै

```java
@Configuration
@EnableMethodSecurity // enables @PreAuthorize on methods
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // stateless API: no CSRF cookie
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // open endpoint
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // role check
              .anyRequest().authenticated())            // everything else needs a token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## Method-स्तरको authorization

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## यो किन महत्त्वपूर्ण छ

Auth नै security घटना हुने ठाउँ हो, त्यसैले interviewer हरूले सही सहज-प्रवृत्ति सुन्छन्: **BCrypt सँग password hash गर्नुहोस्** (कहिल्यै plaintext भण्डारण नगर्नुहोस्), refresh token सँग JWT हरूलाई अल्पकालीन राख्नुहोस्, र scalability का लागि stateless token लाई प्राथमिकता दिनुहोस् तर trade-off थाहा पाउनुहोस् — तपाईंले denylist बिना JWT लाई तुरुन्तै revoke गर्न सक्नुहुन्न। Token API हरूका लागि CSRF *किन* disable गरिन्छ भन्ने थाहा पाउनुले copy-paste config होइन, वास्तविक बुझाइ देखाउँछ।

JWT flow

Filter chain configure गर्दै

Method-स्तरको authorization

यो किन महत्त्वपूर्ण छ

सम्बन्धित प्रश्नहरू