Hvordan fungerer autentisering og autorisasjon med Spring Security og JWT?

Question

IT Interview Practice · Accepted Answer

Spring Security er en servlet-**filterkjede** som avskjærer hver forespørsel før den når controlleren din. **Autentisering** svarer på "hvem er du?"; **autorisasjon** svarer på "har du lov til å gjøre dette?". For tilstandsløse REST-API-er er den vanlige tilnærmingen **JWT** (JSON Web Token) i stedet for server-side sesjoner.

## JWT-flyten

```text
POST /login (user+pass) ──▶ AuthController verifies ──▶ signs JWT ──▶ returns token
                                                                          │
Client stores it, then sends on every call:                              ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter validates ──▶ controller
```

Tokenet er signert av serveren, så ved senere forespørsler kan et filter verifisere det *uten et databaseoppslag* — det er det som gjør det tilstandsløst og horisontalt skalerbart.

## Konfigurere filterkjeden

```java
@Configuration
@EnableMethodSecurity // aktiverer @PreAuthorize på metoder
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // tilstandsløst API: ingen CSRF-cookie
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // åpent endepunkt
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // rollesjekk
              .anyRequest().authenticated())            // alt annet trenger et token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## Autorisasjon på metodenivå

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## Hvorfor det er viktig

Auth er der sikkerhetshendelser skjer, så intervjuere lytter etter riktige instinkter: **hash passord med BCrypt** (lagre aldri klartekst), hold JWT-er kortlevde med refresh tokens, og foretrekk tilstandsløse tokens for skalerbarhet, men kjenn avveiningen — du kan ikke umiddelbart tilbakekalle en JWT uten en denylist. Å vite *hvorfor* CSRF er deaktivert for token-API-er viser reell forståelse, ikke kopier-og-lim-inn-konfigurasjon.

JWT-flyten

Konfigurere filterkjeden

Autorisasjon på metodenivå

Hvorfor det er viktig

Relaterte spørsmål