Jak działa uwierzytelnianie i autoryzacja ze Spring Security i JWT?

Question

IT Interview Practice · Accepted Answer

Spring Security to serwletowy **łańcuch filtrów**, który przechwytuje każde żądanie, zanim dotrze ono do twojego kontrolera. **Uwierzytelnianie** odpowiada na pytanie „kim jesteś?”; **autoryzacja** odpowiada na „czy wolno ci to zrobić?”. Dla bezstanowych API REST powszechnym podejściem jest **JWT** (JSON Web Token) zamiast sesji po stronie serwera.

## Przepływ JWT

```text
POST /login (user+pass) ──▶ AuthController verifies ──▶ signs JWT ──▶ returns token
                                                                          │
Client stores it, then sends on every call:                              ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter validates ──▶ controller
```

Token jest podpisany przez serwer, więc przy późniejszych żądaniach filtr może go zweryfikować *bez odpytywania bazy danych* — to właśnie czyni go bezstanowym i skalowalnym horyzontalnie.

## Konfigurowanie łańcucha filtrów

```java
@Configuration
@EnableMethodSecurity // enables @PreAuthorize on methods
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // stateless API: no CSRF cookie
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // open endpoint
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // role check
              .anyRequest().authenticated())            // everything else needs a token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## Autoryzacja na poziomie metody

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## Dlaczego to ważne

Auth to miejsce, gdzie zdarzają się incydenty bezpieczeństwa, więc rekruterzy nasłuchują poprawnych instynktów: **hashuj hasła za pomocą BCrypt** (nigdy nie przechowuj plaintextu), utrzymuj JWT krótko żyjącymi z tokenami odświeżającymi i preferuj bezstanowe tokeny dla skalowalności, ale znaj kompromis — nie możesz natychmiast unieważnić JWT bez denylisty. Wiedza, *dlaczego* CSRF jest wyłączane dla API tokenowych, pokazuje prawdziwe zrozumienie, a nie konfigurację kopiuj-wklej.

Przepływ JWT

Konfigurowanie łańcucha filtrów

Autoryzacja na poziomie metody

Dlaczego to ważne

Powiązane pytania