Como funcionam autenticação e autorização com Spring Security e JWT?

Question

IT Interview Practice · Accepted Answer

O Spring Security é uma **cadeia de filtros** de servlet que intercepta toda requisição antes de ela chegar ao seu controller. A **autenticação** responde "quem é você?"; a **autorização** responde "você tem permissão para fazer isso?". Para APIs REST stateless, a abordagem comum é o **JWT** (JSON Web Token) em vez de sessões no lado do servidor.

## O fluxo do JWT

```text
POST /login (user+pass) ──▶ AuthController verifies ──▶ signs JWT ──▶ returns token
                                                                          │
Client stores it, then sends on every call:                              ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter validates ──▶ controller
```

O token é assinado pelo servidor, então em requisições posteriores um filtro pode verificá-lo *sem uma consulta ao banco* — é isso que o torna stateless e escalável horizontalmente.

## Configurando a cadeia de filtros

```java
@Configuration
@EnableMethodSecurity // enables @PreAuthorize on methods
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // stateless API: no CSRF cookie
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // open endpoint
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // role check
              .anyRequest().authenticated())            // everything else needs a token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## Autorização em nível de método

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## Por que isso importa

Auth é onde acontecem os incidentes de segurança, então os entrevistadores prestam atenção aos instintos corretos: **fazer hash das senhas com BCrypt** (nunca armazenar em texto puro), manter os JWTs de vida curta com refresh tokens, e preferir tokens stateless por escalabilidade, mas conhecer o trade-off — você não pode revogar um JWT instantaneamente sem uma denylist. Saber *por que* o CSRF é desabilitado para APIs baseadas em token mostra entendimento real, não config de copiar e colar.

O fluxo do JWT

Configurando a cadeia de filtros

Autorização em nível de método

Por que isso importa

Perguntas relacionadas