Cum funcționează autentificarea și autorizarea cu Spring Security și JWT?

Question

IT Interview Practice · Accepted Answer

Spring Security este un **lanț de filtre** servlet care interceptează fiecare cerere înainte să ajungă la controllerul tău. **Autentificarea** răspunde la „cine ești?"; **autorizarea** răspunde la „ai voie să faci asta?". Pentru API-uri REST stateless, abordarea comună este **JWT** (JSON Web Token) în locul sesiunilor de pe server.

## Fluxul JWT

```text
POST /login (user+pass) ──▶ AuthController verifică ──▶ semnează JWT ──▶ returnează token
                                                                          │
Clientul îl stochează, apoi îl trimite la fiecare apel:                   ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter validează ──▶ controller
```

Token-ul este semnat de server, așa că la cererile ulterioare un filtru îl poate verifica *fără o căutare în baza de date* — asta îl face stateless și scalabil orizontal.

## Configurarea lanțului de filtre

```java
@Configuration
@EnableMethodSecurity // activează @PreAuthorize pe metode
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // API stateless: fără cookie CSRF
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // endpoint deschis
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // verificare de rol
              .anyRequest().authenticated())            // tot restul necesită un token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## Autorizare la nivel de metodă

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## De ce contează

Auth este locul unde se întâmplă incidentele de securitate, așa că intervievatorii ascultă instinctele corecte: **hash-uiește parolele cu BCrypt** (nu stoca niciodată text în clar), păstrează JWT-urile de scurtă durată cu refresh tokens și preferă token-urile stateless pentru scalabilitate, dar cunoaște compromisul — nu poți revoca instantaneu un JWT fără o denylist. Faptul că știi *de ce* CSRF este dezactivat pentru API-uri cu token arată înțelegere reală, nu configurare copy-paste.

Fluxul JWT

Configurarea lanțului de filtre

Autorizare la nivel de metodă

De ce contează

Întrebări conexe