Как работают аутентификация и авторизация со Spring Security и JWT?

Question

IT Interview Practice · Accepted Answer

Spring Security — это сервлетная **цепочка фильтров** (filter chain), перехватывающая каждый запрос до того, как он достигнет вашего контроллера. **Аутентификация** отвечает на вопрос «кто ты?»; **авторизация** — «разрешено ли тебе это делать?». Для stateless REST API распространённый подход — **JWT** (JSON Web Token) вместо серверных сессий.

## Поток JWT

```text
POST /login (user+pass) ──▶ AuthController проверяет ──▶ подписывает JWT ──▶ возвращает токен
                                                                          │
Клиент хранит его, затем отправляет при каждом вызове:                    ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter проверяет ──▶ controller
```

Токен подписан сервером, поэтому при последующих запросах фильтр может проверить его *без обращения к базе данных* — именно это делает его stateless и горизонтально масштабируемым.

## Настройка цепочки фильтров

```java
@Configuration
@EnableMethodSecurity // включает @PreAuthorize на методах
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // stateless API: без CSRF-cookie
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // открытый эндпоинт
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // проверка роли
              .anyRequest().authenticated())            // всё остальное требует токен
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## Авторизация на уровне методов

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## Почему это важно

Авторизация — там, где случаются инциденты безопасности, поэтому интервьюеры слушают правильные инстинкты: **хешируйте пароли с BCrypt** (никогда не храните открытым текстом), делайте JWT короткоживущими с refresh-токенами и предпочитайте stateless-токены ради масштабируемости, но знайте компромисс — вы не можете мгновенно отозвать JWT без denylist. Понимание того, *почему* CSRF отключён для token-based API, показывает настоящее понимание, а не copy-paste конфигурации.

Поток JWT

Настройка цепочки фильтров

Авторизация на уровне методов

Почему это важно

Похожие вопросы