Kako delujeta avtentikacija in avtorizacija s Spring Security in JWT?

Question

IT Interview Practice · Accepted Answer

Spring Security je servletna **filter chain**, ki prestreže vsako zahtevo, preden ta doseže tvoj kontroler. **Avtentikacija** odgovarja na "kdo si?"; **avtorizacija** odgovarja na "ali smeš to storiti?". Za brezstanjske REST API-je je pogost pristop **JWT** (JSON Web Token) namesto sej na strani strežnika.

## Potek JWT

```text
POST /login (user+pass) ──▶ AuthController verifies ──▶ signs JWT ──▶ returns token
                                                                          │
Client stores it, then sends on every call:                              ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter validates ──▶ controller
```

Žeton podpiše strežnik, tako da lahko filter pri poznejših zahtevah preveri žeton *brez poizvedbe v bazo* — to je tisto, kar ga naredi brezstanjskega in horizontalno skalabilnega.

## Konfiguracija filter chaina

```java
@Configuration
@EnableMethodSecurity // enables @PreAuthorize on methods
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // stateless API: no CSRF cookie
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // open endpoint
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // role check
              .anyRequest().authenticated())            // everything else needs a token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## Avtorizacija na ravni metode

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## Zakaj je to pomembno

Avtentikacija je tam, kjer se dogajajo varnostni incidenti, zato izpraševalci prisluhnejo pravilnim instinktom: **hashiranje gesel z BCrypt** (nikoli shranjevanje v čistopisu), kratkoživost JWT-jev z refresh žetoni ter prednost brezstanjskim žetonom za skalabilnost, a poznavanje kompromisa — JWT-ja ne moreš takoj preklicati brez denylista. Vedeti, *zakaj* je CSRF onemogočen za žetonske API-je, kaže resnično razumevanje, ne konfiguracije po metodi kopiraj-prilepi.

Potek JWT

Konfiguracija filter chaina

Avtorizacija na ravni metode

Zakaj je to pomembno

Povezana vprašanja