Si funksionojnë autentikimi dhe autorizimi me Spring Security dhe JWT?

Question

IT Interview Practice · Accepted Answer

Spring Security është një **filter chain** servlet-i që përgjon çdo kërkesë para se të arrijë te controller-i juaj. **Autentikimi** i përgjigjet "kush je ti?"; **autorizimi** i përgjigjet "a të lejohet ta bësh këtë?". Për API-t REST stateless, qasja e zakonshme është **JWT** (JSON Web Token) në vend të sesioneve në anën e serverit.

## Rrjedha e JWT

```text
POST /login (user+pass) ──▶ AuthController verifikon ──▶ nënshkruan JWT ──▶ kthen token
                                                                          │
Klienti e ruan, pastaj e dërgon në çdo thirrje:                          ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter validon ──▶ controller
```

Token-i nënshkruhet nga serveri, kështu që në kërkesat e mëvonshme një filter mund ta verifikojë atë *pa një kërkim në databazë* — kjo është ajo që e bën stateless dhe të shkallëzueshëm horizontalisht.

## Konfigurimi i filter chain

```java
@Configuration
@EnableMethodSecurity // aktivizon @PreAuthorize mbi metoda
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // API stateless: pa cookie CSRF
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // endpoint i hapur
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // kontroll roli
              .anyRequest().authenticated())            // gjithçka tjetër kërkon token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## Autorizimi në nivel metode

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## Pse ka rëndësi

Auth-i është ku ndodhin incidentet e sigurisë, prandaj intervistuesit dëgjojnë për instinkte të sakta: **hash-o fjalëkalimet me BCrypt** (mos ruaj kurrë plaintext), mbaji JWT-të jetëshkurtër me refresh tokens, dhe preferon token-a stateless për shkallëzueshmëri por dije trade-off-in — nuk mund ta revokosh menjëherë një JWT pa një denylist. Të dish *pse* çaktivizohet CSRF për API-t me token tregon kuptim real, jo config copy-paste.

Rrjedha e JWT

Konfigurimi i filter chain

Autorizimi në nivel metode

Pse ka rëndësi

Pyetje të ngjashme