Hur fungerar autentisering och auktorisering med Spring Security och JWT?

Question

IT Interview Practice · Accepted Answer

Spring Security är en servlet-**filterkedja** som fångar upp varje förfrågan innan den når din controller. **Autentisering** besvarar "vem är du?"; **auktorisering** besvarar "får du göra det här?". För tillståndslösa REST-API:er är det vanliga tillvägagångssättet **JWT** (JSON Web Token) istället för sessioner på serversidan.

## JWT-flödet

```text
POST /login (user+pass) ──▶ AuthController verifies ──▶ signs JWT ──▶ returns token
                                                                          │
Client stores it, then sends on every call:                              ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter validates ──▶ controller
```

Token signeras av servern, så vid senare förfrågningar kan ett filter verifiera den *utan en databasuppslagning* — det är vad som gör den tillståndslös och horisontellt skalbar.

## Konfigurera filterkedjan

```java
@Configuration
@EnableMethodSecurity // enables @PreAuthorize on methods
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // stateless API: no CSRF cookie
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // open endpoint
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // role check
              .anyRequest().authenticated())            // everything else needs a token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## Auktorisering på metodnivå

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## Varför det är viktigt

Autentisering är där säkerhetsincidenter inträffar, så intervjuare lyssnar efter rätt instinkter: **hasha lösenord med BCrypt** (lagra aldrig klartext), håll JWT:er kortlivade med refresh-tokens, och föredra tillståndslösa tokens för skalbarhet men känn till avvägningen — du kan inte omedelbart återkalla en JWT utan en denylist. Att veta *varför* CSRF är avstängt för token-API:er visar verklig förståelse, inte kopiera-och-klistra-konfiguration.

JWT-flödet

Konfigurera filterkedjan

Auktorisering på metodnivå

Varför det är viktigt

Relaterade frågor