Spring Security மற்றும் JWT-உடன் authentication மற்றும் authorization எவ்வாறு செயல்படுகின்றன?

Question

IT Interview Practice · Accepted Answer

Spring Security என்பது ஒரு servlet **filter chain**, அது ஒவ்வொரு request-ஐயும் அது உங்கள் controller-ஐ அடைவதற்கு முன் இடைமறிக்கிறது. **Authentication** "நீங்கள் யார்?" என்பதற்குப் பதிலளிக்கிறது; **authorization** "இதைச் செய்ய உங்களுக்கு அனுமதி உண்டா?" என்பதற்குப் பதிலளிக்கிறது. Stateless REST API-களுக்கு, பொதுவான அணுகுமுறை server-side session-களுக்குப் பதிலாக **JWT** (JSON Web Token) ஆகும்.

## JWT flow

```text
POST /login (user+pass) ──▶ AuthController verifies ──▶ signs JWT ──▶ returns token
                                                                          │
Client stores it, then sends on every call:                              ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter validates ──▶ controller
```

Token server-ஆல் sign செய்யப்படுகிறது, எனவே பிற்கால request-களில் ஒரு filter அதை *ஒரு database lookup இல்லாமல்* verify செய்யலாம் — இதுவே அதை stateless மற்றும் horizontally scalable ஆக்குகிறது.

## filter chain-ஐ configure செய்தல்

```java
@Configuration
@EnableMethodSecurity // enables @PreAuthorize on methods
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // stateless API: no CSRF cookie
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // open endpoint
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // role check
              .anyRequest().authenticated())            // everything else needs a token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## Method-level authorization

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## இது ஏன் முக்கியம்

Security incident-கள் நடக்கும் இடம் auth-தான், எனவே interviewer-கள் சரியான உள்ளுணர்வுகளைக் கேட்கிறார்கள்: **BCrypt-உடன் password-களை hash செய்யுங்கள்** (plaintext-ஐ ஒருபோதும் சேமிக்காதீர்கள்), JWT-களை refresh token-களுடன் குறுகிய கால அளவில் வைத்திருங்கள், மேலும் scalability-க்காக stateless token-களை விரும்புங்கள் ஆனால் trade-off-ஐ அறியுங்கள் — ஒரு denylist இல்லாமல் ஒரு JWT-ஐ உடனடியாக revoke செய்ய முடியாது. Token API-களுக்கு CSRF ஏன் disable செய்யப்படுகிறது என்பதை அறிவது, copy-paste config அல்ல, உண்மையான புரிதலைக் காட்டுகிறது.

JWT flow

filter chain-ஐ configure செய்தல்

Method-level authorization

இது ஏன் முக்கியம்

தொடர்புடைய கேள்விகள்