Spring Security మరియు JWT తో authentication మరియు authorization ఎలా పనిచేస్తాయి?

Question

IT Interview Practice · Accepted Answer

Spring Security అనేది మీ controller ను చేరుకోవడానికి ముందు ప్రతి request ను intercept చేసే ఒక servlet **filter chain**. **Authentication** "మీరు ఎవరు?" అనేదానికి సమాధానం ఇస్తుంది; **authorization** "మీకు దీన్ని చేయడానికి అనుమతి ఉందా?" అనేదానికి సమాధానం ఇస్తుంది. stateless REST APIs కోసం, సాధారణ విధానం server-side sessions కు బదులుగా **JWT** (JSON Web Token).

## JWT flow

```text
POST /login (user+pass) ──▶ AuthController verifies ──▶ signs JWT ──▶ returns token
                                                                          │
Client stores it, then sends on every call:                              ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter validates ──▶ controller
```

token ను server sign చేస్తుంది, కాబట్టి తర్వాతి requests పై ఒక filter దాన్ని *database lookup లేకుండా* verify చేయగలదు — అదే దాన్ని stateless మరియు horizontally scalable గా చేస్తుంది.

## filter chain ను configure చేయడం

```java
@Configuration
@EnableMethodSecurity // enables @PreAuthorize on methods
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // stateless API: no CSRF cookie
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // open endpoint
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // role check
              .anyRequest().authenticated())            // everything else needs a token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## Method-level authorization

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## ఇది ఎందుకు ముఖ్యం

security incidents జరిగేది auth లోనే, కాబట్టి interviewers సరైన అంతర్‌జ్ఞానాల కోసం వింటారు: **BCrypt తో passwords ను hash చేయండి** (plaintext ను ఎప్పుడూ store చేయవద్దు), JWTs ను refresh tokens తో స్వల్పకాలికంగా ఉంచండి, మరియు scalability కోసం stateless tokens ను ప్రాధాన్యత ఇవ్వండి కానీ trade-off ను తెలుసుకోండి — denylist లేకుండా మీరు ఒక JWT ను తక్షణమే revoke చేయలేరు. token APIs కోసం CSRF ఎందుకు disable చేయబడిందో *ఎందుకు* తెలుసుకోవడం copy-paste config కాదు, నిజమైన అవగాహనను చూపుతుంది.

JWT flow

filter chain ను configure చేయడం

Method-level authorization

ఇది ఎందుకు ముఖ్యం

సంబంధిత ప్రశ్నలు