authentication และ authorization ทำงานอย่างไรกับ Spring Security และ JWT?

Question

IT Interview Practice · Accepted Answer

Spring Security คือ **filter chain** ของ servlet ที่ดักทุก request ก่อนถึง controller ของคุณ **Authentication** ตอบคำถาม "คุณคือใคร?" ส่วน **authorization** ตอบ "คุณได้รับอนุญาตให้ทำสิ่งนี้หรือไม่?" สำหรับ REST API แบบ stateless แนวทางที่พบบ่อยคือ **JWT** (JSON Web Token) แทนการใช้ session ฝั่ง server

## ขั้นตอนการทำงานของ JWT

```text
POST /login (user+pass) ──▶ AuthController verifies ──▶ signs JWT ──▶ returns token
                                                                          │
Client stores it, then sends on every call:                              ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter validates ──▶ controller
```

token ถูกเซ็น (sign) โดย server ดังนั้นใน request ถัด ๆ ไป filter สามารถตรวจสอบมันได้ *โดยไม่ต้องค้นฐานข้อมูล* — นี่คือสิ่งที่ทำให้มันเป็น stateless และขยายแนวนอน (horizontally scalable) ได้

## การตั้งค่า filter chain

```java
@Configuration
@EnableMethodSecurity // enables @PreAuthorize on methods
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // stateless API: no CSRF cookie
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // open endpoint
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // role check
              .anyRequest().authenticated())            // everything else needs a token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## authorization ระดับ method

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## ทำไมจึงสำคัญ

auth คือจุดที่เหตุการณ์ด้านความปลอดภัยเกิดขึ้น ผู้สัมภาษณ์จึงเฝ้าฟังสัญชาตญาณที่ถูกต้อง: **แฮชรหัสผ่านด้วย BCrypt** (อย่าเก็บเป็น plaintext เด็ดขาด), ทำให้ JWT มีอายุสั้นควบคู่กับ refresh token, และเลือก token แบบ stateless เพื่อการขยายขนาด แต่ต้องรู้ trade-off — คุณไม่สามารถเพิกถอน JWT ได้ทันทีหากไม่มี denylist การรู้ *เหตุผล* ว่าทำไมจึงปิด CSRF สำหรับ API แบบ token แสดงถึงความเข้าใจจริง ไม่ใช่การ copy-paste config

ขั้นตอนการทำงานของ JWT

การตั้งค่า filter chain

authorization ระดับ method

ทำไมจึงสำคัญ

คำถามที่เกี่ยวข้อง