Spring Security ve JWT ile kimlik doğrulama ve yetkilendirme nasıl çalışır?

Question

IT Interview Practice · Accepted Answer

Spring Security, her isteği controller'ınıza ulaşmadan önce yakalayan bir servlet **filter chain**'idir. **Kimlik doğrulama (authentication)** "kimsin?" sorusunu yanıtlar; **yetkilendirme (authorization)** "bunu yapmana izin var mı?" sorusunu yanıtlar. Durumsuz (stateless) REST API'ler için yaygın yaklaşım, sunucu tarafı oturumlar yerine **JWT** (JSON Web Token) kullanmaktır.

## JWT akışı

```text
POST /login (user+pass) ──▶ AuthController verifies ──▶ signs JWT ──▶ returns token
                                                                          │
Client stores it, then sends on every call:                              ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter validates ──▶ controller
```

Token sunucu tarafından imzalanır, böylece sonraki isteklerde bir filter onu *veritabanı araması olmadan* doğrulayabilir — onu durumsuz ve yatay olarak ölçeklenebilir kılan şey de budur.

## Filter chain'i yapılandırma

```java
@Configuration
@EnableMethodSecurity // enables @PreAuthorize on methods
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // stateless API: no CSRF cookie
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // open endpoint
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // role check
              .anyRequest().authenticated())            // everything else needs a token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## Metot seviyesinde yetkilendirme

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## Neden önemli

Auth, güvenlik olaylarının yaşandığı yerdir, bu yüzden mülakatçılar doğru içgüdüleri dinler: **parolaları BCrypt ile hash'leyin** (asla düz metin saklamayın), JWT'leri refresh token'larla kısa ömürlü tutun ve ölçeklenebilirlik için durumsuz token'ları tercih edin ama ödünleşimi bilin — bir denylist olmadan bir JWT'yi anında iptal edemezsiniz. Token API'leri için CSRF'in *neden* devre dışı bırakıldığını bilmek, kopyala-yapıştır yapılandırma değil, gerçek anlayış gösterir.

JWT akışı

Filter chain'i yapılandırma

Metot seviyesinde yetkilendirme

Neden önemli

İlgili sorular