Spring Security اور JWT کے ساتھ authentication اور authorization کیسے کام کرتے ہیں؟

Question

IT Interview Practice · Accepted Answer

Spring Security ایک servlet **filter chain** ہے جو ہر request کو آپ کے controller تک پہنچنے سے پہلے روکتی ہے۔ **Authentication** جواب دیتی ہے "آپ کون ہیں؟"؛ **authorization** جواب دیتی ہے "کیا آپ کو یہ کرنے کی اجازت ہے؟"۔ Stateless REST APIs کے لیے، عام طریقہ server-side sessions کے بجائے **JWT** (JSON Web Token) ہے۔

## JWT کا بہاؤ

```text
POST /login (user+pass) ──▶ AuthController verifies ──▶ signs JWT ──▶ returns token
                                                                          │
Client stores it, then sends on every call:                              ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter validates ──▶ controller
```

Token server کی طرف سے signed ہوتا ہے، اس لیے بعد کی requests پر ایک filter اسے *بغیر database lookup کے* verify کر سکتا ہے — یہی اسے stateless اور افقی طور پر scalable بناتا ہے۔

## filter chain کی configuration

```java
@Configuration
@EnableMethodSecurity // enables @PreAuthorize on methods
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // stateless API: no CSRF cookie
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // open endpoint
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // role check
              .anyRequest().authenticated())            // everything else needs a token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## Method-level authorization

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## یہ کیوں اہم ہے

Auth وہ جگہ ہے جہاں security واقعات ہوتے ہیں، اس لیے interviewers درست فطری رجحانات سنتے ہیں: **passwords کو BCrypt سے hash کریں** (کبھی plaintext محفوظ نہ کریں)، JWTs کو refresh tokens کے ساتھ کم مدت کا رکھیں، اور scalability کے لیے stateless tokens کو ترجیح دیں مگر trade-off جانیں — آپ کسی denylist کے بغیر کسی JWT کو فوری منسوخ نہیں کر سکتے۔ یہ جاننا کہ token APIs کے لیے CSRF *کیوں* غیر فعال کیا جاتا ہے حقیقی فہم ظاہر کرتا ہے، نہ کہ copy-paste config۔

JWT کا بہاؤ

filter chain کی configuration

Method-level authorization

یہ کیوں اہم ہے

متعلقہ سوالات