Authentication và authorization với Spring Security và JWT hoạt động ra sao?

Question

IT Interview Practice · Accepted Answer

Spring Security là một **filter chain** servlet chặn mọi request trước khi nó tới controller của bạn. **Authentication** trả lời "bạn là ai?"; **authorization** trả lời "bạn có được phép làm việc này không?". Với REST API stateless, cách phổ biến là dùng **JWT** (JSON Web Token) thay cho session phía server.

## Luồng JWT

```text
POST /login (user+pass) ──▶ AuthController xác minh ──▶ ký JWT ──▶ trả token
                                                                     │
Client lưu lại, rồi gửi kèm mọi lần gọi:                            ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter kiểm tra ──▶ controller
```

Token được server ký, nên ở các request sau một filter có thể xác minh nó *mà không cần truy vấn database* — đó là điều làm cho nó stateless và mở rộng ngang được.

## Cấu hình filter chain

```java
@Configuration
@EnableMethodSecurity // bật @PreAuthorize trên method
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // API stateless: không cần CSRF cookie
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // endpoint mở
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // kiểm tra role
              .anyRequest().authenticated())            // còn lại đều cần token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## Authorization ở mức method

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## Tại sao điều này quan trọng

Auth là nơi sự cố bảo mật xảy ra, nên người phỏng vấn lắng nghe các phản xạ đúng: **hash password bằng BCrypt** (đừng bao giờ lưu plaintext), giữ JWT sống ngắn kèm refresh token, và ưu tiên token stateless để mở rộng nhưng phải biết đánh đổi — bạn không thể thu hồi một JWT tức thì nếu không có denylist. Biết *vì sao* tắt CSRF cho API dùng token cho thấy sự hiểu thật, không phải copy-paste config.

Luồng JWT

Cấu hình filter chain

Authorization ở mức method

Tại sao điều này quan trọng

Câu hỏi liên quan