认证和授权在 Spring Security 与 JWT 中是如何工作的？

Question

IT Interview Practice · Accepted Answer

Spring Security 是一个 servlet **过滤器链（filter chain）**，它在每个请求到达你的 controller 之前拦截它。**认证（Authentication）** 回答"你是谁？"；**授权（Authorization）** 回答"你被允许做这件事吗？"。对于无状态的 REST API，常见做法是用 **JWT**（JSON Web Token）而非服务端会话。

## JWT 流程

```text
POST /login (用户名+密码) ──▶ AuthController 校验 ──▶ 签发 JWT ──▶ 返回 token
                                                                          │
客户端存下它，然后在每次调用时发送：                                       ▼
GET /api/orders  Authorization: Bearer <jwt> ──▶ JwtFilter 校验 ──▶ controller
```

token 由服务器签名，所以在后续请求中，一个过滤器可以*无需数据库查询*就验证它——这正是它无状态且可水平扩展的原因。

## 配置过滤器链

```java
@Configuration
@EnableMethodSecurity // 在方法上启用 @PreAuthorize
public class SecurityConfig {

@Bean
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
        http
          .csrf(csrf -> csrf.disable())                 // 无状态 API：无 CSRF cookie
          .sessionManagement(s -> s.sessionCreationPolicy(STATELESS))
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll()    // 开放的 endpoint
              .requestMatchers("/api/admin/**").hasRole("ADMIN") // 角色检查
              .anyRequest().authenticated())            // 其余一切都需要 token
          .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}
```

## 方法级授权

```java
@PreAuthorize("hasRole('ADMIN') or #userId == authentication.name")
public UserDto get(@PathVariable String userId) { /* ... */ }
```

## 为什么这很重要

鉴权是安全事故发生的地方，所以面试官在听你是否有正确的直觉：**用 BCrypt 哈希密码**（绝不存明文）、让 JWT 保持短寿并配合刷新 token，以及为可扩展性优先选无状态 token，但要知道其权衡——没有拒绝名单（denylist）你无法即时吊销一个 JWT。知道*为什么*对 token API 禁用 CSRF，说明你有真正的理解，而非照抄配置。

JWT 流程

配置过滤器链

方法级授权

为什么这很重要

相关问题