Spring Security — gdzie dzieje się uwierzytelnianie/autoryzacja?

Głębiej

Spring Security stoi przed warstwą MVC jako łańcuch filtrów serwletowych (Security Filter Chain). Każdy request przechodzi przez filtry zanim trafi do kontrolera.

Uwierzytelnianie (authentication)

• Filtr wyciąga dane uwierzytelniające (sesja, basic auth, JWT bearer itd.).
• `AuthenticationManager` deleguje do `AuthenticationProvider`.
• Po sukcesie obiekt `Authentication` trafia do `SecurityContextHolder`.

Autoryzacja (authorization)

Decyzje autoryzacyjne podejmowane są dla każdego requesta (czasem też per metoda) na podstawie:

• reguł URL (`authorizeHttpRequests`) i/lub
• zabezpieczeń metod (`@PreAuthorize`, `@PostAuthorize`).

Przykład

@Bean
SecurityFilterChain security(HttpSecurity http) throws Exception {
  return http
    .authorizeHttpRequests(a -> a
      .requestMatchers("/admin/**").hasRole("ADMIN")
      .anyRequest().authenticated())
    .build();
}

@PreAuthorize("hasRole('ADMIN')")
void deleteUser(long id) { /* ... */ }

Typowe pułapki

• Założenie, że autoryzacja sprawdza się tylko przy logowaniu (sprawdza się per request / per metoda).
• Niezrozumienie domyślnego CSRF w aplikacjach przeglądarkowych.