Авторизация и аутентификация в Java: Spring Security и JWT

Авторизация и аутентификация в Java: полный гайд с примерами

В современной веб-разработке безопасность приложения — один из ключевых аспектов. В Java экосистеме существует несколько проверенных инструментов для реализации аутентификации (проверки подлинности пользователя) и авторизации (проверки прав доступа). В этой статье мы подробно разберем библиотеки и подходы, которые помогут вам защитить свое приложение.

Основные понятия

Прежде чем перейти к инструментам, важно разграничить два понятия:

• Аутентификация — процесс проверки, является ли пользователь тем, за кого себя выдает (например, логин и пароль).
• Авторизация — определение, какие ресурсы или действия доступны аутентифицированному пользователю.

Spring Security — стандарт индустрии

Spring Security — это мощный фреймворк для обеспечения безопасности в приложениях на Java, особенно в связке со Spring Boot. Он предоставляет готовые механизмы для аутентификации через форму, HTTP Basic, OAuth2, LDAP и многие другие.

Основные возможности:

• Гибкая настройка цепочек фильтров безопасности.
• Поддержка сессий и JWT-токенов.
• Защита от CSRF-атак, XSS, Clickjacking.
• Интеграция с базами данных для хранения пользователей.

Пример базовой конфигурации Spring Security с использованием JWT:

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.http.SessionCreationPolicy;
import org.springframework.security.web.SecurityFilterChain;

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .csrf().disable()
            .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
            .and()
            .authorizeHttpRequests(authz -> authz
                .requestMatchers("/api/auth/**").permitAll()
                .anyRequest().authenticated()
            )
            .addFilterBefore(new JwtAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }
}

JWT (JSON Web Token) — бесшовная авторизация

JWT — это компактный и самодостаточный способ передачи данных в формате JSON между сторонами. В Java для работы с JWT часто используется библиотека io.jsonwebtoken:jjwt.

Принцип работы:

1. Пользователь отправляет логин/пароль.
2. Сервер проверяет данные и возвращает JWT-токен.
3. Клиент хранит токен (например, в localStorage) и отправляет его в заголовке Authorization: Bearer <token>.
4. Сервер проверяет подпись токена и извлекает данные (роли, идентификатор).

Пример генерации JWT в Java:

import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import io.jsonwebtoken.security.Keys;
import java.security.Key;
import java.util.Date;

public class JwtUtil {
    private static final Key SECRET_KEY = Keys.secretKeyFor(SignatureAlgorithm.HS256);

    public static String generateToken(String username, String role) {
        return Jwts.builder()
                .setSubject(username)
                .claim("role", role)
                .setIssuedAt(new Date())
                .setExpiration(new Date(System.currentTimeMillis() + 3600000)) // 1 час
                .signWith(SECRET_KEY)
                .compact();
    }
}

OAuth2 и Spring Security OAuth2 Client

OAuth2 — протокол авторизации, который позволяет делегировать доступ сторонним сервисам (Google, GitHub, Facebook). В Java для этого используется модуль spring-security-oauth2-client.

Преимущества:

• Не нужно хранить пароли пользователей.
• Поддержка социальных логинов.
• Гибкая настройка scope (объём доступа).

Пример конфигурации OAuth2 с Google:

spring:
  security:
    oauth2:
      client:
        registration:
          google:
            client-id: ваш-client-id
            client-secret: ваш-client-secret
            scope: profile, email

Apache Shiro — альтернатива Spring Security

Apache Shiro — более легковесный фреймворк для аутентификации и авторизации. Он не привязан к Spring и подходит для любых Java-приложений (включая десктопные).

• Простая конфигурация через INI или Java-код.
• Поддержка "Remember Me".
• Встроенное