Через цепочку сервлетных фильтров до DispatcherServlet: аутентификация и проверка доступа происходят до контроллера. Неаутентифицированный — 401, без прав — 403.
А ещё Контроллер получает пользователя через @AuthenticationPrincipal
Так подсказку видит пользователь sotto на живом собеседовании — за пару секунд, пока вы думаете вслух.
Каждый фильтр отвечает за свою задачу — разбор данных аутентификации, проверка CSRF, установка контекста безопасности, проверка прав на запрос — и решает, пропускать ли запрос дальше по цепочке. Из этого следуют два практических вывода. Порядок фильтров и порядок правил авторизации значим: применяется первое подошедшее правило. И защита работает независимо от контроллеров, поэтому не может быть обойдена забытой аннотацией; аннотации на методах — дополнительный уровень поверх, а не единственный.
Один верный вариант. Подумайте, потом откройте ответ.
SecurityFilterChain, аутентификация (UserDetailsService/PasswordEncoder), SecurityContext, авторизация запросов и CSRF/CORS/сессии.
sotto слышит вопрос интервьюера и показывает короткий ответ и план, как в блоке «Коротко». Оставьте контакт — пришлём доступ и промокод.
sotto