Можете объяснить процесс проверки и предоставления доступа к ресурсам через JWT токен в рамках Spring Security?

В Spring Security с использованием JWT процесс проверки и предоставления доступа к ресурсам обычно выглядит так:

1. Аутентификация: пользователь вводит логин и пароль, сервер проверяет их и, если они корректны, генерирует JWT токен, который содержит информацию о пользователе и его правах.

2. Передача токена: клиент сохраняет токен и при последующих запросах отправляет его в заголовке Authorization (обычно Bearer <token>).

3. Фильтр JWT: на сервере настроен фильтр, который перехватывает входящие запросы, извлекает JWT из заголовка, проверяет его подпись и срок действия.

4. Восстановление аутентификации: если токен валиден, из него извлекается информация о пользователе (например, username и роли), создаётся объект Authentication и помещается в SecurityContext.

5. Авторизация: Spring Security использует информацию из SecurityContext для проверки, имеет ли пользователь доступ к запрашиваемому ресурсу (например, на основе ролей).

Пример упрощённого фильтра для проверки JWT:

public class JwtAuthenticationFilter extends OncePerRequestFilter {
    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain)
            throws ServletException, IOException {
        String header = request.getHeader("Authorization");
        if (header != null && header.startsWith("Bearer ")) {
            String token = header.substring(7);
            if (jwtUtil.validateToken(token)) {
                String username = jwtUtil.getUsernameFromToken(token);
                UserDetails userDetails = userDetailsService.loadUserByUsername(username);
                UsernamePasswordAuthenticationToken auth = new UsernamePasswordAuthenticationToken(
                        userDetails, null, userDetails.getAuthorities());
                SecurityContextHolder.getContext().setAuthentication(auth);
            }
        }
        filterChain.doFilter(request, response);
    }
}

Таким образом, JWT обеспечивает stateless аутентификацию, позволяя серверу проверять права доступа без хранения сессий.