Как работает аутентификация JWT без сохранения состояния в Spring Security и что на самом деле меняет `SessionCreationPolicy.STATELESS`?

Question

Accepted Answer

Пользовательский фильтр проверяет подпись/срок действия JWT для каждого запроса и заполняет `SecurityContext` только для этого запроса. `STATELESS` сообщает Spring Security никогда не создавать и не читать `HttpSession`, поэтому каждый запрос должен независимо подтверждать свою идентичность — торговые сессии, управляемые сервером, для горизонтальной масштабируемости.

## Пример

```java
@Configuration
@EnableWebSecurity
public class SecurityConfig {

@Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .csrf(csrf -> csrf.disable()) // stateless API - see CSRF section below
            .sessionManagement(sm -> sm.sessionCreationPolicy(SessionCreationPolicy.STATELESS))
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/api/public/**").permitAll()
                .requestMatchers("/api/admin/**").hasRole("ADMIN")
                .anyRequest().authenticated())
            .addFilterBefore(jwtAuthFilter(), UsernamePasswordAuthenticationFilter.class)
            .oauth2ResourceServer(oauth2 -> oauth2.jwt(Customizer.withDefaults()));
        return http.build();
    }
}
```

## Итог

Пользовательский фильтр проверяет подпись/срок действия JWT для каждого запроса и заполняет `SecurityContext` только для этого запроса.