Как сервер понимает, кого можно пропустить

Сервер использует механизмы аутентификации и авторизации. Аутентификация проверяет подлинность пользователя (например, через логин/пароль, токены, сертификаты). Авторизация определяет, какие ресурсы доступны пользователю после аутентификации.

Пример с JWT (JSON Web Token):

// Проверка токена в Spring Security
@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        .authorizeHttpRequests(auth -> auth
            .requestMatchers("/public/**").permitAll()
            .requestMatchers("/admin/**").hasRole("ADMIN")
            .anyRequest().authenticated()
        )
        .addFilterBefore(jwtAuthFilter, UsernamePasswordAuthenticationFilter.class);
    return http.build();
}

Ключевые моменты:

1. Сервер проверяет учетные данные (токен, куки, сессию)
2. Сравнивает права пользователя с требуемыми для доступа
3. Разрешает/запрещает доступ на основе политик (роли, разрешения)
4. Для публичных эндпоинтов проверка может отсутствовать