Коротко о главном. Конфигурации не нужны. На каждую страницу создаётся отдельный класс фильтр с методом аутентификации. Если к группе страниц доступ получает пользователь с одной и той же ролью, то используется один и тот же класс фильтр. Логично

Но страница авторизации устроена хитрее. Там аж 4 метода: авторизация если cookie полностью отсутствуют, аутентификация, обычная авторизация и получение изменённого cookie. Соответственно 1 и 3 методы похожи но на 1 стоит проверка cookie на null. В случае если 1 метод не отработал вызывается 2 и 3 соответственно. Можно было сделать 1 метод, но так он визуально более понятен.

Два последних метода были созданы из за невозможности возврата строки названия html страницы в стиле шаблонизатора Thymeleaf c изменённым куки. Ещё HttpServletResponse применим только внутри контроллера, поэтому в классах фильтрах только проверка Http запроса к серверу. Пример:

package com.hotabmax.filters;

import com.hotabmax.models.User;
import com.hotabmax.services.UserService;
import com.hotabmax.models.Role;
import com.hotabmax.services.RoleService;
import io.jsonwebtoken.JwtException;
import io.jsonwebtoken.Jwts;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.beans.factory.annotation.Qualifier;
import org.springframework.stereotype.Component;

import javax.servlet.http.Cookie;
import javax.servlet.http.HttpServletRequest;
import java.security.Key;
import java.util.ArrayList;
import java.util.List;

@Service
@Component("FilterAutorizationPage")
public class FilterAutorizationPage {
    Cookie cookie;

    private UserService userService;
    private RoleService roleService;

    @Autowired
    public void setDependencies(
            @Qualifier("UserService") UserService userService,
            @Qualifier("RoleService") RoleService roleService
    ) {
        this.userService = userService;
        this.roleService = roleService;
    }

    public String autorizationIfCookieIsNull(HttpServletRequest httpServletRequest,
         Key key, String AutorityName, int AutorityPassword) {

        Cookie[] cookie = httpServletRequest.getCookies();
        List<User> user = new ArrayList<>();
        List<Role> role = new ArrayList<>();
        String resultPage = "autorization";
        if(cookie == null) {
            user = userService.findByName(AutorityName);
            role.add(roleService.findById(user.get(0).getRoleId()));
            if (user.size() != 0) {
                if (user.get(0).getPassword() == AutorityPassword) {
                    if (role.get(0).getName().equals("logist")){
                        String jws = Jwts.builder().setSubject(AutorityName+" "+AutorityPassword).signWith(key).compact();
                        Cookie cookieAdd = new Cookie("JWT", jws);
                        cookieAdd.setMaxAge(999999);
                        this.cookie = cookieAdd;
                        resultPage = "redirect:/logist";
                    } else if (role.get(0).getName().equals("seller")) {
                        String jws = Jwts.builder().setSubject(AutorityName+" "+AutorityPassword).signWith(key).compact();
                        Cookie cookieAdd = new Cookie("JWT", jws);
                        cookieAdd.setMaxAge(999999);
                        this.cookie = cookieAdd;
                        resultPage = "redirect:/seller";
                    } else {
                        System.out.println("Пользователя не существует");
                        resultPage = "autorizationErr";
                    }
                } else resultPage = "autorizationErr";
            } else resultPage = "autorizationErr";
        }
        if (resultPage.equals("autorization"))
            return autentification(httpServletRequest, key,
                                  AutorityName, AutorityPassword);
        else return resultPage;
    }

    public String autentification(HttpServletRequest httpServletRequest,
                                  Key key, String AutorityName, int AutorityPassword) {
        String JWTname = new String();
        int JWTpassword = 0;
        String[] values;
        Cookie[] cookie = httpServletRequest.getCookies();
        List<User> user = new ArrayList<>();
        List<Role> role = new ArrayList<>();
        String resultPage = "autorization";
        try {
            for(int i = 0; i < cookie.length; i++) {
                if(cookie[i].getName().equals("JWT")) {
                    String jws = cookie[i].getValue();
                    String sources = Jwts.parserBuilder()
                            .setSigningKey(key)
                            .build()
                            .parseClaimsJws(jws)
                            .getBody()
                            .getSubject();
                    values = sources.split("\\s+");
                    JWTname = values[0];
                    JWTpassword = Integer.parseInt(values[1].replaceAll("[^0-9]", ""));

                }
            }
        } catch (JwtException exc) {
            System.out.println("Куки недействителен");
        }

        user = userService.findByName(JWTname);
        role.add(roleService.findById(user.get(0).getRoleId()));
        if (user.size() != 0) {
            if (user.get(0).getPassword() == JWTpassword) {
                if (role.get(0).getName().equals("logist")){
                    resultPage = "redirect:/logist";
                } else if (role.get(0).getName().equals("seller")) {
                    System.out.println("Недостаточно прав для админа");
                    resultPage = "redirect:/seller";
                } else {
                    System.out.println("Пользователя не существует");
                    resultPage = "autorizationErr";
                }
            }
        }

        if (resultPage.equals("autorization"))
            return autorization(key, AutorityName, AutorityPassword);
        else return resultPage;
    }

    public String autorization(Key key, String AutorityName, int AutorityPassword) {
        String resultPage = "autorization";
        List<User> user = new ArrayList<>();
        List<Role> role = new ArrayList<>();
        user = userService.findByName(AutorityName);
        role.add(roleService.findById(user.get(0).getRoleId()));
            if (user.size() != 0) {
                if (user.get(0).getPassword() == AutorityPassword) {
                    if (role.get(0).getName().equals("logist")){
                        String jws = Jwts.builder().setSubject(AutorityName+" "+AutorityPassword).signWith(key).compact();
                        Cookie cookieAdd = new Cookie("JWT", jws);
                        cookieAdd.setMaxAge(999999);
                        this.cookie = cookieAdd;
                        resultPage = "redirect:/logist";
                    } else if (role.get(0).getName().equals("seller")) {
                        String jws = Jwts.builder().setSubject(AutorityName+" "+AutorityPassword).signWith(key).compact();
                        Cookie cookieAdd = new Cookie("JWT", jws);
                        cookieAdd.setMaxAge(999999);
                        this.cookie = cookieAdd;
                        resultPage = "redirect:/seller";
                    } else {
                        System.out.println("Пользователя не существует");
                        resultPage = "autorizationErr";
                    }
                } else resultPage = "autorizationErr";
            } esle resultPage = "autorizationErr";
        return resultPage;
    }

    public Cookie getCookie() {
        return this.cookie;
    }
  
}

Не стал менять код выше для статьи ввиду лени автора. Код взят с моего проекта. Тут задействован ещё и Spring Data

!!! Предполагается что вы знаете уже хоть какую-то ORM. Но напишите, если нужно дополнить статью этим фреймворком !!!

Первый метод autorizationIfCookieIsNull принимает Key, который инициализируется либо банально в контроллере

@Controller
public class LogistController {
  private Key key = Keys.secretKeyFor(SignatureAlgorithm.HS256);
}

Либо в отдельном классе сервисе ClassOfKey к примеру создаём метод бин, который создаст Key, если он был равен null. При втором вызове он уже не изменится и все контроллеры получат одинаковый Key

@Service
@Component("ClassOfKey")
public class ClassOfKey {
    private Key key;

    public Key setKey() {
        if(this.key == null){
            this.key = Keys.secretKeyFor(SignatureAlgorithm.HS256);
        }
        return this.key;
    }
}

@Controller
public class LogistController {
  private Key key;
  
  @Bean
    public void setKeyLogist(){
        key = classOfKey.setKey();
    }
}

@Controller
public class SellerController {
  private Key key;
  
  @Bean
    public void setKeyLogist(){
        key = classOfKey.setKey();
    }
}

Ещё этот метод принимает HttpServletResponse из которого мы достаём куки (40, 78 стр)

HttpServletRequest httpServletRequest

Далее идут логин и пароль. Пароль может быть и строкой. Зависит только от вашей фантазии и метода сервиса Spring Data разумеется. В моём случае это число

String AutorityName, int AutorityPassword

Внутри метода мы вызываем коллекцию из 1 пользователя

user = userService.findByName(AutorityName);

Далее находим роль пользователя. Метод называется getRoleId потому, что таблица пользователи имеет зависимость к таблице роли и ищутся роли по колонке id в таблице пользователи.

role.add(roleService.findById(user.get(0).getRoleId()));

Потом идёт проверка вернул ли сервис пользователя, если да то он существует и проверяем его пароль и роль.

Так же в проекте используется фреймворк JJWT https://github.com/jwtk/jjwt вся документация там. Фреймвор под лицензией Apatch 2.0 поэтому в шапке класса нужно написать комментарий:

Copyright [2021] [jwtk] Licensed under the Apache License, Version 2.0 (the «License»)

В метод setSubject кладём логин и пароль через пробел, а в метод signWith кладём ключ. Получившийся токен представлен в виде строки. Пример:

0LrRgdC40LwgMTIzIn0.a90QRs3CBRxEzfgezWetBvjozb8btfXFahmrsgSe8Jc

Данные до точки это зашифрованные данные, а после ключ. Эта строка добавляется в cookie с заголовком JWT например

Далее устанавливается время жизни токена примерно на месяц

cookieAdd.setMaxAge(999999);

И передаём cookie в глобальную переменную

this.cookie = cookieAdd;

Ну и логично, что в методе контроллера нам нужно дополнительно вызывать метод для извлечения cookie

@PostMapping("/autorization")
    public  String loadAutorization(HttpServletRequest httpServletRequest,
                                       HttpServletResponse httpServletResponse,
                                       @RequestParam("name") String name,
                                       @RequestParam("password") int password) {
        String result;
        Cookie cookieWrite;
        result = filterAutorizationPage.autorizationIfCookieIsNull(httpServletRequest, key, name, password);

        if (filterAutorizationPage.getCookie() != null) {
            httpServletResponse.addCookie(filterAutorizationPage.getCookie());
        }
        users.clear();
        return result;
    }

Если авторизация была неудачной, вернётся страница регистрации autorizationErr.html с текстом возможной ошибки

Третий метод похож на первый поэтому рассмотрим только второй. Стоит так же отметить, что весь процесс извлечения строки происходит в блоке try, потому что если ключ не подходит генерируется ошибка JwtException. В методе находим тело cookie записи по заголовку. Извлечённую строку подставляем в монолитную конструкцию и получаем строку с логином и паролем через проблем. Применяем

values = sources.split("\\s+");

и получаем массив из двух строк. Также преобразуем пароль в Integer

JWTpassword = Integer.parseInt(values[1].replaceAll("[^0-9]", ""));

Честно говоря легче было сделать пароль в виде строки, но что сделано то сделано. Оставлю это здесь может пригодится. Ну и точно также проверяем дынные на действительность.

Это мы рассмотрели только класс фильтр авторизации. Нужно ещё рассмотреть класс фильтра аутентификации других страниц. Покажу пример класса фильтра который установлен и работает при запросе главной страницы домена например ursite.com/

package com.hotabmax.filters;


import com.hotabmax.models.User;
import com.hotabmax.services.UserService;
import com.hotabmax.models.Role;
import com.hotabmax.services.RoleService;
import io.jsonwebtoken.JwtException;
import io.jsonwebtoken.Jwts;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.beans.factory.annotation.Qualifier;
import org.springframework.stereotype.Component;

import javax.servlet.http.Cookie;
import javax.servlet.http.HttpServletRequest;
import java.security.Key;
import java.util.ArrayList;
import java.util.List;

@Component("FilterDomenPage")
public class FilterDomenPage {

    private UserService userService;
    private RoleService roleService;

    @Autowired
    public void setDependencies(
            @Qualifier("UserService") UserService userService,
            @Qualifier("RoleService") RoleService roleService
    ) {
        this.userService = userService;
        this.roleService = roleService;
    }

    public String autentification(HttpServletRequest httpServletRequest, Key key) {
        Cookie[] cookie = httpServletRequest.getCookies();
        String resultPage = "autorization";
        List<User> user = new ArrayList<>();
        List<Role> role = new ArrayList<>();

        if (cookie != null){
            try {
                for(int i = 0; i < cookie.length; i++) {
                    if(cookie[i].getName().equals("JWT")) {
                        String jws = cookie[i].getValue();
                        String sources = Jwts.parserBuilder()
                                .setSigningKey(key)
                                .build()
                                .parseClaimsJws(jws)
                                .getBody()
                                .getSubject();
                        String[] values = sources.split("\\s+");
                        String name = values[0];
                        int password = Integer.parseInt(values[1].replaceAll("[^0-9]", ""));
                        user = userService.findByName(name);
                        role.add(roleService.findById(user.get(0).getRoleId()));
                        if (user.size() != 0) {
                            if (user.get(0).getPassword() == password) {
                                if (role.get(0).getName().equals("logist")){
                                    resultPage = "redirect:/logist";
                                } else if (role.get(0).getName().equals("seller")) {
                                    System.out.println("Недостаточно прав для админа");
                                    resultPage = "redirect:/seller";
                                } else {
                                    System.out.println("Пользователя не существует");
                                    resultPage = "redirect:/autorizationErr";
                                }
                            }
                        }
                    }
                }
            } catch (JwtException exc) {
                System.out.println("Куки недействителен");
                resultPage = "autorizationErr";
            }
        } else resultPage = "autorization";

        return resultPage;
    }

}

Как можно заметить метод autentification абсолютно похож на одноименный метод в 1 классе фильтре. При проверке данных токена происходит редирект в соответствии с ролью. Этот класс можно переиспользовать на любой странице и любой роли которую вы захотите создать следующим образом

@GetMapping("/")
    public String getHost(HttpServletRequest httpServletRequest) {
        return filterDomenPage.autentification(httpServletRequest, key);
    }

Необходимые зависимости в pom файле

        <dependency>
            <groupId>io.jsonwebtoken</groupId>
            <artifactId>jjwt-api</artifactId>
            <version>0.11.2</version>
        </dependency>
        <dependency>
            <groupId>io.jsonwebtoken</groupId>
            <artifactId>jjwt-impl</artifactId>
            <version>0.11.2</version>
            <scope>runtime</scope>
        </dependency>
        <dependency>
            <groupId>io.jsonwebtoken</groupId>
            <artifactId>jjwt-jackson</artifactId> 
            <version>0.11.2</version>
            <scope>runtime</scope>
        </dependency>