Autentifikácia vs autorizácia: architektonické vzory pre webové aplikácie

Tieto dva pojmy sa neustále zamieňajú a práve v tejto zámene žijú bezpečnostné chyby. To, že je používateľ prihlásený (autentifikovaný), nič nehovorí o tom, ku ktorým záznamom, akciám alebo účtom by sa mal dostať (autorizácia).

Kde sa čo deje

Bežné autentifikačné vzory

• Heslo + bezpečný hashing — stále štandard, vyžaduje správny hashing (bcrypt/argon2), rate limiting a validáciu voči únikom
• Magic links / jednorazové kódy — odstraňuje správu hesiel, vhodné pre nízko-frikčné B2B a portálové prihlásenia
• OAuth / SSO — deleguje identitu na dôveryhodného poskytovateľa (Google, Microsoft, podnikový IdP); znižuje rozptýlenie hesiel pre B2B softvér
• Multi-factor autentifikácia (MFA) — pridaný faktor nad rámec niečoho, čo poznáte; štandard pre admin a finančný prístup

Bežné autorizačné vzory

• Role-based access control (RBAC) — oprávnenia pripojené k rolám, role pripojené k používateľom; dobre sa škáluje pre interné nástroje a B2B produkty
• Attribute-based access control (ABAC) — oprávnenia počítané z atribútov (oddelenie, región, projekt) namiesto fixných rolí; flexibilnejšie, komplexnejšie
• Kontroly založené na vlastníctve — používateľ môže konať na zdroji len ak ho vlastní alebo patrí do jeho účtu; predvolený vzor pre klientske portály a multi-tenant SaaS

// Wrong: trusts an ID supplied by the client
async function getInvoice(invoiceId: string, accountId: string) {
  return db.invoice.findFirst({ where: { id: invoiceId, accountId } });
}

// Right: derives the account from the authenticated session
async function getInvoice(invoiceId: string, session: Session) {
  return db.invoice.findFirst({
    where: { id: invoiceId, accountId: session.accountId },
  });
}

Praktický checklist

1. Oddeľte tieto dve oblasti v kóde

   Autentifikačný middleware potvrdí identitu a pripojí session. Autorizačné kontroly bežia explicitne na úrovni zdroja, nikdy sa nepredpokladajú len z roly.

2. Obmedzte každý dopyt podľa autentifikovanej session

   Nikdy neprijímajte účet, tenant alebo ID vlastníka zo vstupu klienta pre rozhodnutia o prístupe.

3. Zvoľte najprv RBAC, ABAC pridajte, až keď role prestanú sedieť

   Väčšina produktov nikdy nevyrastie z rolí. Pravidlá založené na atribútoch pridávajú skutočnú zložitosť; zaslúžte si ju predtým, než ju pridáte.

4. Logujte zlyhania autorizácie

   Opakované zlyhania autorizácie z jedného účtu sú signál, na ktorý sa oplatí upozorňovať, nie ho ticho ignorovať.

FAQ