Авторизация
Простыми словами
После того как система установила, кто обращается, она решает, можно ли этому субъекту читать объект, изменять его или выполнять операцию в текущем контексте.
Как применяется
Авторизацию реализуют ролями, атрибутами и политиками; проверки выполняют на сервере для каждого объекта и действия, а решения и изменения прав журналируют.
Пример применения
Пользователь вошёл в систему, но запрос к чужому договору отклоняется, потому что проверка связывает идентификатор объекта с владельцем и ролью пользователя.
Не путать с
- АутентификацияАутентификация подтверждает заявленную идентичность
Как это работает
- ИдентичностьСистема получает подтверждённого субъекта и его атрибуты.
- ЗапросСубъект обращается к конкретному ресурсу и операции.
- ПолитикаРоль, атрибуты, владение и контекст сопоставляются с правилами.
- РешениеДоступ разрешается или запрещается, а значимое действие фиксируется в аудите.
Продолжить изучение
Частые вопросы
Авторизацию можно проверять только в интерфейсе?
Нет. Клиентские ограничения обходятся; решение должно приниматься доверенной серверной стороной.
Почему возникает IDOR/BOLA?Система проверяет вход, но не право пользователя на конкретный объект.
Нужно ли повторять проверку?Да, для каждого действия и объекта, особенно после изменения роли, сессии или контекста.
Авторизация — предоставление или проверка полномочий субъекта на выполнение конкретного действия с ресурсом.