Der Begriff Autorisierung taucht häufig auf, wenn es um Anwendungssicherheit geht. Sie müssen genau wissen, wer Ihr Produkt wie verwendet. Andernfalls können Angreifer auf wichtige Informationen zugreifen. Daher ist es manchmal notwendig zu prüfen, ob der Benutzer in der Anwendung berechtigt ist und worauf er Zugriff hat. Erfahren Sie in diesem Artikel, wie das geht, und sehen Sie sich das Autorisierungskonzept an.
Was ist Benutzerberechtigung?
Häufig wird das Konzept der Autorisierung mit der Benutzerauthentifizierung verwechselt. Was ist Autorisierung? Autorisierung ist der Prozess der Überprüfung, ob ein Benutzer das Recht hat, bestimmte Aktionen auszuführen. Andererseits ist die Authentifizierung für die Überprüfung der Benutzerkennung verantwortlich. Protokolle und ein Passwort fungieren meistens als Identifikator. Zum Beispiel, wie es in einem elektronischen Geschäft funktioniert: Der Authentifizierungsprozess wird in dem Moment durchgeführt, in dem sich der Benutzer in sein persönliches Konto einloggt. Es wird geprüft, ob ein solcher Benutzer zu diesem Zeitpunkt existiert. Die Autorisierung wird nur gestartet, wenn der Benutzer eine Aktion im Geschäft ausführt, z. B. ein Produkt in den Warenkorb legt. Einfach gesagt beantwortet die Authentifizierung die Frage "Wer bist du?" wenn die Autorisierung hilft zu verstehen, "was können Sie tun?" und bestimmen Sie, auf welche Daten, Aktionen und Anwendungsfunktionen Sie Zugriff haben. Der Genehmigungsprozess ist viel komplizierter. Es enthält auch die Konzepte von Benutzergruppen, Rollen und deren Hierarchie sowie Arten von Aktionen.
Berechtigungsarten
Es gibt mehrere Arten der Autorisierung.
Rollenbasierte Autorisierung . Dabei weist der Administrator dem Benutzer eine oder mehrere Rollen zu, die ihm Zugriff auf bestimmte Teile und Funktionen der Anwendung, verschiedene Seiten und Komponenten gewähren. Dieser Ansatz hilft, eine Hierarchie in Organisationen zu definieren. Zum Beispiel, wenn sich der Zugriff auf bestimmte Daten je nach Position ändert: Ein Benutzer mit der Editor-Rolle hat Zugriff auf alle Publikationen und das Recht, diese zu bearbeiten, während der Autor nur seine eigenen Publikationen ändern und Publikationen anderer Autoren lesen kann.
Discretionary Access Control (DAC) . Bei diesem Ansatz werden einem bestimmten Benutzer oder einer Gruppe von Benutzern Zugriffsrechte gewährt. Das Subjekt, der Eigentümer des Objekts, legt die Rechte daran für jeden einzelnen Benutzer fest. Ein einfaches Beispiel für ein selektives Modell ist Google Docs, bei dem der Eigentümer Zugriffsrechte auf andere Benutzer übertragen und einschränken kann.
Obligatorisches Autorisierungsmodell. In diesem Modell wird jedem Element im System eine Vertraulichkeitsstufe zugewiesen. Benutzer erhalten eine Zugriffsebene, die festlegt, mit welchen Objekten sie interagieren können. Dieses Modell wird normalerweise in Systemen verwendet, in denen erhöhte Sicherheitsanforderungen bestehen.
Autorisierung im AppMaster
In Anwendungen, die Sie in AppMaster erstellen, wird die Benutzerregistrierung durch das Auth-Modul dargestellt. Es ermöglicht Ihnen, Benutzergruppen und Zugriffsrechte darauf zu erstellen und zu bearbeiten. Wenn Sie ein Projekt erstellen, ist das Modul bereits darin integriert.
Mit den Moduleinstellungen können Sie die folgenden Aktionen verwalten:
- Aktivieren Sie die Registrierung in der Anwendung;
- Erstellen Sie eine Liste von Benutzergruppen mit Registrierungszugriff;
- Benutzersitzungen einrichten;
- Benutzergruppen erstellen und bearbeiten.
Wie kann überprüft werden, ob der Benutzer in der Anwendung autorisiert ist?
Die Autorisierungsprüfung bezieht sich meistens auf die Sicherheit und wird benötigt, um sicherzustellen, dass der Benutzer autorisiert ist und Zugriffsrechte auf bestimmte Teile der Anwendung hat. Um in AppMaster zu überprüfen, ob der Benutzer in der Anwendung autorisiert ist, müssen Sie einen Geschäftsprozess erstellen. Wir übergeben das USER-Objekt an den Geschäftsprozess und erhalten eine Liste seiner Sitzungen. Die letzte Sitzung im Array ist die letzte aktive Benutzersitzung in der Anwendung. Als Antwort auf den Geschäftsprozess geben wir Active zurück. Wenn Active wahr ist, ist der Benutzer autorisiert.
So können Sie in einer in AppMaster erstellten Anwendung schnell die Berechtigung des Benutzers prüfen.
