Il termine autorizzazione ricorre spesso quando si parla di sicurezza delle applicazioni. È necessario sapere esattamente chi utilizza il prodotto e come. Altrimenti, gli aggressori possono accedere a informazioni importanti. Pertanto, a volte diventa necessario verificare se l'utente è autorizzato nell'applicazione e a cosa ha accesso. In questo articolo scopriremo come fare e rivedremo il concetto di autorizzazione.
Che cos'è l'autorizzazione dell'utente?
Spesso il concetto di autorizzazione viene confuso con quello di autenticazione dell'utente. Che cos'è l'autorizzazione? L'autorizzazione è il processo che verifica se un utente ha il diritto di eseguire azioni specifiche. L'autenticazione, invece, è responsabile della verifica dell'identificativo dell'utente. I registri e la password fungono il più delle volte da identificatore. Ad esempio, come funziona in un negozio elettronico: il processo di autenticazione viene eseguito nel momento in cui l'utente accede al suo account personale. Viene verificato che l'utente esista in quel momento. L'autorizzazione viene avviata solo quando l'utente inizia a eseguire un'azione nel negozio, ad esempio l'aggiunta di un prodotto al carrello. In parole povere, l'autenticazione risponde alla domanda "chi sei?", mentre l'autorizzazione aiuta a capire "cosa puoi fare?" e a determinare a quali dati, azioni e funzionalità dell'applicazione hai accesso. Il processo di autorizzazione è molto più complesso. Comprende anche i concetti di gruppi di utenti, ruoli e relativa gerarchia e tipi di azioni.
Tipi di autorizzazione
Esistono diversi tipi di autorizzazione.
Autorizzazione basata sui ruoli. In questo caso, l'amministratore assegna all'utente uno o più ruoli, che gli consentono di accedere a parti e funzioni specifiche dell'applicazione, a varie pagine e componenti. Questo approccio aiuta a definire una gerarchia nelle organizzazioni. Ad esempio, quando l'accesso a determinati dati cambia a seconda della posizione: un utente con il ruolo di editore ha accesso a tutte le pubblicazioni e il diritto di modificarle, mentre l'autore può modificare solo le proprie pubblicazioni e può leggere quelle di altri autori.
Controllo discrezionale dell'accesso (DAC). Con questo approccio, i diritti di accesso vengono concessi a un utente specifico o a un gruppo di utenti. Il soggetto, il proprietario dell'oggetto, stabilisce i diritti per ogni singolo utente. Un semplice esempio di modello selettivo è Google Docs, dove il proprietario può trasferire e limitare i diritti di accesso ad altri utenti.
Modello di autorizzazione obbligatoria. In questo modello, a ogni elemento del sistema viene assegnato un livello di riservatezza. Agli utenti viene assegnato un livello di accesso che determina con quali oggetti possono interagire. Questo modello viene solitamente utilizzato nei sistemi che richiedono maggiori requisiti di sicurezza.
Autorizzazione in AppMaster
Nelle applicazioni create in AppMaster, la registrazione degli utenti è rappresentata dal modulo Auth. Esso consente di creare e modificare i gruppi di utenti e i diritti di accesso ad essi. Quando si crea un progetto, il modulo è già integrato in esso.
Le impostazioni del modulo consentono di gestire le seguenti azioni:
- abilitare la registrazione nell'applicazione;
- creare un elenco di gruppi di utenti con accesso alla registrazione;
- impostare le sessioni utente;
- creare e modificare gruppi di utenti.
Come verificare se l'utente è autorizzato nell'applicazione?
Il controllo dell'autorizzazione è spesso legato alla sicurezza ed è necessario per garantire che l'utente sia autorizzato e abbia i diritti di accesso a determinate parti dell'applicazione. In AppMaster, per verificare se l'utente è autorizzato nell'applicazione, è necessario creare un processo aziendale. Si passa l'oggetto USER al processo aziendale e si ottiene un elenco delle sue sessioni. L'ultima sessione dell'array è l'ultima sessione utente attiva nell'applicazione. In risposta al processo aziendale, restituiamo Active. Se Active è vero, l'utente è autorizzato.
Ecco come verificare rapidamente l'autorizzazione dell'utente in un'applicazione creata in AppMaster.
