De term autorisatie duikt vaak op wanneer de beveiliging van toepassingen wordt besproken. U moet precies weten wie uw product gebruikt en hoe. Anders kunnen aanvallers toegang krijgen tot belangrijke informatie. Daarom is het soms nodig om te controleren of de gebruiker geautoriseerd is in de applicatie en waartoe hij toegang heeft. Leer in dit artikel hoe u dat doet en bekijk het autorisatieconcept.
Wat is gebruikersautorisatie?
Vaak wordt het begrip autorisatie verward met gebruikersauthenticatie. Wat is autorisatie? Autorisatie is het proces waarbij wordt gecontroleerd of een gebruiker het recht heeft om bepaalde handelingen uit te voeren. Anderzijds is authenticatie verantwoordelijk voor het verifiëren van de identificatie van de gebruiker. Logboeken en een wachtwoord fungeren meestal als identificator. Bijvoorbeeld hoe het werkt in een elektronische winkel: het authenticatieproces wordt uitgevoerd op het moment dat de gebruiker inlogt op zijn persoonlijke account. Er wordt gecontroleerd of een dergelijke gebruiker op dat moment bestaat. Autorisatie wordt pas gestart wanneer de gebruiker een bepaalde handeling in de winkel gaat verrichten, bijvoorbeeld het toevoegen van een product aan het winkelwagentje. Eenvoudig gezegd, authenticatie beantwoordt de vraag "wie ben je?" terwijl autorisatie helpt om te begrijpen "wat kun je?" en te bepalen tot welke gegevens, acties en toepassingsfuncties je toegang hebt. Het autorisatieproces is veel ingewikkelder. Het omvat ook de concepten van gebruikersgroepen, rollen en hun hiërarchie, en soorten acties.
Typen autorisatie
Er zijn verschillende soorten autorisatie.
Rolgebaseerde autorisatie. In dit geval wijst de beheerder een of meer rollen toe aan de gebruiker, die hem toegang verlenen tot specifieke onderdelen en functies van de toepassing, verschillende pagina's en componenten. Deze aanpak helpt om een hiërarchie in organisaties aan te brengen. Bijvoorbeeld wanneer de toegang tot bepaalde gegevens verandert afhankelijk van de functie: een gebruiker met de rol van redacteur heeft toegang tot alle publicaties en het recht deze te bewerken, terwijl de auteur alleen zijn eigen publicaties kan wijzigen en publicaties van andere auteurs kan lezen.
Discretionaire toegangscontrole (DAC). Bij deze aanpak worden toegangsrechten toegekend aan een specifieke gebruiker of groep gebruikers. Het subject, de eigenaar van het object, bepaalt de rechten erop voor elke individuele gebruiker. Een eenvoudig voorbeeld van een selectief model is Google Docs, waar de eigenaar de toegangsrechten aan andere gebruikers kan overdragen en beperken.
Verplicht autorisatiemodel. In dit model wordt aan elk element in het systeem een vertrouwelijkheidsniveau toegekend. Gebruikers krijgen een toegangsniveau dat bepaalt met welke objecten zij kunnen interageren. Dit model wordt meestal gebruikt in systemen met verhoogde beveiligingseisen.
Autorisatie in AppMaster
In applicaties die u in AppMaster maakt, wordt gebruikersregistratie weergegeven door de Auth-module. Hiermee kunt u gebruikersgroepen aanmaken en bewerken en de toegangsrechten daartoe. Wanneer u een project aanmaakt, is de module al ingebouwd.
Met de module-instellingen kunt u de volgende acties beheren:
- de registratie in de applicatie inschakelen;
- maak een lijst van gebruikersgroepen met registratietoegang;;
- gebruikerssessies instellen;
- groepen gebruikers maken en bewerken.
Hoe controleert u of de gebruiker geautoriseerd is in de toepassing?
Autorisatiecontrole is meestal gerelateerd aan beveiliging en is nodig om ervoor te zorgen dat de gebruiker geautoriseerd is en toegangsrechten heeft tot bepaalde delen van de applicatie. Om in AppMaster te controleren of de gebruiker geautoriseerd is in de applicatie, moet u een bedrijfsproces maken. We geven het USER-object door aan het bedrijfsproces en krijgen een lijst van zijn sessies. De laatste sessie in de array is de laatste actieve gebruikerssessie in de applicatie. Als antwoord aan het bedrijfsproces geven we Active terug. Als Active waar is, dan is de gebruiker geautoriseerd.
Zo kunt u snel de autorisatie van de gebruiker controleren in een applicatie die in AppMaster is gemaakt.
