Веб-безопасность и аутентификация

Кто такой пользователь и что ему разрешено: разница аутентификации и авторизации, делегированный доступ через OAuth 2.0, аутентификация поверх него через OpenID Connect, а также структура и проверка JWT. Протоколы разбираются язык-нейтрально — без привязки к фреймворку.

1. Аутентификация и авторизация: кто ты и что тебе можноАутентификация отвечает на «кто вы», авторизация — на «что вам можно»: разные стадии, и авторизация опирается на установленную личность. Урок разводит эти понятия, разбирает факторы и многофакторность и противопоставляет серверную сессию токену — компромисс отзыва и масштабирования, на котором стоят OAuth/OIDC/JWT.
2. OAuth 2.0: делегированный доступ и его потокиOAuth 2.0 — это делегированная авторизация, а не аутентификация: приложение получает ограниченный доступ к ресурсам пользователя без передачи пароля. Урок разбирает четыре роли, authorization code flow по шагам, зачем нужен PKCE для публичных клиентов и чем от него отличается client credentials для server-to-server.
3. OpenID Connect: аутентификация поверх OAuth 2.0OAuth даёт доступ, но не отвечает «кто вошёл» — это добавляет OpenID Connect, слой аутентификации поверх OAuth 2.0. Урок вводит ID token (JWT, удостоверяющий личность клиенту) и разводит его с access token по назначению: ID token — для входа, access token — для доступа; за профилем клиент идёт на UserInfo endpoint.
4. JWT: структура, подпись и проверкаJWT — это три части (header.payload.signature), где подпись даёт целостность и подлинность, но не конфиденциальность: payload только закодирован, не зашифрован, и секреты в него не кладут. Урок учит читать JWT и понимать, что «проверить» токен — это проверить подпись и обязательные claim'ы, а не распарсить.

Типичные риски веб-API и как им противостоять: главные категории из OWASP API Security Top 10, инъекции и валидация ввода, транспортная безопасность и управление секретами. Безопасность — свойство всего конвейера, а не отдельной проверки.

1. Риски API: OWASP API Security Top 10Большинство пробоев API — это сломанная авторизация, а не экзотика: риск №1 (BOLA) — доступ к объекту по идентификатору из запроса без проверки владельца. Урок разводит object-level и function-level авторизацию и выводит принцип — проверять права на каждый запрос, потому что одной пропущенной проверки достаточно для утечки.
2. Инъекции и валидация вводаИнъекция возникает, когда ввод интерпретируется как код, а не данные — корень в смешивании кода и данных при склейке запроса. Урок показывает, что защита не в фильтрации символов, а в параметризованных запросах, которые разделяют код и данные по построению, и что валидация ввода лишь дополняет их, но не заменяет.
3. Транспортная безопасность и секретыTLS защищает данные в передаче (конфиденциальность, целостность, аутентификация сервера) и нужен на всех страницах, но не защищает данные в покое — это отдельная задача. Урок разводит in transit и at rest, даёт принципы управления секретами и закрывает секцию мыслью: безопасность — свойство всего конвейера.