認証・認可 Auth

かんたんに言うと

Auth は、実は二つのことの総称です。認証（Authentication） は「あなたがあなたであることの証明」——ユーザー名とパスワードを入力したり、Google でログインしたり。認可（Authorization） は「あなたに何ができるかの判定」——たとえば、一般の利用者は管理画面に入れません。

ログインに成功すると、システムはあなたに「通行証」（トークンまたはセッション）を発行します。以後のリクエストは毎回それを携え、システムはパスワードを再び尋ねなくても、それがあなただとわかります。この通行証には有効期限があり、撤回できなければなりません。さもなければ、盗まれたときに危険です。

アーキテクチャ

動作の流れ

本当に漏洩を招く間違い

Auth の惨事のほとんどは奇抜なものではなく、繰り返し起こる少数の間違いから生まれます。

• フロントエンドのチェックを信用する——管理者ボタンを隠しただけで、バックエンドのエンドポイントは開いたまま。直接呼べば誰でも入れてしまう。
• トークンに期限がなく、撤回もできない——盗まれた通行証が、それきり永遠に有効になる。
• パスワードを平文で保存する——データベースが一度漏れれば、すべてのアカウントが同時に晒される（パスワードはハッシュ化すべき）。
• あるエンドポイントで認可チェックを忘れる——「あなたに許されているか」を問わない経路が一つあれば、攻撃者にはそれで十分。

まとめ

• Auth ＝ 認証（あなたが誰か）＋ 認可（何ができるか）。
• ログイン後はトークン / セッションを通行証として使う——有効期限と撤回の手段を備えて。
• 認可チェックは必ずバックエンドで。フロントエンドでボタンを隠すのは安全ではない。