Uwierzytelnianie vs autoryzacja — jaka jest różnica, z przykładami?

Głębiej

AuthN odpowiada na pytanie "kim jesteś?", a AuthZ na "czy masz prawo?":

• AuthN: hasła, SSO, MFA, urządzenia lub tokeny.
• AuthZ: role (RBAC), atrybuty (ABAC), sprawdzanie własności, granice tenantów.
• Autoryzację trzeba sprawdzać przy każdym żądaniu, nie tylko przy logowaniu.
• Least privilege i jawne deny ograniczają blast radius.

Przykłady

Użytkownik loguje się przez OAuth (AuthN), dostaje token, a API sprawdza rolę i własność zasobu (AuthZ):

GET /invoices/123
AuthN: poprawny token dla user=42
AuthZ: user=42 jest właścicielem invoice=123 lub ma rolę finance_admin

Typowe pułapki

• Zaufanie tylko do sprawdzeń po stronie klienta.
• Zbyt szerokie role bez kontroli dostępu do zasobu.
• Niespójne 403/401 (wycieki informacji).

Pytania uzupełniające na rozmowie

• Kiedy RBAC, a kiedy ABAC?
• Jak egzekwujesz izolację tenantów?
• Jak testujesz reguły autoryzacji?