Authentication · Kimlik doğrulama
Basic, Bearer, OAuth ve yetki
Token almak, her kaynağa erişmek değildir.
Kavramı anlayalım
Basic credentials base64 kodlamadır, şifreleme değildir; TLS gerekir. Bearer token sahibi yetki kapsamı dahilinde kullanabilir, bu yüzden token sızıntısı önemlidir. Token’ı URL query’ye veya public loglara koyma. JWT içeriği imzalı olabilir ama default şifreli değildir; claim’lere secret yazma.
OAuth yetkilendirme delegasyonu için protokol ailesidir; OpenID Connect kimlik katmanı ekler. PKCE, redirect URI doğrulama, state/nonce ve token doğrulama akışın ilgili rollerinde tasarlanır; hepsini aynı rastgele parametre sanma. Issuer, audience, expiry ve imza kontrolü gerekir.
API, geçerli token’dan sonra resource-level yetkiyi kontrol etmelidir. “role=User” başka kullanıcının siparişini okumaya izin vermez. Logout, refresh token ve revocation planı vardır. Bu bölüm demo secret kullanmaz; yalnız sözleşme ve teşhis örnekleri gösterir.
Kimlik doğrulama ile kaynak erişimini ayırmak için.
JWT decode etmek doğrulamakla aynı sanmak.
Aynı konu. Üç farklı derinlik.
Authorization: Bearer <example-token>Yer tutucu; gerçek token’ı örneklerde yayımlama.
Bu sayfa dış sunuculara istek göndermez. HTTP mesajları temsili, HTTP/1.1 biçiminde okunabilir gösterimlerdir; HTTP/2 ve HTTP/3 wire formatı değildir. example.test ayrılmış öğretim alan adıdır. Komut ve JavaScript örneklerini yalnız kendi test ortamında uygula; gerçek token veya cookie yayımlama.
Önce kendin dene.
İmzalı JWT’de email görmek şifreli olduğunu kanıtlar mı?
Çözümü ve açıklamasını göster
Signature ≠ encryptionHayır; imza bütünlük/kimlik kontrolüdür, gizlilik ayrı mekanizmadır.