Authorization: kim, hangi kaynağa, ne yapabilir?

Kavramı anlayalım

Authorization doğrulanmış veya anonim öznenin bir işlem yapma iznini değerlendirir. “Giriş yaptı mı?” gerekli olabilir ama yeterli değildir. Kullanıcı raporu okuyabilir, değiştiremeyebilir; kendi CV’sini görebilir, başkasınınkini göremez. İzin kararı özne, kaynak, işlem ve bağlamdan oluşur. Sisteme yeni endpoint eklenince varsayılanın yanlışlıkla açık olmaması için default-deny yaklaşımı önemlidir.

Kaynak yetkisi API’de ve veri sorgusunda uygulanır. Navbar’da admin linkini gizlemek UX’tir; güvenlik sınırı değildir. Kaynak ID’sinin UUID olması tahmini zorlaştırabilir ama yetki kontrolünün yerine geçmez. Listeleme, detay, dosya indirme, update, export ve background job sonuçları aynı kapsam politikasına uymalıdır. “GET zararsızdır” diye özel veriyi açmak yanlıştır.

Policy okunabilir iş kurallarına dayanmalı, yalnız route string’ine göre izin verilmemelidir. İzin değişince aktif session veya token’daki eski claim ne olacak sorusunu da cevapla. Başarılı ve başarısız kararları hassas bilgiyi ifşa etmeden izleyebilirsin. Düşük ayrıcalıklı kullanıcı, farklı tenant, rol iptali ve anonim istek testleri yap. Authentication doğrulaması bittiğinde güvenlik işi henüz bitmemiştir.