Authentication va Authorization — Ikki tushuncha orasidagi farq

Yillar davomida ko'p dasturchilar bilan ishlashda bir narsani payqadim: autentifikatsiya va avtorizatsiya so'zlari ko'pincha birining o'rniga ikkinchisi ishlatiladi.

Bu kichkina chalkashlik production-da jiddiy xatolarga olib keladi.

Avval oddiy misol bilan tushunaylik

Tasavvur qiling: siz ofisga kirayapsiz. Eshikda qorovul sizning ID kartangizni tekshiradi. Bu — autentifikatsiya. "Siz kim ekansiz?" degan savolga javob.

Endi ichkari kirdingiz. Bosh direktor kabinetiga kirishga harakat qilasiz — qorovul to'xtatadi. "Sizning bu xonaga kirishga ruxsatingiz yo'q." Bu — avtorizatsiya. "Siz nima qilishingiz mumkin?" degan savolga javob.

Authentication — "Sen kimsiz?"

Autentifikatsiya — foydalanuvchi o'zini kim ekanligini isbotlash jarayoni. Sistema sizga ishonishidan oldin "bu haqiqatan ham sen ekanligingni qanday bilaman?" deb so'raydi.

Amalga oshirish usullari:

Bilim asosida — parol, PIN, xavfsizlik savoli. Eng keng tarqalgan, lekin eng zaif usul.
Egalik asosida — telefon (SMS OTP, authenticator app), fizik token (YubiKey). Parolni bilish yetarli emas.
Biometrika asosida — barmoq izi, yuz tanish. Foydalanuvchining o'zi "kalit" bo'ladi.

Zamonaviy tizimlarda yuqoridagi usullarni birlashtirish — MFA (Multi-Factor Authentication) — standartga aylandi. Bitta omil buzilsa ham, ikkinchisi qo'lqop vazifasini bajaradi.

auth.js — login va JWT yaratish

// Foydalanuvchi login qiladi
async function login(email, password) {
  const user = await findUserByEmail(email);

  if (!user || !await bcrypt.compare(password, user.passwordHash)) {
    throw new Error("Noto'g'ri email yoki parol");
  }

  // Kimligini tasdiqlash uchun JWT yaratamiz
  const token = jwt.sign(
    { userId: user.id, email: user.email },
    process.env.JWT_SECRET,
    { expiresIn: '1h' }
  );

  return { token };
}

Authorization — "Siz nima qila olasiz?"

Foydalanuvchi kim ekanligini bilgandan keyin — u nimaga ruxsati bor degan savol chiqadi. Avtorizatsiya ana shu savolga javob beradi.

Autentifikatsiyadan o'tgan har qanday foydalanuvchi ham hamma narsaga kira olmaydi. Oddiy user admin panelini ko'rmasligi kerak. Boshqa foydalanuvchining ma'lumotlarini o'zgartira olmasligi kerak.

Asosiy modellar:

RBAC (Role-Based) — Rollarga asoslangan. admin, editor, viewer kabi rollar. Eng ko'p ishlatiladigan model.
ABAC (Attribute-Based) — Atributlarga asoslangan. "Bu foydalanuvchi ushbu bo'limda ishlaydi, hujjat ham o'sha bo'limniki — ruxsat beriladi." Murakkab, lekin ancha moslashuvchan.
ReBAC (Relation-Based) — Munosabatlarga asoslangan. Google Drive aynan shu printsipda ishlaydi: "Sen bu faylning egasisanmi? Ulashdimi? Qanday ruxsat?"

middleware.js — avtorizatsiya tekshiruvi

// Autentifikatsiya allaqachon o'tgan, req.user mavjud
function requireRole(role) {
  return (req, res, next) => {
    if (!req.user) {
      return res.status(401).json({ error: "Avval login qiling" });
    }

    if (!req.user.roles.includes(role)) {
      return res.status(403).json({ error: "Bu amalni bajarishga ruxsatingiz yo'q" });
      // ↑ 401 emas, 403! Farqiga e'tibor bering
    }

    next();
  };
}

// Ishlatish
app.delete('/users/:id', requireRole('admin'), deleteUserHandler);
app.get('/reports',   requireRole('editor'), getReportsHandler);

HTTP status kodlarini to'g'ri ishlatish kerak: 401 Unauthorized — autentifikatsiyadan o'tmagan (login qilmagan). 403 Forbidden — login qilgan, lekin ruxsat yo'q. Bu ikki kodni almashtirish — keng tarqalgan xato.

Ikkalasini solishtirsak

Authentication	Authorization
Sen kimsiz?	Nima qila olasiz?
Login jarayonida ishlaydi	Har bir so'rovda ishlaydi
Foydalanuvchi identifikatsiyasi	Resursga kirish nazorati
JWT, session, OAuth token	Rollar, ruxsatlar, siyosatlar
Muvaffaqiyatsiz → 401	Muvaffaqiyatsiz → 403
Birinchi bajariladi	Ikkinchi bajariladi

Ko'p uchraydigan xatolar

Frontend-da faqat UI elementlarini yashirish. Tugmani ko'rinmas qilsangiz ham — API endpoint ochiq qoladi. Avtorizatsiya har doim serverda bo'lishi kerak.
Boshqa foydalanuvchi resurslarini tekshirmaslik. /orders/123 — bu order joriy foydalanuvchiga tegishli ekanligini tekshiryapsizmi? BOLA — OWASP Top 10 da birinchi o'rinda turadi.
Super-user rolini haddan ziyod ishlatish. Har bir operatsiya uchun minimal ruxsatli rol yaratish to'g'ri yo'l. Bitta "admin" roli bilan hamma narsaga ruxsat berish — xavfli arxitektura.
401 va 403 ni almashtirish. Login qilmagan foydalanuvchiga 403 qaytarish — debugging va monitoringni qiyinlashtiradi.

Xulosa: Ikkala tushuncha bir-birini to'ldiradi. Authentication eshikni ochadigan kalit, Authorization esa ichkarida qaysi xonalarga kirishingizni belgilaydigan plan. Tizimingizni loyihalashda bu ikkalasini har doim alohida qatlam sifatida ko'ring — shunda xavfsizlik arxitekturangiz ancha mustahkam bo'ladi.

Yuklanmoqda...

Authentication va Authorization — Ikki tushuncha orasidagi farq

Comments (0)