Никогда не делал ручками авторизацию/аутентификацию. Понадобилось. Цельной картинки не сложилось, поэтому я задаю этот вопрос, чтобы породить немного материала и самому разобраться в проблеме.
Кратко. У нас нет чёткого разделения на авторизацию и аутентификацию. Иными словами, если пользователь получил аутентификация, то у него есть и авторизация для всех ресурсов. Кроме того, мы не используем сессии и делаем максимально просто, насколько возможно.
Примерная архитектура. Есть backend, есть frontend. Они между собой общаются. Backend каждый раз, при запросе с frontend идёт на сервер авторизации и спрашивает, есть ли доступ у юзера к бэку или нет. Сервис авторизации отвечает: 200 или 403. Разумеется, есть регистрация и есть логин. Об этом ниже.
Есть 3 endpoint:
- register/
- login/
- validate/
Отметим, что у нас нет возможности logout/. Эта проблема решается удалением токена на фронте из localstorage браузера.
Login
1 . frontend отправляет запрос на аутентификацию (логин). Пароль и логин прилетают в открытом виде (это плохо, но сейчас нас это не заботит). Система маленькая и атаки вряд ли будут на текущем этапе.
2 . backend получает логин и пароль, их конкатенирует, а затем, с помощью следующего кода получает хэш (я привожу конкретные либы, чтобы не было не понимания). Под капотом sha256:
>>> from werkzeug.security import generate_password_hash
>>> hash = generate_password_hash('foobar')
>>> hash
>>> 'pbkdf2:sha256:50000$vT9fkZM8$04dfa35c6476acf7e788a1b5b3c35e217c78dc04539d295f011f01f18cd2175f'
3 . Этот хэш сравнивается с тем хэшем, который уже есть в БД с помощью соответствующей функции:
>>> from werkzeug.security import check_password_hash
>>> check_password_hash(hash, 'foobar')
>>> True
4 . Затем, в заголовке пользователю отдаётся token
в поле token
и _id
в поле _id
. Я знаю, что обычно его кладут в куки, но не знаю, зачем мне это надо. Поэтому просто в отдельном поле заголовке. В данном случае, токен -- это хэш, который мы получили выше. Этот токен мы в дальнейшем отправляем вместе с любым запросом к бэку, чтобы он был отправлен в сервис авторизации и прошёл валидацию.
Validate
- Валидация требуется всякий раз, когда к бэку приходит запрос.
- Тогда, бэк берёт из хэдера _id и отправляет всё это в сервис авторизации/аутентификации.
- Сервис авторизации сравнивает то, что ему прислал бэк с тем, что лежит в бд с помощью функции сравнения хэшей. Хэш достаёт по _id из БД.
Register
Регистрация оборачивается в мьютекс (трапеция на блок-схеме).
Вопросы
- Какие недостатки Вы здесь видите? Меня интересует как безопасность, так и вопрос дальнейшего роста. Сейчас в приоритете безопасность.
- Я много раз видел, что люди используют jwt-token, но мне кажется, что это достаточно сложный формат и использовать его правильно не так просто как кажется.
- Хорошо ли отдавать на фронт хэш, который указан выше 'pbkdf2:sha256:50000$vT9fkZM8$04dfa35c6476acf7e788a1b5b3c35e217c78dc04539d295f011f01f18cd2175f'? Это безопасно или из него можно что-то украсть?
P.s. Отмечу, что на фронте не фигурирует email или password юзера. Они обитают только в БД (пароль шифрован). На фронт отдаётся _id юзера из БД, а также token, как указано выше. Эта пара призвана аутентифицировать юзера при каждом обращении к бэку. Т.е. при каждом походе к бэку, летит запрос в сервис авторизации.