Đăng nhập chưa phải được phép

Từ danh tính sang quyền

Tài khoản đã xác thực vẫn có thể yêu cầu một thao tác bị cấm. Phân quyền (authorization) quyết định chủ thể được làm gì với tài nguyên trong ngữ cảnh cụ thể. Một nội quy công khai có thể cho khách đọc mà không đăng nhập; một ghi chú riêng cần quy tắc khác.

Để giải thích một quyết định, hãy điền đầy đủ actor/action/resource/context. “Bình được dùng website” chưa phải “Bình được xóa ghi chú của Lan”.

Quyền phải phục vụ nhiệm vụ

Giả sử Lan thuộc nhóm A; Bình thuộc nhóm B. Mỗi thành viên chỉ cần sửa ghi chú của mình và đọc bản nháp của nhóm được phân công. Hãy bắt đầu bằng quyền cần cho nhiệm vụ, không bằng việc cấp rộng rồi hy vọng người dùng tự hạn chế.

Đặc quyền tối thiểu (least privilege) là chỉ cấp quyền cần thiết. Từ chối mặc định giúp xử lý trường hợp chưa có quy tắc cho phép rõ ràng. Tuy nhiên, “từ chối tất cả” không phải lời giải hoàn chỉnh: hệ thống còn phải cho đúng người thực hiện nhiệm vụ hợp lệ.

Ví dụ đã giải: ứng dụng ẩn nút xóa với thành viên thường. Điều đó giúp giao diện phù hợp vai trò, nhưng không tự ngăn một yêu cầu xóa được tạo bằng cách khác. Trong một ứng dụng thật, nơi thực thi quyết định phải kiểm tra quyền của yêu cầu; không chỉ tin trạng thái của nút.

Tài liệu gốc để đối chiếu khái niệm: OWASP — Authorization Cheat Sheet. Các nguồn còn lại được nêu trong metadata để reader hiển thị cùng phạm vi kiểm chứng.