Autorização

Definição

Autorização é a verificação das ações e dos recursos permitidos a uma identidade. Depois que a autenticação confirma a identidade, a autorização define o alcance dela em cada operação do serviço.

A regra aplicada no processamento

As permissões são associadas a ações, recursos e à situação da requisição naquele momento. A regra precisa ser consultada durante o processamento da operação, porque é nessa etapa que o servidor decide se a requisição pode prosseguir ou deve receber permissão negada.

Interface não substitui a regra

Autorização na prática

A interface pode esconder botões e avisos, mas essa omissão não protege a operação. Uma requisição enviada direto ao servidor ainda passa pela verificação de autorização, que é o ponto onde a permissão realmente vale.

Falha comum e como verificar

A falha mais comum é aplicar a regra apenas na interface, escondendo o botão de excluir e deixando o servidor aceitar a chamada direta. A omissão visual melhora a navegação, mas a requisição enviada sem passar pela interface ainda chega ao servidor, e a permissão só vale se a verificação acontece no processamento. Para verificar, envie a requisição direto, sem passar pela tela, usando uma identidade sem a permissão, e confira se o servidor devolve permissão negada. Quando a operação executa mesmo assim, a autorização não está protegendo o recurso e precisa ser aplicada no servidor.

Aplicação na formação

Formação DevOps

Na Formação DevOps, a autorização é aplicada no processamento de cada operação e não apenas escondida na interface.

Conhecer a formação →