Xác thực và phân quyền: hai câu hỏi khác nhau

Xác thực (authentication) trả lời bạn là ai. Đầu vào là một bằng chứng — mật khẩu, passkey, token — và đầu ra là một danh tính. Nó xảy ra một lần cho mỗi request, ở middleware, và nó không biết gì về dữ liệu request đang chạm tới.

Phân quyền (authorisation) trả lời bạn được làm gì. Đầu vào là một danh tính cộng với một đối tượng cụ thể, và đầu ra là cho phép hoặc từ chối. Nó xảy ra mỗi lần chạm tới một đối tượng, ở tầng nghiệp vụ hoặc tầng truy vấn.

Điểm quan trọng nhất và cũng là chỗ hay nhầm nhất: middleware không thể trả lời câu hỏi thứ hai. [Authorize] biết Bob là Bob. Nó không biết 1042 là gì, không biết 1042 có phải của Bob, và không có chỗ nào cho nó biết — thông tin đó nằm trong cơ sở dữ liệu. Đó là lý do một endpoint có thể có [Authorize] đầy đủ và vẫn cho đọc dữ liệu người khác.

Có một câu hỏi thứ ba mà đôi khi được gọi lẫn là phân quyền: bạn có vai gì. [Authorize(Roles = "Admin")] trả lời câu này, và nó là phân quyền — nhưng chỉ ở mức hàm (API5, "được gọi endpoint này không"), không phải mức đối tượng (API1, "được đọc bản ghi này không"). Hai mức, hai bản vá khác nhau, và một hệ thống cần cả hai.