Uwierzytelnianie

Uwierzytelnianie w ASP.NET Core Web API to proces potwierdzania tożsamości użytkownika lub klienta, który próbuje uzyskać dostęp do aplikacji lub interfejsu API. Głównym celem uwierzytelniania jest sprawdzenie, czy osoba lub aplikacja jest tym, za kogo się podaje, poprzez dostarczenie odpowiednich poświadczeń lub dowodów tożsamości.

Oto kilka kluczowych aspektów związanych z uwierzytelnianiem w ASP.NET Core Web API:

Tożsamość użytkownika: Uwierzytelnianie polega na potwierdzeniu, że osoba lub aplikacja, która próbuje uzyskać dostęp, jest faktycznie tą osobą lub aplikacją. Tożsamość użytkownika może być potwierdzana za pomocą różnych metod, takich jak nazwa użytkownika i hasło, certyfikat cyfrowy, token JWT (JSON Web Token) lub innych mechanizmów uwierzytelniania.
Uwierzytelnianie na podstawie tokenów: W przypadku wielu interfejsów API w ASP.NET Core, często stosuje się uwierzytelnianie za pomocą tokenów, takich jak tokeny JWT. Użytkownik dostarcza token w nagłówku żądania, a serwer weryfikuje ten token w celu potwierdzenia tożsamości użytkownika.
Middleware do uwierzytelniania: ASP.NET Core udostępnia middleware (oprogramowanie pośredniczące) do obsługi procesu uwierzytelniania. Popularnym middleware'em jest UseAuthentication(), który można skonfigurować w Startup.cs w metodzie ConfigureServices.
Przykłady strategii uwierzytelniania: W ASP.NET Core Web API można korzystać z różnych strategii uwierzytelniania, takich jak uwierzytelnianie oparte na hasłach, uwierzytelnianie oparte na certyfikatach, uwierzytelnianie oparte na zewnętrznych dostawcach (np. Google, Facebook), uwierzytelnianie oparte na tokenach JWT itp.
Zabezpieczanie dostępu: Po pomyślnym uwierzytelnieniu użytkownika lub klienta, proces autoryzacji decyduje, czy dana osoba lub aplikacja ma uprawnienia do dostępu do określonych zasobów lub akcji w aplikacji. W tym momencie kontrolowane jest, co użytkownik może lub nie może zrobić.

W skrócie, uwierzytelnianie w ASP.NET Core Web API to proces weryfikacji tożsamości użytkownika lub klienta, co jest kluczowym elementem zabezpieczania interfejsu API i kontrolowania dostępu do jego zasobów i funkcji.

Autoryzacja

Autoryzacja w ASP.NET Core Web API to proces kontrolowania dostępu do określonych zasobów lub operacji w oparciu o tożsamość i uprawnienia użytkownika lub klienta żądającego dostępu. ASP.NET Core Web API dostarcza wiele mechanizmów do implementacji autoryzacji. Oto główne koncepcje związane z autoryzacją w ASP.NET Core Web API:

Atrybuty autoryzacji: W ASP.NET Core Web API możesz używać atrybutów autoryzacji, które są umieszczane nad kontrolerami lub akcjami, aby określić, kto ma dostęp do danego zasobu lub akcji. Przykłady to [Authorize], [AllowAnonymous], [Authorize(Roles = "Admin")], [Authorize(Policy = "RequireAdmin")], itp.
```
[Authorize(Roles = "Admin")]
[ApiController]
[Route("api/[controller]")]
public class AdminController : ControllerBase
{
    // Akcje tylko dla użytkowników o roli "Admin"
}
```
Strategie autoryzacji: ASP.NET Core Web API obsługuje różne strategie autoryzacji, takie jak autoryzacja na podstawie ról, autoryzacja oparta na polisach (policy-based authorization), autoryzacja na podstawie oznaczeń (claim-based authorization) i wiele innych. Te strategie pozwalają na bardziej zaawansowane zarządzanie uprawnieniami.
Middleware autoryzacji: Middleware autoryzacji jest używane do sprawdzania tożsamości i uprawnień użytkownika w trakcie przetwarzania żądania. Wartość uwierzytelnienia jest przechowywana w kontekście żądania, co umożliwia sprawdzanie autoryzacji na różnych etapach przetwarzania żądania.
Polisy autoryzacji: Polisy to mechanizm ASP.NET Core, który pozwala definiować bardziej złożone zasady autoryzacji na poziomie aplikacji. Możesz tworzyć niestandardowe polisy i używać ich w atrybutach autoryzacji lub bezpośrednio w kodzie aplikacji.
```
services.AddAuthorization(options =>
{
    options.AddPolicy("RequireAdmin", policy => policy.RequireRole("Admin"));
});
```
Autoryzacja na podstawie tokenów JWT: Jeśli używasz tokenów JWT do uwierzytelniania użytkowników, możesz skonfigurować autoryzację na podstawie treści tokena. To pozwala na kontrolowanie dostępu na podstawie roli lub claimów w tokenie.
Custom Authorization Handlers: Możesz również tworzyć niestandardowe komponenty obsługujące autoryzację, które umożliwiają bardziej elastyczne i niestandardowe podejście do kontroli dostępu.

Autoryzacja w ASP.NET Core Web API jest kluczowym elementem zabezpieczania aplikacji i kontrolowania, które części aplikacji mogą być używane przez konkretne grupy użytkowników. Daje możliwość dostosowania poziomu dostępu na podstawie ról, polis, claimów i innych kryteriów, co pozwala na bardziej zaawansowane zarządzanie bezpieczeństwem aplikacji.

Uwierzytelnianie i Autoryzacja w Czystej architekturze

Unikaj logiki autoryzacji w kontrolerach. Zamiast tego przekazuj informacje o autoryzacji do serwisów aplikacyjnych, które są odpowiedzialne za dostęp do zasobów.