Authentication ile authorization arasındaki fark nedir?

• Authentication (kimlik doğrulama): "Sen kimsin?" sorusunun cevabı. Kullanıcı adı/parola, OAuth ile Google girişi, MFA.
• Authorization (yetkilendirme): "Bunu yapmaya iznin var mı?" Kimliği bilinen kullanıcının hangi kaynağa, hangi işlemle erişebileceği.

Sıra her zaman önce kimlik doğrulama, sonra yetkilendirmedir. HTTP'de karşılıkları: kimlik yoksa/geçersizse 401, kimlik var ama yetki yoksa 403.

Yaygın yetkilendirme modelleri

• RBAC (rol tabanlı): admin, editor, viewer gibi roller ve izinleri.
• ABAC (öznitelik tabanlı): "kullanıcı yalnızca kendi departmanının belgelerini düzenleyebilir" gibi kurallar.
• Sahiplik kontrolü: kaynak kullanıcının mı?

app.delete("/api/posts/:id", requireAuth, async (req, res) => {
  const post = await Post.findById(req.params.id);
  if (!post) return res.sendStatus(404);
  // authorization: sahibi veya admin mi?
  if (post.authorId !== req.user.id && req.user.role !== "admin") {
    return res.sendStatus(403);
  }
  await post.deleteOne();
  res.sendStatus(204);
});

En sık yapılan hata, yalnızca giriş yapılmış olmayı kontrol edip kaynağın sahipliğini kontrol etmemektir (IDOR).