Аутентификация и авторизация

Основа с Junior

Сессии и токены, JWT, OAuth 2.0 и OpenID Connect, роли и права доступа.

Что важно знать

Аутентификация — кто вы; авторизация — что вам можно.
Сессия на сервере + cookie или токен (JWT) у клиента; JWT нельзя отозвать до истечения — короткий срок и refresh-токен.
OAuth 2.0 — делегирование доступа; OpenID Connect — вход через внешнего провайдера (Яндекс ID, VK ID, корпоративный SSO).
Пароли — только медленным хешем с солью.
Проверка доступа к объекту: «пользователь видит только свои заказы» — частая уязвимость (IDOR), если проверяют лишь вход.
Роли (RBAC) и атрибуты (ABAC) для сложных правил.

Критерии освоения

Junior ≈ 6 ч

Объясняет разницу аутентификации и авторизации
Хранит пароли хешем bcrypt или Argon2 и реализует вход с сессией или токеном

Практика. Реализовать регистрацию и вход с хешированием паролей и защищённым эндпоинтом.

Middle ≈ 8 ч

Реализует JWT с коротким временем жизни и обновлением токена, объясняет компромиссы
Подключает вход через OAuth 2.0 и OpenID Connect
Проверяет права на уровне объекта, а не только эндпоинта

Практика. Добавить вход через внешнего провайдера по OIDC, обновление токенов и проверку владельца ресурса.

Senior ≈ 4 ч

Проектирует модель доступа (роли, атрибуты, владение) для системы с несколькими клиентами

Практика. Спроектировать модель прав для B2B-продукта с организациями, ролями и приглашениями и описать её в design doc.

Вопросы с собеседований

Что верно про использование JWT для аутентификации? Middle
JWT самодостаточен — сервер проверяет подпись без базы. Отсюда главный минус: его нельзя отозвать до истечения. Решение — короткий access-токен (минуты) и отзываемый refresh…
Чем аутентификация отличается от авторизации? Junior
Аутентификация — «кто ты» (проверка личности); авторизация — «что тебе можно» (проверка прав на действие и ресурс).
Эндпоинт GET /orders/{id} проверяет, что пользователь аутентифицирован, и возвращает заказ по идентификатору. Что здесь не так? Middle
Проверено «кто ты» (аутентификация), но не «можно ли тебе этот заказ» (авторизация): любой вошедший пользователь читает чужие заказы, перебирая id. Это IDOR — Broken Access…
Как правильно хранить пароли пользователей? Junior
Не хранить пароль вовсе — только результат медленной функции с солью: argon2id, bcrypt или scrypt. При входе считаем то же самое и сравниваем.
Чем cookie отличается от server-side session? Junior
Cookie — небольшие данные, которые хранит браузер и отправляет с каждым запросом к домену. Серверная сессия — данные на сервере, а в cookie лежит только её идентификатор…
Как в Spring Security устроены аутентификация и авторизация — какие объекты за них отвечают? Middle
Аутентификация: фильтр извлекает учётные данные → AuthenticationManager (через AuthenticationProvider, UserDetailsService, PasswordEncoder) проверяет → готовый Authentication…

Разборы темы

HTTP, cookies и сессии
Семантика HTTP-методов и кэширование, cookies и их флаги безопасности, stateful против stateless сессий, HTTPS и граница authn/authz.
Аутентификация: JWT, OAuth2/OIDC и method security
Структура и валидация JWT, проблема отзыва, роли OAuth2 и authorization code flow, OIDC, и авторизация на уровне методов.
Spring Security: фильтр-цепочка и авторизация
SecurityFilterChain, аутентификация (UserDetailsService/PasswordEncoder), SecurityContext, авторизация запросов и CSRF/CORS/сессии.

← Вся карта «Backend-разработчик»

Закрытая бета

Знать тему — половина дела

На живом собеседовании sotto слышит вопрос интервьюера и показывает короткий ответ и план. Оставьте контакт — пришлём доступ и промокод.

Промокод на 2 часа — сверх пробных 30 минут
Программа для Windows — скачать сразу, войти — через Яндекс ID или VK ID
Первыми узнаете о версии для Mac — пока sotto только для Windows
Прямая связь с разработчиком: что улучшить — сделаем