Authentication & Authorization
TersediaIdentitas dan aksesPemula
Siapa Anda, dan apa yang boleh Anda lakukan? Ikuti request fiktif melewati login, session, dan pemeriksaan izin.
Masuk ke aplikasi fiktif, biarkan session kedaluwarsa, dan berganti peran antara Admin, Editor, dan Viewer. Setiap request simulasi menunjukkan respons yang diterimanya, 200, 401, atau 403, beserta pemeriksaan yang menghasilkannya.
- Autentikasi: siapa yang bertanya?
- Server melihat session yang ikut bersama request. Tanpa session, atau dengan session yang kedaluwarsa, server tidak tahu siapa yang bertanya, jadi ia menjawab 401 Unauthorized.
- Otorisasi: apakah ini diizinkan?
- Setelah tahu siapa yang bertanya, server memeriksa peran orang itu untuk tindakan yang persis ini. Identitas yang valid tanpa izin yang tepat mendapat 403 Forbidden.
- Autentikasi selalu lebih dulu
- Tidak ada yang bisa diotorisasi sebelum server tahu siapa yang bertanya. Karena itu session kedaluwarsa menghasilkan 401, bukan 403.
- Hanya server yang memutuskan
- Menyembunyikan tombol hanyalah kenyamanan, bukan keamanan. Siapa pun bisa mengirim request tanpa antarmuka, jadi setiap pemeriksaan harus berjalan di server.
Yang akan Anda pelajari
- Membedakan autentikasi dari otorisasi, dan mengetahui mana yang gagal dari responsnya.
- Memahami apa itu session, mengapa bisa kedaluwarsa, dan apa yang terjadi pada request setelahnya.
- Membaca matriks peran dan izin, lalu menebak siapa yang boleh melakukan apa.
- Mengetahui kapan API sebaiknya menjawab 200, 401, atau 403.
0 dari 5 skenario sudah dicoba
0 dari 5 skenario sudah dicoba
Progres Anda di lab ini
Coba setiap skenario di bawah untuk menyelesaikan lab. Membuka halaman atau berpindah langkah tidak dihitung.
- Dapatkan 200 OK dari endpoint terlindungi dengan session yang validBelum
- Dapatkan 401 tanpa sessionBelum
- Dapatkan 401 dengan session kedaluwarsaBelum
- Dapatkan 403 saat sudah masuk, karena peran tidak memiliki izinnyaBelum
- Kirim request langsung dengan dan tanpa pemeriksaan serverBelum
Berikutnya: tantangan terpandu
Access Denied menerapkan apa yang Anda latih di sini dalam skenario singkat.
Mulai Access DeniedTantangan terpandu
- TersediaPemula
Access Denied
Tentukan peran mana yang boleh melakukan setiap tindakan, lalu pertahankan matriks izin Anda dari request yang menjebak.