Authentifizierung und Autorisierung für Web-Apps

Authentifizierung und Autorisierung: Wer sind Sie und was können Sie tun?

Bei der Authentifizierung geht es darum, die Identität einer Person zu überprüfen – normalerweise durch einen Benutzernamen und ein Passwort, einen Social-Login oder einen Fingerabdruck. Bei der Autorisierung geht es darum, was diese Person tun darf – auf welche Seiten sie zugreifen kann, welche Aktionen sie ausführen kann. Beide sind für jede Anwendung, die Benutzer hat, unerlässlich.

Wie Authentifizierung funktioniert

Der traditionelle Ansatz verwendet Sitzungen. Wenn Sie sich anmelden, erstellt der Server einen Sitzungseintrag in einer Datenbank oder einem Cache und sendet Ihrem Browser ein Cookie mit der Sitzungs-ID. Bei nachfolgenden Anfragen sendet der Browser das Cookie und der Server sucht die Sitzung, um zu sehen, wer Sie sind. Dieser Ansatz ist einfach und sicher, erfordert jedoch serverseitige Speicherung.

Ein modernerer Ansatz verwendet JSON Web Tokens (JWT). Wenn Sie sich anmelden, erstellt der Server ein signiertes Token, das Ihre Identität und Berechtigungen enthält. Das Token wird an den Client gesendet, der es speichert und bei jeder Anfrage mitsendet. Der Server kann das Token überprüfen, ohne in einer Datenbank nachzusehen – das Token selbst enthält die Informationen. Dies ist zustandslos und skaliert gut, aber Token können nicht einfach widerrufen werden.

OAuth 2.0 und Social Login

OAuth 2.0 ist der Standard, der es Ihnen ermöglicht, sich mit Google, GitHub oder anderen Anbietern anzumelden. Ihre Anwendung leitet den Benutzer zum Anbieter weiter, der um Erlaubnis bittet. Wenn der Benutzer zustimmt, sendet der Anbieter einen Code zurück, den Ihre Anwendung gegen Tokens eintauscht. Dies ist sicherer, als Passwörter selbst zu verwalten, und Benutzer schätzen es, kein weiteres Konto erstellen zu müssen.

OpenID Connect fügt eine Identitätsschicht auf OAuth 2.0 hinzu und bietet eine standardisierte Möglichkeit, die Profilinformationen des Benutzers zu erhalten. Die meisten modernen Authentifizierungssysteme implementieren beide.

Multi-Faktor-Authentifizierung

Allein Passwörter reichen nicht aus. Menschen verwenden Passwörter mehrfach, fallen auf Phishing herein und verwenden schwache Passwörter. Die Multi-Faktor-Authentifizierung (MFA) fügt eine zweite Sicherheitsebene hinzu. Die häufigste Form ist ein zeitbasiertes Einmalpasswort (TOTP) von einer Authentifikator-App. Sicherer sind Hardware-Sicherheitsschlüssel und Passkeys, die resistent gegen Phishing sind und nicht erraten werden können.

Autorisierung: Zugriffskontrolle

Sobald Sie wissen, wer jemand ist, müssen Sie entscheiden, was er tun kann. Das einfachste Modell ist die rollenbasierte Zugriffskontrolle (RBAC): Benutzer haben Rollen wie Admin, Editor oder Betrachter, und jede Rolle hat bestimmte Berechtigungen. Flexiblere Modelle umfassen die attributbasierte Zugriffskontrolle (ABAC), die Attribute des Benutzers, der Ressource und der Umgebung berücksichtigt, um Entscheidungen zu treffen.

Verwendung von Authentifizierungsanbietern

Die Authentifizierung von Grund auf zu entwickeln, ist komplex und risikoreich. Moderne Anbieter wie Auth0, Clerk und Supabase Auth übernehmen die schwierigen Teile – Passwort-Hashing, Sitzungsverwaltung, Social Login, MFA und Sicherheitsüberwachung. Sie stellen SDKs bereit, die sich in Ihr Frontend und Backend integrieren, und sie kümmern sich standardmäßig um Sicherheitsbest Practices. Für die meisten Projekte ist die Verwendung eines Anbieters die richtige Wahl.