Что такое авторизация API

1️⃣ Как кратко ответить

Авторизация API — это процесс проверки прав доступа пользователя или приложения к определённым ресурсам или операциям API. Она следует после аутентификации и определяет, какие действия разрешены для аутентифицированного субъекта.

2️⃣ Подробное объяснение темы

Авторизация API — это ключевой аспект безопасности в разработке программного обеспечения, который позволяет контролировать доступ к ресурсам и операциям, предоставляемым API (Application Programming Interface).

Зачем нужна авторизация API

Авторизация необходима для обеспечения безопасности и защиты данных. Она гарантирует, что только уполномоченные пользователи или приложения могут выполнять определённые действия или получать доступ к определённым данным через API. Это предотвращает несанкционированное использование и защищает конфиденциальную информацию.

Как работает авторизация API

Процесс авторизации обычно следует за аутентификацией. Аутентификация — это процесс проверки подлинности пользователя или приложения, например, с помощью логина и пароля. После успешной аутентификации система переходит к авторизации, чтобы определить, какие действия разрешены для данного субъекта.

Пример использования

Рассмотрим пример API для управления задачами, где пользователи могут создавать, читать, обновлять и удалять задачи. Авторизация определяет, какие из этих операций доступны для конкретного пользователя.

1. Аутентификация: Пользователь вводит свои учетные данные (например, логин и пароль) и получает токен доступа после успешной проверки.

2. Авторизация: При каждом запросе к API пользователь отправляет токен доступа. API проверяет токен и определяет, какие действия разрешены для этого пользователя.

Пример кода

Рассмотрим пример на Python с использованием Flask и библиотеки Flask-JWT-Extended для аутентификации и авторизации.

from flask import Flask, jsonify, request
from flask_jwt_extended import JWTManager, jwt_required, create_access_token, get_jwt_identity
​
app = Flask(__name__)
app.config['JWT_SECRET_KEY'] = 'your_jwt_secret_key'  # Секретный ключ для шифрования JWT
jwt = JWTManager(app)
​
# Пример данных пользователей
users = {
    "user1": "password1",
    "user2": "password2"
}
​
# Эндпоинт для аутентификации и получения токена
@app.route('/login', methods=['POST'])
def login():
    username = request.json.get('username')
    password = request.json.get('password')
    if users.get(username) == password:
        access_token = create_access_token(identity=username)
        return jsonify(access_token=access_token)
    return jsonify({"msg": "Bad username or password"}), 401
​
# Защищенный эндпоинт, доступный только авторизованным пользователям
@app.route('/tasks', methods=['GET'])
@jwt_required()  # Декоратор, требующий наличия валидного JWT токена
def get_tasks():
    current_user = get_jwt_identity()  # Получение идентификатора текущего пользователя из токена
    return jsonify({"tasks": f"Tasks for {current_user}"})
​
if __name__ == '__main__':
    app.run()
​

• app.config['JWT_SECRET_KEY']: Устанавливает секретный ключ для шифрования JWT токенов.
• @app.route('/login', methods=['POST']): Определяет эндпоинт для аутентификации, где пользователи получают токен доступа.
• create_access_token(identity=username): Создает JWT токен для аутентифицированного пользователя.
• @jwt_required(): Декоратор, который проверяет наличие и валидность JWT токена для доступа к защищенному ресурсу.
• get_jwt_identity(): Извлекает идентификатор пользователя из токена, чтобы определить, какие действия разрешены.

Авторизация API — это важный механизм, который обеспечивает безопасность и контроль доступа в современных приложениях, взаимодействующих через API.