تفاوت احراز هویت و دسترسی در بلیزور

 در Blazor و به طور کلی در برنامه‌های وب، Authentication و Authorization دو مفهوم مهم و مرتبط با امنیت هستند، اما هر کدام هدف متفاوتی دارند. در زیر تفاوت این دو مفهوم را توضیح می‌دهیم:

۱. Authentication (احراز هویت)

• تعریف: فرآیند تأیید هویت کاربر است. یعنی بررسی اینکه کاربر واقعاً چه کسی است و آیا او همان کسی است که ادعا می‌کند.

• مثال: ورود به سیستم با نام کاربری و رمز عبور، استفاده از احراز هویت دو مرحله‌ای (2FA) یا ورود با استفاده از سرویس‌های خارجی مانند Google یا Microsoft.

• در Blazor:

  • از مکانیزم‌هایی مانند Cookie Authentication، JWT (JSON Web Tokens) یا سرویس‌های خارجی مانند Azure AD یا Identity Server برای احراز هویت استفاده می‌شود.

  • در Blazor Server، احراز هویت معمولاً با کوکی‌ها مدیریت می‌شود.

  • در Blazor WebAssembly، احراز هویت معمولاً با توکن‌های JWT انجام می‌شود.

۲. Authorization (مجوزدهی)

• تعریف: فرآیند تعیین دسترسی‌های کاربر پس از احراز هویت است. یعنی بررسی اینکه کاربر مجوز دسترسی به یک منبع خاص یا انجام یک عمل خاص را دارد یا نه.

• مثال: کاربری که وارد سیستم شده است، ممکن است به برخی صفحات یا عملکردهای برنامه دسترسی داشته باشد، اما به برخی دیگر دسترسی نداشته باشد.

• در Blazor:

  • از سیاست‌های مجوز (Policies) و نقش‌ها (Roles) برای مدیریت دسترسی‌ها استفاده می‌شود.

  • در Blazor Server، می‌توان از ویژگی‌هایی مانند [Authorize] برای محدود کردن دسترسی به کامپوننت‌ها یا صفحات استفاده کرد.

  • در Blazor WebAssembly، مجوزدهی معمولاً در سمت کلاینت انجام می‌شود، اما باید در سمت سرور نیز اعتبارسنجی شود تا از امنیت کامل اطمینان حاصل شود.

تفاوت کلیدی:

• Authentication: پاسخ به سؤال "شما چه کسی هستید؟" (تأیید هویت کاربر).

• Authorization: پاسخ به سؤال "آیا شما مجوز انجام این کار را دارید؟" (تعیین دسترسی‌ها).

مثال در Blazor:

1. Authentication:

   • کاربر با نام کاربری و رمز عبور وارد سیستم می‌شود.

   • سیستم هویت کاربر را تأیید می‌کند و یک توکن JWT یا کوکی ایجاد می‌کند.

2. Authorization:

   • کاربر می‌خواهد به صفحه "مدیریت کاربران" دسترسی پیدا کند.

   • سیستم بررسی می‌کند که آیا کاربر نقش "Admin" دارد یا نه. اگر دارد، اجازه دسترسی می‌دهد؛ در غیر این صورت، دسترسی رد می‌شود.

نکات مهم:

• در Blazor WebAssembly، احراز هویت و مجوزدهی باید هم در سمت کلاینت و هم در سمت سرور اعمال شود تا از امنیت کامل اطمینان حاصل شود.

• در Blazor Server، احراز هویت و مجوزدهی معمولاً در سمت سرور مدیریت می‌شود.

ادامه

// در Program.cs برای پیکربندی احراز هویت
builder.Services.AddOidcAuthentication(options =>
{
 
    options.ProviderOptions.Authority = "https://your-identity-server.com";
    options.ProviderOptions.ClientId = "your-client-id";
    options.ProviderOptions.ResponseType = "code";
});
 

@page "/login"
@inject NavigationManager Navigation
 

<button @onclick="Login">ورود به سیستم</button>

@code {
 
    private void Login()
 
    {
        Navigation.NavigateTo("authentication/login");
    }
}

// در Startup.cs یا Program.cs برای پیکربندی مجوزدهی
builder.Services.AddAuthorization(options =>
{
 
    options.AddPolicy("AdminOnly", policy => policy.RequireRole("Admin"));
});
 

@page "/admin"
@attribute [Authorize(Roles = "Admin")]
 

<h3>صفحه مدیریت</h3>
<p>این صفحه فقط برای مدیران قابل دسترسی است.</p>

@code {
 
    // منطق مربوط به صفحه
 
}

@page "/manage-users"
@attribute [Authorize(Roles = "Admin")]
 

<h3>مدیریت کاربران</h3>
<p>این صفحه فقط برای مدیران قابل دسترسی است.</p>

@code {
 
    // منطق مربوط به صفحه
 
}

@page "/access-denied"
<h3>دسترسی غیرمجاز</h3>
<p>شما مجوز دسترسی به این صفحه را ندارید.</p>