Подготовка к интервью
33 вопроса с ответами по теме «Аутентификация, сессии и токены»
Что проверяют на интервью
Разберите границу между подтверждением личности и проверкой прав. Вопросы охватывают хранение и проверку токенов, завершение сессий, OAuth/OIDC, двухфакторную аутентификацию и ошибки реализации.
Каталог
Базовая авторизация (Basic Authentication) — это простой способ аутентификации в HTTP, при котором клиент передаёт серверу имя пользователя и пароль в заголовке запроса.
Читать ответМеханизм отправки одноразовых кодов (OTP) для двухфакторной аутентификации обычно включает следующие шаги:
Читать ответФильтр авторизации в веб-приложениях — это компонент, который перехватывает HTTP-запросы и проверяет, имеет ли пользователь необходимые права для доступа к запрашиваемому ресурсу.
Читать ответJSON Web Tokens (JWT) широко используются для авторизации и обмена данными благодаря следующим преимуществам:
Читать ответЕсли токен аутентификации истёк, сервер обычно возвращает HTTP код 401 Unauthorized. Этот код означает, что запрос требует аутентификации, и предоставленный токен недействителен или отсутствует.
Читать ответХранение JWT (JSON Web Token) в приложениях реализуется в разных местах и способами, в зависимости от типа приложения и требований безопасности:
Читать ответСпециализированное парольное хеширование, случайная соль, параметры стоимости и миграция. Почему bcrypt ограничен 72 байтами и не является первым выбором.
Читать ответРазличаем исторический OpenID, аутентификацию через OIDC и делегированный доступ OAuth 2.0; объясняем назначение ID Token и Access Token.
Читать ответРазница между аутентификацией и авторизацией Безопасность и контроль доступа Аутентификация устанавливает личность пользователя: кто он Способы: логин и пароль, токены, биометрия Авторизация определяет права…
Читать ответНадёжное хранение ключей необходимо для поддержания доверия к JWT Применение секретного менеджера: AWS KMS, HashiCorp Vault или Azure Key Vault Доступ предоставляется только согласно правам и ролевой модели (RBAC)…
Читать ответТестирование авторизации и критически важных функций Критические функции: безопасность и доступность Начать следует с требований: роли, права и пользовательские сценарии Применять позитивные и негативные тестовые…
Читать ответбезопасность API при передаче данных необходима, чтобы предотвратить их утечку и подмену Для защиты канала связи используют HTTPS — протокол с шифрованием TLS, который предотвращает перехват данных и MITM-атаки…
Читать ответ