Sessions, Authentifizierung und Autorisierung

Lernziele

Loginzustand sicher vom Zugriff auf Ressourcen unterscheiden. Nach dieser Lektion kannst du das Konzept erklären, ein kleines Beispiel umsetzen und typische Grenzen benennen.

Erklärung

Authentifizierung beantwortet „Wer bist du?“, Autorisierung „Was darfst du?“. Eine Session hält serverseitigen Zustand; ein zufälliges Cookie verweist darauf. Cookies brauchen sichere Attribute wie HttpOnly, Secure und angemessenes SameSite. Passwörter werden mit geeignetem Passwort-Hashing gespeichert, nie im Klartext.

Schrittweises Beispiel

Nach erfolgreichem Login rotiert die Anwendung die Session-ID. Jede sensible Route prüft die Berechtigung für genau das angeforderte Objekt, nicht nur, ob ein Nutzer eingeloggt ist.

def can_edit(user_id, owner_id):
    return user_id is not None and user_id == owner_id

print(can_edit(7, 7))

Zusammenfassung

Prüfe Identität und Berechtigung serverseitig für jede geschützte Aktion.