ログインすれば何でも変えられると思っていたけれど

こんにちは、レッドです。今回は「プレイノート」で友達の記録も読めるようにすると想像してみました。ただし、編集できるのは書いた本人だけ、というルールを決めました。

キラリが自分のアカウントでログインして、ネアの記録を開きました。文章は読めるのに、編集はできませんでした。

キラリ

私、ログインしてるよ？ どうして編集できないんだろう？

ネアが、画面に開かれた自分の記録を指しました。ログインした人と、その文章を書いた人は別でした。

似ているけれど、役割の違う二つの言葉

認証：誰なのかを確認すること

認証は、「今リクエストしている人は誰か」を確認することです。パスワードなどでアカウントにログインするのが、代表的な例です。

認可：その操作をしてよいか確認すること

認可は、「この人に、その操作をする権限があるか」を確認することです。ログインしたキラリにも、ネアの記録を編集する権限はありません。このサイトでは、自分の文章を編集できるのは作成者だけ、と決めたからです。

キラリ

そっか、ログインは私だって確認すること。この文章を変えていいかは、また別に見るんだね。

ボタンを隠せば十分？

権限のない人に編集ボタンを見せないと、操作しやすい画面になります。でも、それだけではデータを守れません。Web画面を通らず、サーバーにリクエストを送れる道具もあるからです。

だからサーバーは、リクエストを受けるたびにログイン状態と操作の権限を確認します。「自分の記録」のように持ち主が決まっていて、その操作に所有者の権限が必要なら、本当にその利用者の記録かどうかも確認します。

セッションCookieも、確認せずに信用しない

Webでは、ログイン状態を維持するためにセッションCookieを使うことがあります。ブラウザーがログイン状態の確認に必要な情報をサーバーへ渡す方法の一つです。ブラウザーが保管し、リクエストと一緒に送る小さなデータと考えてください。

Cookieがあるだけで通してはいけません。サーバーは、有効なログインセッションを示しているか、期限が切れていないかを確認します。誰かを確認したあとも、操作の権限は別に調べます。