Authentication နှင့် Authorization

နားလည်ထားရမယ့် အချက်

Authentication က 'သင်ဘယ်သူလဲ' ကို ဖြေသည် - password, passkey, OAuth, magic link, token စသည်တို့သည် identity သက်သေပြသည့်နည်းလမ်းများ ဖြစ်သည်။

Authorization က 'ဘာလုပ်ခွင့်ရှိလဲ' ကို ဖြေသည် - login ဝင်ထားခြင်းသည် အရာအားလုံး လုပ်ခွင့်ရှိသည်ဟု မဆိုလိုပါ။ real app များသည် action တိုင်းတွင် သီးခြားစစ်ဆေးသည်။

password ကို plain text အဖြစ် ဘယ်တော့မှ မသိမ်းသင့်ပါ - hashing (one-way) နှင့် salting (random data ထပ်ထည့်ခြင်း) သည် standard approach ဖြစ်သည်။

Authentication

password၊ passkey၊ OAuth login (သို့) valid session/token စသည်တို့မှတစ်ဆင့် user တစ်ဦးသည် မည်သူဖြစ်ကြောင်း အတည်ပြုသည့် လုပ်ငန်းစဉ်

Authorization

authenticate လုပ်ပြီးသား user တစ်ဦးအား မည်သည့်အရာများ ပြုလုပ်ခွင့်ပေးမည်ဆိုသည်ကို ဆုံးဖြတ်သည့် လုပ်ငန်းစဉ်

LOGIN FLOW
----------
LOGIN FLOW
-----------

  Login Form -> HTTPS Request -> Backend Verifies Credentials
       -> Session/Token Created -> Authenticated Requests

AUTHENTICATION VS AUTHORIZATION
---------------------------------

  Authentication: "Who are you?"
    -> checked once per login (session/token proves identity)

  Authorization: "What can you do?"
    -> checked on every sensitive action (role/permission check)

လက်တွေ့ scenario နဲ့ ချိတ်ကြည့်မယ်

function သည် ဦးစွာ authenticated session ရှိမရှိ စစ်ပြီး ၎င်းအောင်မြင်မှသာ action-specific authorization ကို သီးခြားစစ်ဆေးသည်။

• မေးခွန်း 1: ဒါဘယ်သူလဲ (authentication)
• မေးခွန်း 2: ၎င်းက အခုဘာလုပ်ခွင့်ရှိလဲ (authorization)

• Authentication က 'သင်ဘယ်သူလဲ' ဆိုသည်ကို ဖြေကြားပြီး authorization က 'သင် ဘာလုပ်ခွင့်ရှိလဲ' ဆိုသည်ကို ဖြေကြားသည် - ၎င်းတို့သည် သီးခြားစစ်ဆေးမှု နှစ်ခု ဖြစ်သည်။
• login flow အစစ်သည် form မှ HTTPS request၊ backend verification၊ session/token creation၊ authenticated request များအထိ ရွေ့လျားသည်။
• password များကို established library (သို့) managed service များဖြင့် hash နှင့် salt လုပ်ရမည် - ကိုယ်ပိုင် cryptographic implementation ဘယ်တော့မှ မရေးရ။

အတူတူ စမ်းရေးကြည့်မယ်

function checkAccess(user, action) {
  const authenticated = Boolean(user && user.sessionValid);
  if (!authenticated) {
    return { authenticated: false, authorized: false, result: "denied: not logged in" };
  }

  const permissions = {
    user: ["view own account", "edit own account"],
    admin: ["view own account", "edit own account", "manage all users", "delete any account"],
  };

  const authorized = (permissions[user.role] || []).includes(action);
  return {
    authenticated: true,
    authorized,
    result: authorized ? "allowed" : "denied: not authorized for this action",
  };
}

const regularUser = { sessionValid: true, role: "user" };
console.log("Regular user deletes another account:", checkAccess(regularUser, "delete any account"));
console.log("Regular user edits own account:", checkAccess(regularUser, "edit own account"));

ပုံမှန် user ၏ delete ကြိုးစားမှုကို authenticated: true, authorized: false အဖြစ်နှင့် ကိုယ်ပိုင် account edit ကို authenticated: true, authorized: true အဖြစ် log ထုတ်သည်။

MDN Web Docs - HTTP authentication — How the Web Works