Security, Authentication & Authorization Logic

Identity คือ "Token of Trust" ที่ server ออกให้หลังตรวจสอบอย่างเข้มงวด — ความปลอดภัยไม่ใช่ฟีเจอร์ที่เติมทีหลัง แต่เป็นกระบวนการที่ออกแบบตั้งแต่ต้น

AuthN vs AuthZ — ข้อสอบถามแน่

3 ชั้นของความปลอดภัย

Encryption vs Hashing — จุดที่พลาดกันบ่อย

คุณสมบัติของ Hash 4 ข้อ

1. One-Way Function — ย้อนกลับหาข้อมูลเดิมไม่ได้
2. Fixed-Length Output — ไม่ว่า input จะยาวแค่ไหน ผลลัพธ์ยาวเท่ากันเสมอ
3. Deterministic — input เดิมให้ hash เดิมทุกครั้ง (จึงเทียบกันได้)
4. Avalanche Effect — เปลี่ยน input นิดเดียว hash เปลี่ยนทั้งหมด

JWT คืออะไร

• JSON Web Token — มาตรฐานเปิด (RFC 7519) สำหรับส่งข้อมูลระหว่างฝ่ายอย่างปลอดภัยในรูป JSON object ที่กระชับและใช้ใน URL ได้
• เป็นคำตอบของปัญหา stateless backend — server ไม่ต้องจำ session
• Self-Contained — token บรรจุข้อมูลผู้ใช้ที่จำเป็นไว้ในตัว ลดการ query ฐานข้อมูลซ้ำ ๆ
• Compact — ส่งผ่าน HTTP header, URL หรือ POST parameter ได้

โครงสร้าง 3 ส่วน

JWT Lifecycle 5 ขั้น

// ฝั่ง server — ออก token
const token = jwt.sign({ id: user.id, role: user.role }, process.env.SECRET, { expiresIn: '1h' });
res.status(200).json({ token });

// ฝั่ง server — ตรวจ token ใน middleware
function verifyToken(req, res, next) {
    const header = req.headers['authorization'];
    if (!header) return res.status(401).json({ error: 'No token' });
    const token = header.split(' ')[1];          // ตัดคำว่า Bearer ออก
    try {
        req.user = jwt.verify(token, process.env.SECRET);
        next();
    } catch (err) {
        return res.status(401).json({ error: 'Invalid token' });
    }
}

Bearer header

GET /api/profile HTTP/1.1
Host: myshop.example.com
Authorization: Bearer eyJhbGciOiJIUzI1NiJ9.eyJpZCI6MTAxfQ.4f3s...

User Enumeration

เก็บ token ที่ไหนดี