Authorization / RBACAuthorization / RBAC

người dùng trên 300 tenantusers across 300 tenants

40k

người dùng trên 300 tenantusers across 300 tenants

permission, gom vào 6 rolepermissions grouped into 6 roles

~60

permission, gom vào 6 rolepermissions grouped into 6 roles

chi phí kiểm tra quyền mỗi requestauthorization overhead per request

< 2 ms

chi phí kiểm tra quyền mỗi requestauthorization overhead per request

độ trễ tối đa khi thu hồi quyềnmaximum delay for a revoked permission

≤ 5 min

độ trễ tối đa khi thu hồi quyềnmaximum delay for a revoked permission

Gateway chỉ xác thực JWT. Article Service làm hai lớp phân quyền: lớp chức năng (user có permission article:update không) và lớp dữ liệu (bản ghi này có thuộc tenant và phạm vi của user không). Permission được tra từ PostgreSQL và cache ở Redis. Chọn “Viewer bị chặn” để xem 403, chọn “IDOR” để xem lớp dữ liệu trả 404.The gateway only authenticates the JWT. The Article Service authorizes in two layers: the functional layer (does the user hold article:update) and the data layer (does this record belong to the user's tenant and scope). Permissions are looked up in PostgreSQL and cached in Redis. Pick “Viewer denied” to see a 403, pick “IDOR” to see the data layer answer 404.

1. 1

   IDOR: đúng quyền nhưng sai bản ghiIDOR: right permission, wrong record

   Kiểm tra role không đủ. Mọi truy vấn phải lọc theo tenant_id và phạm vi lấy từ token (owner, section), gói thành Specification dùng lại cho cả findById lẫn danh sách.A role check is not enough. Every query filters by tenant_id and scope taken from the token (owner, section), packaged as a Specification reused by findById and by listings.

   Specification
2. 2

   Quên kiểm tra quyền ở endpoint mớiA new endpoint forgets the check

   Kiểm tra quyền rải rác trong từng handler sẽ có ngày bị quên. Đặt ở một lớp chặn chung: @PreAuthorize chạy qua proxy AOP của Spring, middleware trong Go; endpoint không khai báo quyền thì mặc định denyAll.Checks scattered across handlers get forgotten eventually. Put them in one interception layer: @PreAuthorize runs through a Spring AOP proxy, middleware in Go; an endpoint with no declared permission defaults to denyAll.

   ProxyDecorator
3. 3

   Bùng nổ roleRole explosion

   Khi luật phụ thuộc thuộc tính (chuyên mục, giờ làm việc, trạng thái bài) thì tạo thêm role cho mỗi tổ hợp là sai hướng. Giữ RBAC cho quyền thô, thêm ABAC cho luật tinh: mỗi luật là một Specification ghép bằng and/or.When rules depend on attributes (section, working hours, article status), adding a role per combination is the wrong direction. Keep RBAC for coarse permissions and add ABAC for fine rules: each rule is a Specification combined with and/or.

   SpecificationStrategy
4. 4

   Quyền trong token bị cũStale permissions in the token

   Nhét permission vào JWT thì nhanh nhưng thu hồi phải chờ token hết hạn. Giữ token ngắn (10–15 phút), chỉ chứa sub và tid; tra permission từ Redis TTL 5 phút và xoá key khi role đổi.Putting permissions in the JWT is fast, but revocation waits for the token to expire. Keep tokens short (10–15 minutes) with only sub and tid; look permissions up from Redis with a 5-minute TTL and delete the key when roles change.

   Proxy
5. 5

   Không ai biết ai bị chặnNobody sees the refusals

   Lần bị từ chối là tín hiệu tấn công sớm nhất. AccessDeniedHandler (Spring) hoặc middleware (Go) ghi sự kiện có uid, permission, tài nguyên, IP vào topic audit; SIEM cảnh báo theo ngưỡng.Refusals are the earliest attack signal. An AccessDeniedHandler (Spring) or middleware (Go) writes uid, permission, resource and IP to an audit topic; the SIEM alerts on a threshold.

   Chain of ResponsibilityDecorator
6. 6

   Role quá rộngRoles that grant too much

   Least privilege: permission dạng resource:action, không có wildcard cho role thường, quyền :any (sửa mọi bài) chỉ cho admin tenant. Rà soát định kỳ các role không dùng trong 90 ngày.Least privilege: resource:action permissions, no wildcards for ordinary roles, the :any permission (edit every article) only for tenant admins. Review roles unused for 90 days on a schedule.

   Specification

Hai lớp kiểm tra cho cùng một thao tác sửa bài: permission ở cổng vào, rồi Specification theo tenant và policy theo phạm vi ở tầng dữ liệu.Two layers of checks for one article update: the permission at the entry point, then a tenant Specification and a scope policy at the data layer.

@RestController
@RequestMapping("/articles")
@RequiredArgsConstructor
public class ArticleController {
    private final ArticleService service;

    @PutMapping("/{id}")
    @PreAuthorize("hasAuthority('article:update')")1
    public ArticleDto update(@PathVariable long id,
                             @Valid @RequestBody UpdateArticle cmd,
                             @AuthenticationPrincipal Actor actor) {
        return service.update(id, cmd, actor);
    }
}

@Service
@RequiredArgsConstructor
class ArticleService {
    private final ArticleRepository repo;   // JpaSpecificationExecutor
    private final ArticlePolicy policy;

    @Transactional
    public ArticleDto update(long id, UpdateArticle cmd, Actor actor) {
        Article a = repo.findOne(ArticleSpecs.inTenant(actor.tenantId())2
                        .and(ArticleSpecs.hasId(id)))
                .orElseThrow(() -> new NotFoundException("article")); // 4043
        if (!policy.canEdit(actor, a)) {
            throw new AccessDeniedException("article:update out_of_scope");
        }
        a.apply(cmd, actor.userId());
        return ArticleDto.of(a);
    }
}

final class ArticleSpecs {
    static Specification<Article> inTenant(String tid) {
        return (root, q, cb) -> cb.equal(root.get("tenantId"), tid);
    }
    static Specification<Article> hasId(long id) {
        return (root, q, cb) -> cb.equal(root.get("id"), id);
    }
}

@Component
class ArticlePolicy {
    boolean canEdit(Actor actor, Article a) {
        return actor.has("article:update:any")4
            || a.authorId().equals(actor.userId())
            || actor.sections().contains(a.sectionId());
    }
}

// RequirePermission is the functional layer, wrapped around each route.
func RequirePermission(perm string, audit Auditor) func(http.Handler) http.Handler {1
	return func(next http.Handler) http.Handler {
		return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
			actor, ok := ActorFrom(r.Context()) // set by the JWT middleware
			if !ok {
				http.Error(w, "unauthenticated", http.StatusUnauthorized)
				return
			}
			if !actor.Has(perm) {
				audit.Denied(r.Context(), actor, perm, r.URL.Path, "missing_permission")2
				http.Error(w, "forbidden", http.StatusForbidden)
				return
			}
			next.ServeHTTP(w, r)
		})
	}
}

// Update is the data layer: the tenant filter lives in the query itself.
func (h *ArticleHandler) Update(w http.ResponseWriter, r *http.Request) {
	actor, _ := ActorFrom(r.Context())
	id, err := strconv.ParseInt(r.PathValue("id"), 10, 64)
	if err != nil {
		http.Error(w, "bad id", http.StatusBadRequest)
		return
	}
	a, err := h.repo.FindInTenant(r.Context(), actor.TenantID, id)3
	if errors.Is(err, ErrNotFound) {4
		h.audit.Denied(r.Context(), actor, "article:update", r.URL.Path, "out_of_scope")
		http.Error(w, "not found", http.StatusNotFound)
		return
	}
	if err != nil || !CanEdit(actor, a) {
		http.Error(w, "forbidden", http.StatusForbidden)
		return
	}
	// … decode body, apply, save
}

// routes: deny by default, every route names its permission
// mux.Handle("PUT /articles/{id}", RequirePermission("article:update", aud)(http.HandlerFunc(h.Update)))

Mỗi pattern mở bài học tương ứng trong menu Pattern.Each one opens its lesson in the Patterns menu.