ඔබගේ වෙබ් ඇප්ලිකේෂන් හෝ මොබයිල් යෙදුමක් ආරක්ෂා කරගන්න, ඇතුළත් කිරීම (Authentication) සහ අවසර (Authorization) අතර වෙනස හොඳින් තේරුම් ගැනීම අත්යවශ්යයි. බොහෝ ආරක්ෂක බග්ලන් මේ දෙකේ ගැටළුව නිසා සිදු වෙයි.
ඇතුළත් කිරීම යනු “ඔබ කවුද?” කියන ප්රශ්නයට පිළිතුරු දෙන ක්රියාවයි. එය පරිශීලකයාගේ නාමය, මුරපදය, OTP, පಾಸ್කී, ජීව විද්යාත්මක තොරතුරු, OAuth (Google, GitHub, Apple) හෝ JWT වැනි ටෝකන භාවිතයෙන් තහවුරු කරයි. මෙය පරිශීලකයාගේ හැඳුනුම තහවුරු කරනවා, ඒත් ඔහුට කුමන කාර්යයන් කළ හැකිදැයි තීරණය නොකරයි.
අවසර යනු “ඔබට කුමන කරුණු කිරීමට අවසර ඇත?” කියන ප්රශ්නයට පිළිතුරු දෙන පියවරයි. ඇතුළත් කිරීම සාර්ථක වූ පසු, පද්ධතිය පරිශීලකයාට කොහේද, කුමන දත්තවලට ප්රවේශය ලැබේද, කුමන ක්රියාකාරකම් කළ හැදැයි තීරණය කරයි. උදාහරණයක් වශයෙන්, වෙනත් ගනුදෙනුකරුගේ පැතිකඩ බැලීම, ඇණවුම මැකීම, පරිපාලක පුවරුවට ප්රවේශය වැනි කරුණු.
ප්රධාන වැරදි 5 ක්
- ඇතුළත් කිරීම පමණක් පරීක්ෂා කිරීම: ලොග් ඉන් වු පරිශීලකයාට සියළු සම්පත් භාවිතා කිරීමට අවසර නැත. සෑම ඉල්ලීමකම ඇතුළත් කිරීම සහ අවසර දෙකම පරීක්ෂා කළ යුතුය.
- ඉදිරිපස (Frontend) විශ්වාස කිරීම: බොත්තම් හෝ මෙනු අඩු කිරීම UI‑ය සඳහා හොඳයි, නමුත් ආරක්ෂාවට ප්රමාණවත් නොවේ. පසුපස API‑වල අවසර පාලනය අනිවාර්යයි.
- සම්පත් හිමිකාරීත්වය පරීක්ෂා නොකිරීම: /orders/12345 වැනි API‑යකට ඇතුළත් වීමේදී පරිශීලකයාගේ ඇණවුමද යන්න තහවුරු කළ යුතුය; නැතිවුවහොත් වෙනත් කෙනෙකුගේ දත්ත පෙන්විය හැක (BOLA).
- භූමිකා (Roles) තදින් කේත කිරීම: if (user.role == "admin") වැනි සරල පරීක්ෂාව ලොකු පද්ධති සඳහා සුදුසු නොවේ. අවසර-මත පදනම් වූ පාලනය වැඩි ලච්යතාවයක් ලබා දේ.
- API අවසර අමතක කිරීම: සෑම API endpoint එකක්ම ස්වයංක්රියව ඇතුළත් කිරීම, අවසර, සම්පත් හිමිකාරීත්වය, අවශ්ය අවසර පරීක්ෂා කළ යුතුය. ඔබේ frontend එකෙන් පමණක් ඉල්ලීම් එනවා යැයි සැලකීම අභියෝගයක්.
ආරක්ෂක වශයෙන්, පරිශීලකයන්ට MFA, OAuth, පಾಸ್කී වැනි නවීන ඇතුළත් කිරීම ක්රම භාවිතා කරන්න. සෑම ඉල්ලීමකටම අවසර පරීක්ෂාවක් එක් කරන්න, අවශ්ය අවසර පමණක් ලබා දීමට "Least Privilege" නීතිය අනුගමනය කරන්න. සම්පත් හිමිකාරීත්වය තහවුරු කිරීම, middleware හෝ policy class භාවිතයෙන් අවසර ලොජික් එකක් මධ්යස්ථ කරගැනීම ආදියෙන් පද්ධතියේ ආරක්ෂාව වර්ධනය වේ.
ශ්රී ලංකාවට ඇති වැදගත්කම
ශ්රී ලාංකීය විද්යාඥයින්, සොෆ්ට්වෙයා සංවර්ධකයන් සහ ව්යාපාරිකයින්ට මෙම මූලික සංකල්ප අවබෝධය ඉතා වැදගත්. පාසල් හා විශ්වවිද්යාල පංතිවලට ආරක්ෂක පදනමක් ලෙස ඇතුළත් කිරීම සහ අවසර පාලනයේ නවීන උදාහරණ දියත් කිරීම, ඉගෙනුම් වගකීම් ඉහළ යාමට හේතු වේ. දේශීය ආයතනවල API‑වල නිරවද්ය අවසර පරීක්ෂාවන් ගත කිරීම, ගනුදෙනුකාරයන්ගේ දත්ත රැකීමෙන් පාරිභෝගික විශ්වාසය වැඩි කරයි. තවත් පැතිකඩක් ලෙස, ශ්රී ලංකාවේ තාක්ෂණික ආරක්ෂක සේවා සපයන සමාගම්ට මේ නීති අනුගමනය කිරීම, ජාත්යන්තර සම්මතයන්ට සරිලන සේවාවන් ලබා දීමට මඟ පෙන්වයි.
ඇතුළත් කිරීම පමණක් කරගෙන අවසර නොදැක්වීම, ඔබේ පද්ධතිය අර්ධ ආරක්ෂිත තත්ත්වයකට පත් කරයි. දෙකම සම්පූර්ණව ක්රියාත්මක කළ විටම ඔබේ යෙදුම සුරක්ෂිත, විශ්වාසනීය සහ පරිශීලක‑හිතකාමී වේ.
