## Giriş Bir web uygulaması geliştirirken, API uç noktalarınızı yetkisiz erişimlere karşı korumanız çok önemlidir. Diyelim ki çevrimiçi bir alışveriş sitesi kuruyorsunuz; siber hırsızların API'nizi istismar etmesini kesinlikle istemezsiniz. Kullanıcıların belirli eylemleri gerçekleştirmeden önce oturum açması gereken bir kullanıcı kimlik doğrulaması ile bir Express.js uygulaması geliştirdiğinizi varsayalım. Değilse, [Logto](https://logto.io/) ile yolculuğunuza başlayabilirsiniz. Kullanıcı kimlik doğrulama akışını oluşturmak için sadece birkaç satır koda ihtiyaç duyarsınız. Ancak kullanıcı kimlik doğrulamasından sonra bile, API uç noktalarınızı korumak için çeşitli seçeneklerle karşılaşırsınız. Maalesef, bu seçeneklerin çoğunun dezavantajları vardır: - **Oturum tabanlı kimlik doğrulama**: API'nizi bir oturum deposuna bağlamak, ölçeklenebilir değildir ve mikro hizmetlere uygun değildir. - **Bir kimlik doğrulama hizmeti çağırmak**: Bu, ekstra bir ağ çağrısı gerektirir, gecikme ve maliyetleri artırır. Bazı kimlik doğrulama hizmetleri, API çağrı hacmine göre ücret alır ve bu da önemli maliyetlere yol açabilir. Bu eğitimde, JSON Web Tokens (JWT) ve Logto kullanarak API uç noktalarınızı nasıl güçlendirebileceğinizi göstereceğiz. Bu yaklaşım, ölçeklenebilirlik ve minimal ek maliyetler sunar. ## Ön Koşullar Başlamadan önce, aşağıdakilere sahip olduğunuzdan emin olun: - Bir Logto hesabı. Eğer yoksa, [ücretsiz kaydolabilirsiniz](https://cloud.logto.io/). - API korumasına ihtiyaç duyan bir Express.js projesi ve API'yi tüketen bir istemci uygulaması. - [JSON Web Token (JWT)](https://datatracker.ietf.org/doc/html/rfc7519) ile ilgili temel bilgilere aşinalık. RFC'nin uzun olabileceğini anlıyoruz. Kısacası, bir JWT, üç bölümden oluşan base64 kodlamalı bir dizedir: başlık, içerik ve imza. İçerik, istediğiniz bilgileri depolar ve imza, token bütünlüğünü sağlar. ## Logto'da API kaynağınızı tanımlayın Logto, API uç noktalarınızı güvence altına almak için [RFC 8707: OAuth 2.0 için Kaynak Göstergeleri](https://datatracker.ietf.org/doc/html/rfc8707)'ndan tam anlamıyla yararlanır. Bu, API kaynaklarınızı gerçek URL'leriyle tanımlayabileceğiniz anlamına gelir. Logto Konsolunda "API kaynakları" sekmesine gidin ve yeni bir kaynak oluşturmak için "API kaynağı oluştur" üzerine tıklayın. Örneğin, `/api/products` uç noktasını korumak istiyorsanız, `https://yourdomain.com/api/products` URL'sini tanımlayıcı olarak kullanabilirsiniz. ![API kaynağı oluştur](https://uploads.strapi.logto.io/1/create_api_resource_13a2c8e660.png) ## İstemci uygulamanızda bir erişim tokenı alın Devam etmek için, Logto SDK'sını istemci uygulamanıza entegre etmeniz gerekecek. Bu uygulama, Express.js arka ucunuzdan farklı olabilir; örneğin, arka uç API sunucusu olarak Express.js kullanan bir React uygulamanız olabilir. Bu izni talep etmek için Logto SDK yapılandırmasını, API'niz için bir erişim tokenı talep etmek istediğinizi Logto'ya bildirecek şekilde ayarlamanız gerekecek. İşte React kullanan bir örnek: ```tsx import { LogtoProvider } from '@logto/react'; const App = () => { return ( ); }; ``` Kullanıcı Logto ile oturum açtığında, Logto SDK'sı içindeki `isAuthenticated` `true` olur: ```tsx import { useLogto } from '@logto/react'; const Content = () => { const { isAuthenticated } = useLogto(); console.log(isAuthenticated); // true }; ``` Artık `getAccessToken` metodunu kullanarak API'niz için bir erişim tokenı alabilirsiniz: ```tsx const Content = () => { const { getAccessToken, isAuthenticated } = useLogto(); useEffect(() => { if (isAuthenticated) { const accessToken = await getAccessToken('https://yourdomain.com/api/products'); console.log(accessToken); // eyJhbG... } }, [isAuthenticated, getAccessToken]); }; ``` Son olarak, API'ye istek gönderirken bu erişim tokenını `Authorization` başlığına dahil edin: ```tsx const Content = () => { const { getAccessToken, isAuthenticated } = useLogto(); useEffect(() => { if (isAuthenticated) { const accessToken = await getAccessToken('https://yourdomain.com/api/products'); const response = await fetch('https://yourdomain.com/api/products', { headers: { Authorization: `Bearer ${accessToken}`, }, }); } }, [isAuthenticated, getAccessToken]); }; ``` ## API'nizde erişim tokenını doğrulayın Express.js uygulamanızda, JWT doğrulaması için `jose` kütüphanesini kurun: ```bash npm install jose ``` Bearer kimlik doğrulamasını kullandığımız için, erişim tokenını `Authorization` başlığından çıkarın: ```ts import { IncomingHttpHeaders } from 'http'; const extractBearerTokenFromHeaders = ({ authorization }: IncomingHttpHeaders) => { if (!authorization) { throw new Error('Authorization başlığı eksik'); } if (!authorization.startsWith('Bearer')) { throw an Error('Authorization başlığı Bearer düzeninde değil'); } return authorization.slice(7); // 'Bearer ' uzunluğu 7'dir }; ``` Daha sonra, erişim tokenını doğrulamak için bir ara yazılım oluşturun: ```ts import { createRemoteJWKSet, jwtVerify } from 'jose'; // Logto sunucusundan elde edilen jwks_uri kullanarak bir JWKS oluşturun // `` yerine kendi Logto uç noktanızı koyun, örneğin `abc123.logto.app` const jwks = createRemoteJWKSet(new URL('https:///oidc/jwks')); export const authMiddleware = async (req, res, next) => { // Yukarıda tanımlanan yardımcı fonksiyonu kullanarak tokenı çıkar const token = extractBearerTokenFromHeaders(req.headers); const { payload } = await jwtVerify( // İstek başlığından çıkarılmış ham Bearer Token token, jwks, { // Tokenın beklenen vericisi, Logto sunucusu tarafından verilir issuer: 'https:///oidc', // Beklenen hedef token, mevcut API'nin kaynak göstergesi audience: 'https://yourdomain.com/api/products', } ); // Alt kullanıcı ID'si, kullanıcı tanımlaması için kullanılır const { scope, sub } = payload; // Rol tabanlı erişim kontrolü için, bunu daha sonra tartışacağız assert(scope.split(' ').includes('read:products')); return next(); }; ``` Artık bu ara yazılımı kullanarak API uç noktalarınızı koruyabilirsiniz: ```ts app.get('/api/products', authMiddleware, (req, res) => { // ... }); ``` Bu yaklaşımla, her istekte Logto sunucusuyla iletişim kurmanıza gerek kalmaz. Bunun yerine, Logto sunucusundan JSON Web Key Set (JWKS) bir kerelik alır ve ardından erişim tokenlarını yerel olarak doğrularsınız. ## Rol tabanlı erişim kontrolü Bu noktaya kadar, sadece kullanıcının Logto ile oturum açtığını doğruladık. Henüz kullanıcının API uç noktasına erişim iznine sahip olup olmadığını bilmiyoruz. Bunun nedeni, Logto'nun herhangi birine mevcut bir API kaynağı için erişim tokenı almasına izin vermesidir. Bunu ele almak için, rol tabanlı erişim kontrolü (RBAC) kullanabiliriz. Logto'da, roller tanımlayıp onlara izinler atayabilirsiniz. Logto'da roller ve izinlerin nasıl tanımlanacağını öğrenmek için [bu öğretici](https://docs.logto.io/docs/recipes/rbac/)yi inceleyin. Rolleri ve izinleri tanımladıktan sonra, `LogtoProvider` bileşenine `scopes` seçeneğini ekleyebilirsiniz: ```tsx ``` Logto daha sonra uygun kapsam(lar) ile kullanıcılara erişim tokenı verecektir. Örneğin, bir kullanıcı yalnızca `read:products` kapsamına sahipse, erişim tokenı yalnızca bu kapsamı içerecektir: ```json { "scope": "read:products", "sub": "1234567890" } ``` Bir kullanıcı hem `read:products` hem de `write:products` kapsamlarına sahipse, erişim tokenı her iki kapsamı da içerir ve bir boşluk karakteriyle birbirinden ayrılır: ```json { "scope": "read:products write:products", "sub": "1234567890" } ``` Express.js uygulamanızda, API uç noktasına erişim yetkisi vermeden önce erişim tokenının doğru kapsam(ları) içerip içermediğini doğrulayabilirsiniz: ```ts assert(scope.split(' ').includes('read:products')); ``` ## Sonuç API uç noktalarını korurken aynı zamanda ölçeklenebilirliği sağlamak göz korkutucu bir görev olabilir. Logto'da, geliştiriciler için istek kimlik doğrulamasını basitleştirmeyi amaçlıyoruz, böylece iş mantığınıza daha fazla odaklanabilirsiniz. Herhangi bir sorunuz varsa, [Discord sunucumuza](https://discord.gg/UEPaF3j5e6) katılmaktan çekinmeyin. Topluluğumuz sizi her zaman yardımcı olmaktan mutluluk duyar. Bugün Logto'yu deneyin