ما هي آليات المصادقة الشائعة (الجلسات، JWT، OAuth)؟

Question

Accepted Answer

تستخدم التطبيقات الحديثة آليات **مصادقة** متنوعة — المصادقة القائمة على الجلسات، والمصادقة القائمة على الرموز (JWT)، والمصادقة المفوضة (OAuth/OpenID Connect). فهم كيفية عمل كل منها والمقارنات بينها مهم لتنفيذ مصادقة آمنة.

## المصادقة القائمة على الجلسات

```text
SESSION-based (traditional):
  → user logs in → server creates a SESSION (stored server-side) → sends a session ID
    cookie → the browser sends it with each request → server looks up the session
  ✓ server controls sessions (easy to revoke); simple; cookie auto-sent
  ✗ stateful (server stores sessions); scaling needs shared session storage
```

## المصادقة القائمة على الرموز (JWT)

```text
JWT (JSON Web Token):
  → user logs in → server issues a SIGNED token containing claims (user id, etc.) →
    client stores it → sends it (usually in an Authorization header) per request →
    server VERIFIES the SIGNATURE (no server-side lookup needed)
  ✓ STATELESS (scales easily; no session store); works well for APIs/SPAs/mobile
  ✗ hard to REVOKE before expiry (it's self-contained) → use short expiry + refresh tokens
  ⚠️ store securely; don't put secrets in the (readable) payload; validate properly
```

## OAuth 2.0 / OpenID Connect

```text
OAUTH 2.0 → DELEGATED AUTHORIZATION ("Log in with Google/GitHub"):
  → let users authenticate via a third party without sharing their password with your app
  → your app gets a token to access permitted resources (scoped)
OPENID CONNECT (on top of OAuth) → adds AUTHENTICATION (identity) → standard for SSO/
  social login
→ delegate auth to trusted providers; users don't create another password.
```

## السبب في أهميتها

فهم آليات المصادقة الشائعة مهم لأن **المصادقة أساسية في معظم التطبيقات**، واختيار وتنفيذها بشكل صحيح يؤثر على الأمان والعمارة، لذا فهي معرفة قيمة.

كل آلية من الآليات الرئيسية لها خصائص ومقارنات. **المصادقة القائمة على الجلسات** (جلسات من جانب الخادم مع ملف تعريف ارتباط معرف الجلسة) تعطي الخادم التحكم في الجلسات (إلغاء سهل) لكنها stateful (تتطلب تخزين جلسة مشترك للتوسع). المصادقة **JWT (القائمة على الرموز)** (رموز موقعة قائمة على ذاتها يتم التحقق منها بدون بحث في الخادم) هي **stateless** (التوسع سهل، يعمل بشكل جيد للـ APIs و SPAs والجوال) لكن لها مقابلة ملحوظة وهي أن **الرموز صعب إلغاؤها قبل انتهاء صلاحيتها** (بما أنها قائمة على ذاتها، تتطلب صلاحية قصيرة بالإضافة إلى رموز التحديث) ويجب تخزينها بأمان بدون أسرار في الحمل القابل للقراءة — فهم هذه الاعتبارات الخاصة بـ JWT مهم لأن JWTs شائعة لكن يتم إساءة استخدامها بشكل شائع. **OAuth 2.0 و OpenID Connect** (المصادقة المفوضة — "تسجيل الدخول باستخدام Google/GitHub") تسمح للمستخدمين بالمصادقة عبر أطراف ثالثة موثوقة بدون مشاركة كلمات المرور مع تطبيقك، وهي المعيار لـ SSO و social login.

فهم هذه الآليات، وكيفية عملها، و**المقارنات بينها** (statefulness الجلسات والإلغاء السهل مقابل statelessness JWT وصعوبة الإلغاء؛ OAuth للمصادقة المفوضة) مهم لاختيار الأسلوب الصحيح (الجلسات للتطبيقات الويب التقليدية مع التحكم في الخادم، JWT للـ APIs stateless، OAuth للمصادقة المفوضة/social login) وتنفيذها بأمان.

المصادقة أساسية، والحصول عليها بشكل صحيح (آلية صحيحة، تنفيذ آمن) حاسم للأمان.

بما أن المصادقة أساسية في معظم التطبيقات والآليات (الجلسات، JWT، OAuth) لها اختلافات مهمة ومقارنات تؤثر على الأمان والعمارة، وبما أن فهمها ضروري لتنفيذ المصادقة بشكل صحيح، فهم آليات المصادقة الشائعة معرفة أمان قيمة وعملية — مهمة للاحتياج الأساسي للمصادقة، وتمكين الاختيارات الصحيحة بين الجلسات و JWT و OAuth وتنفيذهم بأمان، وهو موضوع رئيسي لبناء تطبيقات آمنة مع مصادقة صحيحة.