authentication اور authorization میں کیا فرق ہے؟

Question

Accepted Answer

**Authentication** آپ کی شناخت (identity) کی تصدیق کرتا ہے، جبکہ **authorization** یہ طے کرتا ہے کہ آپ کیا کر سکتے ہیں (permissions)۔ یہ الگ الگ ہیں لیکن آپس میں منسلک ہیں — پہلے authentication ہوتی ہے (شناخت ثابت کریں)، پھر authorization (اختیارات چیک کریں)۔ ان کو الجھانا ایک عام غلطی ہے۔

## Authentication — آپ کون ہو؟

```text
AUTHENTICATION (AuthN) verifies IDENTITY — confirming you are who you claim to be:
  → login with credentials (password), tokens, biometrics, multi-factor (MFA)
  → "Prove you are Ann" → the system confirms your identity
→ answers: WHO are you?
```

## Authorization — آپ کیا کر سکتے ہو؟

```text
AUTHORIZATION (AuthZ) determines PERMISSIONS — what an authenticated user is allowed to do:
  → can this user access this resource? perform this action? (roles, permissions)
  → "Ann is authenticated, but is she allowed to delete this record?"
→ answers: what are you ALLOWED to do?
```

## تعلق اور ترتیب

```text
1. AUTHENTICATION first → establish WHO you are (log in)
2. AUTHORIZATION next → check what you're ALLOWED to do (per request/action)
→ You must be authenticated before authorization is meaningful (know who, then what they can do).
→ Both are needed: authenticated but unauthorized (logged in, but can't do X) is common.
```

## عام غلطیاں

```text
⚠️ Confusing the two (they're different concerns)
⚠️ BROKEN ACCESS CONTROL (authorization flaws) → a TOP vulnerability (OWASP #1):
   → not checking authorization properly → users access/modify what they shouldn't
   → e.g. changing an ID in a URL to access another user's data (IDOR)
→ Always enforce authorization on the SERVER for every protected action.
```

## یہ اہم کیوں ہے

authentication اور authorization کے درمیان فرق سمجھنا بنیادی ہے کیونکہ یہ **رسائی کنٹرول کے مرکزی سیکیورٹی تصورات** ہیں، اور ان کو الجھانا ایک عام اور سنگین غلطی ہے، اس لیے یہ ضروری سیکیورٹی علم ہے۔

یہ تمیز — **authentication آپ کی شناخت کی تصدیق کرتا ہے** (identity، login/credentials/MFA کے ذریعے) جبکہ **authorization یہ طے کرتا ہے کہ آپ کیا کر سکتے ہو** (permissions، وسائل اور اعمال تک رسائی چیک کرنا) — یہ بنیادی ہے کہ ایپلیکیشنز رسائی کو کیسے کنٹرول کرتی ہیں، اور اسے واضح طور پر سمجھنا محفوظ نظام بنانے کے لیے ضروری ہے۔

**تعلق اور ترتیب** سمجھنا (پہلے authentication شناخت قائم کرنے کے لیے، پھر ہر عمل کے لیے authorization اختیارات چیک کرنے کے لیے، دونوں کی ضرورت ہے — ایک authenticated صارف بھی مخصوص اعمال کے لیے unauthorized ہو سکتا ہے) وضاحت کرتا ہے کہ وہ رسائی کنٹرول میں کیسے مل کر کام کرتے ہیں۔

اہم طور پر، **عام غلطیوں** کو سمجھنا اہم ہے: دونوں تصورات کو الجھانا، اور خاص طور پر **broken access control** (authorization کی خرابیاں — OWASP کا #1 خطرہ) جہاں authorization صحیح طریقے سے چیک نہیں ہوتا، صارفین کو وہ رسائی دیتے ہوئے جو انہیں نہیں ہونی چاہیے (جیسے IDOR کمزوری جہاں URL میں ID تبدیل کرتے ہوئے دوسرے صارف کے ڈیٹا تک رسائی حاصل کرتے ہیں)۔

**ہمیشہ server پر ہر محفوظ عمل کے لیے authorization کو نافذ کریں** کی ہدایت ضروری سیکیورٹی طریقہ کار ہے — ایک عام حقیقی کمزوری authorization کو صحیح طریقے سے چیک نہ کرنا ہے، یا client کو یہ نافذ کرنے پر انحصار کرنا ہے۔

چونکہ رسائی کنٹرول (authentication + authorization) ایپلیکیشن سیکیورٹی کے لیے بنیادی ہے اور ان تصورات کو الجھانا یا غلط طریقے سے استعمال کرنا سنگین کمزوریوں کی طرف لے جاتا ہے (خاص طور پر broken access control، سب سے بڑا خطرہ)، اور چونکہ اس تمیز، ان کی ترتیب، اور عام authorization کی غلطیوں کو سمجھنا محفوظ نظام بنانے کے لیے ضروری ہے، authentication بمقابلہ authorization کو سمجھنا ضروری اور بنیادی سیکیورٹی علم ہے — رسائی کنٹرول کے لیے مرکزی تصورات جو ہر ڈیولپر کو واضح طور پر سمجھنی چاہیے، محفوظ ایپلیکیشنز بنانے کے لیے مرکزی اور broken-access-control کی کمزوریوں سے بچنے کے لیے جو سب سے عام اور سنگین سیکیورٹی کی خرابیاں ہیں۔