Arco 04SeguridadMisión 12Pendiente

Diario secreto

Una app de diario privada, con login, donde sólo tú puedes leer lo que escribiste.

Días: 2
Temas: 5
Pasos: 7

Temario de esta misión

Concepto
Autenticación
Comprobar quién eres. Es la parte del login.
Concepto
Autorización
Decidir qué te deja hacer una vez que ya sabe quién eres. No es lo mismo que lo anterior.
Herramienta
Permisos por fila
La regla que vive en la base de datos y dice: cada quien sólo ve sus propias filas.
Concepto
Esconder no es proteger
Quitar un botón sólo esconde. La protección de verdad vive en el servidor.
Concepto
Token
El pase que tu navegador enseña en cada petición para probar que ya entraste.

Por qué importa

Esconder un botón no protege nada. Si los datos están en un servidor, la única protección de verdad es la regla que vive en el servidor. Hoy aprendes esa diferencia, que es la que casi todo el mundo confunde.

Desafío jefe · Bloquea a papá

Papá va a intentar leer tu diario desde su cuenta, y después sin usar tu página. Tienes que bloquearlo en los dos casos.

Pasos

1
Haz el login con correo y contraseña.
2
Haz que se puedan escribir y leer entradas del diario.
3
Crea una segunda cuenta, la de papá.
4
Desde la cuenta de papá, intenta leer tus entradas. Vas a poder. Ése es el punto.
5
Prende las reglas de permisos en la base de datos para que cada quien sólo vea lo suyo.
6
Vuelve a intentar desde la cuenta de papá. Ahora no debería dejarte.
7
Intenta otra vez, pero llamando a la base de datos directo, sin pasar por tu página.

Lo que desbloqueas

Autenticación
Permisos en la base de datos
La diferencia entre esconder y proteger

Misión 12 de 20