Seminar Phoenix Framework – Authentifizierung und Autorisierung

Die Schulung entwickelt ein durchgängiges Sicherheitsmodell für Identität, Sitzungen, Token und fachliche Berechtigungen. Der Phoenix-Authentifizierungsgenerator wird verstanden, angepasst und mit Scopes für Controller, LiveViews und APIs verbunden.

Inhaltsübersicht

• Seminarprofil, Zielgruppe und Voraussetzungen
• Lernziele
• Schrittweise Seminarinhalte
• Praxisprojekt
• Methodik

Zielgruppe

Phoenix-Entwickler, Backend-Entwickler, Softwarearchitekten und Verantwortliche für Anwendungssicherheit

Voraussetzungen

Gute Phoenix- und Ecto-Grundkenntnisse sowie Erfahrung mit Controller- oder LiveView-Anwendungen

Lernziele

• Generierte Authentifizierung sicher beurteilen und anpassen
• Sitzungen, Token und Bestätigungsabläufe korrekt einsetzen
• Autorisierung über Scopes und fachliche Regeln durchsetzen
• Controller, LiveViews und APIs konsistent absichern

Seminarinhalte

1. Identitäten und Bedrohungsmodell

1. Schritt 1: Benutzer-, Team- und Organisationsbezug der Anwendung erfassen.
2. Schritt 2: Authentifizierung und Autorisierung fachlich trennen.
3. Schritt 3: Schutzbedarf für Konten, Sitzungen, Token und sensible Aktionen bestimmen.

2. Authentifizierungsgenerator verstehen

1. Schritt 1: Generierte Contexts, Schemas, Token und Webmodule analysieren.
2. Schritt 2: Registrierung, Anmeldung, Bestätigung und Wiederherstellung nachvollziehen.
3. Schritt 3: Anpassungspunkte von sicherheitskritischen Kernabläufen unterscheiden.

3. Sitzungen und Cookies

1. Schritt 1: Sichere Session-Konfiguration und Cookie-Eigenschaften prüfen.
2. Schritt 2: Anmeldung, Abmeldung und Sitzungsrotation korrekt behandeln.
3. Schritt 3: Mehrere Geräte und erzwungene Abmeldung kontrolliert abbilden.

4. Scopes und Datenzugriff

1. Schritt 1: Current-Scope-Strukturen für Benutzer, Teams oder Organisationen definieren.
2. Schritt 2: Kontextabfragen konsequent an den aktuellen Scope binden.
3. Schritt 3: Unsichere direkte Datensuche durch scope-basierte APIs ersetzen.

5. Autorisierung in Controller und LiveView

1. Schritt 1: Zugriffsprüfungen in Plugs und klaren Kontextfunktionen verankern.
2. Schritt 2: LiveView-Mounts und Navigation über on_mount absichern.
3. Schritt 3: UI-Ausblendung von serverseitiger Berechtigungsprüfung unterscheiden.

6. API-Authentifizierung

1. Schritt 1: Token-Ausgabe, Speicherung und Widerruf sicher modellieren.
2. Schritt 2: API-Anfragen einem Scope zuordnen und Berechtigungen prüfen.
3. Schritt 3: Tokenfehler, Ablauf und Rotation vorhersehbar behandeln.

7. Sensible Aktionen und Missbrauchsschutz

1. Schritt 1: Erneute Authentifizierung für kritische Änderungen vorsehen.
2. Schritt 2: Enumeration, Brute Force und unerwünschte Informationslecks reduzieren.
3. Schritt 3: Auditrelevante Ereignisse datensparsam protokollieren.

8. Sicherheitstests

1. Schritt 1: Positive und negative Berechtigungsfälle tabellarisch ableiten.
2. Schritt 2: Controller-, LiveView- und Kontextzugriffe automatisiert prüfen.
3. Schritt 3: Mandanten- und Benutzergrenzen mit gezielten Regressionstests absichern.

Praxisprojekt

Erweiterung einer Beispielanwendung um Registrierung, Anmeldung, Kontobestätigung, Sitzungsverwaltung, teambezogene Scopes, rollenbasierte Aktionen, API-Token und vollständige Negativtests.

Methodik

Kurze fachliche Einführungen wechseln mit Live-Demonstrationen, geführten Implementierungsschritten, eigenständigen Übungen, Code-Reviews, Fehlerszenarien und überprüfbaren Zwischenständen. Sämtliche Übungen bauen auf einem konsistenten Referenzprojekt auf.