Node.js Uygulamalarında Güvenli Kimlik Doğrulama ve Yetkilendirme: JWT ile Adım Adım Rehber

Günümüz web uygulamalarında güvenlik, sadece bir "ek özellik" olmaktan çıkıp, projenin temel taşlarından biri haline geldi. Kullanıcı verilerinin korunması, yetkisiz erişimin engellenmesi ve uygulamanın bütünlüğünün sağlanması, her geliştiricinin öncelikli sorumluluğudur. Özellikle Node.js gibi sunucu taraflı JavaScript ortamında, esnek ve hızlı geliştirme imkanları sunarken, güvenlik açıklarına karşı da bir o kadar dikkatli olmalıyız.

Benim geliştirme tecrübelerimde, birçok projenin başlangıç aşamasında kimlik doğrulama (Authentication) ve yetkilendirme (Authorization) mekanizmalarının hafife alındığını, ancak zamanla büyüyen sistemlerde bu eksikliklerin ciddi sorunlara yol açtığını defalarca gördüm. Bu yazıda, Node.js ve Express.js tabanlı uygulamalarınızda, endüstri standardı olan JSON Web Token (JWT) kullanarak nasıl sağlam ve güvenli bir kimlik doğrulama ve yetkilendirme sistemi inşa edebileceğinizi adım adım açıklayacağım. Amacımız, uygulamanızı dış tehditlere karşı daha dirençli hale getirirken, kullanıcılarınıza güvenli bir deneyim sunmak.

Kimlik Doğrulama (Authentication) ve Yetkilendirme (Authorization) Arasındaki Fark Nedir?

Güvenlik konuşulurken sıkça karıştırılan bu iki kavramı netleştirmekle başlayalım:

• Kimlik Doğrulama (Authentication): "Sen kimsin?" sorusuna yanıt verir. Bir kullanıcının (veya sistemin) iddia ettiği kişi olduğunu doğrulamak sürecidir. Genellikle kullanıcı adı/şifre, parmak izi, yüz tanıma veya çok faktörlü kimlik doğrulama (MFA) gibi yöntemlerle yapılır. Başarılı bir kimlik doğrulamadan sonra, kullanıcıya genellikle bir kimlik kanıtı (bu yazıda JWT olacak) verilir.
• Yetkilendirme (Authorization): "Ne yapmaya iznin var?" sorusuna yanıt verir. Kimliği doğrulanmış bir kullanıcının, bir kaynak üzerinde belirli bir eylemi gerçekleştirmeye hakkı olup olmadığını belirleme sürecidir. Örneğin, bir yönetici tüm kullanıcıların bilgilerini görebilirken, sıradan bir kullanıcı sadece kendi bilgilerine erişebilir.

Uygulamamızda bu iki mekanizmayı doğru bir şekilde ayırmak ve uygulamak, güvenlik duruşumuzu önemli ölçüde güçlendirecektir.

JSON Web Token (JWT) Nedir ve Nasıl Çalışır?

JSON Web Token (JWT), internet ortamında taraflar arasında güvenli bir şekilde bilgi alışverişi yapmak için kullanılan kompakt, URL güvenli bir belirteçtir. Üç bölümden oluşur:

1. Header (Başlık): Token türünü (JWT) ve kullanılan imzalama algoritmasını (örneğin, HMAC SHA256 veya RSA) içerir.

2. Payload (Yük): Kimliği doğrulanmış kullanıcı hakkında bilgiler (kullanıcı ID'si, rolü vb. gibi) ve diğer talepleri (claim) içerir. Önemli: Hassas bilgileri (şifreler gibi) asla payload'a koymayın, çünkü payload base64 ile kodlandığı için kolayca okunabilir.

3. Signature (İmza): Header ve Payload'ın base64URL kodlu halleri ile bir sır (secret key) veya özel anahtar kullanılarak oluşturulur. Bu imza, token'ın bütünlüğünü ve kimliğini doğrular. Yani, token'ın içeriğinin yolda değiştirilip değiştirilmediğini kontrol etmemizi sağlar.

Bu üç bölüm birleştirilerek noktalama işaretleriyle ayrılmış (`header.payload.signature`) bir JWT oluşturulur. İstemci, sunucudan aldığı bu JWT'yi sonraki her istekte (genellikle HTTP Authorization başlığında Bearer şemasıyla) sunucuya geri gönderir. Sunucu, kendi elindeki sır ile token'ın imzasını doğrulayarak istemcinin kimliğini ve yetkilerini kontrol eder.

Avantajları Nelerdir?

• Durumsuzluk (Stateless): Sunucu, kimliği doğrulanmış kullanıcı bilgilerini kendi belleğinde tutmak zorunda kalmaz. Her istekte token'ı doğrulayarak durumu kontrol eder. Bu, özellikle mikroservis mimarilerinde ölçeklenebilirlik açısından büyük avantaj sağlar.
• Çapraz Alan Desteği (Cross-Domain): JWT'ler, farklı alan adları arasında kolayca paylaşılabilir, bu da tek oturum açma (Single Sign-On - SSO) senaryoları için uygundur.
• Mobil Uyumlu: Mobil uygulamalar genellikle JWT'leri daha kolay yönetir, çünkü çerezlere bağımlı değildir.

Node.js ve Express.js ile JWT Kimlik Doğrulama Uygulaması

Şimdi pratik bir örneğe geçelim. Basit bir Node.js ve Express.js uygulamasında kullanıcı kaydı, girişi ve korumalı bir rotayı nasıl yöneteceğimizi görelim.

Adım 1: Proje Kurulumu ve Bağımlılıklar

mkdir jwt-auth-app
cd jwt-auth-app
npm init -y
npm install express jsonwebtoken bcryptjs dotenv

• express: Web sunucusu için.
• jsonwebtoken: JWT oluşturma ve doğrulama için.
• bcryptjs: Şifreleri güvenli bir şekilde hash'lemek için.
• dotenv: Ortam değişkenlerini yönetmek için (güvenli anahtarlar vb.).

Proje kök dizininde bir .env dosyası oluşturun ve gizli anahtarınızı ekleyin:

JWT_SECRET=supersecretkeythatnobodyknows123
PORT=3000

Adım 2: Sunucu Ayarları (app.js veya index.js)

require('dotenv').config();
const express = require('express');
const jwt = require('jsonwebtoken');
const bcrypt = require('bcryptjs');

const app = express();
app.use(express.json()); // JSON istek gövdelerini ayrıştırmak için

const PORT = process.env.PORT || 3000;
const JWT_SECRET = process.env.JWT_SECRET;

// Basit bir kullanıcı veritabanı simülasyonu (gerçek projede MongoDB veya PostgreSQL kullanırsınız)
const users = [];

// --- Korumalı Rota Middleware'i ---
const authenticateToken = (req, res, next) => {
  const authHeader = req.headers['authorization'];
  const token = authHeader && authHeader.split(' ')[1]; // Bearer TOKEN formatından TOKEN'ı al

  if (token == null) return res.sendStatus(401); // Token yoksa yetkisiz

  jwt.verify(token, JWT_SECRET, (err, user) => {
    if (err) {
      // Hata durumunda (token süresi dolmuş, geçersiz imza vb.)
      // Hata yönetimi burada kritik. Daha detaylı bilgi için:
      // https://ismailyagci.com/articles/nodejs-ve-expressjste-guclu-hata-yonetimi-uygulamanizi-daha-dayanikli-hale-getirin
      return res.sendStatus(403); // Geçersiz token
    }
    req.user = user; // Doğrulanmış kullanıcı bilgisini isteğe ekle
    next(); // Bir sonraki middleware'e geç
  });
};

// --- Rotalar ---

// Kullanıcı Kaydı
app.post('/register', async (req, res) => {
  try {
    const { username, password } = req.body;
    if (!username || !password) {
      return res.status(400).send('Kullanıcı adı ve şifre gerekli.');
    }
    
    // Şifreyi hash'le
    const hashedPassword = await bcrypt.hash(password, 10); // 10, tuzlama tur sayısı
    
    const newUser = { id: users.length + 1, username, password: hashedPassword };
    users.push(newUser);
    res.status(201).send('Kayıt başarılı!');
  } catch (error) {
    res.status(500).send('Sunucu hatası: ' + error.message);
  }
});

// Kullanıcı Girişi
app.post('/login', async (req, res) => {
  const { username, password } = req.body;
  if (!username || !password) {
    return res.status(400).send('Kullanıcı adı ve şifre gerekli.');
  }

  const user = users.find(u => u.username === username);
  if (!user) {
    return res.status(400).send('Kullanıcı bulunamadı.');
  }

  const isPasswordValid = await bcrypt.compare(password, user.password);
  if (!isPasswordValid) {
    return res.status(401).send('Geçersiz şifre.');
  }

  // JWT oluştur
  const token = jwt.sign(
    { id: user.id, username: user.username }, 
    JWT_SECRET, 
    { expiresIn: '1h' } // Token 1 saat sonra geçersiz olacak
  );

  res.json({ token });
});

// Korumalı Rota (yalnızca kimliği doğrulanmış kullanıcılar erişebilir)
app.get('/profile', authenticateToken, (req, res) => {
  res.json({ message: `Hoş geldiniz, ${req.user.username}! Bu sizin profiliniz.`, user: req.user });
});

// Sunucuyu Başlat
app.listen(PORT, () => {
  console.log(`Sunucu http://localhost:${PORT} adresinde çalışıyor`);
});

Adım 3: Test Etme (Örneğin Postman veya cURL ile)

1. Kayıt Olma:

   POST /register
   Content-Type: application/json
   
   {
       "username": "ismailyagci",
       "password": "mysecretpassword"
   }

   Yanıt: Kayıt başarılı!

2. Giriş Yapma ve Token Alma:

   POST /login
   Content-Type: application/json
   
   {
       "username": "ismailyagci",
       "password": "mysecretpassword"
   }

   Yanıt: { "token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9..." } (Token'ı kopyalayın)

3. Korumalı Rotaya Erişim:

   GET /profile
   Authorization: Bearer [Aldığınız-Token]
   Content-Type: application/json

   Yanıt: { "message": "Hoş geldiniz, ismailyagci! Bu sizin profiliniz.", "user": { "id": 1, "username": "ismailyagci", "iat": ..., "exp": ... } }

4. Geçersiz Token ile Erişim Denemesi: Aynı korumalı rotaya yanlış veya süresi dolmuş bir token ile erişmeye çalışırsanız 403 Forbidden hatası alırsınız.

JWT Güvenliği İçin En İyi Uygulamalar

JWT'ler güçlü olsa da, doğru kullanılmazlarsa güvenlik açıkları yaratabilirler. İşte dikkat etmeniz gerekenler:

• Token'ı Güvenli Saklama: İstemci tarafında JWT'yi depolamak önemlidir. localStorage yerine HttpOnly çerezleri (cookies) kullanmak XSS (Cross-Site Scripting) saldırılarına karşı daha güvenlidir. HttpOnly çerezlere JavaScript ile erişilemez, bu da kötü amaçlı komut dosyalarının token'ı ele geçirmesini engeller. Ancak CSRF (Cross-Site Request Forgery) saldırılarına karşı ek önlemler (CSRF token'ları) gerektirir.

• Kısa Token Süresi (Expiration): Token'ların süresini kısa tutun (örneğin 15 dakika - 1 saat). Bu, bir token çalınsa bile, saldırganın kullanabileceği süreyi kısıtlar. Uzun süreli oturumlar için Refresh Token mekanizması kullanın. Refresh token'lar daha uzun ömürlü olabilir ve yeni access token'lar almak için kullanılır.

• Refresh Token Kullanımı: Refresh token'lar, kullanıcının tekrar giriş yapmasına gerek kalmadan yeni bir access token almasını sağlar. Bu token'ları güvenli bir şekilde (örneğin, veritabanında veya HttpOnly çerezde) depolayın ve tek kullanımlık (one-time use) yapıyı tercih edin.

• Token İptali (Revocation/Blacklisting): Eğer bir token'ın çalındığından şüpheleniyorsanız veya kullanıcı çıkış (logout) yaparsa, o token'ı derhal geçersiz kılmanız gerekir. Bu, bir "kara liste" (blacklist) mekanizması ile yapılabilir. Çıkış yapan veya çalınan token'ları bir Redis gibi in-memory veritabanında saklayıp, her istekte bu listede olup olmadığını kontrol edebilirsiniz. Bu, veri optimizasyonu açısından da Redis'in ne kadar etkili olabileceğini gösterir.

• HTTPS Kullanımı: Tüm iletişim HTTP yerine HTTPS üzerinden yapılmalıdır. Bu, JWT'nin (ve diğer hassas verilerin) ağ trafiği sırasında şifrelenmesini ve saldırganlar tarafından okunmasını engeller.

• Gizli Anahtarı Güvende Tutun: JWT_SECRET anahtarınızın tahmin edilemez, uzun ve karmaşık olduğundan emin olun ve asla sürüm kontrol sistemlerine (Git) yüklemeyin. Ortam değişkenleri (Node.js Event Loop bağlamında bahsettiğim gibi, bunlar uygulamanın çalışması için kritik olabilir) veya bir sır yöneticisi (secret manager) ile yönetin.

• Girdi Doğrulama ve Temizleme: Tüm kullanıcı girdilerini (kayıt, giriş, profil güncellemeleri) dikkatlice doğrulayın ve temizleyin. Bu, SQL Enjeksiyonu, XSS gibi saldırıları önlemenin temelidir. Node.js ve Express.js'te Güçlü Hata Yönetimi yazımda da belirttiğim gibi, sağlam bir hata yönetimi, hatalı girdilerin nasıl işleneceğini belirlemede kritik rol oynar.

• Şifre Hash'leme: Şifreleri asla düz metin olarak saklamayın. bcrypt gibi algoritmalarla hash'leyin. bcrypt'in yavaş tasarlanmış olması, kaba kuvvet saldırılarına karşı direnci artırır.

Sonuç

Node.js uygulamalarınızda güvenli bir kimlik doğrulama ve yetkilendirme sistemi inşa etmek, sadece kullanıcı deneyimi için değil, uygulamanızın uzun vadeli başarısı ve itibarı için de hayati öneme sahiptir. JSON Web Token (JWT), bu ihtiyacı karşılamak için modern ve etkili bir çözüm sunar. Doğru stratejilerle uygulandığında, ölçeklenebilir ve sağlam bir güvenlik katmanı oluşturmanıza olanak tanır.

Ancak unutmayın, güvenlik sürekli bir süreçtir. Uygulamanızı geliştirirken, güncel güvenlik açıkları ve en iyi uygulamalar hakkında bilgi sahibi olmaya devam etmek esastır. Bu yazıda ele aldığımız prensipler ve örnekler, Node.js ve Express.js ile güvenliğin temelini atmanıza yardımcı olacaktır.

Eğer aklınıza takılan sorular olursa veya bu konularda daha derinlemesine bilgi almak isterseniz, bana ismailyagci371@gmail.com adresinden veya sosyal medya kanallarımdan (İsmail YAĞCI) ulaşabilirsiniz. Sağlıklı ve başarılı geliştirme süreçleri dilerim!

Orijinal yazı: https://ismailyagci.com/articles/nodejs-uygulamalarinda-guvenli-kimlik-dogrulama-ve-yetkilendirme-jwt-ile-adim-adim-rehber