Seguridad

Esta sección separa autenticación de autorización y distingue el mecanismo del framework de la política elegida por cada aplicación. Las referencias detalladas describen ramas trazadas en el código; sus límites de ejecución permanecen visibles.

Dos controles distintos

La referencia de autenticación cubre detección y validación de JWT y API keys, resolución de identidad, rutas, proveedor IAuth y códigos observados o trazados. Presencia de credencial y validez son conceptos distintos.

La guía de JWT separa los tokens de acceso, renovación y email, y documenta que el controlador procede del paquete opcional simplerest-jwt-auth.

La referencia de ACL y autorización API describe roles, permisos de recurso y especiales, fuentes por usuario, composición de callables del API y sus límites. Factory::acl() carga la selección de aplicación; el core no decide por sí solo una política concreta.

Las implementaciones ACL distinguen BasicACL y FineGrainedACL; el motor de autorización cubre snapshots, policies, jerarquía y máscaras de permisos.

Lecturas relacionadas

• HTTP/API y resolución de endpoints automáticos explican el despacho de recursos.
• El ciclo HTTP queda separado de la autenticación y la autorización a nivel de controlador.
• Las guías separan el código core, los paquetes opcionales y la configuración de aplicación. No se reprodujo autorización end-to-end con identidad y permisos de base de datos.