Sesiones y permisos: quién es quién dentro de tu aplicación

El servidor no recuerda: hay que decirle quién eres cada vez

El HTTP es amnésico: cada petición es un desconocido nuevo. Para que el backend sepa quién llama y qué puede hacer, la identidad viaja con cada petición dentro de una sesión o un token. Los permisos son las reglas que deciden, con esa identidad en mano, si la operación se autoriza o se rechaza.

La identidad viaja con cada petición

1 · Inicia sesión
Al entrar, el servidor entrega un token que identifica al usuario.
2 · Cada petición lo lleva
El frontend manda el token en cada llamada: así el servidor sabe quién eres.
3 · Permiso
Con la identidad clara, el backend decide si puede hacer ESA acción.

Sesión, token y permiso (en una frase)

Los conceptos se reutilizan de APIs; aquí los aplicas a quién puede tocar qué dato.
Concepto	Qué es	Analogía
Sesión	El «estado de estar conectado» del usuario	tu pulsera de acceso en un evento
Token	La credencial que viaja en cada petición	el boleto con tu nombre que muestras en cada puerta
Permiso	La regla de qué puede hacer esa identidad	que con tu pulsera entras a zona VIP pero no a cocina
Rol	Un paquete de permisos para un tipo de usuario	admin, editor, invitado

Para reforzar

Prompt de permisos

Autorizar en el servidor, operación por operación

texto

Implementa control de acceso en el CRUD de Contactos:\n- en cada peticion, lee el token; si no hay token valido, responde 401 (no autorizado).\n- un usuario normal solo puede listar, crear, editar y borrar SUS propios contactos (comprueba el campo owner_id).\n- un usuario con rol «admin» puede ver todos.\n- si intenta tocar un contacto ajeno, responde 403, no lo devuelvas vacio disfrazado de exito.\n\nLa comprobacion va en el SERVIDOR en cada endpoint, no solo ocultando botones en el frontend.

Ocultar un botón no es un permiso: el servidor debe rechazar la acción aunque lleguen directo a la API.

Prueba

En tu app, «Ana» no ve el botón de borrar los contactos de «Luis». Pero Luis sabe la dirección del endpoint y llama a DELETE /contactos/{id} sin permiso. ¿Qué debe pasar?

El token de un usuario debe viajar dentro de cada petición para que el backend sepa quién llama.

Detecta el permiso de juguete

Revisas cómo una IA aplicó permisos en tu app. Señala la decisión que da una falsa sensación de seguridad:

Marca la línea o las líneas con error y pulsa Comprobar.

Define 2 roles para tu proyecto (p. ej. usuario y admin) y escribe qué puede y qué no puede hacer cada uno sobre tus entidades. Pídele a la IA que lo aplique en el servidor.

Si un permiso se puede saltar llamando directo a la API, no es un permiso: es decoración.

Tu texto se guarda sólo en este dispositivo.