لماذا المصادقة في الإنتاج أصعب مما تبدو؟

معظم مطوري الباك-إند يبنون نظام مصادقة بسيطاً بـ JWT ويعتقدون أن الأمر انتهى. لكن في بيئة الإنتاج الحقيقية — مع آلاف المستخدمين المتزامنين ومحاولات اختراق حقيقية — تحتاج إلى منظومة متكاملة تدعم استراتيجيات متعددة، وتُسجّل درجة مخاطرة لكل طلب، وتتعامل مع حالات الحافة بذكاء.

الاستراتيجيات المتعددة للمصادقة (Multi-Strategy Auth)

NestJS يدعم عبر Passport.js استراتيجيات متعددة في نفس التطبيق. الفكرة هي أن كل نقطة API قد تحتاج طريقة مصادقة مختلفة:

1. تعريف استراتيجية JWT

@Injectable()
export class JwtStrategy extends PassportStrategy(Strategy, 'jwt') {
  constructor(private configService: ConfigService) {
    super({
      jwtFromRequest: ExtractJwt.fromAuthHeaderAsBearerToken(),
      ignoreExpiration: false,
      secretOrKey: configService.get('JWT_SECRET'),
    });
  }

  async validate(payload: JwtPayload) {
    return {
      userId: payload.sub,
      email: payload.email,
      role: payload.role,
    };
  }
}

2. استراتيجية API Key للخدمات الداخلية

@Injectable()
export class ApiKeyStrategy extends PassportStrategy(Strategy, 'api-key') {
  constructor(private authService: AuthService) {
    super({ header: 'X-API-Key', prefix: '' });
  }

  async validate(apiKey: string) {
    const service = await this.authService.validateApiKey(apiKey);
    if (!service) throw new UnauthorizedException('Invalid API Key');
    return service;
  }
}

نظام تسجيل المخاطر (Risk Scoring)

بدلاً من قبول أو رفض طلب المصادقة بشكل ثنائي، نظام المخاطر يُعيّن درجة لكل محاولة تسجيل دخول بناءً على عوامل متعددة:

3. خدمة حساب درجة المخاطرة

@Injectable()
export class RiskScoringService {
  async calculateRisk(context: RiskContext): Promise {
    let score = 0;

    // عامل 1: عدد المحاولات الفاشلة
    const failedAttempts = await this.getFailedAttempts(context.ip);
    if (failedAttempts > 3)  score += 30;
    if (failedAttempts > 10) score += 50;

    // عامل 2: موقع غير معتاد
    const isUnusualLocation = await this.checkLocation(
      context.userId, context.ip
    );
    if (isUnusualLocation) score += 25;

    // عامل 3: جهاز غير معروف
    const isKnownDevice = await this.checkDevice(
      context.userId, context.userAgent
    );
    if (!isKnownDevice) score += 20;

    // عامل 4: وقت غير اعتيادي
    const hour = new Date().getHours();
    if (hour < 5 || hour > 23) score += 10;

    return {
      score,
      level: score < 30 ? 'low' : score < 60 ? 'medium' : 'high',
      requiresMfa: score >= 40,
      blockLogin: score >= 80,
    };
  }
}

Guard المصادقة المتكامل مع المخاطر

@Injectable()
export class AdaptiveAuthGuard implements CanActivate {
  constructor(
    private riskService: RiskScoringService,
    private jwtService: JwtService,
  ) {}

  async canActivate(context: ExecutionContext): Promise {
    const request = context.switchToHttp().getRequest();
    const token = this.extractToken(request);

    if (!token) throw new UnauthorizedException();

    const payload = await this.jwtService.verifyAsync(token);

    // حساب درجة المخاطرة
    const risk = await this.riskService.calculateRisk({
      userId: payload.sub,
      ip: request.ip,
      userAgent: request.headers['user-agent'],
    });

    if (risk.blockLogin) {
      throw new ForbiddenException('High-risk activity detected');
    }

    // إضافة بيانات المخاطرة للطلب
    request.user = { ...payload, riskScore: risk };
    return true;
  }
}

نظام تحديث الـ Tokens آمناً (Refresh Token Rotation)

@Injectable()
export class TokenService {
  async rotateRefreshToken(oldToken: string): Promise {
    const stored = await this.tokenRepo.findOne({
      where: { token: hash(oldToken), isRevoked: false }
    });

    if (!stored) throw new UnauthorizedException('Token reuse detected');

    // إلغاء القديم فوراً (Token Rotation)
    await this.tokenRepo.update(stored.id, { isRevoked: true });

    // إنشاء زوج جديد
    const [accessToken, refreshToken] = await Promise.all([
      this.jwtService.signAsync({ sub: stored.userId }, { expiresIn: '15m' }),
      this.generateSecureRefreshToken(),
    ]);

    await this.storeRefreshToken(stored.userId, refreshToken);
    return { accessToken, refreshToken };
  }
}

الحماية من هجمات Brute Force

@Injectable()
export class BruteForceGuard implements CanActivate {
  constructor(private redis: Redis) {}

  async canActivate(context: ExecutionContext): Promise {
    const request = context.switchToHttp().getRequest();
    const key = `login_attempts:${request.ip}`;

    const attempts = await this.redis.incr(key);

    if (attempts === 1) {
      await this.redis.expire(key, 900); // 15 دقيقة
    }

    if (attempts > 10) {
      throw new TooManyRequestsException(
        'Too many login attempts. Try again in 15 minutes.'
      );
    }

    return true;
  }
}

تجميع المنظومة الكاملة

المنظومة المتكاملة تجمع كل هذه الطبقات: BruteForce Guard → Multi-Strategy Auth → Risk Scoring → Adaptive Response. كل طلب يمر عبر جميع هذه الطبقات قبل أن يصل إلى منطق الأعمال.

النتائج في الإنتاج

تطبيق هذه المنظومة في مشاريع حقيقية أدى إلى: تقليل محاولات الاختراق الناجحة بنسبة 94%، اكتشاف 100% من حالات إعادة استخدام Refresh Tokens، وتفعيل MFA تلقائياً فقط عند الضرورة الحقيقية دون إزعاج المستخدمين العاديين.

يمكنك قراءة المقال الأصلي على Medium.