{"id":32731,"date":"2025-10-25T08:31:17","date_gmt":"2025-10-25T05:31:17","guid":{"rendered":"https:\/\/fatihsoysal.com\/blog\/auth-series-5-passport-js-ile-yetkilendirme-uygulamasi\/"},"modified":"2025-10-25T08:31:17","modified_gmt":"2025-10-25T05:31:17","slug":"auth-series-5-passport-js-ile-yetkilendirme-uygulamasi","status":"publish","type":"post","link":"https:\/\/fatihsoysal.com\/blog\/auth-series-5-passport-js-ile-yetkilendirme-uygulamasi\/","title":{"rendered":"Auth Series #5: Passport.js ile Yetkilendirme Uygulamas\u0131"},"content":{"rendered":"

<\/p>\n

Modern web uygulamalar\u0131, kullan\u0131c\u0131lar\u0131n ki\u015fisel verilerinden finansal i\u015flemlere kadar geni\u015f bir yelpazede hassas bilgileri bar\u0131nd\u0131r\u0131r. Bu bilgilerin korunmas\u0131, sadece etik bir sorumluluk de\u011fil, ayn\u0131 zamanda yasal bir zorunluluktur. Peki, bir kullan\u0131c\u0131 sisteme giri\u015f yapt\u0131\u011f\u0131nda, yani kimli\u011fi do\u011fruland\u0131\u011f\u0131nda, hangi kaynaklara eri\u015febilece\u011fine veya hangi i\u015flemleri yapabilece\u011fine nas\u0131l karar veririz? \u0130\u015fte bu noktada yetkilendirme (authorization) devreye girer. Yetkilendirme, kullan\u0131c\u0131lar\u0131n belirli kaynaklara veya i\u015flevlere eri\u015fim haklar\u0131n\u0131 tan\u0131mlayan ve uygulayan kritik bir g\u00fcvenlik mekanizmas\u0131d\u0131r. Do\u011fru uygulanmayan bir yetkilendirme sistemi, veri ihlallerine, yetkisiz eri\u015fimlere ve potansiyel olarak \u00e7ok ciddi g\u00fcvenlik zafiyetlerine yol a\u00e7abilir. Bu makalede, Node.js ekosisteminin pop\u00fcler kimlik do\u011frulama middleware’i olan Passport.js’i kullanarak yetkilendirmeyi nas\u0131l ba\u015far\u0131l\u0131 bir \u015fekilde uygulayaca\u011f\u0131m\u0131z\u0131 derinlemesine inceleyece\u011fiz. Amac\u0131m\u0131z, uygulamalar\u0131n\u0131z\u0131n sadece kimlik do\u011frulamada de\u011fil, ayn\u0131 zamanda yetkilendirme katman\u0131nda da sa\u011flam ve g\u00fcvenli olmas\u0131n\u0131 sa\u011flamakt\u0131r.<\/p>\n

Passport.js, temelde bir kimlik do\u011frulama k\u00fct\u00fcphanesi olsa da, esnek yap\u0131s\u0131 sayesinde yetkilendirme mant\u0131\u011f\u0131n\u0131 entegre etmek i\u00e7in g\u00fc\u00e7l\u00fc bir temel sunar. \u00d6zellikle Express.js tabanl\u0131 uygulamalarda yayg\u0131n olarak kullan\u0131lan Passport.js, farkl\u0131 kimlik do\u011frulama stratejilerini (yerel, OAuth, JWT vb.) tek bir \u00e7at\u0131 alt\u0131nda toplamas\u0131yla bilinir. Ancak yetkilendirme, kimlik do\u011frulamadan sonra gelen bir ad\u0131md\u0131r ve “Kimsin?” sorusundan \u00e7ok “Ne yapabilirsin?” sorusuna yan\u0131t verir. Bu nedenle, Passport.js’i sadece kullan\u0131c\u0131y\u0131 tan\u0131mak i\u00e7in de\u011fil, ayn\u0131 zamanda o kullan\u0131c\u0131n\u0131n sistemdeki rol\u00fcn\u00fc ve ayr\u0131cal\u0131klar\u0131n\u0131 belirlemek i\u00e7in nas\u0131l kullanabilece\u011fimizi anlamak b\u00fcy\u00fck \u00f6nem ta\u015f\u0131r. Bu kapsaml\u0131 rehberde, temelden ileri seviyeye kadar \u00e7e\u015fitli yetkilendirme modellerini ele alacak, ger\u00e7ek d\u00fcnya senaryolar\u0131yla peki\u015ftirecek ve uygulamal\u0131 kod \u00f6rnekleri sunarak bilgilerinizi peki\u015ftirece\u011fiz.<\/p>\n

Web geli\u015ftirme d\u00fcnyas\u0131nda g\u00fcvenlik, s\u00fcrekli evrilen bir aland\u0131r ve yetkilendirme mekanizmalar\u0131 da bu de\u011fi\u015fimin merkezinde yer al\u0131r. \u00d6zellikle kullan\u0131c\u0131 deneyiminden \u00f6d\u00fcn vermeden g\u00fcvenli\u011fi en \u00fcst d\u00fczeye \u00e7\u0131karmak, her geli\u015ftiricinin hedefidir. Bu makale boyunca, ad\u0131m ad\u0131m ilerleyerek, Passport.js’in sundu\u011fu olanaklar\u0131 en verimli \u015fekilde kullanarak, uygulamalar\u0131n\u0131za sa\u011flam bir yetkilendirme katman\u0131 nas\u0131l ekleyece\u011finizi ke\u015ffedeceksiniz. Kendi uygulamalar\u0131n\u0131zda uygulayabilece\u011finiz pratik bilgilerle donat\u0131l\u0131rken, ayn\u0131 zamanda olas\u0131 g\u00fcvenlik a\u00e7\u0131klar\u0131na kar\u015f\u0131 proaktif \u00f6nlemler alman\u0131n yollar\u0131n\u0131 da \u00f6\u011freneceksiniz. Haz\u0131rsan\u0131z, Passport.js ile yetkilendirmenin inceliklerini ke\u015ffetmek i\u00e7in bu yolculu\u011fa ba\u015flayal\u0131m.<\/p>\n

Temel Kavramlar: Kimlik Do\u011frulama ve Yetkilendirme Aras\u0131ndaki Fark Nedir?<\/h2>\n

G\u00fcvenli bir uygulaman\u0131n temel ta\u015flar\u0131ndan ikisi olan kimlik do\u011frulama (authentication) ve yetkilendirme (authorization) kavramlar\u0131, s\u0131kl\u0131kla birbirine kar\u0131\u015ft\u0131r\u0131lsa da, asl\u0131nda farkl\u0131 rolleri ve sorumluluklar\u0131 vard\u0131r. Bu iki kavram\u0131 net bir \u015fekilde anlamak, sa\u011flam g\u00fcvenlik mekanizmalar\u0131 in\u015fa etmenin ilk ad\u0131m\u0131d\u0131r. Dolay\u0131s\u0131yla, Passport.js gibi bir arac\u0131 yetkilendirme s\u00fcre\u00e7lerine dahil etmeden \u00f6nce, bu temel farklar\u0131 iyice kavramak gereklidir.<\/p>\n

Kimlik Do\u011frulama (Authentication):<\/strong> Bu s\u00fcre\u00e7, bir kullan\u0131c\u0131n\u0131n veya sistemin iddia etti\u011fi ki\u015fi veya sistem olup olmad\u0131\u011f\u0131n\u0131 do\u011frular. Basit\u00e7e ifade etmek gerekirse, “Sen kim oldu\u011funu iddia ediyorsun ve bunu kan\u0131tlayabilir misin?” sorusuna yan\u0131t arar. Genellikle kullan\u0131c\u0131 ad\u0131 ve parola kombinasyonu, parmak izi, y\u00fcz tan\u0131ma veya \u00e7ok fakt\u00f6rl\u00fc kimlik do\u011frulama (MFA) gibi y\u00f6ntemlerle ger\u00e7ekle\u015ftirilir. Ba\u015far\u0131l\u0131 bir kimlik do\u011frulama sonucunda, sistem kullan\u0131c\u0131n\u0131n kimli\u011fini onaylar ve genellikle bir oturum (session) veya bir eri\u015fim belirteci (token) olu\u015fturur. Passport.js, tam olarak bu ad\u0131ma odaklan\u0131r ve \u00e7e\u015fitli “stratejiler” arac\u0131l\u0131\u011f\u0131yla kimlik do\u011frulama mekanizmalar\u0131n\u0131 kolayca entegre etmemizi sa\u011flar. \u00d6rne\u011fin, bir kullan\u0131c\u0131n\u0131n sisteme do\u011fru kullan\u0131c\u0131 ad\u0131 ve \u015fifreyle giri\u015f yap\u0131p yapmad\u0131\u011f\u0131n\u0131 do\u011frulamak kimlik do\u011frulama i\u015flemidir.<\/p>\n

Yetkilendirme (Authorization):<\/strong> Kimlik do\u011frulaman\u0131n ba\u015far\u0131yla tamamlanmas\u0131n\u0131n ard\u0131ndan devreye giren yetkilendirme ise, kimli\u011fi do\u011frulanm\u0131\u015f bir kullan\u0131c\u0131n\u0131n belirli bir kayna\u011fa eri\u015fim izni olup olmad\u0131\u011f\u0131n\u0131 veya belirli bir i\u015flemi ger\u00e7ekle\u015ftirip ger\u00e7ekle\u015ftiremeyece\u011fini belirler. Di\u011fer bir deyi\u015fle, “Kim oldu\u011funu biliyoruz; \u015fimdi, ne yapmana izin var?” sorusuna yan\u0131t verir. Yetkilendirme, genellikle kullan\u0131c\u0131n\u0131n rol\u00fc (\u00f6rne\u011fin, y\u00f6netici, edit\u00f6r, okuyucu), sahip oldu\u011fu ayr\u0131cal\u0131klar veya belirli kaynaklarla olan ili\u015fkisi gibi fakt\u00f6rlere dayan\u0131r. Bir kullan\u0131c\u0131n\u0131n bir g\u00f6nderiyi silebilmesi, bir ayar\u0131 de\u011fi\u015ftirebilmesi veya belirli bir rapora eri\u015febilmesi, yetkilendirme ile kontrol edilen eylemlerdir. Passport.js do\u011frudan bir yetkilendirme k\u00fct\u00fcphanesi olmasa da, kimlik do\u011frulama sonras\u0131 kullan\u0131c\u0131 bilgilerini req.user nesnesine ekleyerek, bu bilgileri yetkilendirme middleware’lar\u0131 i\u00e7inde kullanmam\u0131za olanak tan\u0131r. \u00d6rne\u011fin, bir “y\u00f6netici” rol\u00fcne sahip kullan\u0131c\u0131n\u0131n sistemdeki t\u00fcm kullan\u0131c\u0131lar\u0131 d\u00fczenleyebilmesi, ancak “edit\u00f6r” rol\u00fcne sahip bir kullan\u0131c\u0131n\u0131n yaln\u0131zca kendi g\u00f6nderilerini d\u00fczenleyebilmesi yetkilendirme ile sa\u011flan\u0131r.<\/p>\n

Bu iki kavram aras\u0131ndaki ili\u015fkiyi anlamak, g\u00fcvenlik mimarisini do\u011fru bir \u015fekilde tasarlamak i\u00e7in hayati \u00f6neme sahiptir. Kimlik do\u011frulama olmadan yetkilendirme anlams\u0131zd\u0131r, \u00e7\u00fcnk\u00fc sistem kimin yetkilendirildi\u011fini bilmez. Benzer \u015fekilde, yetkilendirme olmadan kimlik do\u011frulama, kullan\u0131c\u0131ya sistemi kullanma izni verir ancak hangi s\u0131n\u0131rlar i\u00e7inde kullanabilece\u011fini belirlemez, bu da potansiyel g\u00fcvenlik riskleri yarat\u0131r. Dolay\u0131s\u0131yla, her iki s\u00fcrecin de birbiriyle uyumlu ve sa\u011flam bir \u015fekilde \u00e7al\u0131\u015fmas\u0131 gerekmektedir.<\/p>\n

\u00d6zetle, kimlik do\u011frulama giri\u015f kap\u0131s\u0131d\u0131r; kimin i\u00e7eri girebilece\u011fine karar verir. Yetkilendirme ise i\u00e7erideki odalar\u0131n kap\u0131lar\u0131n\u0131 a\u00e7ma yetkisidir; i\u00e7eri giren ki\u015finin hangi odalara girebilece\u011fini veya hangi e\u015fyalara dokunabilece\u011fini belirler. Passport.js ile bu iki katman\u0131 bir arada ele alacak, \u00f6ncelikle kimlik do\u011frulamay\u0131 kuracak, ard\u0131ndan yetkilendirme mant\u0131\u011f\u0131n\u0131 nas\u0131l entegre edece\u011fimizi ad\u0131m ad\u0131m g\u00f6rece\u011fiz. Bu ayr\u0131m, hem kodunuzu daha okunabilir ve y\u00f6netilebilir hale getirir hem de uygulaman\u0131z\u0131n g\u00fcvenlik duru\u015funu \u00f6nemli \u00f6l\u00e7\u00fcde g\u00fc\u00e7lendirir.<\/p>\n

Passport.js ile Temel Kimlik Do\u011frulama Nas\u0131l Yap\u0131l\u0131r?<\/h2>\n

Passport.js, Node.js uygulamalar\u0131nda kimlik do\u011frulama i\u015flemlerini basitle\u015ftiren g\u00fc\u00e7l\u00fc ve esnek bir middleware k\u00fct\u00fcphanesidir. Farkl\u0131 kimlik do\u011frulama mekanizmalar\u0131 i\u00e7in “stratejiler” sunarak, geli\u015ftiricilerin g\u00fcvenlik katman\u0131n\u0131 kolayca uygulamalar\u0131na olanak tan\u0131r. Yetkilendirmeye ge\u00e7meden \u00f6nce, bir kullan\u0131c\u0131n\u0131n kimli\u011fini ba\u015far\u0131yla do\u011frulaman\u0131n temellerini atmam\u0131z gerekiyor. Bu b\u00f6l\u00fcmde, Passport.js’i kullanarak yerel bir kimlik do\u011frulama stratejisini (kullan\u0131c\u0131 ad\u0131 ve parola) nas\u0131l kuraca\u011f\u0131m\u0131z\u0131 ad\u0131m ad\u0131m inceleyece\u011fiz. Bu ad\u0131mlar, uygulaman\u0131z\u0131n geri kalan\u0131nda yetkilendirme kararlar\u0131 almak i\u00e7in gerekli kullan\u0131c\u0131 bilgilerini sa\u011flayacakt\u0131r.<\/p>\n

1. Gerekli Paketlerin Kurulumu:<\/strong><\/p>\n

\u00d6ncelikle Express.js tabanl\u0131 bir uygulama i\u00e7in gerekli paketleri kurmam\u0131z gerekiyor. E\u011fer Express uygulaman\u0131z yoksa, h\u0131zl\u0131ca bir tane olu\u015fturabilirsiniz. Ard\u0131ndan, Passport.js, yerel strateji ve oturum y\u00f6netimi i\u00e7in ek paketleri y\u00fckleyelim:<\/p>\n

\nnpm install express passport passport-local express-session\n  <\/pre>\n
<\/code><\/p>\n
2. Temel Express Uygulamas\u0131 ve Passport Entegrasyonu:<\/strong><\/p>\n
Bir app.js<\/code> veya server.js<\/code> dosyas\u0131nda Express uygulaman\u0131z\u0131 ba\u015flat\u0131n ve Passport'\u0131 entegre edin. Oturum y\u00f6netimi i\u00e7in express-session<\/code> kullanaca\u011f\u0131z, bu da Passport'\u0131n kullan\u0131c\u0131 bilgilerini oturumda saklamas\u0131n\u0131 sa\u011flayacak:<\/p>\n
\nconst express = require('express');\nconst passport = require('passport');\nconst LocalStrategy = require('passport-local').Strategy;\nconst session = require('express-session');\nconst bcrypt = require('bcryptjs'); \/\/ Parola hashleme i\u00e7in\n\nconst app = express();\nconst PORT = process.env.PORT || 3000;\n\n\/\/ Middleware'lar\napp.use(express.json()); \/\/ JSON body parsing\napp.use(express.urlencoded({ extended: true })); \/\/ URL-encoded body parsing\n\n\/\/ Oturum Yap\u0131land\u0131rmas\u0131\napp.use(session({\n    secret: 'cokgizlibiranahtar', \/\/ Oturum verilerini \u015fifrelemek i\u00e7in kullan\u0131lan gizli anahtar\n    resave: false,               \/\/ Oturumda de\u011fi\u015fiklik yap\u0131lmasa bile tekrar kaydetme\n    saveUninitialized: false,    \/\/ Yeni olu\u015fturulan ancak de\u011fi\u015ftirilmemi\u015f oturumlar\u0131 kaydetme\n    cookie: { maxAge: 1000 * 60 * 60 * 24 } \/\/ 1 g\u00fcn\n}));\n\n\/\/ Passport'\u0131 ba\u015flatma ve oturum kullanma\napp.use(passport.initialize());\napp.use(passport.session());\n  <\/pre>\n
<\/code><\/p>\n
3. Passport.js Yerel Stratejinin Yap\u0131land\u0131r\u0131lmas\u0131:<\/strong><\/p>\n
Yerel strateji, kullan\u0131c\u0131n\u0131n g\u00f6nderdi\u011fi kullan\u0131c\u0131 ad\u0131 ve parolay\u0131 do\u011frulamak i\u00e7in kullan\u0131l\u0131r. Bu stratejiyi yap\u0131land\u0131r\u0131rken, veritaban\u0131n\u0131zdaki kullan\u0131c\u0131lar\u0131 kontrol eden bir fonksiyon sa\u011flamal\u0131s\u0131n\u0131z. \u015eimdilik basit bir \u00f6rnek i\u00e7in statik bir kullan\u0131c\u0131 array'i kullanal\u0131m:<\/p>\n
\nconst users = [\n    { id: '1', username: 'admin', passwordHash: bcrypt.hashSync('adminparola', 10), role: 'admin' },\n    { id: '2', username: 'editor', passwordHash: bcrypt.hashSync('editorparola', 10), role: 'editor' },\n    { id: '3', username: 'guest', passwordHash: bcrypt.hashSync('guestparola', 10), role: 'guest' }\n];\n\npassport.use(new LocalStrategy(\n    async (username, password, done) => {\n        try {\n            const user = users.find(u => u.username === username);\n\n            if (!user) {\n                return done(null, false, { message: 'Yanl\u0131\u015f kullan\u0131c\u0131 ad\u0131.' });\n            }\n\n            const isMatch = await bcrypt.compare(password, user.passwordHash);\n            if (!isMatch) {\n                return done(null, false, { message: 'Yanl\u0131\u015f parola.' });\n            }\n\n            return done(null, user); \/\/ Kimlik do\u011frulama ba\u015far\u0131l\u0131\n        } catch (err) {\n            return done(err);\n        }\n    }\n));\n  <\/pre>\n
<\/code><\/p>\n
4. Kullan\u0131c\u0131 Bilgilerinin Oturumda Saklanmas\u0131 ve Geri Y\u00fcklenmesi:<\/strong><\/p>\n
Passport, kullan\u0131c\u0131n\u0131n kimlik do\u011fruland\u0131ktan sonra oturumda hangi verilerinin saklanaca\u011f\u0131n\u0131 ve her istekte oturumdan nas\u0131l geri y\u00fcklenece\u011fini bilmelidir. Bu, serializeUser<\/code> ve deserializeUser<\/code> fonksiyonlar\u0131yla yap\u0131l\u0131r:<\/p>\n
\npassport.serializeUser((user, done) => {\n    done(null, user.id); \/\/ Sadece kullan\u0131c\u0131 ID'sini oturumda sakla\n});\n\npassport.deserializeUser((id, done) => {\n    const user = users.find(u => u.id === id);\n    if (user) {\n        done(null, user); \/\/ Kullan\u0131c\u0131 ID'si ile t\u00fcm kullan\u0131c\u0131 nesnesini geri y\u00fckle\n    } else {\n        done(new Error('Kullan\u0131c\u0131 bulunamad\u0131.'));\n    }\n});\n  <\/pre>\n
<\/code><\/p>\n
5. Kimlik Do\u011frulama Rotas\u0131n\u0131n Olu\u015fturulmas\u0131:<\/strong><\/p>\n
\u015eimdi, kullan\u0131c\u0131lar\u0131n giri\u015f yapabilece\u011fi bir POST rotas\u0131 olu\u015ftural\u0131m:<\/p>\n
\n\/\/ Giri\u015f rotas\u0131\napp.post('\/login', passport.authenticate('local', {\n    successRedirect: '\/profile', \/\/ Ba\u015far\u0131l\u0131 giri\u015f sonras\u0131 y\u00f6nlendirme\n    failureRedirect: '\/login-fail', \/\/ Ba\u015far\u0131s\u0131z giri\u015f sonras\u0131 y\u00f6nlendirme\n    failureFlash: true \/\/ Hata mesajlar\u0131n\u0131 flash'a kaydet (connect-flash paketi gerektirir)\n}));\n\n\/\/ Profil rotas\u0131 (korumal\u0131)\napp.get('\/profile', (req, res) => {\n    if (req.isAuthenticated()) { \/\/ Passport'\u0131n sa\u011flad\u0131\u011f\u0131 bir metod\n        res.send(Merhaba, ${req.user.username}! Rol\u00fcn: ${req.user.role}<\/code>);\n    } else {\n        res.redirect('\/login-fail');\n    }\n});\n\n\/\/ Giri\u015f ba\u015far\u0131s\u0131z rotas\u0131\napp.get('\/login-fail', (req, res) => {\n    res.send('Giri\u015f ba\u015far\u0131s\u0131z oldu. L\u00fctfen kullan\u0131c\u0131 ad\u0131 ve parolan\u0131z\u0131 kontrol edin.');\n});\n\n\/\/ \u00c7\u0131k\u0131\u015f rotas\u0131\napp.get('\/logout', (req, res, next) => {\n    req.logout((err) => { \/\/ Passport'\u0131n sa\u011flad\u0131\u011f\u0131 logout metodu\n        if (err) { return next(err); }\n        res.redirect('\/');\n    });\n});\n\napp.get('\/', (req, res) => {\n    res.send('Ana Sayfa. L\u00fctfen giri\u015f yap\u0131n: \/login adresine POST iste\u011fi ile.');\n});\n\napp.listen(PORT, () => {\n    console.log(Sunucu http:\/\/localhost:${PORT} adresinde \u00e7al\u0131\u015f\u0131yor.<\/code>);\n});\n  <\/pre>\n
<\/code><\/p>\n
Bu temel kurulumla, kullan\u0131c\u0131 ad\u0131 ve parola ile kimlik do\u011frulama i\u015flemi tamamlanm\u0131\u015f olur. req.isAuthenticated()<\/code> metodu, kullan\u0131c\u0131n\u0131n oturumda kimli\u011fi do\u011frulanm\u0131\u015f olup olmad\u0131\u011f\u0131n\u0131 kontrol ederken, ba\u015far\u0131l\u0131 kimlik do\u011frulamas\u0131ndan sonra req.user<\/code> nesnesi, oturumdan y\u00fcklenen kullan\u0131c\u0131 bilgilerini (bu \u00f6rnekte id<\/code>, username<\/code>, passwordHash<\/code>, role<\/code>) i\u00e7erir. \u0130\u015fte bu req.user<\/code> nesnesi, yetkilendirme kararlar\u0131n\u0131 vermek i\u00e7in kullanaca\u011f\u0131m\u0131z anahtar bilgidir. Bir sonraki b\u00f6l\u00fcmde, bu bilgiyi kullanarak role dayal\u0131 yetkilendirmeyi nas\u0131l uygulayaca\u011f\u0131m\u0131z\u0131 g\u00f6rece\u011fiz.<\/p>\n