Как лучше защищать запросы?

Question

[DoubleDecker]

Допустим есть api на сайте и эти запросы изменяют какие либо данные в бд. Как сделать чтобы пользоваться определенной категорией запросов мог только юзер, а другой категории админ? Сейчас у меня просто проверяется значение в сессии и в скрипты оброботчики не выполняют запрос если в сессии не юзер/админ. Это правильно?

Answer 1

[dmshar]

Правильно.

Answer 2

[xmoonlight]

Правильно.
Но лучше сессию держать также внутри API.

Answer 3

[Владимир Коротенко]

Аутентификация и доработка логики в зависимости от принадлежности пользователя к группе.

Что то типа этого
if( User.IsAuthentificated && RoleProvider.IsUserInGroup("ADMIN")){
// ваш код
}
else{
// доступ запрещен
}