Authentication এবং Authorization (অথেনটিকেশন এবং অথরাইজেশন)

Authentication এবং Authorization দুটি গুরুত্বপূর্ণ নিরাপত্তা প্রক্রিয়া যা একটি ওয়েব অ্যাপ্লিকেশন বা সার্ভারে ব্যবহারকারীর পরিচয় নিশ্চিত করা এবং তাদের অ্যাক্সেস সীমাবদ্ধ করা নিশ্চিত করে। দুটি প্রক্রিয়া প্রায়ই একসাথে ব্যবহৃত হয়, তবে তাদের উদ্দেশ্য এবং কাজের প্রক্রিয়া আলাদা।

১. Authentication (অথেনটিকেশন)

Authentication হল প্রক্রিয়া যার মাধ্যমে আপনি নিশ্চিত করেন যে ব্যবহারকারী প্রকৃতপক্ষে কে। এটি ব্যবহারকারীর পরিচয় যাচাই করার জন্য ব্যবহৃত হয়, যেমন ইউজারনেম এবং পাসওয়ার্ড, কিংবা অন্যান্য পদ্ধতি যেমন OTP (One Time Password), বা বায়োমেট্রিক চিহ্ন। সহজভাবে, authentication মানে হলো ব্যবহারকারীর পরিচয় যাচাই করা।

উদাহরণ:

যখন আপনি আপনার ব্যাংক অ্যাকাউন্ট অ্যাক্সেস করার চেষ্টা করেন, তখন আপনার ব্যবহারকারীর নাম এবং পাসওয়ার্ডের মাধ্যমে আপনাকে সাইন ইন করতে বলা হয়। যদি এই তথ্য সঠিক হয়, তাহলে আপনি পরিচিত এবং সফলভাবে সিস্টেমে প্রবেশ করতে পারবেন।

Authentication উদাহরণ (Express.js এর মাধ্যমে):

const express = require('express');
const bodyParser = require('body-parser');
const app = express();

// সিম্পল ইউজার ডেটাবেস
const users = [
  { username: 'user1', password: 'password123' },
  { username: 'user2', password: 'password456' }
];

// Body parser middleware
app.use(bodyParser.json());

// Authentication route
app.post('/login', (req, res) => {
  const { username, password } = req.body;
  const user = users.find(u => u.username === username && u.password === password);
  
  if (user) {
    res.status(200).send('Authentication successful');
  } else {
    res.status(401).send('Invalid username or password');
  }
});

app.listen(3000, () => {
  console.log('Server running at http://localhost:3000');
});

এখানে, /login রুটটি ব্যবহারকারী নাম এবং পাসওয়ার্ড যাচাই করে এবং সঠিক হলে authentication সফল বলে ঘোষণা করে।

২. Authorization (অথরাইজেশন)

Authorization হল প্রক্রিয়া যার মাধ্যমে আপনি নির্ধারণ করেন যে একটি ব্যবহারকারী বা সিস্টেম কোন রিসোর্স বা অ্যাকশন অ্যাক্সেস করতে পারে। এটি authentication এর পরে আসে এবং নিশ্চিত করে যে, একটি প্রমাণিত ব্যবহারকারী কেবলমাত্র তাদের অনুমোদিত অ্যাক্সেসে সীমাবদ্ধ থাকতে পারে।

উদাহরণস্বরূপ, একটি ব্যবহারকারী যদি লগ ইন করে থাকে, তবে authorization নিশ্চিত করে যে তারা কেবলমাত্র তাদের নির্ধারিত কার্যক্রম (যেমন, ডেটা সম্পাদনা, ডিলিট করা, অ্যাডমিন প্যানেল অ্যাক্সেস করা) করতে পারে।

উদাহরণ:

ধরা যাক, একটি অ্যাডমিন প্যানেল রয়েছে যা শুধুমাত্র অ্যাডমিনদের জন্য উপলব্ধ। অথেনটিকেশন সফল হলেও, শুধুমাত্র অ্যাডমিন রোলযুক্ত ব্যবহারকারীদেরই সেই প্যানেলে প্রবেশ করার অনুমতি থাকবে।

Authorization উদাহরণ (Express.js এর মাধ্যমে):

const express = require('express');
const app = express();

// সিম্পল ইউজার ডেটাবেস (role-based authorization)
const users = [
  { username: 'user1', password: 'password123', role: 'user' },
  { username: 'user2', password: 'password456', role: 'admin' }
];

// Authentication middleware
function authenticate(req, res, next) {
  const { username, password } = req.body;
  const user = users.find(u => u.username === username && u.password === password);
  
  if (user) {
    req.user = user;  // user object store in request
    next();  // proceed to the next middleware or route
  } else {
    res.status(401).send('Invalid username or password');
  }
}

// Authorization middleware (only allow admin)
function authorizeAdmin(req, res, next) {
  if (req.user && req.user.role === 'admin') {
    next();  // proceed to the requested route
  } else {
    res.status(403).send('Access denied: Admins only');
  }
}

app.use(express.json());

// Login route (authentication)
app.post('/login', authenticate, (req, res) => {
  res.status(200).send('Authentication successful');
});

// Admin route (authorization)
app.get('/admin', authenticate, authorizeAdmin, (req, res) => {
  res.status(200).send('Welcome Admin!');
});

app.listen(3000, () => {
  console.log('Server running at http://localhost:3000');
});

এখানে:

• authenticate middleware ব্যবহার করে, প্রথমে ইউজারের পরিচয় যাচাই করা হয়েছে।
• পরে, authorizeAdmin middleware দিয়ে নিশ্চিত করা হয়েছে যে, শুধু admin রোলের ব্যবহারকারী অ্যাডমিন প্যানেল অ্যাক্সেস করতে পারে। অন্যদের জন্য 403 (Forbidden) এরর দেওয়া হবে।

৩. Authentication এবং Authorization এর মধ্যে পার্থক্য

• Authentication যাচাই করে যে ব্যবহারকারী কে, তাদের পরিচয় সঠিক কি না। এটি সাধারণত লগইন প্রক্রিয়ায় ঘটে।
• Authorization যাচাই করে যে একটি ব্যবহারকারী কি কাজ বা রিসোর্স অ্যাক্সেস করতে পারে, অর্থাৎ তারা অনুমোদিত কিনা।

উদাহরণ: আপনি যদি আপনার ব্যাংক অ্যাকাউন্টে লগ ইন করেন (authentication), তবে আপনি দেখতে পারেন আপনার ব্যালেন্স, ট্রানজেকশন ইত্যাদি, কিন্তু ব্যাংক অ্যাকাউন্টের অ্যাডমিনিস্ট্রেটিভ সেটিংস পরিবর্তন করতে আপনাকে authorization থাকতে হবে।

৪. JWT (JSON Web Tokens) ব্যবহার করে Authentication এবং Authorization

JWT (JSON Web Tokens) আধুনিক ওয়েব অ্যাপ্লিকেশনগুলির মধ্যে সবচেয়ে জনপ্রিয় অথেনটিকেশন পদ্ধতি, যা সেশন ম্যানেজমেন্ট এবং অথরাইজেশন সংক্রান্ত কাজগুলো সহজ করে। এটি একটি ক্রিপটোগ্রাফিক সিগনেচার সহ একটি টোকেন প্রদান করে যা ব্যবহারকারী বা সার্ভারকে প্রমাণ করে যে রিকোয়েস্টটি বৈধ এবং ব্যবহারকারী প্রমাণিত।

JWT উদাহরণ:

const jwt = require('jsonwebtoken');
const express = require('express');
const app = express();

// Secret key for signing the JWT
const secretKey = 'yourSecretKey';

// Authentication route (Login)
app.post('/login', (req, res) => {
  const { username, password } = req.body;
  // Validate the user's credentials
  const user = { username: 'user1', password: 'password123' };
  if (username === user.username && password === user.password) {
    // Generate JWT token
    const token = jwt.sign({ username: user.username }, secretKey, { expiresIn: '1h' });
    res.json({ token });
  } else {
    res.status(401).send('Invalid credentials');
  }
});

// Protected route (Authorization)
app.get('/profile', (req, res) => {
  const token = req.headers['authorization'];
  if (!token) {
    return res.status(403).send('Token is required');
  }

  jwt.verify(token, secretKey, (err, decoded) => {
    if (err) {
      return res.status(403).send('Invalid token');
    }
    res.json({ message: 'Profile data', user: decoded.username });
  });
});

app.listen(3000, () => {
  console.log('Server running at http://localhost:3000');
});

এখানে, JWT টোকেন ব্যবহার করে Authentication এবং Authorization বাস্তবায়ন করা হয়েছে। যখন ব্যবহারকারী লগইন করে, একটি JWT টোকেন তৈরি হয় যা পরবর্তী রিকোয়েস্টের মাধ্যমে প্রমাণিত ব্যবহারকারীকে অ্যাক্সেস দেওয়ার জন্য ব্যবহৃত হয়।

সারাংশ

• Authentication নিশ্চিত করে যে ব্যবহারকারী কে এবং তার পরিচয় সঠিক কি না।
• Authorization নিশ্চিত করে যে ব্যবহারকারী কোন রিসোর্স বা অ্যাকশন অ্যাক্সেস করতে পারে।
• Express.js, JWT এবং অন্যান্য টুলসের মাধ্যমে আপনি সহজেই Authentication এবং Authorization বাস্তবায়ন করতে পারেন।
• Authentication এবং Authorization অ্যাপ্লিকেশনের নিরাপত্তা এবং প্রাইভেসি নিশ্চিত করতে অপরিহার্য।

User Authentication হল একটি নিরাপত্তা প্রক্রিয়া যার মাধ্যমে সিস্টেম বা অ্যাপ্লিকেশন নিশ্চিত করে যে একজন ইউজার তার দাবীকৃত পরিচয়ের মালিক। এটি একটি সাধারণ প্রক্রিয়া যেখানে ইউজারের পরিচয় যাচাই করা হয়, যাতে সিস্টেম নিশ্চিত হতে পারে যে তিনি যাদের পরিচয় দাবি করছেন, তারা সত্যিই সেই ব্যক্তি। এই প্রক্রিয়া সাধারণত ইউজারের পরিচয় প্রমাণ করার জন্য ইউজারনেম এবং পাসওয়ার্ড বা অন্য কোনো নিরাপত্তা তথ্য ব্যবহার করা হয়।

User Authentication হল একটি গুরুত্বপূর্ণ নিরাপত্তা পদক্ষেপ, যা সিস্টেমকে অপ্রত্যাশিত বা অবৈধ প্রবেশ থেকে রক্ষা করে এবং ইউজারের ব্যক্তিগত তথ্য সুরক্ষিত রাখে।

১. Authentication এবং Authorization এর মধ্যে পার্থক্য

• Authentication: এটি ব্যবহারকারীর পরিচয় যাচাই করার প্রক্রিয়া। এটি নিশ্চিত করে যে একজন ব্যক্তি বা সিস্টেম সঠিকভাবে লগ ইন করছে এবং তার পরিচয় সঠিক কিনা। Authentication এ সাধারণত ইউজারনেম এবং পাসওয়ার্ডের মাধ্যমে যাচাই করা হয়।
• Authorization: এটি নিশ্চিত করে যে একজন পরিচিত (authenticated) ইউজার একটি সিস্টেমে বা রিসোর্সে প্রবেশের জন্য কতটুকু অধিকার বা অনুমতি পেয়েছেন। এটি ইউজারের ভূমিকা বা প্রিভিলেজ অনুযায়ী কাজের অনুমতি দেয়।

২. User Authentication প্রক্রিয়া

User Authentication প্রক্রিয়া সাধারণত কয়েকটি ধাপে বিভক্ত হয়:

1. Login Information Collection:
   ইউজার তার লগইন তথ্য প্রদান করে, যেমন ইউজারনেম এবং পাসওয়ার্ড।
2. Verification:
   ইউজারের প্রদত্ত তথ্য যাচাই করা হয়। এটি সাধারণত ডাটাবেসে সংরক্ষিত ইউজার তথ্যের সাথে তুলনা করে করা হয়।
3. Session Creation:
   যদি ইউজার সফলভাবে শনাক্ত হয়, একটি সেশন বা টোকেন তৈরি করা হয়, যা ইউজারকে পরবর্তী রিকোয়েস্টের জন্য পরিচিত করবে। এটি সাধারণত JWT (JSON Web Token) বা Session Cookies ব্যবহার করে করা হয়।
4. Access Granted:
   সঠিক যাচাই হলে, ইউজারকে সিস্টেমে প্রবেশের অনুমতি দেওয়া হয় এবং তার জন্য নির্ধারিত কার্যকলাপগুলি করার অনুমতি দেওয়া হয়।

৩. Authentication এর বিভিন্ন পদ্ধতি

1. Password-based Authentication:
   এটি সবচেয়ে সাধারণ এবং প্রচলিত পদ্ধতি, যেখানে ইউজার একটি ইউজারনেম এবং পাসওয়ার্ড প্রদান করে। সিস্টেম এই পাসওয়ার্ডটি যাচাই করে।
   • Pro: সহজ এবং দ্রুত।
   • Con: পাসওয়ার্ড চুরি বা ফাঁস হওয়া ঝুঁকিপূর্ণ হতে পারে, তাই নিরাপত্তা ব্যবস্থা প্রয়োজন।
2. Multi-Factor Authentication (MFA):
   এটি দুটি বা তার বেশি যাচাই পদ্ধতির সমন্বয়। সাধারণত এটি ইউজারনেম/পাসওয়ার্ডের সাথে একটি অতিরিক্ত যাচাইকরণ পদ্ধতি যেমন OTP (One-Time Password) বা biometric authentication ব্যবহার করে।
   • Pro: নিরাপত্তা বৃদ্ধি পায় কারণ একাধিক যাচাই করা হয়।
   • Con: কিছুটা সময়সাপেক্ষ এবং ইউজারের জন্য ঝামেলাপূর্ণ হতে পারে।
3. Biometric Authentication:
   এটি ইউজারের শারীরিক বৈশিষ্ট্য যেমন আঙ্গুলের ছাপ, মুখের ছবি, বা আইরিশ স্ক্যান দিয়ে তার পরিচয় যাচাই করা হয়।
   • Pro: অত্যন্ত নিরাপদ এবং সহজে ব্যবহৃত হয়।
   • Con: হার্ডওয়্যার সমর্থন এবং ইনফ্রাস্ট্রাকচারের প্রয়োজন।
4. OAuth:
   এটি একটি ওপেন স্ট্যান্ডার্ড প্রোটোকল যা ইউজারকে তাদের পরিচয় অন্য কোনো সিস্টেমের মাধ্যমে যাচাই করার অনুমতি দেয়, যেমন Google, Facebook বা Twitter অ্যাকাউন্ট ব্যবহার করে লগ ইন করা।
   • Pro: ইউজারদের জন্য দ্রুত এবং সহজ লগইন পদ্ধতি।
   • Con: কোনো তৃতীয় পক্ষের সেবা ব্যবহার করলে সুরক্ষা সমস্যা হতে পারে।
5. Token-based Authentication (JWT - JSON Web Token):
   এটি একটি নিরাপদ এবং স্কেলেবল পদ্ধতি যেখানে ইউজারের লগইন হওয়ার পর একটি token (যেমন JWT) প্রদান করা হয়, যা পরবর্তী রিকোয়েস্টগুলিতে ইউজারের পরিচয় যাচাই করতে ব্যবহৃত হয়।
   • Pro: সার্ভারে কোনো সেশন স্টোরেজ প্রয়োজন নেই, সহজভাবে স্কেল করা যায়।
   • Con: টোকেন চুরি হয়ে গেলে নিরাপত্তা হুমকির সম্মুখীন হতে পারে।

৪. Session vs Token Authentication

1. Session-based Authentication:

   • Session সাধারণত সার্ভারে সংরক্ষিত থাকে এবং একটি session ID কুকি হিসেবে ক্লায়েন্ট ব্রাউজারে পাঠানো হয়।
   • সেশন ব্যবস্থায় সিস্টেম সার্ভারে ব্যবহারকারীর সেশন ডেটা সংরক্ষণ করে।

   Advantage: সার্ভার সাইডে সেশন ডেটা থাকে, তাই নিরাপত্তা সহজে নিয়ন্ত্রণ করা যায়।

   Disadvantage: সেশন স্টোরেজ সার্ভারের উপর নির্ভরশীল, এবং সার্ভার খোলার সাথে সাথেই সেশন শেষ হয়ে যায়।

2. Token-based Authentication (JWT):

   • Token হল একটি ক্রিপ্টোগ্রাফিকভাবে স্বাক্ষরিত ডেটা সেট, যা ইউজারের পরিচয় এবং কিছু অতিরিক্ত তথ্য ধারণ করে।
   • JWT এর মাধ্যমে সার্ভারে কোনও স্টোরেজ প্রয়োজন হয় না, কারণ টোকেনটি ক্লায়েন্টের সাইডে সংরক্ষিত থাকে এবং প্রতিটি রিকোয়েস্টের সাথে প্রেরিত হয়।

   Advantage: এটি স্কেলেবল এবং সার্ভারে স্টোরেজের প্রয়োজন হয় না।

   Disadvantage: যদি টোকেন চুরি হয়ে যায়, তাহলে তার মাধ্যমে অ্যাক্সেস পাওয়া যেতে পারে।

৫. User Authentication Workflow

1. User Registration: ইউজার প্রথমবার অ্যাকাউন্ট তৈরি করলে, তার তথ্য (যেমন ইউজারনেম, পাসওয়ার্ড) ডাটাবেসে সংরক্ষিত হয়।
2. User Login: ইউজার তার ইউজারনেম এবং পাসওয়ার্ড দিয়ে লগ ইন করে। সিস্টেম যাচাই করে ইউজার সত্য কিনা। সফল হলে, একটি Token বা Session তৈরি করা হয়।
3. Authenticated Access: ইউজার পরবর্তী রিকোয়েস্টে সেই Token বা Session ব্যবহার করে সিস্টেমে প্রবেশ করে।
4. Logout: ইউজার লগ আউট করলে, সেশন বা টোকেন নিষ্ক্রিয় হয়ে যায়।

সারাংশ

User Authentication একটি নিরাপত্তা প্রক্রিয়া যা সিস্টেমের মধ্যে ইউজারের পরিচয় যাচাই করে। এটি নিশ্চিত করে যে শুধুমাত্র বৈধ ইউজাররা অ্যাপ্লিকেশন বা সিস্টেমে প্রবেশ করতে পারে। Authentication পদ্ধতি বিভিন্নভাবে হতে পারে যেমন পাসওয়ার্ড, মাল্টি-ফ্যাক্টর অথেন্টিকেশন, বায়োমেট্রিক্স, এবং টোকেন (JWT) এর মাধ্যমে। এটির মূল উদ্দেশ্য হল ব্যবহারকারীর তথ্য সুরক্ষিত রাখা এবং অবৈধ প্রবেশের হাত থেকে রক্ষা করা।

JSON Web Tokens (JWT) এবং Cookies হল দুটি জনপ্রিয় প্রযুক্তি যা আধুনিক ওয়েব অ্যাপ্লিকেশনগুলোতে অথেনটিকেশন এবং অথোরাইজেশন পরিচালনা করতে ব্যবহৃত হয়। JWT ব্যবহার করে ক্লায়েন্ট এবং সার্ভারের মধ্যে নিরাপদ তথ্য বিনিময় করা যায়, এবং Cookies ব্যবহৃত হয় সেশন সংরক্ষণ এবং স্টোর করার জন্য।

এই দুটি প্রযুক্তি সাধারণত লগইন সিস্টেমের অংশ হিসেবে ব্যবহৃত হয়, যেখানে JWT ব্যবহার করে ইউজারের অথেনটিকেশন টোকেন তৈরি করা হয় এবং Cookies এর মাধ্যমে সেটি সংরক্ষিত থাকে।

১. JSON Web Tokens (JWT)

JWT হল একটি ওপেন স্ট্যান্ডার্ড (RFC 7519) যা দুটি পক্ষের মধ্যে নিরাপদভাবে তথ্য স্থানান্তরের জন্য ডিজাইন করা হয়েছে। এটি সাধারণত Authorization (অথেনটিকেশন) এবং Information Exchange এর জন্য ব্যবহৃত হয়। JWT তে তিনটি অংশ থাকে:

1. Header: টোকেনের ধরন (যেমন, JWT) এবং সাইনিং অ্যালগরিদম (যেমন, HMAC SHA256 বা RSA)।
2. Payload: তথ্য বা Claims যা ইউজারের সম্পর্কিত তথ্য ধারণ করে (যেমন, ইউজার আইডি, রোল ইত্যাদি)।
3. Signature: টোকেনের সুরক্ষা নিশ্চিত করতে সাইনিং অ্যালগরিদমের মাধ্যমে তৈরি করা হয়।

JWT তৈরি করা (Node.js Example)

1. jsonwebtoken প্যাকেজ ইনস্টল করা:

npm install jsonwebtoken

2. JWT তৈরি করা:

const jwt = require('jsonwebtoken');

// ইউজারের জন্য JWT তৈরি
const user = { id: 1, username: 'JohnDoe' };
const secretKey = 'your-secret-key';

// JWT তৈরি করা
const token = jwt.sign(user, secretKey, { expiresIn: '1h' });  // 1 ঘন্টার জন্য টোকেনটি মেয়াদী হবে

console.log('JWT Token:', token);

Output:

JWT Token: <YourGeneratedTokenHere>

এখানে, jwt.sign() মেথডের মাধ্যমে একটি JWT টোকেন তৈরি করা হয়েছে যা user ডেটা এবং secretKey ব্যবহার করে সাইন করা হয়েছে।

JWT Verify করা (Node.js Example)

// JWT যাচাই করা
jwt.verify(token, secretKey, (err, decoded) => {
  if (err) {
    console.log('Token is invalid or expired');
  } else {
    console.log('Decoded Token:', decoded);  // decoded ইউজারের তথ্য দেখাবে
  }
});

এখানে, jwt.verify() মেথড ব্যবহার করে টোকেনটি যাচাই করা হয়, এবং যদি এটি সঠিক থাকে, তবে ডিকোড করা তথ্য পাওয়া যাবে।

২. Cookies ব্যবহার

Cookies হল ক্লায়েন্ট-সাইডে (ব্রাউজারে) ছোট তথ্যের অংশ যা সার্ভার থেকে পাঠানো হয় এবং পরবর্তীতে সেই একই সার্ভারে পাঠানো হয়। Cookies ব্যবহার করে আপনি ইউজারের সেশন বা অন্যান্য ডেটা সংরক্ষণ করতে পারেন।

Cookies তৈরি করা (Node.js Example)

Express.js ব্যবহার করে Cookies সেট করা এবং পাঠানো সহজ। এখানে একটি সাধারণ উদাহরণ দেওয়া হলো যেখানে JWT টোকেন Cookies এ সংরক্ষণ করা হয়।

1. cookie-parser প্যাকেজ ইনস্টল করা:

npm install cookie-parser

2. Cookies সেট করা:

const express = require('express');
const cookieParser = require('cookie-parser');
const jwt = require('jsonwebtoken');
const app = express();

// Middleware for cookie parsing
app.use(cookieParser());

// Login route where JWT token is created and set as cookie
app.post('/login', (req, res) => {
  const user = { id: 1, username: 'JohnDoe' };
  const secretKey = 'your-secret-key';

  // JWT token creation
  const token = jwt.sign(user, secretKey, { expiresIn: '1h' });

  // Set JWT token as cookie
  res.cookie('token', token, { httpOnly: true, secure: true, maxAge: 3600000 }); // 1 hour

  res.send('Logged in and token saved as cookie');
});

// Route to access protected data
app.get('/profile', (req, res) => {
  const token = req.cookies.token;

  if (!token) {
    return res.status(403).send('Access Denied');
  }

  jwt.verify(token, 'your-secret-key', (err, decoded) => {
    if (err) {
      return res.status(401).send('Invalid Token');
    }

    res.json({ userId: decoded.id, username: decoded.username });
  });
});

app.listen(3000, () => {
  console.log('Server running on http://localhost:3000');
});

Output:

• POST /login: ইউজারের লগইন হলে JWT টোকেন Cookies এ সংরক্ষিত হবে।
• GET /profile: যদি Cookies-এ JWT টোকেন থাকে, তাহলে সেই টোকেনের মাধ্যমে প্রোফাইল ডেটা ফেরত দেওয়া হবে।

এখানে, res.cookie() মেথড ব্যবহার করে JWT টোকেন Cookies-এ সংরক্ষণ করা হয়েছে। টোকেনটি httpOnly এবং secure হিসাবে সেট করা হয়েছে, যাতে শুধুমাত্র সার্ভার থেকে অ্যাক্সেস করা যায় এবং HTTPS প্রোটোকল ব্যবহার করার সময় এটি সুরক্ষিত থাকে।

৩. JWT এবং Cookies এর সাথে সেশন পরিচালনা

JWT এবং Cookies একসাথে ব্যবহার করে ইউজারের সেশন পরিচালনা করা যায়। সাধারণত, JWT টোকেন Cookies-এ সংরক্ষিত থাকে এবং ইউজারকে লগইন করে রাখা হয় যতক্ষণ না টোকেনের মেয়াদ শেষ হয়।

1. JWT টোকেন Cookies-এ সংরক্ষণ: লগইন হওয়ার পর JWT টোকেন Cookies-এ সংরক্ষণ করা হয়, যাতে ইউজার পরবর্তী রিকোয়েস্টে এই টোকেন ব্যবহার করে অথেনটিকেট হতে পারে।
2. টোকেন যাচাই করা: ইউজারের প্রাইভেট রুটে প্রবেশ করার জন্য সেশন যাচাইয়ের জন্য jwt.verify() ব্যবহার করা হয়।
3. সেশন টাইমআউট বা লগআউট: JWT টোকেনের মেয়াদ শেষ হলে ইউজারকে পুনরায় লগইন করতে বলা হয়।

সারাংশ

• JWT হল একটি নিরাপদ উপায় যা ব্যবহারকারীর তথ্য সুরক্ষিত রাখতে এবং অথেনটিকেশন করার জন্য ব্যবহৃত হয়। এটি ক্লায়েন্ট এবং সার্ভারের মধ্যে নিরাপদ তথ্য বিনিময়ের জন্য ব্যবহৃত হয়।
• Cookies হল ক্লায়েন্ট-সাইডে ছোট ডেটা স্টোর করার জন্য ব্যবহৃত হয়, যা ইউজারের সেশন ট্র্যাকিং এবং ডেটা সংরক্ষণের জন্য উপযুক্ত।
• Express.js-এ JWT টোকেন Cookies-এ সংরক্ষণ করে এবং সেশন পরিচালনার জন্য JWT ব্যবহৃত হয়, যার মাধ্যমে ব্যবহারকারীর লগইন সেশন এবং অথেনটিকেশন নিরাপদ রাখা যায়।

এগুলি একটি ওয়েব অ্যাপ্লিকেশন তৈরি করার ক্ষেত্রে ইউজারের অথেনটিকেশন এবং অথোরাইজেশন সিস্টেমকে সুরক্ষিত এবং কার্যকরী করে তোলে।

OAuth (Open Authorization) একটি জনপ্রিয় অথেনটিকেশন এবং অথোরাইজেশন প্রোটোকল যা ব্যবহারকারীদের নিরাপদে এবং অনুমতি নিয়ে তাদের অ্যাপ্লিকেশনের জন্য তথ্য অ্যাক্সেস করতে সক্ষম করে। OAuth সাধারণত সামাজিক মিডিয়া লগিন যেমন Google, Facebook, Twitter ইত্যাদির সাথে সংযুক্ত করতে ব্যবহৃত হয়, যেখানে ইউজার তাদের সামাজিক অ্যাকাউন্ট ব্যবহার করে আপনার অ্যাপ্লিকেশনে লগ ইন করতে পারেন।

এখানে OAuth প্রোটোকল এবং Social Media Login Integration এর মাধ্যমে আপনি কিভাবে Node.js অ্যাপ্লিকেশনে সামাজিক মিডিয়া লগিন যুক্ত করতে পারেন তা বিস্তারিতভাবে দেখানো হবে।

১. OAuth কী?

OAuth হল একটি অথেনটিকেশন প্রোটোকল যা ক্লায়েন্ট অ্যাপ্লিকেশনকে একটি ইউজারের অ্যাকাউন্টের জন্য নির্দিষ্ট তথ্য অ্যাক্সেস করতে দেয়, তবে ইউজারের পাসওয়ার্ডের প্রয়োজন ছাড়াই। এতে দুটি প্রধান অংশ থাকে:

• Authorization Server: যেখানে ব্যবহারকারীর অনুমতি নেওয়া হয়।
• Resource Server: যেখানে ইউজারের তথ্য সংরক্ষিত থাকে (যেমন Google API, Facebook API ইত্যাদি)।

OAuth প্রক্রিয়া:

1. ইউজার প্রথমে Authorization Server এর মাধ্যমে একটি অনুমতি প্রদান করে (যেমন: "Allow" বাটনে ক্লিক করা)।
2. Authorization Server একটি Authorization Code প্রদান করে।
3. ক্লায়েন্ট অ্যাপ্লিকেশন এই কোডটি ব্যবহার করে Token পেতে রিকোয়েস্ট পাঠায়।
4. Token ব্যবহার করে ক্লায়েন্ট অ্যাপ্লিকেশন ইউজারের ডাটা অ্যাক্সেস করতে পারে।

২. Social Media Login Integration (Google, Facebook, Twitter)

Node.js এবং Express ব্যবহার করে Social Media Login Integration করতে, আপনি OAuth 2.0 প্রোটোকল ব্যবহার করে বিভিন্ন সামাজিক মিডিয়া সাইট (যেমন Google, Facebook) এর লগিন সিস্টেম যুক্ত করতে পারেন। এটি করার জন্য সাধারণত Passport.js নামক মডিউল ব্যবহার করা হয়।

Passport.js Overview

Passport.js হল একটি নমনীয় অথেনটিকেশন মিডলওয়্যার যা Express অ্যাপ্লিকেশনগুলিতে সামাজিক মিডিয়া লগিন ইন্টিগ্রেট করতে ব্যবহৃত হয়। এটি বিভিন্ন স্ট্রাটেজি (Google, Facebook, Twitter ইত্যাদি) সাপোর্ট করে এবং OAuth2.0 প্রোটোকল ব্যবহার করে।

৩. Google Login Integration (OAuth 2.0)

Google login ইন্টিগ্রেট করতে প্রথমে আপনি Google Developer Console এ গিয়ে একটি OAuth Client ID তৈরি করতে হবে।

Step 1: Google Developer Console Setup

1. Google Developer Console এ যান: Google Developer Console
2. একটি নতুন প্রোজেক্ট তৈরি করুন।
3. "OAuth 2.0 Client IDs" তৈরি করুন এবং আপনার রিডিরেক্ট URI দিন (যেমন: http://localhost:3000/auth/google/callback)।
4. Client ID এবং Client Secret সংগ্রহ করুন।

Step 2: Passport.js এবং Google OAuth Setup

1. প্রথমে, প্রয়োজনীয় প্যাকেজ ইনস্টল করুন:

   npm install passport passport-google-oauth20 express-session

2. Express এ Passport.js এবং Google OAuth সেটআপ করুন:

const express = require('express');
const passport = require('passport');
const GoogleStrategy = require('passport-google-oauth20').Strategy;
const session = require('express-session');

const app = express();

// Express session সেটআপ
app.use(session({
  secret: 'your_secret_key',
  resave: true,
  saveUninitialized: true
}));

// Passport.js সেটআপ
passport.serializeUser((user, done) => {
  done(null, user);
});

passport.deserializeUser((user, done) => {
  done(null, user);
});

// Google OAuth স্ট্রাটেজি সেটআপ
passport.use(new GoogleStrategy({
  clientID: 'YOUR_GOOGLE_CLIENT_ID',
  clientSecret: 'YOUR_GOOGLE_CLIENT_SECRET',
  callbackURL: 'http://localhost:3000/auth/google/callback'
}, (accessToken, refreshToken, profile, done) => {
  return done(null, profile);
}));

// Google Login রাউট
app.get('/auth/google', passport.authenticate('google', {
  scope: ['profile', 'email']
}));

// Google Callback রাউট
app.get('/auth/google/callback', passport.authenticate('google', {
  failureRedirect: '/'
}), (req, res) => {
  res.send('You are logged in with Google');
});

// Home রাউট
app.get('/', (req, res) => {
  res.send('Home Page');
});

// Server চালু করা
app.listen(3000, () => {
  console.log('Server running at http://localhost:3000');
});

এখানে, /auth/google রাউট ব্যবহারকারীদের Google এর লগইন পেজে রিডাইরেক্ট করবে এবং ইউজার সাফল্যের সাথে লগইন করলে /auth/google/callback পাথে রিডাইরেক্ট করবে। এই পাথের মাধ্যমে ইউজার এর প্রোফাইল ডাটা সংগ্রহ করা হবে।

৪. Facebook Login Integration (OAuth 2.0)

Facebook login ইন্টিগ্রেট করতে আপনাকে প্রথমে Facebook Developer Console এ গিয়ে একটি অ্যাপ্লিকেশন তৈরি করতে হবে এবং একটি App ID ও App Secret সংগ্রহ করতে হবে।

Step 1: Facebook Developer Console Setup

1. Facebook Developer Console এ যান: Facebook Developer Console
2. একটি নতুন অ্যাপ তৈরি করুন।
3. OAuth সেটিংস কনফিগার করুন এবং Redirect URI দিন (যেমন: http://localhost:3000/auth/facebook/callback).
4. App ID এবং App Secret সংগ্রহ করুন।

Step 2: Passport.js এবং Facebook OAuth Setup

1. Facebook OAuth স্ট্রাটেজি ইনস্টল করুন:

   npm install passport-facebook

2. Express অ্যাপে Facebook OAuth ইন্টিগ্রেট করুন:

const express = require('express');
const passport = require('passport');
const FacebookStrategy = require('passport-facebook').Strategy;

const app = express();

// Express session সেটআপ
app.use(session({
  secret: 'your_secret_key',
  resave: true,
  saveUninitialized: true
}));

// Passport.js সেটআপ
passport.serializeUser((user, done) => {
  done(null, user);
});

passport.deserializeUser((user, done) => {
  done(null, user);
});

// Facebook OAuth স্ট্রাটেজি সেটআপ
passport.use(new FacebookStrategy({
  clientID: 'YOUR_FACEBOOK_APP_ID',
  clientSecret: 'YOUR_FACEBOOK_APP_SECRET',
  callbackURL: 'http://localhost:3000/auth/facebook/callback'
}, (accessToken, refreshToken, profile, done) => {
  return done(null, profile);
}));

// Facebook Login রাউট
app.get('/auth/facebook', passport.authenticate('facebook'));

// Facebook Callback রাউট
app.get('/auth/facebook/callback', passport.authenticate('facebook', {
  failureRedirect: '/'
}), (req, res) => {
  res.send('You are logged in with Facebook');
});

// Home রাউট
app.get('/', (req, res) => {
  res.send('Home Page');
});

// Server চালু করা
app.listen(3000, () => {
  console.log('Server running at http://localhost:3000');
});

এখানে, /auth/facebook রাউট ব্যবহারকারীদের Facebook এর লগইন পেজে রিডাইরেক্ট করবে এবং /auth/facebook/callback পাথে রিডাইরেক্ট হলে ইউজারের প্রোফাইল তথ্য প্রাপ্ত হবে।

সারাংশ

• OAuth হল একটি প্রোটোকল যা ক্লায়েন্ট অ্যাপ্লিকেশনকে ইউজারের অ্যাকাউন্টের তথ্য অ্যাক্সেস করতে অনুমতি দেয়, তবে পাসওয়ার্ড ছাড়াই।
• Google এবং Facebook এর OAuth ব্যবহার করে সামাজিক মিডিয়া লগিন সিস্টেম আপনার Node.js অ্যাপে যোগ করতে পারেন।
• Passport.js ব্যবহার করে আপনি বিভিন্ন OAuth প্রটোকল সাপোর্ট করার মাধ্যমে সামাজিক মিডিয়া লগিন যুক্ত করতে পারেন।
• Social Media Login ব্যবহারকারীদের জন্য নিরাপদ, সুবিধাজনক এবং দ্রুত লগিন সিস্টেম প্রদান করে, যা আপনার ওয়েব অ্যাপ্লিকেশনকে আরও ইউজার ফ্রেন্ডলি করে তোলে।

User Roles এবং Permissions Management হল যে কোনো অ্যাপ্লিকেশনে নিরাপত্তা এবং অ্যাক্সেস কন্ট্রোল ব্যবস্থাপনার অন্যতম গুরুত্বপূর্ণ দিক। এটি ডিফাইন করে যে, প্রতিটি ব্যবহারকারী কী ধরনের অ্যাক্সেস পাবে, তারা কোন ফিচার বা ডাটা দেখতে বা সম্পাদনা করতে পারবে এবং কোথায় তারা সীমাবদ্ধ থাকবে।

Node.js এ User Roles এবং Permissions ম্যানেজমেন্ট বাস্তবায়ন করার জন্য, সাধারণত একটি role-based access control (RBAC) সিস্টেম ব্যবহার করা হয়। এই সিস্টেমে, ব্যবহারকারীদের একটি নির্দিষ্ট role দেওয়া হয় এবং সেই role এর অধীনে ব্যবহারকারীকে নির্দিষ্ট permissions প্রদান করা হয়।

এখানে User Roles এবং Permissions Management এর ধারণা, কিভাবে একে Node.js এ বাস্তবায়ন করা যায় এবং এর জন্য ব্যবহৃত বিভিন্ন পদ্ধতি নিয়ে আলোচনা করা হবে।

১. User Roles এবং Permissions ধারণা

User Role:

• একটি role হল ব্যবহারকারীর অবস্থান বা ভূমিকা, যা তার অ্যাপ্লিকেশনের ভেতরে কী কাজ করতে পারবে তা নির্ধারণ করে।
• উদাহরণস্বরূপ: Admin, User, Moderator, Guest ইত্যাদি।

Permissions:

• Permissions হল সেই কার্যকলাপ বা অ্যাক্সেস যা একটি নির্দিষ্ট role বা ব্যবহারকারীকে দেওয়া হয়। এটি নির্ধারণ করে, ব্যবহারকারী কোন ফিচারে অ্যাক্সেস পাবে, কোন ডাটাবেস রেকর্ড দেখতে বা সম্পাদনা করতে পারবে, ইত্যাদি।
• উদাহরণস্বরূপ: Create, Read, Update, Delete (CRUD), Manage users, View reports, ইত্যাদি।

RBAC (Role-Based Access Control):

• RBAC এর মাধ্যমে ব্যবহারকারীদের roles এবং তাদের অধীনে থাকা permissions ম্যানেজ করা হয়।
• প্রতিটি role একটি নির্দিষ্ট set of permissions এর সাথে যুক্ত থাকে।

২. Node.js এ User Roles এবং Permissions ম্যানেজমেন্ট বাস্তবায়ন

Node.js এ user roles এবং permissions ম্যানেজমেন্ট করার জন্য সাধারণত Express.js এবং jsonwebtoken (JWT) এর মাধ্যমে authentication এবং authorization বাস্তবায়ন করা হয়। নিচে একটি সাধারণ RBAC (Role-Based Access Control) সিস্টেমের উদাহরণ দেওয়া হলো, যেখানে Admin এবং User roles থাকবে এবং তাদের জন্য আলাদা permissions থাকবে।

Step 1: Dependencies ইনস্টল করা

প্রথমে express, jsonwebtoken (JWT) এবং bcryptjs (password hashing এর জন্য) ইনস্টল করুন।

npm install express jsonwebtoken bcryptjs

Step 2: Basic User Authentication (JWT) Setup

প্রথমে একটি মৌলিক ব্যবহারকারী অথেনটিকেশন সিস্টেম তৈরি করি যেখানে JWT token ব্যবহার করা হবে।

const express = require('express');
const bcrypt = require('bcryptjs');
const jwt = require('jsonwebtoken');
const app = express();

app.use(express.json());

// Dummy users for demonstration
const users = [
    { id: 1, username: 'admin', password: 'admin123', role: 'admin' },
    { id: 2, username: 'user', password: 'user123', role: 'user' }
];

// JWT secret key
const JWT_SECRET = 'your_jwt_secret_key';

// User login and JWT token generation
app.post('/login', (req, res) => {
    const { username, password } = req.body;
    const user = users.find(u => u.username === username);

    if (!user) {
        return res.status(400).send('User not found');
    }

    // Compare hashed password
    bcrypt.compare(password, user.password, (err, result) => {
        if (err) return res.status(500).send('Server error');
        if (!result) return res.status(400).send('Invalid password');

        // Generate JWT token
        const token = jwt.sign({ id: user.id, role: user.role }, JWT_SECRET, { expiresIn: '1h' });
        res.json({ token });
    });
});

Step 3: Protecting Routes with Role-Based Access Control (RBAC)

এখন, Authorization যুক্ত করি, যাতে আমরা ব্যবহারকারীর role অনুসারে তাদের অ্যাক্সেস সীমাবদ্ধ করতে পারি।

// Middleware to verify JWT token and role
function authenticateToken(req, res, next) {
    const token = req.header('Authorization');
    if (!token) {
        return res.status(401).send('Access denied');
    }

    jwt.verify(token, JWT_SECRET, (err, user) => {
        if (err) return res.status(403).send('Invalid token');
        req.user = user;
        next();
    });
}

// Middleware to check if the user has admin role
function authorizeAdmin(req, res, next) {
    if (req.user.role !== 'admin') {
        return res.status(403).send('Access denied');
    }
    next();
}

// Example of an admin-only route
app.get('/admin', authenticateToken, authorizeAdmin, (req, res) => {
    res.send('Welcome, Admin');
});

// Example of a user route that is accessible by both admin and user
app.get('/profile', authenticateToken, (req, res) => {
    res.send('Welcome, User');
});

Step 4: Hashing Passwords with bcrypt

তবে, বাস্তবে, আপনি কখনও plaintext password সঞ্চয় করবেন না। বরং, ব্যবহারকারীর পাসওয়ার্ডগুলি bcrypt এর মাধ্যমে হ্যাশ করা উচিত।

// Hash the password before saving it to the database
bcrypt.hash('admin123', 10, (err, hashedPassword) => {
    if (err) throw err;
    // Save hashedPassword in database
});

Step 5: Testing Routes

এখন, আপনার /login রুটে লগ ইন করতে পারবেন এবং JWT token পাবেন। সেই token দিয়ে /admin বা /profile রুটে অ্যাক্সেস করতে পারবেন।

• /admin রুটটি শুধুমাত্র admin role এর জন্য অ্যাক্সেসযোগ্য।
• /profile রুটটি admin এবং user উভয়ের জন্য অ্যাক্সেসযোগ্য।

৩. User Roles এবং Permissions ব্যবহার করার অন্য কিছু পদ্ধতি

1. Middleware ব্যবহার করে Permission Check:
   আপনি যদি আরও অনেক রোল এবং পেরমিশন চান, তবে role এবং permissions গুলি ডাটাবেসে সংরক্ষণ করতে পারেন এবং রুটে middleware ব্যবহার করে সেই রোল/পেরমিশন যাচাই করতে পারেন।
2. Permission-based Access:
   • উদাহরণস্বরূপ, create, read, update, এবং delete (CRUD) operations অ্যাডমিন, মডারেটর বা সাধারণ ব্যবহারকারীর জন্য আলাদা আলাদা permission দিয়ে সীমাবদ্ধ করতে পারেন।
3. Dynamic Role Management:
   আপনি ডাটাবেসে roles এবং permissions টেবিল তৈরি করে ডাইনামিকভাবে user roles এবং permissions ম্যানেজ করতে পারেন। এর মাধ্যমে আপনি admin থেকে user পর্যন্ত roles ডাইনামিকভাবে তৈরি করতে পারবেন।

সারাংশ

• User Roles এবং Permissions ম্যানেজমেন্ট ব্যবহারকারীদের বিভিন্ন অ্যাক্সেস নিয়ন্ত্রণ করতে সাহায্য করে।
• Role-Based Access Control (RBAC) পদ্ধতির মাধ্যমে নির্দিষ্ট ব্যবহারকারীদের নির্দিষ্ট রোল ও পেরমিশন প্রদান করা হয়।
• JWT (JSON Web Token) ব্যবহার করে authentication এবং authorization করতে পারা যায়।
• Node.js এবং Express ব্যবহার করে middleware এর মাধ্যমে সহজেই role validation এবং permission management করা সম্ভব।