টোকেন-ভিত্তিক অথেন্টিকেশন ও JWT

import hashlib, hmac, base64, json, time

def b64url_encode(data: bytes) -> str:
    """স্ট্যান্ডার্ড base64url এনকোড করে, JWT কনভেনশন অনুযায়ী শেষের '=' প্যাডিং বাদ দিয়ে"""
    return base64.urlsafe_b64encode(data).rstrip(b"=").decode("ascii")

def b64url_decode(s: str) -> bytes:
    """বাদ দেওয়া প্যাডিং ফিরিয়ে দিয়ে base64url ডিকোড করে"""
    padding = "=" * (-len(s) % 4)
    return base64.urlsafe_b64decode(s + padding)

def create_jwt(payload: dict, secret: str) -> str:
    header = {"alg": "HS256", "typ": "JWT"}
    header_b64 = b64url_encode(json.dumps(header, separators=(",", ":")).encode())
    payload_b64 = b64url_encode(json.dumps(payload, separators=(",", ":")).encode())
    signing_input = f"{header_b64}.{payload_b64}"
    signature = hmac.new(secret.encode(), signing_input.encode(), hashlib.sha256).digest()
    signature_b64 = b64url_encode(signature)
    return f"{signing_input}.{signature_b64}"

def verify_jwt(token: str, secret: str):
    """টোকেন ভেঙে সিগনেচার পুনরায় গণনা করে constant-time তুলনা করে --
    মিললে ডিকোড করা পেলোড, না মিললে None রিটার্ন করে"""
    parts = token.split(".")
    if len(parts) != 3:
        return None
    header_b64, payload_b64, signature_b64 = parts
    signing_input = f"{header_b64}.{payload_b64}"
    expected_sig = hmac.new(secret.encode(), signing_input.encode(), hashlib.sha256).digest()
    expected_sig_b64 = b64url_encode(expected_sig)
    if not hmac.compare_digest(expected_sig_b64, signature_b64):
        return None
    return json.loads(b64url_decode(payload_b64))

SECRET_KEY = "abcltech-super-secret-key"

payload = {"user_id": 1, "username": "sohel", "exp": int(time.time()) + 3600}
token = create_jwt(payload, SECRET_KEY)
print("তৈরি হওয়া JWT (header.payload.signature):")
print(token)

decoded = verify_jwt(token, SECRET_KEY)
print("\n--- আসল টোকেন ভেরিফাই করা ---")
print("ভেরিফিকেশন পাস করেছে:", decoded is not None)
print("ফেরত পাওয়া পেলোড:", decoded)
print("আসল পেলোডের সাথে হুবহু মিলেছে:", decoded == payload)

# --- এখন টোকেন টেম্পার করা যাক -- পেলোড বদলে সিগনেচার পুনরায় সাইন করা হয়নি ---
header_b64, payload_b64, signature_b64 = token.split(".")
tampered_payload = json.loads(b64url_decode(payload_b64))
tampered_payload["user_id"] = 999
tampered_payload_b64 = b64url_encode(json.dumps(tampered_payload, separators=(",", ":")).encode())
tampered_token = f"{header_b64}.{tampered_payload_b64}.{signature_b64}"

print("\n--- টেম্পার-করা টোকেন ভেরিফাই করা ---")
tampered_result = verify_jwt(tampered_token, SECRET_KEY)
print("ভেরিফিকেশন পাস করেছে:", tampered_result is not None)
print("রিটার্ন মান:", tampered_result)