অথেন্টিকেশন ও অথরাইজেশন

১ · AuthN বনাম AuthZ

দুটো শব্দ শুনতে কাছাকাছি হলেও সম্পূর্ণ ভিন্ন প্রশ্নের উত্তর দেয় — Authentication (AuthN)Authenticationইউজার আসলে যে দাবি করছে সেই ব্যক্তি কিনা তা যাচাই করা — সাধারণত লগইন প্রক্রিয়া (পাসওয়ার্ড, OTP, বায়োমেট্রিক ইত্যাদি)। বলে "আপনি কে?" — লগইন করে প্রমাণ করা আপনি যে ব্যবহারকারী বলে দাবি করছেন, সেই ব্যবহারকারীই। Authorization (AuthZ)Authorizationএকজন যাচাইকৃত ইউজার কোন কোন রিসোর্স/অ্যাকশনে অ্যাক্সেস পাবে তা নির্ধারণ করা — পারমিশন ব্যবস্থাপনা। বলে "আপনি কী করতে পারবেন?" — যাচাইকৃত হওয়ার পরও, একজন সাধারণ ইউজার হয়তো অন্য ইউজারের ডেটা ডিলিট করার অনুমতি পাবে না, কিন্তু একজন অ্যাডমিন পাবে।

২ · সেশন-বেসড বনাম টোকেন-বেসড (JWT) অথেন্টিকেশন

লগইনের পর সার্ভার কীভাবে "মনে রাখে" ইউজার লগইন করা আছে, তার দুটো প্রধান পদ্ধতি —

৩ · OAuth 2.0 — ডেলিগেশন প্রোটোকল

OAuth 2.0OAuth 2.0একটি ডেলিগেশন প্রোটোকল যা ইউজারকে পাসওয়ার্ড শেয়ার না করেই একটি থার্ড-পার্টি অ্যাপকে সীমিত অ্যাক্সেস দেওয়ার সুযোগ দেয়। হলো "Sign in with Google/Facebook"-এর পেছনের প্রোটোকল — ইউজার তার Google পাসওয়ার্ড থার্ড-পার্টি অ্যাপকে না দিয়েই সেই অ্যাপকে সীমিত অ্যাক্সেস (যেমন শুধু ইমেইল ও নাম পড়ার) দিতে পারে। এর চারটি মূল ভূমিকা — Resource Owner (ইউজার নিজে), Client (থার্ড-পার্টি অ্যাপ), Authorization Server (যেমন Google-এর অথ সার্ভার, যেখানে ইউজার লগইন করে অনুমতি দেয়), এবং Resource Server (যে আসল ডেটা/API ধারণ করে, যেমন Google-এর প্রোফাইল API)।

৪ · RBAC — রোল-বেসড অ্যাক্সেস কন্ট্রোল

RBACRole-Based Access Controlপারমিশন সরাসরি ইউজারকে নয়, রোলকে অ্যাসাইন করা হয়; প্রতিটি ইউজারকে এক বা একাধিক রোল দেওয়া হয়। স্কিমে পারমিশন সরাসরি প্রতিটি ইউজারকে না দিয়ে "রোল"-কে (যেমন admin, editor, viewer) দেওয়া হয়, এবং প্রতিটি ইউজারকে এক বা একাধিক রোল অ্যাসাইন করা হয়। হাজার হাজার ইউজারের জন্য আলাদা আলাদা পারমিশন ম্যানেজ করার চেয়ে কয়েকটি রোল ম্যানেজ করা অনেক সহজ ও কম ভুল-প্রবণ।

নিচের কোড সেলে বাস্তব ক্রিপ্টোগ্রাফি — stdlib hmac ও hashlib.sha256 ব্যবহার করে একটি সিম্পল সাইনড টোকেন তৈরি ও যাচাই করা হলো (JWT-এর ঠিক ফরম্যাট নয়, কিন্তু একই সিগনিং নীতি)। একটি বৈধ টোকেন সফলভাবে যাচাই হবে, এবং সাইন করার পর payload বদলে দিলে (টেম্পারিং) যাচাই ব্যর্থ হবে।

import hmac
import hashlib

def create_token(payload, secret):
    signature = hmac.new(secret.encode(), payload.encode(), hashlib.sha256).hexdigest()
    return f"{payload}.{signature}"

def verify_token(token, secret):
    payload, _, signature = token.rpartition(".")
    expected = hmac.new(secret.encode(), payload.encode(), hashlib.sha256).hexdigest()
    return hmac.compare_digest(expected, signature)

secret = "super-secret-key-2026"
payload = "user_id=42;role=admin;exp=1999999999"

token = create_token(payload, secret)
print("তৈরি হওয়া টোকেন:")
print(" ", token)

print("\nবৈধ টোকেন verify:", verify_token(token, secret))

# --- টেম্পারিং: সাইন করার পর payload বদলে ফেলা হলো ---
tampered_payload = "user_id=42;role=SUPERADMIN;exp=1999999999"
original_signature = token.rpartition(".")[2]
tampered_token = f"{tampered_payload}.{original_signature}"

print("টেম্পার করা টোকেন verify:", verify_token(tampered_token, secret))