Access Token এর মেয়াদ এবং Expiration

OAuth 2.0-এ Access Token একটি সুরক্ষিত কী যা ব্যবহারকারী বা ক্লায়েন্ট অ্যাপ্লিকেশনকে নির্দিষ্ট রিসোর্স বা ডেটাতে অ্যাক্সেসের অনুমতি দেয়। একবার Access Token পাওয়ার পরে, এটি নির্দিষ্ট সময়ের জন্য বৈধ থাকে এবং একটি সময় পরে expire (মেয়াদ শেষ) হয়ে যায়। Access Token এর মেয়াদ এবং Expiration ব্যবস্থাপনা গুরুত্বপূর্ণ কারণ এটি নিরাপত্তা বজায় রাখতে সহায়ক এবং অবাঞ্ছিত অ্যাক্সেস থেকে সিস্টেম রক্ষা করে।

Access Token এর মেয়াদ (Lifetime)

Access Token এর মেয়াদ সাধারণত short-lived হয়, অর্থাৎ এটি সীমিত সময়ের জন্য বৈধ থাকে, যা একাধিক কারণে সুরক্ষা বাড়াতে সহায়ক।

সাধারণত Access Token এর মেয়াদে এই দুইটি বিষয় প্রভাব ফেলে:

1. Expires In (মেয়াদের সময়):
   একবার Access Token জেনারেট হলে, সেটি নির্দিষ্ট সময়ের জন্য বৈধ থাকে। এই সময়কাল সাধারণত 3600 সেকেন্ড (1 ঘন্টা) থেকে শুরু করে আরো দীর্ঘ সময় হতে পারে (যেমন 24 ঘণ্টা বা আরও বেশি)।
2. Token Expiration Time:
   একটি Access Token এর মেয়াদ শেষ হলে, এটি আর বৈধ থাকে না এবং যদি অ্যাপ্লিকেশনটি আরও অ্যাক্সেস চায়, তবে এটি আবার নতুন Access Token পেতে হবে।

Access Token Expiration (Access Token মেয়াদ শেষ হওয়া)

Access Token এর মেয়াদ শেষ হলে, এটি আর সার্ভার দ্বারা গ্রহণযোগ্য নয় এবং সেই অ্যাক্সেস করতে গেলে সিস্টেম Unauthorized (অননুমোদিত) হিসেবে রেসপন্স করবে। এটি নিরাপত্তার জন্য খুবই গুরুত্বপূর্ণ, কারণ সিস্টেমে অব্যাহত অ্যাক্সেসের ঝুঁকি কমে যায়।

Access Token Expiration এর পরে, দুটি মূল পদ্ধতি থাকতে পারে:

1. Refresh Token:
   যদি Access Token এর মেয়াদ শেষ হয়ে যায়, তবে Refresh Token ব্যবহার করে ক্লায়েন্ট আবার নতুন Access Token পেতে পারে। Refresh Token সাধারণত দীর্ঘমেয়াদী এবং Access Token পুনঃপ্রাপ্তি জন্য ব্যবহার হয়। এটি মূলত "long-lived" এবং Access Token এর মেয়াদ শেষে ব্যবহারকারীর পুনঃঅথেনটিকেশন ছাড়াই অ্যাক্সেস পুনরায় চালু করতে সহায়তা করে।

   Refresh Token ব্যবহার করার উদাহরণ:

   POST https://authorization-server.com/oauth/token
   Content-Type: application/x-www-form-urlencoded
   
   grant_type=refresh_token&
   refresh_token=REFRESH_TOKEN&
   client_id=YOUR_CLIENT_ID&
   client_secret=YOUR_CLIENT_SECRET

   • refresh_token: এটি ঐ টোকেন যা ব্যবহারকারী আগেই প্রাপ্ত করেছিল।
   • grant_type: refresh_token হিসাবে নির্ধারণ করতে হবে।

   রেসপন্সে, নতুন Access Token পাওয়া যাবে:

   {
       "access_token": "NEW_ACCESS_TOKEN",
       "token_type": "bearer",
       "expires_in": 3600
   }

2. Reauthentication:
   যদি Refresh Token উপস্থিত না থাকে বা Refresh Token এর মেয়াদও শেষ হয়ে যায়, তবে Client আবার Authorization Server-এ Authentication এবং Authorization প্রক্রিয়া সম্পন্ন করতে হবে।

Access Token এর Expiration Time সেট করা

OAuth 2.0 এর Access Token এর মেয়াদ এবং Expiration সময় সাধারণত Authorization Server দ্বারা কনফিগার করা হয়। এটি বিভিন্ন সিস্টেম বা অ্যাপ্লিকেশন অনুযায়ী পরিবর্তিত হতে পারে।

যেমন:

• Google OAuth 2.0:
  গুগল সাধারণত 1 ঘণ্টার জন্য Access Token মেয়াদ নির্ধারণ করে। তবে, গুগল ব্যবহারকারীদেরকে Refresh Token ব্যবহার করে পুনরায় Access Token পেতে সুবিধা দেয়।
• Facebook OAuth 2.0:
  ফেসবুকের Access Token সাধারণত 1 ঘণ্টা থেকে 60 দিন পর্যন্ত বৈধ থাকতে পারে এবং Refresh Token এটির মেয়াদ বাড়াতে সহায়তা করে।
• Custom OAuth 2.0 Servers:
  কিছু কাস্টম OAuth 2.0 সিস্টেম বা API বিভিন্ন নির্দিষ্ট সময়কাল সেট করে থাকতে পারে, যেমন 15 মিনিট, 1 ঘণ্টা, 24 ঘণ্টা বা তারও বেশি।

Access Token মেয়াদ শেষ হওয়ার পর কী ঘটবে?

1. Unauthorized Error:
   যখন Access Token এর মেয়াদ শেষ হয়ে যায়, তখন Resource Server তে Unauthorized (HTTP 401) এরর কোড আসবে এবং ক্লায়েন্টকে নতুন Access Token পেতে বলবে।
2. Renewing the Access Token:
   যদি Refresh Token উপস্থিত থাকে, তবে Access Token নবায়ন করার জন্য Refresh Token ব্যবহার করতে হবে। যদি না থাকে, তবে ব্যবহারকারীকে আবার লগ ইন বা অথেনটিকেট করতে হবে।

সারাংশ

• Access Token এর মেয়াদ একটি নির্দিষ্ট সময়ের জন্য সীমাবদ্ধ থাকে এবং এর মেয়াদ শেষ হলে Unauthorized রেসপন্স পাওয়া যায়।
• Refresh Token-এর মাধ্যমে Access Token নবায়ন করা যায়, যাতে ব্যবহারকারী পুনরায় অথেনটিকেশন ছাড়াই নতুন Access Token পেতে পারেন।
• Access Token Expiration একটি সুরক্ষা বৈশিষ্ট্য, যা অবাঞ্ছিত অ্যাক্সেস থেকে সিস্টেম রক্ষা করতে সাহায্য করে।