Authentication এবং Authorization এর সেরা অনুশীলন

GraphQL Security Best Practices - গ্রাফকিউএল (GraphQL) - Web Development

248

গ্রাফকিউএল (GraphQL)-এ Authentication এবং Authorization বাস্তবায়ন করতে কিছু সেরা অনুশীলন (Best Practices) অনুসরণ করা অত্যন্ত গুরুত্বপূর্ণ। এসব অনুশীলন অনুসরণ করলে আপনি নিরাপদ, স্কেলেবল এবং কার্যকরী একটি API তৈরি করতে পারবেন, যেখানে ব্যবহারকারীরা তাদের নিজস্ব ডেটাতে অ্যাক্সেস পাবেন এবং সার্ভারের নিরাপত্তা নিশ্চিত হবে। এখানে Authentication এবং Authorization এর সেরা অনুশীলনগুলি নিয়ে আলোচনা করা হবে।

Authentication এর সেরা অনুশীলন

Authentication নিশ্চিত করে যে ব্যবহারকারী সঠিকভাবে সাইন ইন করেছে এবং তার পরিচয় প্রমাণিত হয়েছে। গ্রাফকিউএল API-তে Authentication কনফিগার করতে কিছু সেরা অনুশীলন নিচে দেওয়া হল:

১. JWT (JSON Web Token) ব্যবহার করা

JWT একটি জনপ্রিয় এবং নিরাপদ পদ্ধতি যা Authentication এর জন্য ব্যবহৃত হয়। এটি একটি স্ট্যাটলেস (Stateless) সিস্টেম, যেখানে সার্ভার টোকেনটি ক্লায়েন্টকে পাঠায় এবং ক্লায়েন্ট পরে সেই টোকেন দিয়ে সার্ভারের কাছে রিকোয়েস্ট পাঠায়।

Advantages:
- সার্ভারকে স্ট্যাটলেস রাখে (সার্ভারে ইউজারের ডেটা সংরক্ষণের প্রয়োজন হয় না)।
- সহজে একাধিক রিকোয়েস্টের জন্য একই টোকেন ব্যবহার করা যায়।

JWT টোকেন তৈরির উদাহরণ:

const jwt = require('jsonwebtoken');

// JWT টোকেন তৈরি
function generateToken(user) {
  return jwt.sign({ id: user.id, username: user.username }, 'your_secret_key', {
    expiresIn: '1h', // টোকেনের মেয়াদ
  });
}

JWT যাচাই করার উদাহরণ:

const jwt = require('jsonwebtoken');

function verifyToken(token) {
  try {
    const decoded = jwt.verify(token, 'your_secret_key');
    return decoded; // টোকেন যাচাইয়ের পর ব্যবহারকারীর তথ্য ফেরত দিন
  } catch (error) {
    throw new Error('Invalid or expired token');
  }
}

২. HTTPS ব্যবহার করা

HTTPS (Hypertext Transfer Protocol Secure) ব্যবহার করা গুরুত্বপূর্ণ, কারণ এটি সব ধরনের ডেটা, বিশেষ করে Authorization Token বা JWT এর নিরাপত্তা নিশ্চিত করে। যদি আপনি HTTP ব্যবহার করেন, তাহলে টোকেন বা অন্যান্য গুরুত্বপূর্ণ ডেটা মাঝখানে চুরি হতে পারে।

৩. Token Expiry এবং Refresh Token ব্যবহারের ব্যবস্থা করা

JWT টোকেনের মেয়াদ সীমিত থাকে, তবে দীর্ঘ মেয়াদী সেশনের জন্য Refresh Token ব্যবহৃত হয়। এটি একটি দীর্ঘস্থায়ী টোকেন যা মেয়াদ শেষ হয়ে গেলে নতুন JWT টোকেন তৈরি করতে ব্যবহৃত হয়।

Refresh Token উদাহরণ:

const refreshToken = jwt.sign({ id: user.id }, 'your_refresh_secret', { expiresIn: '7d' });

৪. Secure Storage of Tokens

Tokens নিরাপদভাবে সংরক্ষণ করা উচিত, বিশেষত JWT টোকেনগুলিকে। টোকেনগুলি localStorage বা sessionStorage তে সংরক্ষণ করা যেতে পারে, তবে সেগুলি HTTP-only cookies তে রাখলে নিরাপত্তা আরও বাড়ে, কারণ এতে Cross-Site Scripting (XSS) আক্রমণ থেকে রক্ষা পাওয়া যায়।

res.cookie('jwt', token, { httpOnly: true, secure: process.env.NODE_ENV === 'production' });

৫. Invalidating Tokens

যখন ব্যবহারকারী লগআউট করে, তখন JWT Token বাতিল করতে হবে। টোকেনের মেয়াদ শেষ হয়ে যাওয়ার পর ব্যবহারকারী আর অ্যাক্সেস করতে পারবে না।

Authorization এর সেরা অনুশীলন

Authorization নিশ্চিত করে যে একটি প্রমাণিত ব্যবহারকারী তার অনুমোদিত রিসোর্সের অ্যাক্সেস পেয়েছে। এটি সাধারণত Roles এবং Permissions এর মাধ্যমে পরিচালিত হয়। গ্রাফকিউএল API-তে Authorization কনফিগার করার জন্য কিছু সেরা অনুশীলন নিচে দেওয়া হলো:

১. Role-Based Access Control (RBAC) ব্যবহার করা

RBAC (Role-Based Access Control) হল একটি নিরাপত্তা কৌশল যেখানে ব্যবহারকারীকে তাদের ভূমিকা (Role) অনুযায়ী বিভিন্ন অ্যাক্সেস অনুমতি প্রদান করা হয়। যেমন, একটি Admin রোল সমস্ত ডেটা দেখতে এবং ম্যানিপুলেট করতে পারবে, তবে User রোল শুধুমাত্র তার নিজের ডেটা অ্যাক্সেস করতে পারবে।

RBAC এর উদাহরণ:

const resolvers = {
  Query: {
    getUserData: async (_, __, context) => {
      if (context.user.role !== 'Admin' && context.user.role !== 'User') {
        throw new Error('Unauthorized');
      }
      return await getUserDataFromDatabase(context.user.id);
    },
  },
};

এখানে:

context.user.role যাচাই করে ব্যবহারকারী Admin বা User রোলের অধীনে ডেটা অ্যাক্সেস পেতে পারবে কিনা।

২. Fine-Grained Permissions

Fine-Grained Permissions অর্থ হল, একটি নির্দিষ্ট রোলের মধ্যে আরও বিস্তারিত অনুমতি প্রদান করা। উদাহরণস্বরূপ, Admin রোলের জন্য বিভিন্ন অ্যাক্সেস স্তর থাকতে পারে (যেমন ডেটা দেখার জন্য অনুমতি, ডেটা আপডেট করার জন্য অনুমতি)।

Permissions উদাহরণ:

const resolvers = {
  Query: {
    getSensitiveData: async (_, __, context) => {
      if (context.user.permissions.includes('viewSensitiveData')) {
        return await getSensitiveDataFromDatabase();
      } else {
        throw new Error('Permission Denied');
      }
    },
  },
};

এখানে:

context.user.permissions ব্যবহার করে, শুধুমাত্র সেই ব্যবহারকারী যাদের অনুমতি আছে তারা SensitiveData অ্যাক্সেস করতে পারবে।

৩. Context এর মধ্যে Authorization তথ্য সংরক্ষণ করা

Authorization এর জন্য সবসময় context ব্যবহার করা উচিত যাতে আপনি সহজেই ব্যবহারকারীর রোল এবং অনুমতি যাচাই করতে পারেন।

const server = new ApolloServer({
  typeDefs,
  resolvers,
  context: ({ req }) => {
    const token = req.headers.authorization || '';
    const decoded = verifyToken(token);
    return { user: decoded }; // ব্যবহারকারীর তথ্য context-এ পাঠানো
  }
});

৪. Authorization Error Handling

Authorization সম্পর্কিত ত্রুটি যথাযথভাবে হ্যান্ডেল করা গুরুত্বপূর্ণ। যখন ব্যবহারকারী অনুমোদিত না থাকে, তখন একটি পরিষ্কার ত্রুটি বার্তা প্রদান করা উচিত।

const resolvers = {
  Query: {
    getUserData: (parent, args, context) => {
      if (!context.user) {
        throw new Error('Not authenticated');
      }
      if (context.user.role !== 'Admin') {
        throw new Error('Not authorized');
      }
      return getUserDataFromDatabase(context.user.id);
    },
  },
};

৫. Avoid Over-Exposing Sensitive Data

অনুমতি প্রদান করার সময়, গুরুত্বপূর্ণ ডেটা কখনোও সবার কাছে উপলব্ধ না হওয়া উচিত। Sensitive Data-কে সঠিকভাবে ফিল্টার করুন এবং শুধুমাত্র অনুমোদিত ব্যবহারকারীদের কাছে প্রদান করুন।