Java Technologies Spring Security এবং Password Management গাইড ও নোট

Spring Security ব্যবহার করে পাসওয়ার্ড ম্যানেজমেন্ট একটি গুরুত্বপূর্ণ বিষয়। এটি সিস্টেমের ব্যবহারকারীদের তথ্য সুরক্ষিত রাখে এবং সঠিক পাসওয়ার্ড এনক্রিপশন পদ্ধতি ব্যবহার করে নিরাপত্তা নিশ্চিত করে।

পাসওয়ার্ড ম্যানেজমেন্ট এর উদ্দেশ্য

1. সুরক্ষিত এনক্রিপশন: পাসওয়ার্ড কখনো সরাসরি ডাটাবেসে সংরক্ষণ করা উচিত নয়। এনক্রিপশন করে সংরক্ষণ করা উচিত।
2. ন্যূনতম পাসওয়ার্ড এক্সপোজার: অ্যাপ্লিকেশনের কোথাও পাসওয়ার্ড প্লেইন-টেক্সটে রাখা উচিত নয়।
3. মডার্ন এনক্রিপশন অ্যালগরিদম: শক্তিশালী এবং আপডেটেড অ্যালগরিদম ব্যবহার করতে হবে, যেমন BCrypt।
4. পাসওয়ার্ড যাচাই: লগইনের সময় পাসওয়ার্ড যাচাই করতে এনক্রিপশন এবং ম্যাচিং পদ্ধতি ব্যবহার করতে হবে।

Spring Security এ পাসওয়ার্ড ম্যানেজমেন্ট কনসেপ্ট

Spring Security পাসওয়ার্ড হ্যান্ডলিংয়ের জন্য নিম্নলিখিত পদ্ধতি প্রদান করে:

1. Password Encoding (এনক্রিপশন): পাসওয়ার্ড এনক্রিপ্ট করার জন্য PasswordEncoder ইন্টারফেস।
2. Password Matching (ম্যাচিং): ব্যবহারকারীর ইনপুট পাসওয়ার্ড এনক্রিপ্টেড পাসওয়ার্ডের সাথে তুলনা করার জন্য।
3. Built-in Encoders: Spring Security বিভিন্ন এনকোডার সরবরাহ করে যেমন BCryptPasswordEncoder, Pbkdf2PasswordEncoder, এবং Argon2PasswordEncoder।

1. Password Encoding (এনক্রিপশন)

Spring Security পাসওয়ার্ড এনক্রিপশনের জন্য PasswordEncoder ইন্টারফেস ব্যবহার করে। সবচেয়ে জনপ্রিয় এনক্রিপশন হলো BCrypt।

BCryptPasswordEncoder ব্যবহার উদাহরণ

import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;

public class PasswordManager {
    public static void main(String[] args) {
        PasswordEncoder passwordEncoder = new BCryptPasswordEncoder();
        
        // পাসওয়ার্ড এনক্রিপশন
        String rawPassword = "mypassword";
        String encodedPassword = passwordEncoder.encode(rawPassword);

        System.out.println("Encoded Password: " + encodedPassword);

        // পাসওয়ার্ড যাচাই
        boolean isMatched = passwordEncoder.matches(rawPassword, encodedPassword);
        System.out.println("Password Matched: " + isMatched);
    }
}

আউটপুট:

Encoded Password: $2a$10$...
Password Matched: true

2. Spring Security কনফিগারেশনে PasswordEncoder যোগ করা

Spring Security এর জন্য PasswordEncoder যোগ করা একটি অপরিহার্য ধাপ। উদাহরণ:

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;

@Configuration
public class SecurityConfig {

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

3. পাসওয়ার্ড ম্যানেজমেন্ট এবং ইন-মেমরি অথেনটিকেশন

Spring Security-তে ইন-মেমরি অথেনটিকেশন সেটআপ করার সময় PasswordEncoder ব্যবহার করতে হয়।

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.security.web.SecurityFilterChain;

@Configuration
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http.csrf().disable()
            .authorizeRequests()
                .anyRequest().authenticated()
            .and()
            .httpBasic();
        return http.build();
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Bean
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
            .withUser("user")
            .password(passwordEncoder().encode("password"))
            .roles("USER");
    }
}

4. ডাটাবেস ভিত্তিক পাসওয়ার্ড ম্যানেজমেন্ট

UserDetailsService ব্যবহার করে কাস্টম পাসওয়ার্ড যাচাই করা

Spring Security-তে ডাটাবেস থেকে ব্যবহারকারীর তথ্য লোড করার জন্য UserDetailsService ইন্টারফেস ব্যবহার করা হয়।

import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.stereotype.Service;

@Service
public class CustomUserDetailsService implements UserDetailsService {

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        // ডাটাবেস থেকে ইউজার ডেটা লোড করুন
        if ("user".equals(username)) {
            return User.builder()
                    .username("user")
                    .password(new BCryptPasswordEncoder().encode("password"))
                    .roles("USER")
                    .build();
        }
        throw new UsernameNotFoundException("User not found");
    }
}

5. পাসওয়ার্ড শক্তিশালীকরণ (Strong Password Policy)

পাসওয়ার্ড নীতি প্রয়োগ করুন

ব্যবহারকারীদের পাসওয়ার্ড শক্তিশালী করার জন্য নীতিমালা ব্যবহার করা যেতে পারে। যেমন:

• কমপক্ষে ৮ অক্ষর।
• বড় হাতের এবং ছোট হাতের অক্ষর।
• সংখ্যা এবং স্পেশাল ক্যারেক্টার।

public boolean isValidPassword(String password) {
    String passwordRegex = "^(?=.*[0-9])(?=.*[a-z])(?=.*[A-Z])(?=.*[@#$%^&+=])(?=\\S+$).{8,}$";
    return password.matches(passwordRegex);
}

6. পাসওয়ার্ড পরিবর্তনের কার্যকারিতা

পাসওয়ার্ড পরিবর্তনের সময় নতুন পাসওয়ার্ডও এনক্রিপ্ট করে ডাটাবেসে আপডেট করতে হবে।

public void changePassword(String username, String newPassword) {
    String encodedPassword = passwordEncoder().encode(newPassword);
    userRepository.updatePassword(username, encodedPassword);
}

7. Spring Boot Starter দিয়ে পাসওয়ার্ড হ্যান্ডলিং

Default Password Encoder

Spring Boot এর ডিফল্ট পাসওয়ার্ড এনকোডার হল DelegatingPasswordEncoder। এটি বিভিন্ন পাসওয়ার্ড এনকোডার সমর্থন করে, যেমন:

• bcrypt
• pbkdf2
• argon2

DelegatingPasswordEncoder উদাহরণ

@Bean
public PasswordEncoder passwordEncoder() {
    return PasswordEncoderFactories.createDelegatingPasswordEncoder();
}

8. পাসওয়ার্ড রিসেট কার্যকারিতা

স্টেপ ১: রিসেট টোকেন তৈরি

public String generateResetToken(String username) {
    return UUID.randomUUID().toString();
}

স্টেপ ২: রিসেট টোকেন যাচাই

public boolean validateResetToken(String token) {
    return tokenRepository.existsByToken(token);
}

স্টেপ ৩: নতুন পাসওয়ার্ড আপডেট

public void resetPassword(String token, String newPassword) {
    String username = tokenRepository.findUsernameByToken(token);
    String encodedPassword = passwordEncoder().encode(newPassword);
    userRepository.updatePassword(username, encodedPassword);
}

9. সেরা চর্চা (Best Practices)

1. পাসওয়ার্ড এনক্রিপশন নিশ্চিত করুন: সব পাসওয়ার্ড ডাটাবেসে এনক্রিপ্টেড ফরম্যাটে সংরক্ষণ করুন।
2. শক্তিশালী এনক্রিপশন অ্যালগরিদম ব্যবহার করুন: BCryptPasswordEncoder, Pbkdf2PasswordEncoder অথবা Argon2PasswordEncoder ব্যবহার করুন।
3. HTTPS ব্যবহার করুন: পাসওয়ার্ড ট্রান্সমিশনের সময় এনক্রিপশন নিশ্চিত করতে HTTPS ব্যবহার করুন।
4. পাসওয়ার্ড রিসেট টোকেন এক্সপায়ারেশন: পাসওয়ার্ড রিসেট টোকেনের সময়সীমা নির্ধারণ করুন (যেমন ৩০ মিনিট)।
5. ব্যবহারকারী সচেতনতা: পাসওয়ার্ড নীতি এবং নিরাপত্তা সম্পর্কিত বার্তা ব্যবহারকারীদের জানানো।

উপসংহার

Spring Security পাসওয়ার্ড ম্যানেজমেন্টে শক্তিশালী এবং কাস্টমাইজেবল ফিচার প্রদান করে। ডিফল্ট PasswordEncoder এবং নিরাপত্তা চর্চা অনুসরণ করে একটি সুরক্ষিত অথেনটিকেশন ব্যবস্থা তৈরি করা সম্ভব। পাসওয়ার্ড এনক্রিপশন এবং যাচাই নিশ্চিত করে আপনার অ্যাপ্লিকেশনকে আরও নিরাপদ করতে পারেন।

BCryptPasswordEncoder হল Spring Security-তে একটি শক্তিশালী পাসওয়ার্ড এনকোডার, যা পাসওয়ার্ড এনক্রিপ্ট করে নিরাপদ করে। এটি bcrypt hashing অ্যালগরিদম ব্যবহার করে, যা প্রতিটি এনক্রিপশনের জন্য একটি অনন্য সাল্ট (salt) তৈরি করে। এর ফলে একই পাসওয়ার্ড বারবার এনক্রিপ্ট করলেও প্রতিবার আলাদা আউটপুট তৈরি হয়।

BCryptPasswordEncoder কেন ব্যবহার করবেন?

1. সাল্টেড এনক্রিপশন:
   • প্রতিটি পাসওয়ার্ড এনক্রিপশনের জন্য একটি র‍্যান্ডম সাল্ট যোগ করা হয়। এটি পাসওয়ার্ড গেসিং বা রেইনবো টেবিল আক্রমণ প্রতিরোধ করে।
2. র‍্যান্ডম হ্যাশিং:
   • একই ইনপুট বারবার এনক্রিপ্ট করলেও বিভিন্ন আউটপুট দেয়।
3. Spring Security এর জন্য স্ট্যান্ডার্ড:
   • Spring Security-তে এটি ডিফল্ট পাসওয়ার্ড এনকোডার হিসেবে ব্যবহৃত হয়।
4. Work Factor সমর্থন করে:
   • এনক্রিপশনের কষ্টের মাত্রা (strength) নিয়ন্ত্রণ করা যায়।

BCryptPasswordEncoder দিয়ে পাসওয়ার্ড এনকোড করা

BCryptPasswordEncoder ব্যবহার করার ধাপ:

1. ডিপেন্ডেন্সি যোগ করুন (যদি না থাকে):

Maven:

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

Gradle:

implementation 'org.springframework.boot:spring-boot-starter-security'

2. BCryptPasswordEncoder Bean কনফিগার করা

Spring-এ, সাধারণত একটি Bean কনফিগার করা হয়, যাতে এনকোডার বারবার তৈরি করতে না হয়।

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;

@Configuration
public class SecurityConfig {

    @Bean
    public BCryptPasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

3. পাসওয়ার্ড এনকোড করা এবং যাচাই করা

import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;

public class PasswordEncoderExample {

    public static void main(String[] args) {
        BCryptPasswordEncoder encoder = new BCryptPasswordEncoder();

        // পাসওয়ার্ড এনকোড করা
        String rawPassword = "mySecretPassword";
        String encodedPassword = encoder.encode(rawPassword);

        System.out.println("Raw Password: " + rawPassword);
        System.out.println("Encoded Password: " + encodedPassword);

        // পাসওয়ার্ড যাচাই করা
        boolean isPasswordMatch = encoder.matches(rawPassword, encodedPassword);
        System.out.println("Password Match: " + isPasswordMatch);
    }
}

উদাহরণ আউটপুট:

Raw Password: mySecretPassword
Encoded Password: $2a$10$7d8FKM5nFq6bOZsAgPdwNe7lEzE9nKOob.H5QKb5YhkezzMKyLz9W
Password Match: true

Spring Security এর সাথে Integration

UserDetailsService এবং BCryptPasswordEncoder

Spring Security-তে ব্যবহারকারীদের পাসওয়ার্ড এনকোড করতে এটি ব্যবহার করা হয়।

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;

@Configuration
@EnableWebSecurity
public class SecurityConfig extends org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter {

    @Bean
    public BCryptPasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
            .withUser("user")
            .password(passwordEncoder().encode("password"))
            .roles("USER")
            .and()
            .withUser("admin")
            .password(passwordEncoder().encode("admin123"))
            .roles("ADMIN");
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .csrf().disable()
            .authorizeRequests()
            .antMatchers("/public/**").permitAll()
            .anyRequest().authenticated()
            .and()
            .httpBasic();
    }
}

BCryptPasswordEncoder এর গুরুত্বপূর্ণ ফিচার

1. Strength Parameter:
   BCryptPasswordEncoder তৈরি করার সময় strength প্যারামিটার সেট করা যায় (ডিফল্ট: 10)। এটি এনক্রিপশনের সময় ব্যয় বাড়ায়।

   BCryptPasswordEncoder encoder = new BCryptPasswordEncoder(12); // Strength 12
   

2. Salt এবং Hash ইন্টারনাল ম্যানেজমেন্ট:
   • সাল্ট অটোমেটিক্যালি হ্যাশের সাথে অন্তর্ভুক্ত করা হয়।
3. Secure Comparison:
   • matches মেথড একটি সিকিউর কম্পারিজন ব্যবহার করে, যা টাইমিং অ্যাটাক প্রতিরোধ করে।

পাসওয়ার্ড এনকোডার টেস্টিং টিপস

1. প্রতিটি পাসওয়ার্ড এনকোডিং আলাদা হওয়া উচিত, কারণ সাল্ট ভিন্ন হয়।
2. matches মেথড দিয়ে যাচাই করুন, পাসওয়ার্ডটি সঠিক কিনা।

উপসংহার

BCryptPasswordEncoder একটি নিরাপদ এবং Spring Security-র জন্য আদর্শ পাসওয়ার্ড এনকোডিং সমাধান। এটি পাসওয়ার্ড এনক্রিপশন এবং যাচাইয়ের জন্য স্ট্যান্ডার্ড হিসেবে ব্যবহৃত হয়। অ্যাপ্লিকেশনের সুরক্ষা বাড়াতে BCrypt ব্যবহার করা অত্যন্ত গুরুত্বপূর্ণ।

Spring Security ব্যবহৃত অ্যাপ্লিকেশনে পাসওয়ার্ড রিসেট এবং পরিবর্তনের ফিচার তৈরি করা অনেক গুরুত্বপূর্ণ, কারণ এটি ব্যবহারকারীদের নিরাপত্তা ও সুবিধা নিশ্চিত করে। পাসওয়ার্ড রিসেট ফিচার সাধারণত একটি সিকিউর রিকভারি প্রক্রিয়া এবং একটি টোকেন ভিত্তিক পদ্ধতির মাধ্যমে সম্পন্ন হয়।

পাসওয়ার্ড রিসেট এবং পরিবর্তন ফিচারের ধাপসমূহ

১. পাসওয়ার্ড রিসেটের মূল কাঠামো

1. ব্যবহারকারী একটি রিকভারি রিকোয়েস্ট করবে।
2. অ্যাপ্লিকেশন একটি টোকেন জেনারেট করে এবং এটি ব্যবহারকারীর ইমেইলে পাঠাবে।
3. ব্যবহারকারী ইমেইল থেকে একটি লিঙ্ক ক্লিক করে নতুন পাসওয়ার্ড সেট করবে।

Spring Security তে পাসওয়ার্ড রিসেট বাস্তবায়ন:

ধাপ ১: রিসেট টোকেন মডেল তৈরি করা

import javax.persistence.*;
import java.time.LocalDateTime;

@Entity
public class PasswordResetToken {

    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;

    private String token;

    @ManyToOne
    private User user; // ব্যবহারকারী সম্পর্কিত তথ্য

    private LocalDateTime expiryDate; // টোকেন মেয়াদ

    // Getter, Setter, Constructor
}

ধাপ ২: টোকেন রেপোজিটরি তৈরি করা

import org.springframework.data.jpa.repository.JpaRepository;

public interface PasswordResetTokenRepository extends JpaRepository<PasswordResetToken, Long> {
    PasswordResetToken findByToken(String token);
}

ধাপ ৩: পাসওয়ার্ড রিসেট টোকেন জেনারেট করা

import org.springframework.stereotype.Service;

import java.time.LocalDateTime;
import java.util.UUID;

@Service
public class PasswordResetService {

    private final PasswordResetTokenRepository tokenRepository;

    public PasswordResetService(PasswordResetTokenRepository tokenRepository) {
        this.tokenRepository = tokenRepository;
    }

    public PasswordResetToken createPasswordResetToken(User user) {
        PasswordResetToken token = new PasswordResetToken();
        token.setToken(UUID.randomUUID().toString()); // ইউনিক টোকেন তৈরি
        token.setUser(user);
        token.setExpiryDate(LocalDateTime.now().plusMinutes(15)); // ১৫ মিনিটের মেয়াদ
        return tokenRepository.save(token);
    }
}

ধাপ ৪: ব্যবহারকারী ইমেইলে টোকেন পাঠানো

@Service
public class EmailService {

    public void sendPasswordResetEmail(User user, String token) {
        String resetUrl = "http://localhost:8080/reset-password?token=" + token;
        String subject = "Password Reset Request";
        String body = "Click the following link to reset your password: " + resetUrl;

        // ইমেইল পাঠানোর লজিক (SimpleMailMessage বা অন্য ইমেইল API ব্যবহার)
        System.out.println("Sending email to " + user.getEmail() + " with reset link: " + resetUrl);
    }
}

ধাপ ৫: পাসওয়ার্ড রিসেট লিঙ্ক যাচাই করা

import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.stereotype.Service;

import java.time.LocalDateTime;

@Service
public class ResetPasswordService {

    private final PasswordResetTokenRepository tokenRepository;
    private final UserRepository userRepository;
    private final PasswordEncoder passwordEncoder;

    public ResetPasswordService(PasswordResetTokenRepository tokenRepository,
                                UserRepository userRepository,
                                PasswordEncoder passwordEncoder) {
        this.tokenRepository = tokenRepository;
        this.userRepository = userRepository;
        this.passwordEncoder = passwordEncoder;
    }

    public String validateResetToken(String token, String newPassword) {
        PasswordResetToken resetToken = tokenRepository.findByToken(token);

        if (resetToken == null || resetToken.getExpiryDate().isBefore(LocalDateTime.now())) {
            return "Invalid or expired token.";
        }

        User user = resetToken.getUser();
        user.setPassword(passwordEncoder.encode(newPassword)); // নতুন পাসওয়ার্ড এনক্রিপ্ট করা
        userRepository.save(user);

        tokenRepository.delete(resetToken); // টোকেন মেয়াদ শেষ
        return "Password successfully updated.";
    }
}

Spring Security তে পাসওয়ার্ড পরিবর্তন

পাসওয়ার্ড পরিবর্তন করার ধাপ

1. লগইন অবস্থায় ব্যবহারকারী পাসওয়ার্ড পরিবর্তন করতে পারবে।
2. পুরানো পাসওয়ার্ড যাচাই করা হবে।
3. নতুন পাসওয়ার্ড সংরক্ষণ করা হবে।

পাসওয়ার্ড পরিবর্তনের উদাহরণ

import org.springframework.security.core.Authentication;
import org.springframework.security.core.context.SecurityContextHolder;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.stereotype.Service;

@Service
public class ChangePasswordService {

    private final UserRepository userRepository;
    private final PasswordEncoder passwordEncoder;

    public ChangePasswordService(UserRepository userRepository, PasswordEncoder passwordEncoder) {
        this.userRepository = userRepository;
        this.passwordEncoder = passwordEncoder;
    }

    public String changePassword(String oldPassword, String newPassword) {
        Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
        String username = authentication.getName();

        User user = userRepository.findByUsername(username);
        if (user == null || !passwordEncoder.matches(oldPassword, user.getPassword())) {
            return "Old password is incorrect.";
        }

        user.setPassword(passwordEncoder.encode(newPassword)); // নতুন পাসওয়ার্ড সংরক্ষণ
        userRepository.save(user);
        return "Password successfully updated.";
    }
}

Spring Security তে সুরক্ষার গুরুত্ব

1. Password Encoding:
   BCryptPasswordEncoder ব্যবহার করে পাসওয়ার্ড এনক্রিপ্ট করা হয়।
2. Token Expiry:
   রিসেট টোকেন একটি নির্দিষ্ট সময়ে মেয়াদ উত্তীর্ণ হয়।
3. Validation:
   সঠিক টোকেন এবং পাসওয়ার্ড যাচাই নিশ্চিত করা হয়।

উপসংহার

Spring Security দিয়ে পাসওয়ার্ড রিসেট এবং পরিবর্তনের ফিচার তৈরি করা সহজ এবং নিরাপদ। পাসওয়ার্ড রিসেটের জন্য একটি সিকিউর টোকেন ভিত্তিক পদ্ধতি ব্যবহার করতে হয়। পাসওয়ার্ড পরিবর্তনের জন্য ব্যবহারকারীকে প্রমাণীকৃত হতে হবে। এভাবে সঠিক প্রক্রিয়া অনুসরণ করে আপনার অ্যাপ্লিকেশনের নিরাপত্তা নিশ্চিত করা সম্ভব।

Spring Security অ্যাপ্লিকেশনের নিরাপত্তা নিশ্চিত করতে পাসওয়ার্ড এনকোডিং এবং ব্যবস্থাপনার জন্য শক্তিশালী সমাধান প্রদান করে। পাসওয়ার্ড এনকোডিং ব্যবহারকারীর পাসওয়ার্ডকে প্লেইন-টেক্সটে সংরক্ষণ না করে একটি সুরক্ষিত এনকোডেড ফর্মে সংরক্ষণ নিশ্চিত করে।

Password Encoding কী এবং কেন প্রয়োজন?

Password Encoding হল এমন একটি প্রক্রিয়া যেখানে পাসওয়ার্ডকে একটি সুরক্ষিত এনকোডেড ফর্মে রূপান্তর করা হয়।

• এনকোড করা পাসওয়ার্ড ডাটাবেসে সংরক্ষণ করা হয়।
• এটি Hashing Algorithm ব্যবহার করে যা একমুখী (One-Way)।
• ডিকোড করা সম্ভব নয়, তবে Matching Algorithm এর মাধ্যমে যাচাই করা যায়।

Spring Security-তে Password Encoder

Spring Security বিভিন্ন পাসওয়ার্ড এনকোডার সরবরাহ করে, যেমন:

1. BCryptPasswordEncoder
2. Pbkdf2PasswordEncoder
3. Argon2PasswordEncoder
4. NoOpPasswordEncoder (শুধুমাত্র পরীক্ষার জন্য, নিরাপদ নয়)

BCryptPasswordEncoder উদাহরণ (সবচেয়ে বেশি ব্যবহৃত)

১. Maven Dependency যোগ করা

Spring Security ডিপেনডেন্সি:

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

২. BCryptPasswordEncoder Bean তৈরি

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;

@Configuration
public class SecurityConfig {

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

৩. পাসওয়ার্ড এনকোড এবং যাচাই

import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.stereotype.Service;

@Service
public class UserService {

    private final PasswordEncoder passwordEncoder;

    public UserService(PasswordEncoder passwordEncoder) {
        this.passwordEncoder = passwordEncoder;
    }

    public String encodePassword(String rawPassword) {
        return passwordEncoder.encode(rawPassword); // Encode the raw password
    }

    public boolean matchesPassword(String rawPassword, String encodedPassword) {
        return passwordEncoder.matches(rawPassword, encodedPassword); // Verify the password
    }
}

৪. পাসওয়ার্ড এনকোড করা এবং যাচাই পরীক্ষা

public class PasswordEncodingDemo {

    public static void main(String[] args) {
        PasswordEncoder passwordEncoder = new BCryptPasswordEncoder();

        String rawPassword = "mySecurePassword";
        String encodedPassword = passwordEncoder.encode(rawPassword);

        System.out.println("Encoded Password: " + encodedPassword);

        boolean isMatched = passwordEncoder.matches(rawPassword, encodedPassword);
        System.out.println("Password Match: " + isMatched);
    }
}

আউটপুট:

Encoded Password: $2a$10$6d4kWjWzO9gXCNc9N4fXPOvOtb5qZ69jRb4/2szqFnQmiu.ypSZXm
Password Match: true

Spring Security-তে পাসওয়ার্ড ম্যানেজমেন্ট

১. In-Memory Authentication ব্যবহার

@Bean
public InMemoryUserDetailsManager userDetailsService(PasswordEncoder passwordEncoder) {
    return new InMemoryUserDetailsManager(
        User.withUsername("admin")
            .password(passwordEncoder.encode("admin123"))
            .roles("ADMIN")
            .build(),
        User.withUsername("user")
            .password(passwordEncoder.encode("user123"))
            .roles("USER")
            .build()
    );
}

২. Database Authentication ব্যবহার

Spring Security ব্যবহার করে ডাটাবেস থেকে পাসওয়ার্ড যাচাই করার উদাহরণ:

JPA Entity:

import jakarta.persistence.Entity;
import jakarta.persistence.GeneratedValue;
import jakarta.persistence.Id;

@Entity
public class User {

    @Id
    @GeneratedValue
    private Long id;
    private String username;
    private String password; // Encrypted password
    private String role;

    // Getters and setters
}

UserDetailsService Implementation:

import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.stereotype.Service;

@Service
public class CustomUserDetailsService implements UserDetailsService {

    private final UserRepository userRepository;

    public CustomUserDetailsService(UserRepository userRepository) {
        this.userRepository = userRepository;
    }

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        User user = userRepository.findByUsername(username)
            .orElseThrow(() -> new UsernameNotFoundException("User not found"));

        return org.springframework.security.core.userdetails.User
            .withUsername(user.getUsername())
            .password(user.getPassword())
            .roles(user.getRole())
            .build();
    }
}

Database Configuration:

@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.userDetailsService(customUserDetailsService).passwordEncoder(passwordEncoder());
}

Password Encoding টেকনিকগুলির তুলনা

Password Management বেস্ট প্র্যাকটিস

1. Strong Encoding Algorithm ব্যবহার করুন (যেমন: BCrypt, Argon2)।
2. পাসওয়ার্ড কখনো প্লেইন-টেক্সটে সংরক্ষণ করবেন না।
3. ব্যবহারকারীর পাসওয়ার্ড পরিবর্তনের জন্য একটি সুরক্ষিত প্রক্রিয়া রাখুন।
4. Password Salting যুক্ত করুন (BCrypt এবং Argon2 ডিফল্টভাবে এটি করে)।
5. পাসওয়ার্ড ভুল করার সীমা নির্ধারণ করুন (Brute Force আক্রমণ প্রতিরোধে)।

উপসংহার

Spring Security-তে Password Encoding এবং Management নিরাপত্তার মূল স্তম্ভ। এটি পাসওয়ার্ড এনকোডিং, যাচাই, এবং ডাটাবেসে নিরাপদে সংরক্ষণ সহজ করে।

আপনার অ্যাপ্লিকেশনে কাস্টম পাসওয়ার্ড ম্যানেজমেন্ট বা এনকোডিং প্রয়োজন হলে নির্দ্বিধায় জানাতে পারেন!