OAuth এবং JWT (JSON Web Tokens) দুটোই সিকিউরিটি প্রোটোকল এবং টোকেন ভিত্তিক অথেনটিকেশন এবং অথোরাইজেশন মেকানিজম, যেগুলো ওয়েব অ্যাপ্লিকেশন এবং API সিকিউরিটি ব্যবস্থার জন্য ব্যবহৃত হয়। তবে, এই দুটি প্রযুক্তির উদ্দেশ্য এবং ব্যবহার আলাদা।
OAuth (Open Authorization)
OAuth একটি ওপেন স্ট্যান্ডার্ড অথোরাইজেশন ফ্রেমওয়ার্ক যা ব্যবহারকারীদের এক প্ল্যাটফর্ম বা অ্যাপ্লিকেশন থেকে অন্য প্ল্যাটফর্ম বা অ্যাপ্লিকেশনে তাদের ডেটা অ্যাক্সেস করার অনুমতি দেয়, অথচ তাদের পাসওয়ার্ড সরবরাহ করতে হয় না। এটি সাধারণত তৃতীয় পক্ষের অ্যাপ্লিকেশনগুলির জন্য ব্যবহৃত হয়, যাতে তারা সীমিত অনুমতির সাথে ইউজারের ডেটা অ্যাক্সেস করতে পারে।
OAuth এর মূল বৈশিষ্ট্য:
- Authorization: OAuth মূলত অথোরাইজেশন ফ্রেমওয়ার্ক, যা অ্যাপ্লিকেশনকে ইউজারের ডেটাতে নির্দিষ্ট সীমায় অ্যাক্সেস দেওয়ার অনুমতি দেয়।
- Third-party Access: OAuth তৃতীয় পক্ষের অ্যাপ্লিকেশনকে অনুমতি দেয় ইউজারের ডেটা অ্যাক্সেস করার জন্য, যেমন গুগল বা ফেসবুক অ্যাকাউন্ট দিয়ে লগইন করা।
- Token-based: OAuth সিস্টেমে অ্যাক্সেস টোকেন এবং রিফ্রেশ টোকেন ব্যবহৃত হয়।
- Access Control: OAuth ইউজারের পাসওয়ার্ড শেয়ার না করে অ্যাক্সেসের জন্য টোকেন প্রদান করে, যার মাধ্যমে অ্যাপ্লিকেশন ইউজারের ডেটাতে সীমিত অ্যাক্সেস পায়।
OAuth ব্যবহারের উদাহরণ:
- Login with Google/Facebook: যখন আপনি গুগল বা ফেসবুক ব্যবহার করে কোনো ওয়েবসাইটে লগইন করেন, তখন OAuth প্রোটোকলটি ইউজারের তথ্য অ্যাক্সেস করার জন্য ব্যবহার করা হয়, তবে আপনার গুগল বা ফেসবুক পাসওয়ার্ড প্রয়োজন হয় না।
- Third-Party API Integration: যেমন একটি অ্যাপ্লিকেশন আপনার গুগল ক্যালেন্ডারের ডেটা অ্যাক্সেস করতে চায়, OAuth টোকেনের মাধ্যমে এটি এক্সেস পায়।
JWT (JSON Web Tokens)
JWT (JSON Web Tokens) একটি ওপেন স্ট্যান্ডার্ড যা দুটি পার্টির মধ্যে সিকিউরলি তথ্য ট্রান্সফার করার জন্য ব্যবহৃত হয়। JWT মূলত ইউজার অথেনটিকেশন এবং অথোরাইজেশন জন্য ব্যবহৃত হয়। এটি একটি ছোট সাইজের, এনকোডেড টোকেন যা সার্ভার এবং ক্লায়েন্টের মধ্যে নিরাপদে তথ্য আদান প্রদান করতে সাহায্য করে।
JWT এর মূল বৈশিষ্ট্য:
- Compact and Self-contained: JWT একটি compact, URL-safe টোকেন যা ইউজারের তথ্য ধারণ করে, যেমন ইউজারের আইডি এবং অন্যান্য মেটাডেটা। এটি সহজেই ওয়েব অ্যাপ্লিকেশন বা API এর মধ্যে পাস করা যায়।
- Signature for Security: JWT সিগনেচার ব্যবহার করে টোকেনের নিরাপত্তা নিশ্চিত করা হয়, যাতে এটি মডিফাই করা বা জাল না করা যায়।
- Stateless: JWT একটি Stateless অথেনটিকেশন মেকানিজম, যার মানে হল যে সার্ভারের কোনো সেশন স্টেট রাখার প্রয়োজন হয় না। ইউজারের তথ্য টোকেনে অন্তর্ভুক্ত থাকে, এবং সার্ভার সেগুলো যাচাই করে।
- Expiration: JWT সাধারণত একটি নির্দিষ্ট মেয়াদে কার্যকর থাকে এবং এরপর অকার্যকর হয়ে যায়।
JWT ব্যবহারের উদাহরণ:
- Authentication: ইউজার লগইন করার পরে সার্ভার একটি JWT তৈরি করে এবং ক্লায়েন্টকে প্রদান করে। এরপর ক্লায়েন্ট প্রতিটি রিকোয়েস্টে এই JWT প্রদান করে, যাতে সার্ভার ইউজারের পরিচয় যাচাই করতে পারে।
- Authorization: একবার ইউজার লগইন হয়ে গেলে, সার্ভার JWT এর মাধ্যমে ইউজারের অ্যাক্সেস অনুমতি নির্ধারণ করে। যেমন একটি অ্যাপ্লিকেশন ইউজারের ডেটাতে শুধু রিড-অ্যাক্সেস দেয়, অথবা অ্যাডমিন রোলের ইউজারের জন্য রাইট-অ্যাক্সেস দেয়।
OAuth এবং JWT এর মধ্যে সম্পর্ক
- OAuth এবং JWT একে অপরের সাথে সম্পর্কিত কারণ, OAuth এর মাধ্যমে প্রদান করা অ্যাক্সেস টোকেন প্রায়ই JWT হিসেবে ব্যবহৃত হয়।
- OAuth প্রোটোকল ইউজারের অথোরাইজেশন পরিচালনা করে, এবং JWT সেই অ্যাক্সেস টোকেনের মাধ্যমে ইউজারের ডেটাতে অ্যাক্সেস প্রদান করে।
সারাংশ
- OAuth: ইউজারের ডেটাতে সীমিত অ্যাক্সেসের জন্য ব্যবহৃত হয়। এটি অথোরাইজেশন ফ্রেমওয়ার্ক, যা ইউজারের পাসওয়ার্ড শেয়ার না করেও তৃতীয় পক্ষের অ্যাপ্লিকেশনগুলির জন্য ডেটা অ্যাক্সেস অনুমতি দেয়।
- JWT: একটি ছোট, এনকোডেড টোকেন যা সিকিউরলি তথ্য ট্রান্সফার করতে ব্যবহৃত হয়। এটি ইউজারের অথেনটিকেশন এবং অথোরাইজেশনে ব্যবহৃত হয়, এবং এটি Stateless হয়। JWT অ্যাক্সেস টোকেন হিসেবে OAuth-এ ব্যবহৃত হয়।
এই দুটি প্রযুক্তি, OAuth এবং JWT একসাথে ব্যবহার করা হয় অনেক আধুনিক অ্যাপ্লিকেশন ও API সিকিউরিটির জন্য, যেখানে OAuth ইউজারের ডেটাতে অ্যাক্সেস প্রদান করে এবং JWT সেই অ্যাক্সেসের জন্য নিরাপদ অথেনটিকেশন এবং অথোরাইজেশন টোকেন হিসেবে কাজ করে।
