একটি REST API secure করা মানে প্রতিটি request-এ তিনটি প্রশ্নের উত্তর দেওয়া: আপনি কে (authentication), আপনাকে কী করার অনুমতি দেওয়া (authorization), এবং channel-টি ব্যক্তিগত কিনা (transport)। যেহেতু REST stateless, credential-কে একটি server session-এ থাকার বদলে প্রতিটি request-এর সাথে ভ্রমণ করতে হয়।
নিচের সবকিছু ধরে নেয়। এটি ছাড়া, token আর API key plaintext-এ ভ্রমণ করে এবং sniff করা যায়। এটি অ-আলোচনাযোগ্য — HTTP-র ওপর একটি bearer token একটি leaked token।
API key — একটি header-এ একটি static secret। সরল; server-to-server-এর জন্য এবং একটি application শনাক্ত করার জন্য ভালো, একটি user নয়। নিজে থেকে দুর্বল (expiry নেই, scope নেই) যদি না আরও কিছুর সাথে জোড়া লাগানো হয়।
GET /data HTTP/1.1
Authorization: Bearer sk_live_a1b2c3...
OAuth 2.0 — delegated access-এর standard ("App X-কে আমার password ছাড়া আমার data পড়তে দাও")। App একটি flow-এর মাধ্যমে একটি access token পায় (যেমন Authorization Code) এবং এটি একটি bearer token হিসেবে পাঠায়। "Sign in with Google" আর third-party integration এভাবেই কাজ করে।
JWT (JSON Web Token) — token-এর জন্য একটি সাধারণ format: একটি signed, self-contained token যা claim (user id, role, expiry) বহন করে। Server signature verify করে — কোনো database lookup দরকার নেই, যা stateless REST-এর সাথে মানানসই।
header.payload.signature (base64url)
payload: { "sub": "42", "scope": "orders:read", "exp": 1737800000 }
Authentication পরিচয় প্রমাণ করে; authorization access ঠিক করে। Token scope (orders:read, orders:write) বা role বহন করে; server প্রতি endpoint-এ সেগুলো check করে এবং অপর্যাপ্ত হলে 403 Forbidden ফেরত দেয় (মিসিং/অবৈধ auth-এর জন্য 401-এর বিপরীতে)।
No/invalid token → 401 Unauthorized
Valid token, no scope → 403 Forbidden
✓ Short-lived access tokens + refresh tokens (limit blast radius if leaked)
✓ Rate limiting (429) to blunt brute-force and abuse
✓ Validate/sanitize all input; never trust the client
✓ Principle of least privilege on scopes
Security হলো যেখানে একটি ছোট ভুল একটি breach হয়ে ওঠে, তাই interviewer-রা এটি ব্যবহার করেন দেখতে আপনি buzzword আওড়ানোর বদলে এটি নিয়ে গঠনগতভাবে যুক্তি সাজান কিনা। তারা যে সংকেত খোঁজেন তা হলো আপনি তিনটি স্তর আলাদা করেন — transport (HTTPS, সবসময়), authentication (পরিচয় প্রমাণ, statelessly, bearer token/JWT/OAuth দিয়ে), এবং authorization (scope আর least privilege) — এবং সেগুলো গুলিয়ে ফেলেন না, যেমন "authenticate করা হয়নি"-র জন্য সঠিকভাবে 401 বনাম "authenticated কিন্তু অনুমতি নেই"-র জন্য 403 ব্যবহার করা। শক্তিশালী উত্তর ব্যবহারিক ট্রেড-অফ সম্পর্কে সচেতনতা দেখায়: JWT সুবিধাজনক ও stateless কিন্তু expire হওয়ার আগে revoke করা কঠিন (তাই short lifetime সাথে refresh token), API key app শনাক্ত করে user নয়, আর OAuth বিশেষভাবে বিদ্যমান যাতে user তাদের password third party-কে না দেয়। এটিকে REST-এর statelessness-এর সাথে যুক্ত করা — প্রতিটি request-এ credential, কোনো server session নয় — দেখায় আপনি বোঝেন কেন API security দেখতে এমন।
বিস্তারিত উত্তরসহ IT ইন্টারভিউ প্রশ্নের একটি লাইব্রেরি — জুনিয়র থেকে সিনিয়র পর্যন্ত।
দান করুন