REST API कसे secure करता (authentication, authorization, transport)?

Question

IT Interview Practice · Accepted Answer

REST API secure करणे म्हणजे प्रत्येक request वर तीन प्रश्नांची उत्तरे देणे: **तुम्ही कोण आहात** (authentication), **तुम्हाला काय करण्याची परवानगी आहे** (authorization), आणि **channel खाजगी आहे का** (transport). REST **stateless** असल्यामुळे, credentials server session मध्ये राहण्याऐवजी प्रत्येक request सोबत प्रवास करावी लागतात.

## Transport: नेहमी HTTPS

खालील सर्व **TLS/HTTPS** गृहीत धरते. त्याशिवाय, tokens आणि API keys plaintext मध्ये प्रवास करतात आणि sniff होऊ शकतात. यावर तडजोड नाही — HTTP वरील bearer token म्हणजे लीक झालेला token.

## Authentication पर्याय

**API keys** — header मधील एक static secret. साधे; server-to-server साठी आणि *application* ओळखण्यासाठी चांगले, user नव्हे. स्वतःहून कमकुवत (expiry नाही, scope नाही) जोपर्यंत अधिक गोष्टींशी जोडले जात नाही.
```http
GET /data HTTP/1.1
Authorization: Bearer sk_live_a1b2c3...
```

**OAuth 2.0** — **delegated (प्रतिनिधित्व केलेल्या)** access साठीचे standard ("App X ला माझ्या password शिवाय माझा data वाचू द्या"). App एका flow मार्फत (उदा. Authorization Code) **access token** मिळवते आणि ते bearer token म्हणून पाठवते. "Sign in with Google" आणि third-party integrations अशीच चालतात.

**JWT (JSON Web Token)** — tokens साठीचे एक सामान्य *format*: claims (user id, roles, expiry) वाहणारा एक signed, self-contained token. Server signature पडताळतो — database lookup लागत नाही, जे stateless REST शी जुळते.
```text
header.payload.signature   (base64url)
payload: { "sub": "42", "scope": "orders:read", "exp": 1737800000 }
```

## Authorization: scopes आणि roles

Authentication ओळख सिद्ध करते; **authorization** access ठरवते. Tokens **scopes** (`orders:read`, `orders:write`) किंवा roles वाहतात; server ते प्रति endpoint तपासतो आणि अपुरे असल्यास `403 Forbidden` परत करतो (हरवलेल्या/अवैध auth साठी `401` च्या तुलनेत).

```text
No/invalid token         → 401 Unauthorized
Valid token, no scope    → 403 Forbidden
```

## इतर आवश्यक गोष्टी

```text
✓ Short-lived access tokens + refresh tokens (limit blast radius if leaked)
✓ Rate limiting (429) to blunt brute-force and abuse
✓ Validate/sanitize all input; never trust the client
✓ Principle of least privilege on scopes
```

## हे का महत्त्वाचे आहे

Security हेच ते ठिकाण आहे जिथे एक लहान चूक breach बनते, म्हणून interviewers हे पाहण्यासाठी वापरतात की तुम्ही buzzwords पाठ म्हणण्याऐवजी त्याबद्दल संरचनात्मकपणे विचार करता का. ते जे signal शोधतात ते म्हणजे तुम्ही **तीन layers वेगळे करता** — transport (HTTPS, नेहमी), authentication (ओळख सिद्ध करणे, statelessly, bearer tokens/JWT/OAuth मार्फत), आणि authorization (scopes आणि least privilege) — आणि तुम्ही ते एकत्र गोंधळत नाही, उदा. "authenticate न झालेले" साठी `401` विरुद्ध "authenticate झालेले पण परवानगी नसलेले" साठी `403` योग्यरित्या वापरणे. चांगली उत्तरे व्यावहारिक trade-offs ची जाणीव दर्शवतात: JWTs सोयीस्कर आणि stateless आहेत पण expire होण्याआधी revoke करायला कठीण (म्हणून short lifetimes अधिक refresh tokens), API keys apps ओळखतात users नव्हे, आणि OAuth विशेषतः यासाठी अस्तित्वात आहे की users त्यांचा password third parties ना देऊ नयेत. हे REST च्या statelessness शी जोडणे — प्रत्येक request वर credentials, server session नाही — दर्शवते की API security अशी का दिसते हे तुम्हाला समजते.

Transport: नेहमी HTTPS

Authentication पर्याय

Authorization: scopes आणि roles

इतर आवश्यक गोष्टी

हे का महत्त्वाचे आहे

संबंधित प्रश्न