ਤੁਸੀਂ ਇੱਕ REST API ਨੂੰ ਕਿਵੇਂ ਸੁਰੱਖਿਅਤ ਕਰਦੇ ਹੋ (authentication, authorization, transport)?

Question

IT Interview Practice · Accepted Answer

ਇੱਕ REST API ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰਨ ਦਾ ਮਤਲਬ ਹੈ ਹਰ request 'ਤੇ ਤਿੰਨ ਸਵਾਲਾਂ ਦਾ ਜਵਾਬ ਦੇਣਾ: **ਤੁਸੀਂ ਕੌਣ ਹੋ** (authentication), **ਤੁਹਾਨੂੰ ਕੀ ਕਰਨ ਦੀ ਆਗਿਆ ਹੈ** (authorization), ਅਤੇ **ਕੀ channel ਨਿੱਜੀ ਹੈ** (transport)। ਕਿਉਂਕਿ REST **stateless** ਹੈ, credentials ਨੂੰ ਇੱਕ server session ਵਿੱਚ ਰਹਿਣ ਦੀ ਬਜਾਏ ਹਰ request ਨਾਲ ਸਫ਼ਰ ਕਰਨਾ ਪੈਂਦਾ ਹੈ।

## Transport: ਹਮੇਸ਼ਾ HTTPS

ਹੇਠਾਂ ਸਭ ਕੁਝ **TLS/HTTPS** ਮੰਨਦਾ ਹੈ। ਇਸ ਬਿਨਾਂ, tokens ਅਤੇ API keys plaintext ਵਿੱਚ ਸਫ਼ਰ ਕਰਦੇ ਹਨ ਅਤੇ sniff ਕੀਤੇ ਜਾ ਸਕਦੇ ਹਨ। ਇਹ ਗ਼ੈਰ-ਸਮਝੌਤਾਯੋਗ ਹੈ — HTTP ਉੱਤੇ ਇੱਕ bearer token ਇੱਕ leaked token ਹੈ।

## Authentication ਵਿਕਲਪ

**API keys** — ਇੱਕ header ਵਿੱਚ ਇੱਕ static secret। ਸਾਦਾ; server-to-server ਅਤੇ ਇੱਕ *application* ਦੀ ਪਛਾਣ ਕਰਨ ਲਈ ਵਧੀਆ, ਇੱਕ user ਦੀ ਨਹੀਂ। ਆਪਣੇ ਆਪ ਵਿੱਚ ਕਮਜ਼ੋਰ (ਕੋਈ expiry ਨਹੀਂ, ਕੋਈ scope ਨਹੀਂ) ਜਦੋਂ ਤੱਕ ਹੋਰ ਨਾਲ ਨਾ ਜੋੜਿਆ ਜਾਵੇ।
```http
GET /data HTTP/1.1
Authorization: Bearer sk_live_a1b2c3...
```

**OAuth 2.0** — **delegated** access ਲਈ ਮਿਆਰ ("App X ਨੂੰ ਮੇਰਾ ਡਾਟਾ ਮੇਰੇ password ਬਿਨਾਂ ਪੜ੍ਹਨ ਦਿਓ")। App ਇੱਕ flow (ਜਿਵੇਂ Authorization Code) ਰਾਹੀਂ ਇੱਕ **access token** ਹਾਸਲ ਕਰਦਾ ਹੈ ਅਤੇ ਇਸਨੂੰ ਇੱਕ bearer token ਵਜੋਂ ਭੇਜਦਾ ਹੈ। ਇਸੇ ਤਰ੍ਹਾਂ "Sign in with Google" ਅਤੇ third-party integrations ਕੰਮ ਕਰਦੇ ਹਨ।

**JWT (JSON Web Token)** — tokens ਲਈ ਇੱਕ ਆਮ *format*: ਇੱਕ signed, ਸਵੈ-ਨਿਹਿਤ token ਜੋ claims (user id, roles, expiry) ਰੱਖਦਾ ਹੈ। Server signature ਦੀ ਪੁਸ਼ਟੀ ਕਰਦਾ ਹੈ — ਕੋਈ database lookup ਦੀ ਲੋੜ ਨਹੀਂ, ਜੋ stateless REST ਵਿੱਚ ਫਿੱਟ ਹੁੰਦਾ ਹੈ।
```text
header.payload.signature   (base64url)
payload: { "sub": "42", "scope": "orders:read", "exp": 1737800000 }
```

## Authorization: scopes ਅਤੇ roles

Authentication ਪਛਾਣ ਸਾਬਤ ਕਰਦੀ ਹੈ; **authorization** access ਤੈਅ ਕਰਦੀ ਹੈ। Tokens **scopes** (`orders:read`, `orders:write`) ਜਾਂ roles ਰੱਖਦੇ ਹਨ; server ਇਹਨਾਂ ਨੂੰ ਹਰ endpoint 'ਤੇ ਜਾਂਚਦਾ ਹੈ ਅਤੇ ਜਦੋਂ ਇਹ ਨਾਕਾਫ਼ੀ ਹੋਣ ਤਾਂ `403 Forbidden` ਵਾਪਸ ਕਰਦਾ ਹੈ (ਗੁੰਮ/ਅਵੈਧ auth ਲਈ `401` ਦੇ ਮੁਕਾਬਲੇ)।

```text
No/invalid token         → 401 Unauthorized
Valid token, no scope    → 403 Forbidden
```

## ਹੋਰ ਜ਼ਰੂਰੀ ਗੱਲਾਂ

```text
✓ Short-lived access tokens + refresh tokens (limit blast radius if leaked)
✓ Rate limiting (429) to blunt brute-force and abuse
✓ Validate/sanitize all input; never trust the client
✓ Principle of least privilege on scopes
```

## ਇਹ ਮਹੱਤਵਪੂਰਨ ਕਿਉਂ ਹੈ

ਸੁਰੱਖਿਆ ਉਹ ਥਾਂ ਹੈ ਜਿੱਥੇ ਇੱਕ ਛੋਟੀ ਗ਼ਲਤੀ ਇੱਕ breach ਬਣ ਜਾਂਦੀ ਹੈ, ਇਸ ਲਈ ਇੰਟਰਵਿਊ ਲੈਣ ਵਾਲੇ ਇਸਨੂੰ ਇਹ ਦੇਖਣ ਲਈ ਵਰਤਦੇ ਹਨ ਕਿ ਕੀ ਤੁਸੀਂ buzzwords ਦੁਹਰਾਉਣ ਦੀ ਬਜਾਏ ਇਸ ਬਾਰੇ ਸੰਰਚਨਾਤਮਕ ਤੌਰ 'ਤੇ ਸੋਚਦੇ ਹੋ। ਉਹ ਸੰਕੇਤ ਜੋ ਉਹ ਲੱਭਦੇ ਹਨ ਉਹ ਇਹ ਹੈ ਕਿ ਤੁਸੀਂ **ਤਿੰਨ ਪਰਤਾਂ ਵੱਖ ਕਰਦੇ ਹੋ** — transport (HTTPS, ਹਮੇਸ਼ਾ), authentication (ਪਛਾਣ ਸਾਬਤ ਕਰਨਾ, stateless ਢੰਗ ਨਾਲ, bearer tokens/JWT/OAuth ਰਾਹੀਂ), ਅਤੇ authorization (scopes ਅਤੇ least privilege) — ਅਤੇ ਤੁਸੀਂ ਇਹਨਾਂ ਨੂੰ ਰਲਗੱਡ ਨਹੀਂ ਕਰਦੇ, ਜਿਵੇਂ "authenticated ਨਹੀਂ" ਲਈ `401` ਬਨਾਮ "authenticated ਪਰ ਆਗਿਆ ਨਹੀਂ" ਲਈ `403` ਦਾ ਸਹੀ ਉਪਯੋਗ। ਮਜ਼ਬੂਤ ਜਵਾਬ ਵਿਹਾਰਕ trade-offs ਦੀ ਜਾਗਰੂਕਤਾ ਦਰਸਾਉਂਦੇ ਹਨ: JWTs ਸੁਵਿਧਾਜਨਕ ਅਤੇ stateless ਹਨ ਪਰ expire ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ revoke ਕਰਨੇ ਔਖੇ ਹਨ (ਇਸ ਲਈ ਛੋਟੇ lifetimes ਅਤੇ refresh tokens), API keys apps ਦੀ ਪਛਾਣ ਕਰਦੇ ਹਨ users ਦੀ ਨਹੀਂ, ਅਤੇ OAuth ਖ਼ਾਸ ਤੌਰ 'ਤੇ ਇਸ ਲਈ ਮੌਜੂਦ ਹੈ ਤਾਂ ਜੋ users ਆਪਣਾ password third parties ਨੂੰ ਨਾ ਦੇਣ। ਇਸਨੂੰ REST ਦੀ statelessness ਨਾਲ ਜੋੜਨਾ — ਹਰ request 'ਤੇ credentials, ਕੋਈ server session ਨਹੀਂ — ਦਰਸਾਉਂਦਾ ਹੈ ਕਿ ਤੁਸੀਂ ਸਮਝਦੇ ਹੋ ਕਿ API security ਇਸ ਤਰ੍ਹਾਂ *ਕਿਉਂ* ਦਿਸਦੀ ਹੈ।

Transport: ਹਮੇਸ਼ਾ HTTPS

Authentication ਵਿਕਲਪ

Authorization: scopes ਅਤੇ roles

ਹੋਰ ਜ਼ਰੂਰੀ ਗੱਲਾਂ

ਇਹ ਮਹੱਤਵਪੂਰਨ ਕਿਉਂ ਹੈ

ਸੰਬੰਧਿਤ ਸਵਾਲ