ਸਧਾਰਨ ਪ੍ਰਮਾਣੀਕਰਣ ਵਿਧੀਆਂ ਕਿਹੜੀਆਂ ਹਨ (sessions, JWT, OAuth)?

Question

Accepted Answer

ਆਧੁਨਿਕ ਐਪਲੀਕੇਸ਼ਨਾਂ ਵਿਭਿੰਨ **ਪ੍ਰਮਾਣੀਕਰਣ ਵਿਧੀਆਂ** ਦੀ ਵਰਤੋਂ ਕਰਦੀਆਂ ਹਨ — session-based, token-based (JWT), ਅਤੇ delegated authentication (OAuth/OpenID Connect)। ਹਰੇਕ ਕਿਵੇਂ ਕੰਮ ਕਰਦਾ ਹੈ ਇਹ ਸਮਝਣਾ, ਅਤੇ ਉਹਨਾਂ ਦੇ trade-offs, ਸੁਰੱਖਿਅਤ ਪ੍ਰਮਾਣੀਕਰਣ ਲਾਗੂ ਕਰਨ ਲਈ ਮਹੱਤਵਪੂਰਨ ਹੈ।

## Session-based ਪ੍ਰਮਾਣੀਕਰਣ

```text
SESSION-based (traditional):
  → user logs in → server creates a SESSION (stored server-side) → sends a session ID
    cookie → the browser sends it with each request → server looks up the session
  ✓ server controls sessions (easy to revoke); simple; cookie auto-sent
  ✗ stateful (server stores sessions); scaling needs shared session storage
```

## Token-based (JWT)

```text
JWT (JSON Web Token):
  → user logs in → server issues a SIGNED token containing claims (user id, etc.) →
    client stores it → sends it (usually in an Authorization header) per request →
    server VERIFIES the SIGNATURE (no server-side lookup needed)
  ✓ STATELESS (scales easily; no session store); works well for APIs/SPAs/mobile
  ✗ hard to REVOKE before expiry (it's self-contained) → use short expiry + refresh tokens
  ⚠️ store securely; don't put secrets in the (readable) payload; validate properly
```

## OAuth 2.0 / OpenID Connect

```text
OAUTH 2.0 → DELEGATED AUTHORIZATION ("Log in with Google/GitHub"):
  → let users authenticate via a third party without sharing their password with your app
  → your app gets a token to access permitted resources (scoped)
OPENID CONNECT (on top of OAuth) → adds AUTHENTICATION (identity) → standard for SSO/
  social login
→ delegate auth to trusted providers; users don't create another password.
```

## ਇਹ ਮਾਇਨੇ ਕਿਉਂ ਰੱਖਦਾ ਹੈ

ਸਧਾਰਨ ਪ੍ਰਮਾਣੀਕਰਣ ਵਿਧੀਆਂ ਨੂੰ ਸਮਝਣਾ ਮਹੱਤਵਪੂਰਨ ਹੈ ਕਿਉਂਕਿ **ਪ੍ਰਮਾਣੀਕਰਣ ਜ਼ਿਆਦਾਤਰ ਐਪਲੀਕੇਸ਼ਨਾਂ ਲਈ ਮੌਲਿਕ ਹੈ**, ਅਤੇ ਇਸ ਨੂੰ ਸਹੀ ਢੰਗ ਨਾਲ ਚੁਣਨਾ ਅਤੇ ਲਾਗੂ ਕਰਨਾ ਸੁਰੱਖਿਆ ਅਤੇ architecture ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਦਾ ਹੈ, ਇਸ ਲਈ ਇਹ ਕੀਮਤੀ ਗਿਆਨ ਹੈ।

ਮੁੱਖ ਵਿਧੀਆਂ ਦੀਆਂ ਵਿਸ਼ੇਸ਼ਤਾਈਆਂ ਅਤੇ trade-offs ਹਨ। **Session-based ਪ੍ਰਮਾਣੀਕਰਣ** (server-side sessions session-ID cookie ਦੇ ਨਾਲ) ਸਰਵਰ ਨੂੰ sessions ਉੱਤੇ ਨਿਯੰਤਰਣ ਦਿੰਦਾ ਹੈ (ਆਸਾਨ revocation) ਪਰ stateful ਹੈ (ਸਕੇਲ ਕਰਨ ਲਈ shared session storage ਦੀ ਲੋੜ ਹੈ)। **JWT (token-based)** ਪ੍ਰਮਾਣੀਕਰਣ (signed self-contained tokens ਜਿਨ੍ਹਾਂ ਨੂੰ server lookup ਤੋਂ ਬਿਨਾਂ ਪ੍ਰਮਾਣਿਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ) **stateless** ਹੈ (ਆਸਾਨੀ ਨਾਲ ਸਕੇਲ ਕਰਦਾ ਹੈ, APIs, SPAs, ਅਤੇ mobile ਲਈ ਚੰਗਾ ਕੰਮ ਕਰਦਾ ਹੈ) ਪਰ ਮੁੱਖ trade-off ਇਹ ਹੈ ਕਿ **tokens ਨੂੰ expiry ਤੋਂ ਪਹਿਲਾਂ revoke ਕਰਨਾ ਮੁਸ਼ਕਲ ਹੈ** (ਕਿਉਂਕਿ ਇਹ self-contained ਹਨ, short expiry ਅਤੇ refresh tokens ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ) ਅਤੇ ਇਨ੍ਹਾਂ ਨੂੰ ਸੁਰੱਖਿਅਤ ਰੂਪ ਨਾਲ ਸਟੋਰ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ readable payload ਵਿੱਚ ਕੋਈ secrets ਤੋਂ ਬਿਨਾਂ — ਇਹ JWT considerations ਨੂੰ ਸਮਝਣਾ ਮਹੱਤਵਪੂਰਨ ਹੈ ਕਿਉਂਕਿ JWTs ਆਮ ਹਨ ਪਰ ਅਕਸਰ ਗਲਤ ਢੰਗ ਨਾਲ ਵਰਤੋਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। **OAuth 2.0 ਅਤੇ OpenID Connect** (delegated authentication —