آپ کسی REST API کو کیسے محفوظ کرتے ہیں (authentication، authorization، transport)؟

Question

IT Interview Practice · Accepted Answer

کسی REST API کو محفوظ کرنے کا مطلب ہے ہر request پر تین سوالوں کا جواب دینا: **تم کون ہو** (authentication)، **تمہیں کیا کرنے کی اجازت ہے** (authorization)، اور **کیا چینل نجی ہے** (transport)۔ چونکہ REST **stateless** ہے، credentials کو کسی server session میں رہنے کے بجائے ہر request کے ساتھ سفر کرنا چاہیے۔

## Transport: ہمیشہ HTTPS

نیچے ہر چیز **TLS/HTTPS** فرض کرتی ہے۔ اس کے بغیر، tokens اور API keys plaintext میں سفر کرتے ہیں اور sniff ہو سکتے ہیں۔ یہ ناقابلِ سمجھوتہ ہے — HTTP پر ایک bearer token ایک لیک شدہ token ہے۔

## Authentication کے اختیارات

**API keys** — ایک header میں ایک جامد راز۔ سادہ؛ server-to-server اور کسی *ایپلیکیشن* کی شناخت کے لیے اچھا، کسی user کی نہیں۔ اکیلے کمزور (کوئی expiry نہیں، کوئی scope نہیں) جب تک مزید کے ساتھ نہ جوڑا جائے۔
```http
GET /data HTTP/1.1
Authorization: Bearer sk_live_a1b2c3...
```

**OAuth 2.0** — **تفویض شدہ (delegated)** رسائی کے لیے معیار ("App X کو میرا ڈیٹا میرے password کے بغیر پڑھنے دیں")۔ ایپ ایک flow (مثلاً Authorization Code) کے ذریعے ایک **access token** حاصل کرتی ہے اور اسے ایک bearer token کے طور پر بھیجتی ہے۔ "Sign in with Google" اور تیسرے فریق کے انضمام ایسے ہی کام کرتے ہیں۔

**JWT (JSON Web Token)** — tokens کے لیے ایک عام *format*: ایک دستخط شدہ، خود کفیل token جو claims (user id، roles، expiry) اٹھاتا ہے۔ server دستخط کی تصدیق کرتا ہے — کسی database lookup کی ضرورت نہیں، جو stateless REST میں فٹ ہوتا ہے۔
```text
header.payload.signature   (base64url)
payload: { "sub": "42", "scope": "orders:read", "exp": 1737800000 }
```

## Authorization: scopes اور roles

Authentication شناخت ثابت کرتا ہے؛ **authorization** رسائی کا فیصلہ کرتا ہے۔ Tokens **scopes** (`orders:read`، `orders:write`) یا roles اٹھاتے ہیں؛ server انہیں فی endpoint جانچتا ہے اور جب وہ ناکافی ہوں تو `403 Forbidden` واپس کرتا ہے (بمقابلہ غائب/غلط auth کے لیے `401`)۔

```text
No/invalid token         → 401 Unauthorized
Valid token, no scope    → 403 Forbidden
```

## دیگر ضروری باتیں

```text
✓ Short-lived access tokens + refresh tokens (limit blast radius if leaked)
✓ Rate limiting (429) to blunt brute-force and abuse
✓ Validate/sanitize all input; never trust the client
✓ Principle of least privilege on scopes
```

## یہ کیوں اہم ہے

سیکیورٹی وہ جگہ ہے جہاں ایک چھوٹی غلطی ایک breach بن جاتی ہے، اس لیے انٹرویو لینے والے اسے یہ دیکھنے کے لیے استعمال کرتے ہیں کہ آیا آپ buzzwords دہرانے کے بجائے اس کے بارے میں ساختی طور پر استدلال کرتے ہیں۔ جو اشارہ وہ ڈھونڈتے ہیں وہ یہ ہے کہ آپ **تینوں تہوں کو الگ** کرتے ہیں — transport (HTTPS، ہمیشہ)، authentication (شناخت ثابت کرنا، stateless طور پر، bearer tokens/JWT/OAuth کے ذریعے)، اور authorization (scopes اور least privilege) — اور آپ انہیں گڈمڈ نہیں کرتے، مثلاً "تصدیق شدہ نہیں" کے لیے درست طور پر `401` بمقابلہ "تصدیق شدہ مگر اجازت نہیں" کے لیے `403` استعمال کرتے ہیں۔ مضبوط جوابات عملی trade-offs کا شعور ظاہر کرتے ہیں: JWTs سہولت والے اور stateless ہیں مگر expire ہونے سے پہلے انہیں منسوخ کرنا مشکل ہے (اسی لیے مختصر عمریں اور refresh tokens)، API keys apps کی شناخت کرتی ہیں users کی نہیں، اور OAuth خاص طور پر اسی لیے موجود ہے تاکہ users اپنا password تیسرے فریق کو نہ دیں۔ اسے REST کی statelessness سے جوڑنا — ہر request پر credentials، کوئی server session نہیں — ظاہر کرتا ہے کہ آپ سمجھتے ہیں کہ API سیکیورٹی *کیوں* ایسی نظر آتی ہے جیسی ہے۔

Transport: ہمیشہ HTTPS

Authentication کے اختیارات

Authorization: scopes اور roles

دیگر ضروری باتیں

یہ کیوں اہم ہے

متعلقہ سوالات