عام authentication کے طریقے (sessions، JWT، OAuth) کیا ہیں؟

Question

Accepted Answer

جدید applications مختلف **authentication mechanisms** استعمال کرتی ہیں — session-based، token-based (JWT)، اور delegated authentication (OAuth/OpenID Connect)۔ یہ سمجھنا کہ ہر ایک کیسے کام کرتا ہے، اور ان کے trade-offs کیا ہیں، محفوظ authentication implement کرنے کے لیے اہم ہے۔

## Session-based authentication

```text
SESSION-based (traditional):
  → user logs in → server creates a SESSION (stored server-side) → sends a session ID
    cookie → the browser sends it with each request → server looks up the session
  ✓ server controls sessions (easy to revoke); simple; cookie auto-sent
  ✗ stateful (server stores sessions); scaling needs shared session storage
```

## Token-based (JWT)

```text
JWT (JSON Web Token):
  → user logs in → server issues a SIGNED token containing claims (user id, etc.) →
    client stores it → sends it (usually in an Authorization header) per request →
    server VERIFIES the SIGNATURE (no server-side lookup needed)
  ✓ STATELESS (scales easily; no session store); works well for APIs/SPAs/mobile
  ✗ hard to REVOKE before expiry (it's self-contained) → use short expiry + refresh tokens
  ⚠️ store securely; don't put secrets in the (readable) payload; validate properly
```

## OAuth 2.0 / OpenID Connect

```text
OAUTH 2.0 → DELEGATED AUTHORIZATION ("Log in with Google/GitHub"):
  → let users authenticate via a third party without sharing their password with your app
  → your app gets a token to access permitted resources (scoped)
OPENID CONNECT (on top of OAuth) → adds AUTHENTICATION (identity) → standard for SSO/
  social login
→ delegate auth to trusted providers; users don't create another password.
```

## یہ کیوں اہم ہے

عام authentication mechanisms کو سمجھنا اہم ہے کیونکہ **authentication زیادہ تر applications میں بنیادی ہے**، اور اسے صحیح طریقے سے منتخب اور implement کرنا security اور architecture کو متاثر کرتا ہے، اس لیے یہ قیمتی علم ہے۔

ہر ایک main mechanism کی اپنی خصوصیات اور trade-offs ہیں۔ **Session-based authentication** (session-ID cookie کے ساتھ server-side sessions) server کو sessions پر کنٹرول دیتی ہے (آسان revocation) لیکن stateful ہے (scale کرنے کے لیے shared session storage کی ضرورت ہے)۔ **JWT (token-based)** authentication (signed self-contained tokens جو server lookup کے بغیر verify ہوتے ہیں) **stateless** ہے (آسانی سے scale ہونا، APIs، SPAs، اور mobile کے لیے اچھی طریقے سے کام کرنا) لیکن اہم trade-off یہ ہے کہ **tokens expiry سے پہلے revoke کرنا مشکل ہے** (کیونکہ وہ self-contained ہیں، short expiry اور refresh tokens کی ضرورت ہے) اور انہیں محفوظ طریقے سے store کرنا ضروری ہے readable payload میں کوئی secrets نہیں — یہ JWT considerations سمجھنا اہم ہے کیونکہ JWTs عام ہیں لیکن عام طور پر غلط استعمال ہوتے ہیں۔ **OAuth 2.0 اور OpenID Connect** (delegated authentication — "Google/GitHub سے Log in کریں") صارفین کو trusted third parties کے ذریعے authenticate کرنے دیتے ہیں اپنی app کے ساتھ passwords شیئر کیے بغیر، SSO اور social login کے لیے معیار۔

ان mechanisms کو سمجھنا، کہ وہ کیسے کام کرتے ہیں، اور ان کے **trade-offs** (session statefulness اور آسان revocation بمقابلہ JWT statelessness اور revocation کی مشکل؛ delegated auth کے لیے OAuth) صحیح طریقہ منتخب کرنے کے لیے اہم ہے (traditional web apps کے لیے sessions جن میں server control ہو، stateless APIs کے لیے JWT، delegated/social login کے لیے OAuth) اور اسے محفوظ طریقے سے implement کرنا۔

Authentication بنیادی ہے، اور اسے صحیح طریقے سے حاصل کرنا (صحیح mechanism، محفوظ implementation) security کے لیے اہم ہے۔

چونکہ authentication زیادہ تر applications میں بنیادی ہے اور mechanisms (sessions، JWT، OAuth) میں اہم فرق اور trade-offs ہیں جو security اور architecture کو متاثر کرتے ہیں، اور چونکہ ان کو سمجھنا authentication کو صحیح طریقے سے implement کرنے کے لیے ضروری ہے، عام authentication mechanisms کو سمجھنا قیمتی، عملی طریقے سے متعلقہ security علم ہے — authentication کی بنیادی ضرورت کے لیے اہم، sessions، JWT، اور OAuth کے درمیان سمجھدارانہ اختیار اور ان کے محفوظ implementation کو فعال کرتے ہوئے، محفوظ applications کو صحیح authentication کے ساتھ بنانے کے لیے ایک اہم موضوع۔