Auth ও Security — রোডম্যাপ
Sessions, password hashing, OAuth flows, JWT internals, API keys, common vulnerabilities, এবং production hardening।
বাস্তব জীবনের উদাহরণ
একটা security audit: আপনি শুধু সামনের দরজা লক আছে কিনা তা দেখেন না — প্রতিটা জানালা, পেছনের দরজা, লোডিং ডক, আর গার্ড আসলে ক্যামেরা দেখছে কিনা সবই যাচাই করেন। Auth security হলো layered। একটা শক্ত mechanism অন্য জায়গার একটা দুর্বল mechanism-এর ঘাটতি পূরণ করে না।
আপনি যা শিখবেন
Authentication আর authorization আলাদা সমস্যা যাদের আলাদা সমাধান দরকার। এই track দুটোই কভার করে — কে নিজের identity প্রমাণ করতে পারে তার fundamentals থেকে শুরু করে login endpoint-এ rate limiting আর incident-এ response করার production ডিটেইল পর্যন্ত।
আপনি আসল code লিখবেন: argon2 দিয়ে password hashing, JWKS rotation সহ JWT verification, PKCE সহ OAuth 2.0, scoped permission সহ API key generation, CSRF protection, এবং single-use token সহ পুরো password reset flow।
এই track-এর chapter-গুলো
- Authentication vs Authorization — দুটো আলাদা প্রশ্ন, দুটো আলাদা system, এদের মিশিয়ে ফেলার সাধারণ ভুল
- Password Hashing — bcrypt আর argon2 কেন আছে, work factor কীভাবে tune করবেন, legacy hash upgrade করা
- JWT Deep Dive — structure, signing algorithm (HS256 vs RS256 vs ES256), JWKS, সাধারণ attack-গুলো
- OAuth 2.0 ও OpenID Connect — delegation vs federation, authorization code flow, public client-এর জন্য PKCE
- API Key Management — generation, storage, scoping, rotation, revocation, abuse detection
- Common Vulnerabilities — CSRF, session fixation, timing attack, IDOR, mass assignment, security header
- Auth in Production — auth endpoint-এ rate limiting, কী log করবেন, password reset flow, incident response