OAuth2 और OpenID Connect का गहन अध्ययन · पाठ

टोकन सुरक्षा (पहुँच/रिफ़्रेश)

पहुँच और रिफ़्रेश टोकन को सुरक्षित रूप से संग्रहीत करने, भेजने और समाप्त करने की सर्वोत्तम विधियों का गहन अध्ययन कीजिए।

पाठ 1, कुल 4 में से12 चरण

टोकन सुरक्षा (पहुँच/रिफ़्रेश), CoddyKit पर OAuth2 और OpenID Connect का गहन अध्ययन का एक निःशुल्क पाठ है। यह 4 में से 1वाँ पाठ है। इस अध्ययन पथ के 3 तक कोई भी पाठ पूरा पढ़ना निःशुल्क है — इसके बाद CoddyKit PRO हर पाठ अनलॉक करता है, साथ ही अंतर्निर्मित कोड संपादक और चौबीसों घंटे एआई शिक्षक के साथ व्यावहारिक अभ्यास भी उपलब्ध कराता है। यह OAuth2 और OpenID Connect का गहन अध्ययन सीखने के मार्ग का हिस्सा है और आपकी प्रगति वेब तथा CoddyKit ऐप पर सिंक होती रहती है। OAuth2 और OpenID Connect का गहन अध्ययन पाठ्यक्रम में कुल 4 पाठ शामिल हैं।

टोकन सुरक्षा महत्वपूर्ण क्यों है

टोकन सुरक्षा पाठ में आपका स्वागत है! इस पाठ में हम OAuth2 और OpenID Connect के महत्वपूर्ण घटकों—पहुँच टोकन और रीफ़्रेश टोकन—की सुरक्षा करने के बारे में विस्तार से जानेंगे।

ये टोकन डिजिटल चाबियों की तरह होते हैं। यदि वे गलत हाथों में पड़ जाएँ, तो आपके उपयोगकर्ताओं के डेटा या आपके ऐप्लिकेशन के संसाधनों तक अनधिकृत पहुँच मिल सकती है। इनकी सुरक्षा अत्यंत महत्वपूर्ण है।

पहुँच टोकन को समझना

पहुँच टोकन ऐसे प्रमाण-पत्र हैं जो क्लाइंट ऐप्लिकेशन को उपयोगकर्ता की ओर से विशिष्ट संसाधनों तक पहुँचने की अनुमति देते हैं। इन्हें अस्थायी पास की तरह समझिए।

इनका जीवनकाल छोटा होता है (कुछ मिनटों से कुछ घंटों तक)।
इनका उपयोग API अनुरोधों को सीधे अधिकृत करने के लिए किया जाता है।
यदि इनसे छेड़छाड़ हो जाए, तो कम समय में समाप्त होने के कारण नुकसान सीमित रहता है।

रीफ़्रेश टोकन को समझना

रीफ़्रेश टोकन का उपयोग वर्तमान पहुँच टोकन की अवधि समाप्त होने के बाद नए पहुँच टोकन प्राप्त करने के लिए किया जाता है, और इसके लिए उपयोगकर्ता को फिर से प्रमाणित होने की आवश्यकता नहीं होती। ये मास्टर चाबी की तरह होते हैं।

इनका जीवनकाल बहुत लंबा होता है (दिनों, हफ्तों या महीनों तक)।
ये अत्यधिक संवेदनशील होते हैं, क्योंकि इनके साथ छेड़छाड़ होने पर लगातार पहुँच मिल सकती है।
इन्हें उच्चतम स्तर की सुरक्षा के साथ संग्रहीत किया जाना चाहिए।

सुरक्षित संचार: HTTPS/TLS

टोकन की सुरक्षा का सबसे मूलभूत नियम है कि टोकन हमेशा HTTPS (TLS) के माध्यम से भेजे जाएँ। इससे क्लाइंट और सर्वर के बीच संचार माध्यम एन्क्रिप्ट हो जाता है।

HTTPS के बिना, असुरक्षित नेटवर्क (जैसे सार्वजनिक Wi-Fi) पर भेजे गए टोकन हमलावरों द्वारा आसानी से रोक लिए जा सकते हैं, जिससे तुरंत सुरक्षा भंग हो सकती है।

ऐक्सेस टोकन को सुरक्षित रूप से संग्रहीत करना

ऐक्सेस टोकन की जीवन अवधि कम होती है, इसलिए उन्हें क्लाइंट की ओर सावधानीपूर्वक संग्रहीत करना आवश्यक है:

वेब अनुप्रयोग: इन्हें मेमोरी (JavaScript चर) या सुरक्षित, httpOnly कुकी में संग्रहीत करें। XSS की भेद्यता के कारण localStorage या sessionStorage का उपयोग न करें।
मोबाइल अनुप्रयोग: iOS Keychain या Android Keystore जैसे प्लैटफ़ॉर्म-विशिष्ट सुरक्षित संग्रहण का उपयोग करें।

टोकन की समय-सीमा समाप्ति का अनुकरण

ऐक्सेस टोकन की समय-सीमा समाप्त होने के लिए बनाए जाते हैं। यह कोड अंश यह जाँचने का वैचारिक तरीका दिखाता है कि जारी किए जाने और समाप्त होने के समय से दर्शाया गया कोई टोकन अभी मान्य है या नहीं।

public class Main {
  public static void main(String[] args) {
    long issuedAtMillis = System.currentTimeMillis() - (5 * 60 * 1000); // Token issued 5 minutes ago
    long expiresInMillis = 10 * 60 * 1000; // Token expires in 10 minutes from issue
    long expiresAtMillis = issuedAtMillis + expiresInMillis;

    System.out.println("Token issued 5 minutes ago.");
    System.out.println("Expires 10 minutes from issue.");

    if (System.currentTimeMillis() > expiresAtMillis) {
      System.out.println("Status: Token EXPIRED.");
    } else {
      System.out.println("Status: Token ACTIVE.");
    }
  }
}

रीफ़्रेश टोकन को सुरक्षित करना

रीफ़्रेश टोकन की जीवन अवधि लंबी होती है, इसलिए उनकी सुरक्षा करना सबसे महत्वपूर्ण है। उनका संग्रहण और भी अधिक कठोर होना चाहिए:

वेब अनुप्रयोग: केवल httpOnly, सुरक्षित कुकी का उपयोग करें। इन्हें JavaScript से पहुँच योग्य संग्रहण में कभी न रखें।
मोबाइल अनुप्रयोग: यदि उपलब्ध हो, तो हार्डवेयर-समर्थित सुरक्षित संग्रहण का उपयोग करें (जैसे iOS पर Secure Enclave और Android पर TEE)।

रीफ़्रेश टोकन रोटेशन (RTR)

रीफ़्रेश टोकन रोटेशन (RTR) एक महत्वपूर्ण सुरक्षा सुधार है। जब भी कोई क्लाइंट नया ऐक्सेस टोकन प्राप्त करने के लिए रीफ़्रेश टोकन का उपयोग करे, तो प्राधिकरण सर्वर को नया रीफ़्रेश टोकन जारी करना चाहिए और पुराने को अमान्य कर देना चाहिए।

यदि कोई पुराना रीफ़्रेश टोकन चोरी होकर उपयोग किया जाता है, तो वैध क्लाइंट इसे पहचान लेगा, क्योंकि उसका वर्तमान रीफ़्रेश टोकन अब काम नहीं करेगा। इससे संभावित सुरक्षा-भंग का संकेत मिलता है।

टोकन निरस्तीकरण की रणनीतियाँ

टोकन को केवल समय-सीमा समाप्त होने तक नहीं छोड़ना चाहिए; उन्हें निरस्त करने योग्य भी होना चाहिए। प्राधिकरण सर्वर को टोकन को समय से पहले अमान्य करने के उपाय उपलब्ध कराने चाहिए।

उपयोगकर्ता लॉगआउट: सभी संबंधित ऐक्सेस और रीफ़्रेश टोकन निरस्त किए जाने चाहिए।
पासवर्ड बदलना: पुनः प्रमाणीकरण आवश्यक कराने के लिए सभी सक्रिय टोकन निरस्त करें।
संदिग्ध गतिविधि: यदि किसी टोकन के साथ छेड़छाड़ का संदेह हो, तो उसे तुरंत निरस्त कर देना चाहिए।

टोकन की जीवन अवधि का प्रबंधन

सुरक्षा और उपयोगकर्ता अनुभव के बीच संतुलन बनाना महत्वपूर्ण है:

ऐक्सेस टोकन: इनकी जीवन अवधि कम रखें (जैसे, 5–15 मिनट)। यदि कोई टोकन सुरक्षा-भंग का शिकार हो जाए, तो इससे हमलावरों के अवसर की समयावधि सीमित रहती है।
रीफ़्रेश टोकन: इनकी जीवन अवधि अधिक हो सकती है (जैसे, 7–30 दिन), लेकिन इन्हें निरस्त करने योग्य होना चाहिए और आदर्श रूप से RTR से सुरक्षित किया जाना चाहिए।

टोकन सुरक्षा जाँच

OAuth2/OIDC टोकन को सुरक्षित करने के लिए निम्नलिखित में से कौन-से अनुशंसित सर्वोत्तम उपाय हैं?

इंटरैक्टिव पाठ में इसका उत्तर दें

पुनरावलोकन: सुरक्षित टोकन

आपने ऐक्सेस और रीफ़्रेश टोकन को सुरक्षित करने के महत्वपूर्ण उपाय सीख लिए हैं!

टोकन भेजने के लिए HTTPS/TLS अनिवार्य है।
ऐक्सेस टोकन को सुरक्षित और कम अवधि वाले संग्रहण (मेमोरी, httpOnly कुकी) की आवश्यकता होती है।
रीफ़्रेश टोकन के लिए उच्चतम स्तर की सुरक्षा आवश्यक है (httpOnly, सुरक्षित कुकी, हार्डवेयर-समर्थित संग्रहण) और इनके साथ रीफ़्रेश टोकन रोटेशन का उपयोग किया जाना चाहिए।
प्रभावी निरस्तीकरण रणनीतियाँ लागू करें और टोकन की जीवन अवधि का समझदारी से प्रबंधन करें।

शुरुआत निःशुल्क

एआई शिक्षक के साथ OAuth2 और OpenID Connect का गहन अध्ययन सीखें — निःशुल्क

अपने ब्राउज़र में वास्तविक कोड लिखें और चलाएँ, चौबीसों घंटे एआई शिक्षक से तुरंत सहायता पाएँ, और वेब या ऐप पर वहीं से शुरू करें जहाँ आपने छोड़ा था।

पाठ्यक्रम: 12
पाठ: 48

निःशुल्क सीखना शुरू करें पूरा पाठ्यक्रम देखें

अक्सर पूछे जाने वाले प्रश्न

क्या “टोकन सुरक्षा (पहुँच/रिफ़्रेश)” पाठ निःशुल्क है?

हाँ — OAuth2 और OpenID Connect का गहन अध्ययन अध्ययन पथ के 3 तक कोई भी पाठ, जिसमें “टोकन सुरक्षा (पहुँच/रिफ़्रेश)” भी शामिल है, यहाँ वेब पर पूरा पढ़ना निःशुल्क है। इसके बाद CoddyKit PRO हर पाठ अनलॉक करता है, साथ ही अंतर्निर्मित कोड संपादक और चौबीसों घंटे एआई शिक्षक के साथ इंटरैक्टिव अभ्यास भी उपलब्ध कराता है। OAuth2 और OpenID Connect का गहन अध्ययन पाठ्यक्रम में कुल 4 पाठ शामिल हैं।

“टोकन सुरक्षा (पहुँच/रिफ़्रेश)” में मैं क्या सीखूँगा?

पहुँच और रिफ़्रेश टोकन को सुरक्षित रूप से संग्रहीत करने, भेजने और समाप्त करने की सर्वोत्तम विधियों का गहन अध्ययन कीजिए। आप ब्राउज़र में सीधे चलाए जाने वाले व्यावहारिक कोड के साथ OAuth2 और OpenID Connect का गहन अध्ययन का अभ्यास करते हैं, और पाठ पूरा करते समय 24/7 एआई ट्यूटर आपके प्रश्नों के उत्तर देता है।

क्या OAuth2 और OpenID Connect का गहन अध्ययन शुरू करने के लिए मुझे किसी अनुभव की आवश्यकता है?

पहले के अनुभव की आवश्यकता नहीं है। CoddyKit पर OAuth2 और OpenID Connect का गहन अध्ययन शुरुआती से लेकर उन्नत शिक्षार्थियों तक सभी के लिए व्यवस्थित किया गया है, इसलिए आप यहीं से या शुरुआत से सीखना शुरू कर सकते हैं और अपनी गति से आगे बढ़ सकते हैं। यह 4 में से 1वाँ पाठ है।

“टोकन सुरक्षा (पहुँच/रिफ़्रेश)” पाठ पूरा करने में कितना समय लगता है?

CoddyKit का अधिकांश पाठ लगभग 5–10 मिनट में पूरा हो जाता है। हर पाठ छोटा और संवादात्मक है, इसलिए आप लगातार प्रगति करते हैं और वेब या ऐप पर वहीं से सीखना जारी रख सकते हैं जहाँ आपने छोड़ा था।

क्या मैं इस OAuth2 और OpenID Connect का गहन अध्ययन पाठ में कोड लिख और चला सकता हूँ?

हाँ। हर OAuth2 और OpenID Connect का गहन अध्ययन पाठ में एक अंतर्निर्मित कोड संपादक शामिल है, जिससे आप सीधे अपने ब्राउज़र में वास्तविक कोड लिख और चला सकते हैं और तुरंत एआई प्रतिक्रिया पा सकते हैं—स्थानीय सेटअप की आवश्यकता नहीं है।

इस पाठ्यक्रम के सभी पाठ

← OAuth2 और OpenID Connect का गहन अध्ययन पर वापस जाएँ