OAuth2 प्रोटोकॉल का परिचय

मान लीजिए कि आप चाहते हैं कि कोई फ़ोटो प्रिंटिंग सेवा Google Photos से आपकी तस्वीरों तक पहुँच सके। OAuth2 से पहले आपको उस प्रिंटिंग सेवा को अपना Google उपयोगकर्ता नाम और पासवर्ड देना पड़ सकता था।

यह जोखिम भरा है! इसके बाद वह सेवा आपके ईमेल, दस्तावेज़ों और आपके Google खाते से जुड़ी अन्य सभी चीज़ों तक पहुँच सकती थी। OAuth2 सीमित पहुँच प्रदान करने का सुरक्षित तरीका देकर इस समस्या का समाधान करता है।

संसाधन स्वामी वह व्यक्ति है जिसके पास सुरक्षित संसाधनों का स्वामित्व होता है।

आमतौर पर यह अंतिम उपयोगकर्ता आप होते हैं। विभिन्न सेवाओं पर संग्रहीत आपकी फ़ोटो, संपर्क, प्रोफ़ाइल जानकारी आदि आपके स्वामित्व में होती हैं।

आप अनुप्रयोगों को इन संसाधनों तक पहुँचने की अनुमति देते हैं।

क्लाइंट अनुप्रयोग (या केवल 'क्लाइंट') वह अनुप्रयोग है जो आपके सुरक्षित संसाधनों तक पहुँचना चाहता है।

यह मोबाइल ऐप, वेब अनुप्रयोग या डेस्कटॉप प्रोग्राम हो सकता है। उदाहरणों में फ़ोटो प्रिंटिंग सेवा या सोशल मीडिया प्रबंधक शामिल हैं।

कोई भी कार्य करने के लिए इसे आपकी अनुमति आवश्यक होती है।

संसाधन सर्वर वह स्थान है जहाँ आपके सुरक्षित संसाधन वास्तव में मौजूद होते हैं। यही सर्वर आपके डेटा के लिए API होस्ट करता है।

उदाहरण के लिए, यदि आप Google Photos तक पहुँच रहे हैं, तो Google Photos API संसाधन सर्वर है। यह आपके डेटा की सुरक्षा करता है और केवल मान्य टोकन के साथ पहुँच की अनुमति देता है।

प्राधिकरण सर्वर OAuth2 का केंद्र होता है। यह संसाधन स्वामी का प्रमाणीकरण करने और एक्सेस टोकन जारी करने के लिए ज़िम्मेदार होता है।

जब आप अनुमति देते हैं, तब आप प्राधिकरण सर्वर के साथ संवाद कर रहे होते हैं। इसके बाद यह क्लाइंट को एक विशेष टोकन जारी करता है, जिसका उपयोग क्लाइंट संसाधन सर्वर से संवाद करने के लिए करता है।

अपना पासवर्ड साझा करने के बजाय, क्लाइंट अनुप्रयोग प्राधिकरण सर्वर से एक एक्सेस टोकन प्राप्त करता है।

• यह टोकन अस्थायी और विशिष्ट अनुमतियों वाली चाबी जैसा होता है।
• यह विशिष्ट संसाधनों तक सीमित पहुँच देता है (जैसे, फ़ोटो पढ़ना, लेकिन उन्हें हटाना नहीं)।
• इसकी समाप्ति अवधि होती है, जिससे सुरक्षा बेहतर होती है।

आपका डेटा प्राप्त करने के लिए क्लाइंट यह टोकन संसाधन सर्वर के सामने प्रस्तुत करता है।

यहाँ इसके काम करने के तरीके का उच्च-स्तरीय अवलोकन दिया गया है:

1. आप (संसाधन स्वामी) किसी ऐप (क्लाइंट) का उपयोग करना चाहते हैं।
2. क्लाइंट आपसे आपके डेटा तक पहुँचने की अनुमति माँगता है।
3. पुष्टि करने के लिए आपको सेवा प्रदाता (प्राधिकरण सर्वर) पर भेज दिया जाता है।
4. आप अनुमति देते हैं।
5. प्राधिकरण सर्वर क्लाइंट को एक एक्सेस टोकन देता है।
6. क्लाइंट संसाधन सर्वर से डेटा माँगने के लिए इस टोकन का उपयोग करता है।

OAuth2 कई महत्वपूर्ण लाभ प्रदान करता है:

• बेहतर सुरक्षा: पासवर्ड साझा करने की आवश्यकता नहीं होती और एक्सेस टोकन सीमित होते हैं।
• उपयोगकर्ता का नियंत्रण: आप तय करते हैं कि कोई ऐप किस डेटा तक और कितने समय तक पहुँच सकता है।
• अंतरसंचालनीयता: यह एक मानक प्रोटोकॉल है जिसे पूरे वेब पर व्यापक रूप से अपनाया गया है।
• कम जोखिम: टोकन के साथ छेड़छाड़ होने पर भी उसका दायरा और अवधि सीमित होती है।

यह इस बात का आधार है कि कई आधुनिक वेब सेवाएँ सुरक्षित रूप से एक-दूसरे के साथ कैसे संवाद करती हैं।

इस पाठ में हमने OAuth2 की मूल बातें समझीं। हमने सीखा कि यह प्रतिनिधिकृत प्राधिकरण के लिए एक प्रोटोकॉल है, जो ऐप्स को आपका पासवर्ड माँगे बिना आपके संसाधनों तक पहुँचने की अनुमति देता है।

हमने चार मुख्य भूमिकाओं की पहचान की: संसाधन स्वामी (आप), क्लाइंट अनुप्रयोग (ऐप), संसाधन सर्वर (जहाँ डेटा मौजूद होता है), और प्राधिकरण सर्वर (जो टोकन प्रदान करता है)।

अगले पाठ में हम देखेंगे कि OpenID Connect पहचान के लिए OAuth2 पर कैसे आधारित है।