API Authentication: API Keys vs JWT vs OAuth 2.0
ഒരിക്കൽ ഞാൻ ഓതന്റിക്കേഷൻ ഇല്ലാതെ ഒരു API പുറത്തിറക്കിയിരുന്നു. അതൊരു ലളിതമായ ഇന്റേണൽ ടൂൾ ആണെന്നാണ് ഞാൻ കരുതിയത്. രണ്ടാഴ്ചയ്ക്ക് ശേഷം, പുലർച്ചെ 3 മണിക്ക് ഒരു എതിരാളിയുടെ ബോട്ട് (bot) ഞങ്ങളുടെ ഡാറ്റാബേസ് സ്ക്രാപ്പ് ചെയ്തു. ആ തെറ്റ് കാരണം എനിക്ക് 1,200 ഡോളർ AWS ബില്ലും എന്റെ ബോസുമായി ഒരു അസ്വസ്ഥമായ സംസാരവും നേരിടേണ്ടി വന്നു.
ഓതന്റിക്കേഷൻ എന്നത് രസകരമായ ഒന്നല്ല. എന്നാൽ നിങ്ങൾ അത് തെറ്റായി ചെയ്താൽ, പുലർച്ചെ 3 മണിക്ക് ഒരു അലേർട്ട് (alert) വന്ന് അത് നിങ്ങളെ ഉണർത്തും.
പ്രധാനപ്പെട്ട മൂന്ന് രീതികളിൽ ഏതാണ് തിരഞ്ഞെടുക്കേണ്ടതെന്ന് താഴെ നൽകുന്നു.
- API Keys ഇവ നീളമുള്ള റാൻഡം സ്ട്രിംഗുകളാണ് (random strings). ക്ലയന്റ് ഓരോ റിക്വസ്റ്റിനൊപ്പവും ഇവ അയക്കുന്നു. ഇവ ലളിതവും വേഗതയേറിയതുമാണ്.
ഇവ താഴെ പറയുന്നവയ്ക്കായി ഉപയോഗിക്കാം: • കാലാവസ്ഥ അല്ലെങ്കിൽ സ്റ്റോക്ക് ഡാറ്റ പോലുള്ള പബ്ലിക് API-കൾക്ക്. • സെർവർ-ടു-സെർവർ കമ്മ്യൂണിക്കേഷന്. • പുതിയൊരു ഐഡിയയുടെ പ്രോട്ടോടൈപ്പിംഗിന്. • ഇന്റേണൽ മൈക്രോസർവീസുകൾക്ക്.
- JWT (JSON Web Tokens) ഇവ സൈൻ ചെയ്ത ടോക്കണുകളാണ് (signed tokens). ഇവയിൽ യൂസർ ഇൻഫോയും പെർമിഷനുകളും അടങ്ങിയിരിക്കുന്നു. ഇവ പരിശോധിക്കാൻ (validate) നിങ്ങൾക്ക് ഒരു ഡാറ്റാബേസ് ലുക്കപ്പ് ആവശ്യമില്ല.
ഇവ താഴെ പറയുന്നവയ്ക്കായി ഉപയോഗിക്കാം: • ഓരോ സർവീസും സ്വയം പരിശോധിക്കുന്ന മൈക്രോസർവീസുകളിൽ. • മൊബൈൽ ആപ്പുകൾക്കും സിംഗിൾ പേജ് ആപ്ലിക്കേഷനുകൾക്കും. • സ്കെയിൽ ചെയ്യേണ്ടതുള്ള ഹൈ ട്രാഫിക് API-കൾക്ക്.
മുന്നറിയിപ്പ്: JWT-യിൽ ഒരുപാട് ഡാറ്റ ഉൾപ്പെടുത്തരുത്. അത് ചെറുതായി സൂക്ഷിക്കുക. യൂസർ ഐഡിയും (user ID) റോളുകളും (roles) മാത്രം ഉൾപ്പെടുത്തുക.
- OAuth 2.0 ഇത് ഡെലിഗേഷനായുള്ള (delegation) ഒരു പ്രോട്ടോക്കോൾ ആണ്. പാസ്വേഡ് പങ്കുവെക്കാതെ തന്നെ ഒരു ഉപയോക്താവിന് അവരുടെ ഡാറ്റയിലേക്ക് ആക്സസ് നൽകാൻ ഇത് അനുവദിക്കുന്നു. "Sign in with Google" എന്നതിനെക്കുറിച്ച് ചിന്തിക്കുക.
ഇത് താഴെ പറയുന്നവയ്ക്കായി ഉപയോഗിക്കാം: • തേർഡ് പാർട്ടി ഇന്റഗ്രേഷനുകൾക്ക്. • ഉപയോക്താക്കൾ വിവിധ ആപ്പുകൾക്ക് പ്രത്യേക പെർമിഷനുകൾ നൽകുന്ന സിസ്റ്റങ്ങളിൽ. • എന്റർപ്രൈസ് സോഫ്റ്റ്വെയറുകൾക്ക്.
ഇത് ഒഴിവാക്കുക: • ലളിതമായ ഇന്റേണൽ API-കൾക്ക്. • വേഗത്തിൽ പ്രോജക്റ്റുകൾ പൂർത്തിയാക്കേണ്ട ചെറിയ ടീമുകൾക്ക്.
വേഗത്തിലുള്ള തീരുമാനത്തിനുള്ള ഗൈഡ്:
• പബ്ലിക് API: API Keys ഉപയോഗിക്കുക. • ഇന്റേണൽ മൈക്രോസർവീസുകൾ: API Keys ഉപയോഗിക്കുക. • മൊബൈൽ ആപ്പ് ബാക്കെൻഡ്: JWT ഉപയോഗിക്കുക. • യൂസർ റോളുകളുള്ള SaaS: JWT ഉപയോഗിക്കുക. • തേർഡ് പാർട്ടി ആക്സസ്: OAuth 2.0 ഉപയോഗിക്കുക.
എന്റെ പൊതുവായ നിയമം:
- ഇന്റേണൽ സർവീസുകൾക്കായി API Keys ഉപയോഗിച്ച് തുടങ്ങുക.
- യൂസർ ഓതന്റിക്കേഷൻ ആവശ്യമായി വരുമ്പോൾ JWT ചേർക്കുക.
- ഒരു ക്ലയന്റ് ആവശ്യപ്പെടുകയോ അല്ലെങ്കിൽ നിങ്ങൾ ഒരു പ്ലാറ്റ്ഫോം നിർമ്മിക്കുകയോ ചെയ്യുമ്പോൾ മാത്രം OAuth 2.0 ഉപയോഗിക്കുക.
ഒരിക്കലും പുറത്തിറങ്ങാത്ത ഒരു പെർഫെക്റ്റ് സിസ്റ്റം നിർമ്മിക്കരുത്. പ്രവർത്തിക്കുന്ന ഒരു സുരക്ഷിത സിസ്റ്റം നിർമ്മിക്കുക.
നിങ്ങൾ ഏത് ഓത്ത് പാറ്റേൺ ആണ് ഉപയോഗിക്കുന്നത്? കമന്റുകളിൽ അറിയിക്കുക.
Source: https://dev.to/sirmax/api-authentication-in-2026-api-keys-vs-jwt-vs-oauth-20-when-to-use-what-h7c