API توثیق (Authentication): API Keys بمقابلہ JWT بمقابلہ OAuth 2.0
میں نے ایک بار بغیر توثیق کے ایک API لانچ کی تھی۔ مجھے لگا کہ یہ ایک سادہ سا اندرونی ٹول ہے۔ دو ہفتے بعد، ایک حریف کے بوٹ نے رات 3 بجے ہمارے ڈیٹا بیس سے ڈیٹا نکال لیا (scrape کر لیا)۔ اس غلطی کی وجہ سے مجھے AWS کے 1,200 ڈالر کے بل اور اپنے باس کے ساتھ ایک مشکل گفتگو کا سامنا کرنا پڑا۔
توثیق (Authentication) کوئی دلچسپ کام نہیں ہے۔ لیکن اگر آپ اس میں غلطی کریں گے، تو یہ رات 3 بجے الرٹ کے ساتھ آپ کو جگا دے گی۔
یہاں ان تین اہم طریقوں میں سے انتخاب کرنے کا طریقہ دیا گیا ہے۔
- API Keys یہ طویل اور بے ترتیب حروف (random strings) ہوتے ہیں۔ کلائنٹ انہیں ہر درخواست کے ساتھ بھیجتا ہے۔ یہ سادہ اور تیز ہوتے ہیں۔
انہیں ان مقاصد کے لیے استعمال کریں: • موسم یا اسٹاک ڈیٹا جیسی عوامی (Public) APIs کے لیے۔ • سرور سے سرور کے درمیان رابطے کے لیے۔ • کسی نئے آئیڈیا کا پروٹوٹائپ بنانے کے لیے۔ • اندرونی مائیکرو سروسز (microservices) کے لیے۔
- JWT (JSON Web Tokens) یہ دستخط شدہ (signed) ٹوکنز ہوتے ہیں۔ یہ ٹوکن کے اندر ہی صارف کی معلومات اور اجازتیں (permissions) رکھتے ہیں۔ انہیں درست ثابت کرنے کے لیے آپ کو ڈیٹا بیس میں تلاش کرنے کی ضرورت نہیں ہوتی۔
انہیں ان مقاصد کے لیے استعمال کریں: • مائیکرو سروسز جہاں ہر سروس خود کو درست ثابت کرتی ہے۔ • موبائل ایپس اور سنگل پیج ایپلی کیشنز کے لیے۔ • زیادہ ٹریفک والی APIs جنہیں اسکیل (scale) کرنے کی ضرورت ہو۔
انتباہ: JWT میں بہت زیادہ ڈیٹا نہ ڈالیں۔ اسے چھوٹا رکھیں۔ صرف صارف کی آئی ڈی (user ID) اور کردار (roles) شامل کریں۔
- OAuth 2.0 یہ تفویض (delegation) کے لیے ایک پروٹوکول ہے۔ یہ صارف کو اپنا پاس ورڈ شیئر کیے بغیر اپنے ڈیٹا تک رسائی دینے کی اجازت دیتا ہے۔ "Sign in with Google" کی مثال لیں۔
اسے ان مقاصد کے لیے استعمال کریں: • تھرڈ پارٹی انٹیگریشنز کے لیے۔ • ایسے سسٹمز جہاں صارفین مختلف ایپس کو مخصوص اجازتیں دیتے ہیں۔ • انٹرپرائز سافٹ ویئر کے لیے۔
ان مقاصد کے لیے اس سے بچیں: • سادہ اندرونی APIs کے لیے۔ • چھوٹی ٹیموں کے لیے جنہیں تیزی سے کام مکمل کرنا ہو۔
فوری فیصلہ کرنے کا رہنما اصول:
• عوامی API: API Keys استعمال کریں۔ • اندرونی مائیکرو سروسز: API Keys استعمال کریں۔ • موبائل ایپ بیک اینڈ: JWT استعمال کریں۔ • صارف کے کرداروں (user roles) کے ساتھ SaaS: JWT استعمال کریں۔ • تھرڈ پارٹی رسائی: OAuth 2.0 استعمال کریں۔
میرا بنیادی اصول:
- اندرونی سروسز کے لیے API Keys سے آغاز کریں۔
- جب آپ کو صارف کی توثیق (user authentication) کی ضرورت ہو تو JWT شامل کریں۔
- OAuth 2.0 صرف اس وقت استعمال کریں جب کوئی کلائنٹ اس کا مطالبہ کرے یا آپ کوئی پلیٹ فارم بنا رہے ہوں۔
ایسا مکمل نظام نہ بنائیں جو کبھی لانچ ہی نہ ہو سکے۔ بلکہ ایک ایسا محفوظ نظام بنائیں جو کام کرے۔
آپ کون سا توثیق کا طریقہ استعمال کرتے ہیں؟ مجھے کمنٹس میں بتائیں۔
ماخذ: https://dev.to/sirmax/api-authentication-in-2026-api-keys-vs-jwt-vs-oauth-20-when-to-use-what-h7c