Java में प्रमाणीकरण और अधिकारिता: पूर्ण गाइड

Java में प्रमाणीकरण और अधिकारिता: मुख्य अवधारणाएँ और उपकरण

प्रमाणीकरण (Authentication) और अधिकारिता (Authorization) किसी भी वेब एप्लिकेशन की सुरक्षा के दो मूलभूत स्तंभ हैं। Java इकोसिस्टम में इन कार्यों के लिए कई परिपक्व लाइब्रेरी और फ्रेमवर्क मौजूद हैं। इस लेख में हम मुख्य उपकरणों, उनकी विशेषताओं और व्यावहारिक कोड उदाहरणों पर विस्तार से चर्चा करेंगे।

1. बुनियादी अवधारणाएँ

उपकरणों पर जाने से पहले, शब्दों को स्पष्ट रूप से समझना महत्वपूर्ण है:

• प्रमाणीकरण (Authentication) — उपयोगकर्ता की पहचान की पुष्टि करना (आप कौन हैं?)। आमतौर पर लॉगिन/पासवर्ड, टोकन या बायोमेट्रिक्स के माध्यम से किया जाता है।
• अधिकारिता (Authorization) — पहुँच अधिकारों की जाँच करना (आपको क्या करने की अनुमति है?)। यह निर्धारित करता है कि उपयोगकर्ता कुछ कार्य कर सकता है या नहीं।

2. Spring Security — डी-फैक्टो मानक

Spring Security Java एप्लिकेशन में सुरक्षा सुनिश्चित करने के लिए सबसे लोकप्रिय फ्रेमवर्क है। यह प्रमाणीकरण और अधिकारिता दोनों के लिए एक व्यापक समाधान प्रदान करता है।

2.1. बुनियादी प्रमाणीकरण सेटअप

Spring Security को जोड़ने के लिए pom.xml में डिपेंडेंसी जोड़ें:

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

इन-मेमोरी प्रमाणीकरण के साथ न्यूनतम कॉन्फ़िगरेशन:

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.provisioning.InMemoryUserDetailsManager;
import org.springframework.security.web.SecurityFilterChain;

@Configuration
public class SecurityConfig {

    @Bean
    public InMemoryUserDetailsManager userDetailsManager() {
        UserDetails user = User.withDefaultPasswordEncoder()
                .username("user")
                .password("password")
                .roles("USER")
                .build();
        return new InMemoryUserDetailsManager(user);
    }

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http.authorizeHttpRequests(authz -> authz
                        .requestMatchers("/admin/**").hasRole("ADMIN")
                        .requestMatchers("/user/**").hasRole("USER")
                        .anyRequest().authenticated()
                )
                .formLogin(login -> login.defaultSuccessUrl("/home"))
                .httpBasic();
        return http.build();
    }
}

3. JWT (JSON Web Tokens) स्टेटलेस प्रमाणीकरण के लिए

JWT सर्वर पर स्थिति (state) सहेजे बिना प्रमाणीकरण लागू करने की अनुमति देता है। टोकन में उपयोगकर्ता के बारे में सभी आवश्यक जानकारी होती है और इसे एक गुप्त कुंजी से हस्ताक्षरित किया जाता है।

3.1. jjwt लाइब्रेरी का उपयोग करके JWT जनरेशन

डिपेंडेंसी जोड़ें:

<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-api</artifactId>
    <version>0.12.5</version>
</dependency>

टोकन बनाने और सत्यापित करने का उदाहरण:

import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import io.jsonwebtoken.security.Keys;
import javax.crypto.SecretKey;
import java.util.Date;

public class JwtUtil {

    private static final SecretKey SECRET_KEY = Keys.secretKeyFor(SignatureAlgorithm.HS256);
    private static final long EXPIRATION_TIME = 3600000; // 1 घंटा

    public static String generateToken(String username) {
        return Jwts.builder()
                .setSubject(username)
                .setIssuedAt(new Date())
                .setExpiration(new Date(System.currentTimeMillis() + EXPIRATION_TIME))
                .signWith(SECRET_KEY)