🌐 Chapter 1 — Shadow Academy

🧭 দক্ষতা যাচাই ও প্রতিরক্ষামূলক takeaway

Skill checkpoint: HTTP request/response, method ও status code বুঝিয়ে একটি safe request flow চিহ্নিত করো।
Defense checkpoint: Error response-এ sensitive detail না দেখিয়ে input ও output validate করো.
Lab scope: শুধু নিজের lab, synthetic data বা লিখিত অনুমতিপ্রাপ্ত target-এ অনুশীলন করো। Real credential, token বা customer data ব্যবহার কোরো না।

Portfolio proof: finding, impact, fix ও retest নিয়ে ৫-লাইনের redacted note রাখো।

🍕 গল্প ১: পিজ্জার দোকান ও ওয়েটার — API বোঝো সহজে!

ধরো তুমি একটা পিজ্জার রেস্তোরায় বসে আছো।

🧑 তুমি = Client (Browser বা App)
👨‍🍳 রান্নাঘর = Server (সব কাজ এখানে হয়)
🛎️ ওয়েটার = API (মাঝখানের দূত)

তুমি ওয়েটারকে বললে: "একটা চিজ পিজ্জা দাও!"
→ এটা হলো HTTP Request

ওয়েটার রান্নাঘর থেকে পিজ্জা নিয়ে এলো।
→ এটা হলো HTTP Response

⚠️ তুমি কি সরাসরি রান্নাঘরে ঢুকতে পারবে? না!
ঠিক তেমনি App সরাসরি Database-এ ঢুকতে পারে না — API দিয়ে request করতে হয়!

🎯 API Endpoint কী? — দোকানের বিভিন্ন counter

রেস্তোরায় আলাদা counter আছে — pizza counter, drinks counter, dessert counter।
API-তেও আলাদা আলাদা endpoint আছে — প্রতিটা কাজের জন্য আলাদা address:

https://api.training.example.test/v2/products/list   ← Product দেখার counter
https://api.training.example.test/v2/order/create   ← Order দেওয়ার counter
https://api.training.example.test/v2/user/profile   ← Profile দেখার counter
https://api.training.example.test/v2/auth/login     ← Login করার counter

প্রতিটা URL = একটা endpoint। সঠিক endpoint-এ request না করলে কিছুই পাবে না!

📬 HTTP Methods — অর্ডারের চার ধরন

রেস্তোরায় তুমি বিভিন্নভাবে কথা বলতে পারো:

Method	মানে	উদাহরণ
GET	শুধু দেখা — কিছু পাঠাই না	Product list দেখো
POST	নতুন কিছু পাঠানো	Order দেওয়া, Login
PUT	পুরোটা update করা	Profile সম্পূর্ণ বদলানো
DELETE	মুছে দেওয়া	Order cancel করা

🔑 GET vs POST-এর সবচেয়ে গুরুত্বপূর্ণ পার্থক্য:

GET  → Data URL-এ visible থাকে:
https://api.training.example.test/search?q=saree&color=red
↑ সবাই URL দেখলেই বুঝবে তুমি কী খুঁজছো!

POST → Data body-তে hidden থাকে:
https://api.training.example.test/login
Body: {"email":"learner@example.test", "password":"DEMO_PASSWORD_PLACEHOLDER"}
↑ URL-এ কিছু দেখা যাচ্ছে না — সুরক্ষিত!

তাই login, payment, sensitive data → সবসময় POST ব্যবহার হয়।

🚦 Status Codes — সংকেতের পুরো ভাষা

Traffic light-এর মতো — সার্ভার বলে দেয় কী হলো:

✅ 200 OK           → সব ঠিকঠাক! Data পেলে।
✅ 201 Created      → নতুন কিছু তৈরি হলো (order placed!)

❌ 400 Bad Request  → তোমার request-এই ভুল (missing field)
❌ 401 Unauthorized → Login করোনি / token নেই
⛔ 403 Forbidden    → Login আছে কিন্তু permission নেই
🔍 404 Not Found    → এই endpoint/product নেই
⚠️ 429 Too Many    → বেশি দ্রুত request! ধীরে করো।

💥 500 Server Error → Server-এ গণ্ডগোল (আমাদের দোষ নেই!)
💥 503 Unavailable  → Server বন্ধ বা overloaded

🔑 462 (Meesho)    → Token expired/invalid (Meesho-র নিজস্ব code)

401 vs 403 পার্থক্য মনে রাখো:
🔐 401 = তুমি কে? পরিচয় দাও! (Unauthenticated)
🚫 403 = তোমাকে চিনি, কিন্তু এখানে ঢুকতে দেবো না! (Unauthorized)

📦 JSON — API-র ভাষা

API সব data JSON (JavaScript Object Notation) format-এ পাঠায়।
JSON মানে — key: value জুটি, curly braces {} এ মোড়া:

// এটাই JSON format:
{
  "user_id": "670490126",
  "name": "Sourav Basak",
  "city": "Kolkata",
  "premium": true,
  "orders": [101, 102, 103]
}

JSON কেন এত popular?
✅ Human-readable — পড়তে পারি
✅ Machine-readable — code parse করতে পারে
✅ Lightweight — ছোট size, fast transfer

JSON-এ data types:

String:  "Sourav"        ← " " এর মধ্যে text
Number:  670490126      ← কোনো " " নেই
Boolean: true / false   ← হ্যাঁ বা না
Array:   [1, 2, 3]      ← [] এ list
Object:  {"key":"val"}  ← {} এ nested data
Null:    null           ← কোনো মান নেই

🔑 462 Error — Meesho-র রহস্যময় code

Standard HTTP-তে 462 বলে কিছু নেই। কিন্তু Meesho নিজেই বানিয়েছে!

কেন 462 আসে?

কারণ ১: x-token expire হয়েছে (সাধারণত ১ ঘণ্টা)
কারণ ২: Token অন্য device-এ use হয়েছে
কারণ ৩: Token format ভুল বা modified

Response:
{"error": "token_expired", "code": 462, "action": "refresh"}

Fix করবে কীভাবে?

POST /v2/auth/token/refresh
Body: {"refresh_token": "eyJhbGc..."}
↓
Response: {"access_token": "eyJhbGc...[new]", "expires_in": 3600}

💡 Bot বানানোর সময় 462 এলে → automatic refresh করো → আবার চালাও!

⚠️ 429 Rate Limiting — সার্ভার ক্লান্ত হয়ে যায়!

ধরো তুমি রেস্তোরায় প্রতি সেকেন্ডে ১০০টা অর্ডার দিলে — ওয়েটার তো পাগল হয়ে যাবে!

Server-ও তেমন। একই IP থেকে বেশি দ্রুত request → 429 block!

429 Too Many Requests
{"error": "rate_limit_exceeded", "retry_after": 60}
↑ ৬০ সেকেন্ড পর আবার চেষ্টা করো

Bot বানালে 429 এড়াতে:
✅ প্রতি request-এর মাঝে delay দাও (1-3 সেকেন্ড)
✅ Rotating proxy use করো (আলাদা IP)
✅ Request-এর সংখ্যা সীমিত রাখো

🛒 Meesho App-এ এগুলো কীভাবে কাজ করে?

তুমি Meesho Supplier app-এ login করলে — পর্দার পেছনে:

Step 1: Login
POST https://api.training.example.test/v2/auth/login
Body: {"mobile": "[REDACTED]", "otp": "123456"}
Response 200: {"x-token": "eyJhbGc...", "user_id": "670490"}

Step 2: Product list দেখা
GET https://prod.meeshoapi.com/api/v2/catalog/list
Headers: x-token: eyJhbGc...
Response 200: {"products": [...], "total": 1247}

Step 3: Token expire হলে
POST https://api.training.example.test/v2/auth/token/refresh
Response: {"x-token": "eyJhbGc...[new]"}

Step 4: বেশি request পাঠালে
Response 429: {"error": "rate_limit_exceeded"}

এই পুরো process-টা HTTP Toolkit দিয়ে intercept করে দেখা যায়!

💡 Chapter 1-এর মূল শিক্ষা — মুখস্থ করো!

🌐 API = ওয়েটার — Client ও Server-এর মাঝে দূত
🎯 Endpoint = নির্দিষ্ট URL — প্রতিটা কাজের আলাদা address
📬 GET = দেখা, POST = পাঠানো, PUT = update, DELETE = মুছা
🔒 GET vs POST: GET URL-এ data visible, POST body-তে hidden
✅ 200 = সফল, ❌ 401 = login করো, ⛔ 403 = permission নেই
🔍 404 = নেই, ⚠️ 429 = ধীরে করো, 💥 500 = server গণ্ডগোল
🔑 462 = Meesho-র নিজস্ব token error
📦 JSON = {key: value} format — API-র ভাষা

🎯 Chapter 1 — কুইজ (১০টা প্রশ্ন)

প্রতিটা উত্তরে click করো → সাথে সাথে সবুজ/লাল + ব্যাখ্যা দেখাবে!

❓ প্রশ্ন 1: API কোন কাজ করে?

💡 API = ওয়েটারের মতো। App (Client) request করে, API Server-এ নিয়ে যায়, response ফিরিয়ে আনে।

❓ প্রশ্ন 2: HTTP GET method কোন কাজে?

💡 GET = শুধু দেখা। Product list দেখা, profile দেখা — Server-এ কোনো পরিবর্তন হয় না।

❓ প্রশ্ন 3: HTTP 200 status code মানে কী?

💡 200 OK = সাফল্য! Request সফলভাবে process হয়েছে এবং response পাঠানো হয়েছে।

❓ প্রশ্ন 4: JSON format-এ data কীভাবে লেখা হয়?

💡 JSON = {"key": "value"} format। {} curly braces-এ key-value জুটি — API response-এ সবচেয়ে popular format।

❓ প্রশ্ন 5: Meesho-তে 462 error কেন আসে?

💡 462 = Meesho-র নিজস্ব error। Token expire বা invalid হলে আসে। Standard 401-এর বদলে তারা 462 use করে।

❓ প্রশ্ন 6: HTTP POST method কোথায় ব্যবহার করি?

💡 POST = data পাঠানো। Login form submit, order দেওয়া — sensitive data body-তে hidden থাকে।

❓ প্রশ্ন 7: GET ও POST-এর সবচেয়ে বড় পার্থক্য কী?

💡 GET request-এ data URL-এ দেখা যায়। POST request-এর data body-তে hidden — তাই password, payment-এ POST ব্যবহার।

❓ প্রশ্ন 8: HTTP 429 error মানে কী?

💡 429 = Rate limit exceeded। খুব দ্রুত request পাঠালে server block করে দেয়। Bot বানালে delay দিতে হয়।

❓ প্রশ্ন 9: JSON কোন ধরনের format?

💡 JSON = human-readable text format। {} ও [] দিয়ে structured data — both human ও machine পড়তে পারে।

❓ প্রশ্ন 10: API Endpoint মানে কী?

💡 Endpoint = specific URL/path। যেমন /api/v2/products — এখানে request করলেই products পাওয়া যায়।

এই অধ্যায়ে কী শিখবে

বিশ্বস্ত reference