🔐 Chapter 2 — Shadow Academy

🧭 দক্ষতা যাচাই ও প্রতিরক্ষামূলক takeaway

Skill checkpoint: Cookie, server session ও JWT কীভাবে আলাদা তা ব্যাখ্যা করো।
Defense checkpoint: Secure, HttpOnly, SameSite flags এবং server-side token verification প্রয়োগ করো.
Lab scope: শুধু নিজের lab, synthetic data বা লিখিত অনুমতিপ্রাপ্ত target-এ অনুশীলন করো। Real credential, token বা customer data ব্যবহার কোরো না।

Portfolio proof: finding, impact, fix ও retest নিয়ে ৫-লাইনের redacted note রাখো।

👴 ভুলোমনা দোকানদার কাকু — HTTP Stateless কেন?

HTTP protocol একদম ভুলোমনা। প্রতিটা request-এর পর সব ভুলে যায়!

🧑 তুমি login করলে → Server তোমাকে চিনলো
🧑 পরের page-এ গেলে → Server আবার ভুলে গেলো!

এটাই Stateless মানে — server কোনো state মনে রাখে না। তাহলে কীভাবে logged in থাকো?

সমাধান: Cookie! Browser-এ ছোট্ট চিরকুট রেখে দাও। প্রতিটা request-এ সেই চিরকুট পাঠাও।

🍪 Cookie — Browser-এর গোপন চিরকুট

Cookie = Browser-এ store হওয়া ছোট্ট data। Server set করে, Browser প্রতিবার পাঠায়:

Server → Browser:
Set-Cookie: session_id=SESSION_PLACEHOLDER; HttpOnly; Secure; Max-Age=3600

Browser → Server (প্রতিটা request-এ):
Cookie: session_id=SESSION_PLACEHOLDER

Cookie-র important flags:
🔒 HttpOnly → JavaScript দিয়ে পড়া যাবে না (XSS থেকে রক্ষা)
🔒 Secure → শুধু HTTPS-এ পাঠাবে (HTTP-তে নয়)
⏰ Max-Age → কতক্ষণ valid থাকবে (seconds-এ)
🌐 SameSite → অন্য site থেকে request-এ পাঠাবে না (CSRF রক্ষা)

🏦 Session — Server-এর গোপন খাতা

Session = server-এ store হওয়া user data। Cookie-তে শুধু session ID থাকে:

Browser-এ Cookie: session_id=SESSION_PLACEHOLDER

Server-এ memory/database:
session["xyz789"] = {
  "user_id": "670490",
  "name": "Sourav",
  "logged_in": true,
  "cart": [101, 102]
}

Cookie vs Session পার্থক্য:
🍪 Cookie → Browser-এ store (client-side) — user দেখতে পারে
🗄️ Session → Server-এ store (server-side) — user দেখতে পারে না

🎫 JWT Token — আধুনিক পরিচয়পত্র

JWT = JSON Web Token। তিনটা part, dot দিয়ে আলাদা:

SESSION_TOKEN_PLACEHOLDER          ← Header (algorithm info)
.SESSION_TOKEN_PLACEHOLDER  ← Payload (actual data)
.SflKxwRJSMeKKF2QT4fwpMeJ     ← Signature (tamper-proof)

Header = কোন algorithm use করা হয়েছে
Payload = user data (Base64 encoded — পড়া যায়!)
Signature = HMAC(Header+Payload, secret) — modify করলে invalid হয়

⚠️ গুরুত্বপূর্ণ: JWT Payload শুধু encoded, encrypted নয়!
যে কেউ Base64 decode করে Payload পড়তে পারে — তাই sensitive data রাখো না!

🔄 Bearer Token — Authorization Header

JWT token সাধারণত Authorization header-এ পাঠানো হয়:

GET /api/v2/profile
Authorization: Bearer SESSION_TOKEN_PLACEHOLDER
Content-Type: application/json

Meesho-তে x-token header-এ JWT পাঠানো হয়।

🔄 Refresh Token — দীর্ঘস্থায়ী session

Access token মাত্র ১৫-৬০ মিনিট valid। Refresh token ৭-৩০ দিন valid:

Access Token expire হলে:
POST /auth/token/refresh
Body: {"refresh_token": "eyJhbGc...[long-lived]"}

Response:
{"access_token": "eyJhbGc...[new]", "expires_in": 3600}

✅ User-কে বারবার login করতে হয় না
✅ Access token ছোট lifetime-এ secure
✅ Refresh token compromise হলে → logout করো

🛡️ CSRF Attack — ভন্ড চোরের বিরুদ্ধে

CSRF = Cross-Site Request Forgery। Evil site তোমার browser দিয়ে attack করে:

তুমি bank.com-এ logged in আছো।
Evil site-এ গেলে → evil.com/transfer?to=hacker&amount=50000
↑ তোমার browser automatically bank-এর cookie পাঠায়!
↑ Bank মনে করে তুমিই request পাঠিয়েছো!

CSRF Token দিয়ে রক্ষা:

Server hidden field-এ random token দেয়:
<input type="hidden" name="csrf_token" value="k8j2n9s4q7">

Evil site এই token জানে না → request reject!

💡 Chapter 2-এর মূল শিক্ষা

🍪 Cookie = Browser-এ store, HttpOnly flag দিলে JS পড়তে পারে না
🗄️ Session = Server-এ store, Cookie-তে শুধু ID থাকে
🎫 JWT = Header.Payload.Signature — Payload শুধু Base64, decrypt করা যায়!
🔄 Access Token = ১ ঘণ্টা valid, Refresh Token = ৭-৩০ দিন
📤 Bearer Token = Authorization: Bearer TOKEN header-এ
🛡️ CSRF = অন্য site তোমার browser দিয়ে attack — CSRF token দিয়ে রক্ষা

🎯 Chapter 2 — কুইজ (১০টা প্রশ্ন)

প্রতিটা উত্তরে click করো → সবুজ/লাল + ব্যাখ্যা!

❓ প্রশ্ন 1: HTTP কেন stateless?

💡 HTTP Stateless = প্রতিটা request স্বাধীন। Server state মনে রাখে না — তাই Cookie/Session দরকার।

❓ প্রশ্ন 2: Cookie কোথায় store হয়?

💡 Cookie = client-side storage। Browser-এ store হয়। Server Set-Cookie header দিয়ে set করে।

❓ প্রশ্ন 3: HttpOnly cookie flag কী করে?

💡 HttpOnly flag = JavaScript-এর document.cookie দিয়ে সেই cookie access করা যায় না। XSS attack prevent করে।

❓ প্রশ্ন 4: JWT-এর Payload কি encrypted?

💡 JWT Payload শুধু Base64 encoded — encrypted নয়! jwt.io বা atob() দিয়ে যে কেউ পড়তে পারে। Sensitive data রাখো না।

❓ প্রশ্ন 5: Refresh token কেন দরকার?

💡 Access token (১৫-৬০ min) expire হলে refresh token (৭-৩০ দিন) দিয়ে নতুন access token — পুনরায় login ছাড়াই।

❓ প্রশ্ন 6: CSRF attack কীভাবে কাজ করে?

💡 CSRF = evil site তোমার browser-এর cookie ব্যবহার করে target site-এ request পাঠায়। Browser automatically cookie পাঠায়।

❓ প্রশ্ন 7: Bearer token কোন HTTP header-এ?

💡 Bearer token সাধারণত Authorization: Bearer eyJ... header-এ পাঠানো হয়।

❓ প্রশ্ন 8: JWT-এ তিনটা part কী কী?

💡 JWT = Header.Payload.Signature। Header = algorithm, Payload = data, Signature = tamper-proof hash।

❓ প্রশ্ন 9: Session কোথায় store হয়?

💡 Session data server-এ (memory বা database) store হয়। Browser-এ শুধু session ID টা Cookie-তে থাকে।

❓ প্রশ্ন 10: CSRF token কীভাবে attack prevent করে?

💡 CSRF token = server প্রতিটা form-এ unique random token দেয়। Evil site এই token জানে না — তাই request reject হয়।

এই অধ্যায়ে কী শিখবে

বিশ্বস্ত reference