কীভাবে Captive Portal-এর জন্য WeChat OAuth অথেন্টিকেশন কনফিগার করবেন

ক্যাপটিভ পোর্টালের জন্য কীভাবে WECHAT OAUTH অথেনটিকেশন কনফিগার করবেন একটি Purple টেকনিক্যাল ব্রিফিং - আনুমানিক ১০ মিনিট --- ভূমিকা এবং প্রেক্ষাপট (আনুমানিক ১ মিনিট) আপনাকে স্বাগত। আপনি যদি কোনো হোটেল, রিটেইল চেইন, স্টেডিয়াম বা কনফারেন্স সেন্টারে গেস্ট WiFi-এর দায়িত্বে থাকেন যা চীনা দর্শকদের সেবা প্রদান করে, তবে এই ব্রিফিংটি আপনার জন্য। Tencent-এর ২০২৪ সালের ডেটা অনুযায়ী WeChat-এর মাসিক ১.৩৮ বিলিয়ন সক্রিয় ব্যবহারকারী রয়েছে। এর সিংহভাগই চীনে রয়েছে, তবে আন্তর্জাতিক স্তরেও প্ল্যাটফর্মটির একটি উল্লেখযোগ্য উপস্থিতি রয়েছে - মার্কিন যুক্তরাষ্ট্রে চার মিলিয়ন ব্যবহারকারী, মালয়েশিয়ায় ১২ মিলিয়ন এবং দক্ষিণ-পূর্ব এশিয়া, ইউরোপ এবং মধ্যপ্রাচ্য জুড়ে ক্রমবর্ধমান সংখ্যা। যখন একজন চীনা গেস্ট আপনার WiFi-এর সাথে কানেক্ট করেন এবং কেবল ইমেল, Facebook বা কোনো ভাউচার কোড সহ একটি লগইন পেজ দেখতে পান, তখন তারা তাৎক্ষণিক বাধার সম্মুখীন হন। সেই ডিভাইসে তাদের হয়তো কোনো স্থানীয় ইমেল অ্যাড্রেস সেট আপ করা নেই। কিন্তু তাদের কাছে WeChat অবশ্যই রয়েছে। তাই প্রশ্ন এটি নয় যে আপনার WeChat লগইন অফার করা উচিত কিনা - বরং প্রশ্ন হলো এটি কীভাবে সঠিকভাবে, নিরাপদে এবং এমন একটি উপায়ে কনফিগার করবেন যা ফার্স্ট-পার্টি ডেটা তৈরি করে যা আপনি আসলেই ব্যবহার করতে পারবেন। আজ আমরা এই বিষয়টিই আলোচনা করতে যাচ্ছি। আমরা OAuth 2.0 ফ্লো, আপনার প্রয়োজনীয় দুটি প্ল্যাটফর্ম রেজিস্ট্রেশন, স্কোপের সিদ্ধান্ত যা নির্ধারণ করে আপনি কী ডেটা সংগ্রহ করবেন, নেটওয়ার্ক-সাইড এনফোর্সমেন্ট মেকানিজম এবং ২০২৬ সালে প্রাসঙ্গিক কমপ্লায়েন্সের বিষয়গুলো ধাপে ধাপে আলোচনা করব। --- টেকনিক্যাল গভীর আলোচনা (আনুমানিক ৫ মিনিট) আসুন আর্কিটেকচার দিয়ে শুরু করা যাক। একটি Captive Portal কোনো অনঅথেনটিকেটেড ডিভাইস থেকে আসা HTTP ট্রাফিক ইন্টারসেপ্ট করে এবং এটিকে একটি লগইন পেজে রিডাইরেক্ট করে। সেই লগইন পেজটি একটি পোর্টাল সার্ভারে হোস্ট করা থাকে - যা অন-প্রেমিসেস অথবা ক্লাউডে হতে পারে। যখন আপনি WeChat OAuth যুক্ত করেন, তখন আপনি এই ফ্লোতে একটি থার্ড-পার্টি আইডেন্টিটি প্রোভাইডার অন্তর্ভুক্ত করছেন। এখানে সিকোয়েন্সটি দেওয়া হলো। গেস্ট আপনার SSID-এর সাথে কানেক্ট করেন। অ্যাক্সেস পয়েন্ট বা ওয়্যারলেস কন্ট্রোলার ডিটেক্ট করে যে ডিভাইসটির কোনো অথেনটিকেটেড সেশন নেই এবং সমস্ত HTTP ট্রাফিক আপনার Captive Portal URL-এ রিডাইরেক্ট করে। পোর্টাল পেজটি লোড হয় এবং WeChat সহ লগইন অপশনগুলো প্রদর্শন করে। গেস্ট WeChat লগইনে ট্যাপ করেন। আপনার পোর্টাল সার্ভার ব্রাউজারটিকে open.weixin.qq.com-এ WeChat-এর অথরাইজেশন এন্ডপয়েন্টে রিডাইরেক্ট করে, যেখানে আপনার AppID, রিডাইরেক্ট URI, কোডের রেসপন্স টাইপ এবং স্কোপ পাস করা হয়। WeChat সম্পূর্ণভাবে নিজস্ব সার্ভারে অথেনটিকেশন পরিচালনা করে। গেস্ট যদি ইতিমধ্যেই তাদের ব্রাউজারে WeChat-এ লগইন করে থাকেন, তবে তারা একটি কনসেন্ট স্ক্রিন দেখতে পান। তারা যদি WeChat ইন-অ্যাপ ব্রাউজার ব্যবহার করেন, তবে অভিজ্ঞতাটি snsapi_base স্কোপের সাথে সাইলেন্ট হতে পারে - কোনো কনসেন্ট প্রম্পটের প্রয়োজন হয় না। WeChat তারপর একটি টেম্পোরারি অথরাইজেশন কোড সহ আপনার পোর্টালের রিডাইরেক্ট URI-তে ফেরত পাঠায়। আপনার পোর্টাল সার্ভার api.weixin.qq.com/sns/oauth2/access_token কল করে আপনার AppID, AppSecret, কোড এবং authorization_code-এর গ্রান্ট টাইপ পাস করে সেই কোডটি একটি অ্যাক্সেস টোকেনের সাথে এক্সচেঞ্জ করে। WeChat একটি অ্যাক্সেস টোকেন, একটি রিফ্রেশ টোকেন, ইউজারের OpenID এবং মঞ্জুর করা স্কোপ রিটার্ন করে। আপনি যদি snsapi_userinfo স্কোপের অনুরোধ করে থাকেন, তবে ইউজারের ডাকনাম, প্রোফাইল পিকচার (অবতার), জেন্ডার এবং শহর পুনরুদ্ধার করতে আপনি একটি দ্বিতীয় API কল করতে পারেন।এখন, দুটি প্ল্যাটফর্ম রেজিস্ট্রেশন। এখানেই বেশিরভাগ বাস্তবায়নে ভুল হয়ে যায়। WeChat-এর দুটি আলাদা ডেভেলপার প্ল্যাটফর্ম রয়েছে। open.weixin.qq.com-এ থাকা WeChat Open Platform ওয়েবসাইট অ্যাপ্লিকেশন এবং মোবাইল অ্যাপস হ্যান্ডেল করে। mp.weixin.qq.com-এ থাকা WeChat Official Accounts Platform পাবলিক অ্যাকাউন্টগুলো হ্যান্ডেল করে - যা বেশিরভাগ ভেন্যুর আসলে প্রয়োজন হয়। WeChat ইন-অ্যাপ ব্রাউজারের ভেতরে অতিথিদের সেবা দেওয়ার জন্য একটি Captive Portal-এর ক্ষেত্রে, Official Accounts Platform-এ আপনার একটি Service Account প্রয়োজন। একটি Subscription Account কাজ করবে না - এটিতে OAuth ওয়েব পেজ অথরাইজেশন পারমিশন নেই। একটি Service Account-এ এটি রয়েছে এবং এটি snsapi_base ও snsapi_userinfo উভয় স্কোপই সমর্থন করে। WeChat-এর বাইরে একটি স্ট্যান্ডার্ড মোবাইল ব্রাউজার - Android-এ Chrome, iOS-এ Safari - থেকে অ্যাক্সেস করা একটি Captive Portal-এর জন্য, Open Platform-এ একটি ওয়েবসাইট অ্যাপ্লিকেশন রেজিস্টার্ড থাকতে হবে। এটি snsapi_login স্কোপ ব্যবহার করে এবং একটি QR কোড প্রদর্শন করে যা ব্যবহারকারী তাদের WeChat অ্যাপ দিয়ে স্ক্যান করেন। বাস্তবে, বেশিরভাগ ভেন্যু ডেপ্লয়মেন্টে উভয়ই ব্যবহার করা হয়। একটি হোটেলের WiFi-এ থাকা একজন অতিথি হয়তো Chrome-এ পোর্টালটি ওপেন করতে পারেন, একটি QR কোড দেখতে পারেন, WeChat দিয়ে সেটি স্ক্যান করতে পারেন এবং অথেন্টিকেট করতে পারেন। অথবা তারা WeChat-এর ভেতরেই একটি লিঙ্ক অনুসরণ করতে পারেন, ইন-অ্যাপ ব্রাউজারে প্রবেশ করতে পারেন এবং snsapi_base দিয়ে কোনো ঝামেলা ছাড়াই অথেন্টিকেট করতে পারেন। আসুন স্কোপ নির্বাচন নিয়ে কথা বলি, কারণ এটি একটি সত্যিকারের সিদ্ধান্ত নেওয়ার জায়গা। snsapi_base শুধুমাত্র OpenID রিটার্ন করে - যা আপনার Official Account-এর ভেতরে সেই ব্যবহারকারীর জন্য একটি অনন্য আইডেন্টিফায়ার। এর জন্য কোনো ব্যবহারকারীর সম্মতি প্রম্পটের প্রয়োজন হয় না। অথেন্টিকেশনটি ব্যবহারকারীর কাছে অদৃশ্য থাকে। এটি ফিরে আসা অতিথিদের জন্য আদর্শ যাদের প্রোফাইল আপনি ইতিমধ্যেই তৈরি করেছেন, অথবা এমন ভেন্যুগুলোর জন্য যেখানে আপনি কোনো নতুন ডেটা না পাওয়ার বিনিময়ে একদম ঝামেলাহীন অভিজ্ঞতা দিতে চান। snsapi_userinfo-এর মাধ্যমে OpenID-এর পাশাপাশি ব্যবহারকারীর WeChat ডাকনাম, প্রোফাইল ছবি, লিঙ্গ, ভাষা সেটিং এবং শহর পাওয়া যায়। এর জন্য একটি স্পষ্ট সম্মতি স্ক্রিনের প্রয়োজন হয়। ব্যবহারকারী একটি প্রম্পট দেখতে পান যেখানে জিজ্ঞাসা করা হয় যে তারা আপনার Official Account-কে তাদের তথ্য অ্যাক্সেস করার অনুমতি দেবেন কিনা। বেশিরভাগ ব্যবহারকারী এটি গ্রহণ করেন, তবে এতে কিছুটা বাড়তি ধাপ যুক্ত হয়। সঠিক পছন্দটি আপনার ব্যবহারের ক্ষেত্রের ওপর নির্ভর করে। প্রথমবার আসা কোনো অতিথির রেজিস্ট্রেশনের জন্য যেখানে আপনি একটি প্রোফাইল তৈরি করতে চান, সেখানে snsapi_userinfo ব্যবহার করুন এবং আপনার পোর্টাল পেজে একটি GDPR-সম্মত সম্মতি লেয়ারের সাথে এটি যুক্ত করুন। একজন ফিরে আসা অতিথি যিনি ইতিমধ্যেই সম্মতি দিয়েছেন এবং যার প্রোফাইল আপনার কাছে ইতিমধ্যেই রয়েছে, তাদের জন্য নিরবচ্ছিন্ন রি-অথেন্টিকেশনের উদ্দেশ্যে snsapi_base ব্যবহার করুন। এখন, নেটওয়ার্ক এনফোর্সমেন্ট সাইড। একটি OAuth টোকেন পাওয়া পরিচয় প্রমাণ করে, কিন্তু এটি স্বয়ংক্রিয়ভাবে নেটওয়ার্ক ওপেন করে না। একটি সফল অথেন্টিকেশনকে নেটওয়ার্ক অ্যাক্সেসে রূপান্তর করার জন্য আপনার একটি মেকানিজম প্রয়োজন।দুটি স্ট্যান্ডার্ড পদ্ধতি হলো RADIUS Change of Authorisation, যা RFC 3576 এ সংজ্ঞায়িত এবং MAC address bypass। RADIUS CoA এর মাধ্যমে, সফল OAuth এর পর আপনার পোর্টাল সার্ভার নেটওয়ার্ক কন্ট্রোলারে একটি CoA অনুরোধ পাঠায় এবং কন্ট্রোলার ডিভাইসটিকে অপ্রমাণিত VLAN থেকে গেস্ট VLAN এ স্থানান্তরিত করে। এটি Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist এবং বেশিরভাগ এন্টারপ্রাইজ-গ্রেড কন্ট্রোলারের সাথে কাজ করে। MAC bypass এর মাধ্যমে, পোর্টাল সার্ভার ডিভাইসের MAC address টিকে একটি অনুমোদিত ক্লায়েন্ট হিসেবে রেজিস্টার করে এবং কন্ট্রোলার এটি অনুমোদন করে। MAC bypass বাস্তবায়ন করা সহজ কিন্তু কম নিরাপদ, কারণ MAC address স্পুফ বা জাল করা সম্ভব। Purple এর গেস্ট WiFi প্ল্যাটফর্ম উভয় মেকানিজমই পরিচালনা করে। WeChat OAuth সম্পন্ন হওয়ার পর, Purple এর ক্লাউড ওভারলে অন্তর্নিহিত হার্ডওয়্যারে উপযুক্ত সংকেত পাঠায় - তা Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme বা Fortinet যাই হোক না কেন। ভেন্যু অপারেটরকে ম্যানুয়ালি এই রূপান্তরটি পরিচালনা করতে হয় না। - - - বাস্তবায়ন সংক্রান্ত সুপারিশ এবং ত্রুটিসমূহ (প্রায় ২ মিনিট) WeChat OAuth captive portal বাস্তবায়নে ব্যর্থতার কারণ হওয়া পাঁচটি প্রধান বিষয় এখানে তুলে ধরা হলো। প্রথমত: redirect URI অমিল। WeChat প্ল্যাটফর্মে আপনার রেজিস্টার করা অনুমোদিত ডোমেনের বিপরীতে redirect URI যাচাই করে। যদি আপনার পোর্টাল সার্ভার অন্য কোনো সাবডোমেন, অন্য কোনো পাথ বা HTTPS এর পরিবর্তে HTTP ব্যবহার করে, তবে OAuth ফ্লো 40029 ত্রুটি - অবৈধ কোড সহ ব্যর্থ হয়। স্টেজিং এনভায়রনমেন্ট সহ আপনার ব্যবহৃত প্রতিটি ডোমেন ভ্যারিয়েন্ট রেজিস্টার করুন। দ্বিতীয়ত: ক্লায়েন্ট সাইডে AppSecret। আপনার AppSecret কখনই ক্লায়েন্ট-সাইড JavaScript বা কোনো মোবাইল অ্যাপের বাইনারিতে থাকা উচিত নয়। এটি আপনার সার্ভারে থাকা উচিত। এটি প্রকাশ হয়ে গেলে, যে কেউ আপনার অ্যাপ্লিকেশনের ছদ্মবেশ ধারণ করতে পারে এবং আপনার পক্ষে WeChat এর API গুলো কল করতে পারে। তৃতীয়ত: অনুপস্থিত CSRF সুরক্ষা। OAuth অনুরোধে state প্যারামিটারটি বিশেষভাবে cross-site request forgery প্রতিরোধ করার জন্য থাকে। একটি ক্রিপ্টোগ্রাফিকভাবে র্যান্ডম state ভ্যালু জেনারেট করুন, এটি ব্যবহারকারীর সেশনে সংরক্ষণ করুন এবং WeChat রিডাইরেক্ট করার সময় এটি যাচাই করুন। এটি বাদ দিলে আপনার সিস্টেমে একটি বাস্তব দুর্বলতা থেকে যাবে। চতুর্থত: ইন-অ্যাপ ব্রাউজার ডিটেকশন গ্যাপ। WeChat এর ইন-অ্যাপ ব্রাউজার একটি নির্দিষ্ট ইউজার এজেন্ট স্ট্রিং সেট করে যার মধ্যে "MicroMessenger" থাকে। যদি আপনার পোর্টাল এটি সনাক্ত করতে না পারে এবং সঠিক OAuth ফ্লো প্রদান না করে - ইন-অ্যাপ ব্রাউজারের জন্য Official Account ফ্লো, স্ট্যান্ডার্ড ব্রাউজারের জন্য Open Platform QR ফ্লো - তবে ব্যবহারকারীরা একটি ত্রুটিপূর্ণ অভিজ্ঞতা বা একটি এরর সম্মুখীন হবেন। পঞ্চমত: GDPR এবং PIPL সামঞ্জস্য। আপনি যদি ইউরোপীয় ভিজিটরদের পরিষেবা দেন, তবে WeChat OAuth এর মাধ্যমে আপনার সংগ্রহ করা ডেটার ক্ষেত্রে GDPR প্রযোজ্য হবে। আপনি যদি চীনা ভিজিটরদের পরিষেবা দেন, তবে আপনি কীভাবে তাদের ডেটা প্রসেস করছেন তার উপর চীনের Personal Information Protection Law - PIPL - প্রযোজ্য হবে। উভয়ের জন্যই প্রসেসিংয়ের আইনি ভিত্তি, স্পষ্ট উদ্দেশ্যের সীমাবদ্ধতা এবং ডেটা মিনিমাইজেশন প্রয়োজন। ডেটা মিনিমাইজেশন নীতির অধীনে snsapi_base কে snsapi_userinfo এর চেয়ে সমর্থন করা সহজ। আপনি যা-ই সংগ্রহ করুন না কেন, আপনার আইনি ভিত্তি এবং ডেটা সংরক্ষণের সময়কাল নথিবদ্ধ করুন। - - - দ্রুত প্রশ্নোত্তর (প্রায় ১ মিনিট) প্রশ্ন: আমি কি এমন একটি পোর্টালে WeChat লগইন ব্যবহার করতে পারি যা ইমেল এবং SMS লগইনও অফার করে? হ্যাঁ। Purple সহ বেশিরভাগ এন্টারপ্রাইজ পোর্টাল প্ল্যাটফর্ম একই পোর্টাল পৃষ্ঠায় একাধিক প্রমাণীকরণ পদ্ধতি সমর্থন করে। WeChat অন্যান্য বিকল্পগুলির সাথে একটি বিকল্প হিসাবে উপস্থিত হয়। প্রশ্ন: WeChat OAuth কি iOS-এ কাজ করে? হ্যাঁ, তবে একটি সূক্ষ্ম পার্থক্য রয়েছে। Apple-এর App Tracking Transparency ফ্রেমওয়ার্ক সার্ভার-সাইড OAuth ফ্লোকে প্রভাবিত করে না। iOS-এ Safari-তে WeChat লগইন QR কোড ফ্লো বা রিডাইরেক্ট ফ্লো-এর মাধ্যমে কাজ করে। WeChat অ্যাপ নিজেই প্রমাণীকরণ পরিচালনা করে। প্রশ্ন: WeChat-এর API অনুপলব্ধ থাকলে কী হবে? আপনার পোর্টালে একটি ফলব্যাক প্রয়োগ করা উচিত। WeChat API কল টাইমআউট হলে বা কোনো ত্রুটি দেখালে, ব্যবহারকারীকে একটি বিকল্প লগইন পদ্ধতিতে রিডাইরেক্ট করুন। তাদের একটি খালি স্ক্রিন দেখাবেন না। প্রশ্ন: আমি কি একটি পারসিস্টেন্ট গ্রাহক শনাক্তকারী হিসাবে OpenID ব্যবহার করতে পারি? আপনার Official Account-এর মধ্যে, হ্যাঁ। একটি নির্দিষ্ট ব্যবহারকারী এবং একটি নির্দিষ্ট Official Account-এর জন্য OpenID অপরিবর্তিত থাকে। আপনার যদি একাধিক Official Account থাকে, তবে একই ব্যবহারকারীর বিভিন্ন অ্যাকাউন্টে আলাদা OpenID থাকবে। ক্রস-অ্যাকাউন্ট পরিচয় সমাধানের জন্য, WeChat একটি UnionID প্রদান করে, যার জন্য আপনার অ্যাকাউন্টগুলিকে Open Platform-এ লিঙ্ক করা প্রয়োজন। - - - সারসংক্ষেপ এবং পরবর্তী পদক্ষেপ (আনুমানিক ১ মিনিট) সংক্ষেপে বলতে গেলে। Captive Portal-এর জন্য WeChat OAuth প্রমাণীকরণ হলো একটি দ্বি-প্ল্যাটফর্ম নিবন্ধন অনুশীলন, একটি স্কোপ সিদ্ধান্ত, একটি নেটওয়ার্ক এনফোর্সমেন্ট ইন্টিগ্রেশন এবং একটি কমপ্লায়েন্স পর্যালোচনা। এই চারটি বিষয় সঠিকভাবে সম্পন্ন করুন এবং আপনার কাছে এমন একটি লগইন পদ্ধতি থাকবে যা কোনো পাসওয়ার্ডের ঝামেলা ছাড়াই এক বিলিয়নেরও বেশি সম্ভাব্য ভিজিটরকে পরিষেবা প্রদান করবে। ব্যবহারিক পরবর্তী পদক্ষেপগুলি হলো এইগুলি। প্রথমত, আপনার ভিজিটররা WeChat ইন-অ্যাপ ব্রাউজারের ভিতরে নাকি একটি স্ট্যান্ডার্ড মোবাইল ব্রাউজারে পোর্টালটি দেখছেন তা নির্ধারণ করুন - এটি নির্ধারণ করে যে আপনার কোন প্ল্যাটফর্মের নিবন্ধন প্রয়োজন। দ্বিতীয়ত, স্কোপ নির্ধারণ করুন - ফিরে আসা অতিথিদের জন্য snsapi_base, সম্মতির সাথে প্রথমবার নিবন্ধনের জন্য snsapi_userinfo। তৃতীয়ত, নিশ্চিত করুন যে আপনার নেটওয়ার্ক হার্ডওয়্যার RADIUS CoA সমর্থন করে অথবা বিকল্প হিসেবে MAC bypass কনফিগার করুন। চতুর্থত, GDPR এবং PIPL প্রয়োজনীয়তার বিপরীতে আপনার গোপনীয়তা বিজ্ঞপ্তি এবং সম্মতি প্রবাহ পর্যালোচনা করুন। পঞ্চমত, লাইভে যাওয়ার আগে রিডাইরেক্ট URI, স্টেট প্যারামিটার ভ্যালিডেশন এবং ইন-অ্যাপ ব্রাউজার ডিটেকশন পরীক্ষা করুন। ২০২৪ সালে ৮০,০০০টিরও বেশি ভেন্যু এবং ৪৪০ মিলিয়ন লগইন জুড়ে - একটি বৃহত্তর গেস্ট WiFi এবং অ্যানালিটিক্স প্ল্যাটফর্মের অংশ হিসাবে Purple কীভাবে WeChat OAuth পরিচালনা করে তা যদি আপনি দেখতে চান - তবে purple.ai ভিজিট করুন বা আপনার অ্যাকাউন্ট টিমের সাথে কথা বলুন। শোনার জন্য ধন্যবাদ। - - - স্ক্রিপ্ট সমাপ্ত