Implementing Role-Based Access Control (RBAC) in MERN Stack using JWT and Middleware (In Hindi)

Implementing Role-Based Access Control (RBAC) in MERN Stack: A Masterclass

नमस्ते दोस्तों! आज हम MERN Stack डेवलपमेंट की दुनिया में एक बहुत ही महत्वपूर्ण टॉपिक पर बात करेंगे—Role-Based Access Control, जिसे हम प्यार से RBAC कहते हैं। जब हम कोई बड़ा एप्लीकेशन बनाते हैं, जैसे कि एक e-commerce साइट या कोई dashboard, तो वहां हर यूजर को सब कुछ एक्सेस करने की परमिशन नहीं होनी चाहिए। एक Admin को सब कुछ दिखना चाहिए, लेकिन एक साधारण Customer को सिर्फ अपना profile और orders ही दिखने चाहिए। यही काम RBAC करता है।

RBAC क्या है और हमें इसकी जरूरत क्यों है?

सरल शब्दों में, RBAC का मतलब है कि आपके सिस्टम में हर user को एक 'Role' असाइन किया जाता है (जैसे 'admin', 'editor', 'user'), और उस role के आधार पर ही वो तय करता है कि कौन सा API endpoint या कौन सा React components यूजर एक्सेस कर सकता है। अगर हम इसे सही तरीके से इंप्लीमेंट नहीं करते हैं, तो security vulnerabilities हो सकती हैं, जहाँ कोई भी आम यूजर admin पैनल में घुस सकता है।

Step 1: MongoDB Schema में Roles का सेटअप

सबसे पहले, हमारे MongoDB मॉडल में हमें 'role' field को जोड़ना होगा। यह बहुत आसान है, बस अपने User Schema में एक छोटी सी field ऐड करें:

// models/User.js
const mongoose = require('mongoose');

const userSchema = new mongoose.Schema({
  username: { type: String, required: true },
  email: { type: String, required: true, unique: true },
  password: { type: String, required: true },
  role: { 
    type: String, 
    enum: ['user', 'admin'], 
    default: 'user' 
  }
});

module.exports = mongoose.model('User', userSchema);

Step 2: JWT और Middleware का जादू

दोस्तों, NodeJS और ExpressJS में security के लिए हम JWT (JSON Web Token) का इस्तेमाल करते हैं। Authentication तो आपने कर लिया होगा, लेकिन Authorization के लिए हमें एक Custom Middleware चाहिए जो ये चेक करे कि क्या यूजर के पास वो role है जो उस route को एक्सेस करने के लिए चाहिए।

// middleware/authMiddleware.js
const jwt = require('jsonwebtoken');

const authorize = (roles = []) => {
  return (req, res, next) => {
    const authHeader = req.headers.authorization;
    if (!authHeader) return res.status(401).json({ message: 'No token provided' });

    const token = authHeader.split(' ')[1];

    try {
      const decoded = jwt.verify(token, process.env.JWT_SECRET);
      req.user = decoded;

      if (roles.length && !roles.includes(req.user.role)) {
        return res.status(403).json({ message: 'Access Denied: You do not have permission' });
      }
      next();
    } catch (err) {
      res.status(401).json({ message: 'Invalid token' });
    }
  };
};

module.exports = authorize;

Step 3: Protected Routes को लागू करना

अब समय है इस Middleware को अपने routes में इस्तेमाल करने का। मान लीजिए हमारे पास एक admin-only route है:

// routes/adminRoutes.js
const express = require('express');
const router = express.Router();
const authorize = require('../middleware/authMiddleware');

router.get('/dashboard', authorize(['admin']), (req, res) => {
  res.json({ message: 'Welcome to the protected admin dashboard' });
});

module.exports = router;

ध्यान देने वाली बात ये है कि हम यहाँ `authorize(['admin'])` पास कर रहे हैं। अगर कोई ऐसा यूजर जिसका role 'user' है, वो इस endpoint को हिट करेगा, तो हमारा middleware उसे 403 Forbidden एरर भेज देगा। यह बहुत ही सुरक्षित और साफ-सुथरा तरीका है।

Common Pitfalls और Debugging Tips

अक्सर नए डेवलपर्स यहाँ कुछ गलतियां करते हैं। पहली गलती: Token एक्सपायरी को हैंडल न करना। हमेशा सुनिश्चित करें कि आपका टोकन एक निश्चित समय के बाद एक्सपायर हो रहा है। दूसरी गलती: सिर्फ Frontend पर ही बटन छुपा देना—याद रखिए, असली security Backend पर ही होती है। अगर आपने Backend पर protection नहीं लगाया, तो Postman का इस्तेमाल करके कोई भी आपके API को एक्सेस कर सकता है।

Performance और Scalability के बारे में कुछ शब्द

जब आपका प्रोजेक्ट बड़ा होता है, तो roles सिर्फ 'admin' और 'user' तक सीमित नहीं रहते। तब आप एक 'RBAC mapping table' बना सकते हैं जहाँ आप roles और permissions को स्टोर करें। इससे आपको बार-बार कोड में बदलाव नहीं करना पड़ेगा।

तो दोस्तों, हमने आज देखा कि कैसे एक रोबस्ट RBAC सिस्टम बनाया जाता है। उम्मीद है कि आप इसे अपने अगले प्रोजेक्ट में जरूर ट्राई करेंगे। कोडिंग करते रहिए और सीखते रहिए!