වෙබ් යෙදුම් දෙකකට වැඩ කරන කෙනෙක් නම්, "JWT භාවිතා කරන්න" කියන එකත්, "Session සරලයි, ආරක්ෂිතයි" කියන එකත් අතර තරඟයක් දකින්න පුළුවන්. දෙකම හරි, නමුත් ඒකෙ තේරුම කුමක්ද කියලා හොඳින් නොදැනීමෙන් තීරණ ගැනීමේ ගැටළුවක් පැනේ.
Session Token යනු සර්වර් පාර්ශ්වයේ තත්ත්වය (state) සුරක්ෂිත කර, පරිශීලකයාට ඒ තත්ත්වයට සබැඳි සංකේතයක් (reference) දෙන ක්රමයයි. ඒ වෙනුවට JWT (JSON Web Token) තොරතුරු පාරිභෝගිකයාගේ පාරිභෝගික පාර්ශ්වයේ (client) ගබඩා කර, සර්වර්ට ඒ තොරතුරු සත්යපත් කරගන්න ක්රමයක් ලබා දෙයි.
මෙම මූලික වෙනස නිසා, revocation, scalability, mobile support, database load වැනි ගැටළු සියල්ල එකම මූලික කරුණෙන් උත්පන්න වේ. JWT ගොඩක් “stateless” වීම නිසා, සර්වර්ට දත්ත ගබඩා කිරීම, සර්වර්-සයිඩ් session store එක තබා ගැනීම වැනි කාර්යයන් අඩු වේ. එමනිසා ඉක්මනින් පරිපාලනය, මොබයිල් යෙදුම් සහ micro‑services අතර සම්බන්ධතා පහසු වේ.
කෙසේ වෙතත්, “stateless” බවට පත් වීමෙන් ලොග්අවුට් (logout) ක්රියාවලියේ ගැටලුවක් උදෙසා පෙනෙයි. Session එකක් නම්, ලොග්අවුට් වෙද්දී සර්වර් පාර්ශ්වයේ රෙකෝඩ් එකම මකා දමයි – ඒකෙන් පසු token එක අහෝසි වේ. JWT එකේ නම්, පාරිභෝගිකයාගේ උපාංගයෙන් token එක මකා දැමීම පමණයි; එය තවත් log file, network capture, හෝ අනෙක් උපාංගයකට පිටපත් වී ඇත්නම්, එය කාලය අවසන් වන තුරු භාවිතා කළ හැක. මේ නිසා කාලය (expiry) කෙටිද, දිගද යන තීරණය ඉතා වැදගත් වේ.
ශ්රී ලංකාවට ඇති වැදගත්කම
ශ්රී ලංකාවේ තාක්ෂණික පරිසරය වර්ධනය වෙමින් පවතින බැවින්, developers, students, businesses සියලුදෙනාම authentication තීරණය කරගැනීමේදී මේ දෙක අතර තේරුම හොඳින් දැනගැනීම අත්යවශ්යයි.
- Students & New Developers – JWT සහ Session token අතර වෙනස පැහැදිලිව දැන ගැනීමෙන්, පළපුරුදු නොවන කේත ලේඛකයන්ට පරීක්ෂණ පද්ධති නිර්මාණය කරන විට වැරදි තේරීම් වලින් වැළකී, හොඳ security practice අනුගමනය කළ හැක.
- Local Start‑ups – මොබයිල් ඇප් හෝ SaaS සේවා සපයන ව්යාපාරවලට, scalability සහ latency අඩු කිරීමේදී JWT වඩා ගුණදායි. නමුත් “instant logout” අවශ්ය නම් Session token තේරීම වඩා සුදුසු.
- Enterprises & Government Projects – දත්ත ආරක්ෂාව ඉතා උචිත වන නිසා, token expiry කාලය නියම කර, refresh token හෝ server‑side blocklist භාවිතා කරමින් JWT ආරක්ෂා කළ හැක.
ඒ අනුව, ඔබේ ප්රධාන පාරිභෝගිකයා බ්රවුසරයක්ද, මොබයිල් ඇප් එකක්ද, හෝ අනෙක් සේවාවක්ද යන කරුණු, ඔබේ authentication provider (Supabase, Clerk, Firebase) කුමන default සැකසුමක් භාවිතා කරනද, “instant logout” ඔබේ යෙදුමට අත්යවශ්යද යන ප්රශ්නවලට පිළිතුරු සොයාගත යුතුය.
ඉදිරියේදී, තීරණය කරගැනීමේ ගණිතමය (math) පිළිබඳව අවබෝධය ලැබුණොත්, තරඟකාරී අදහස් නොව, වාසි‑අවාසි වල සෘජු සැලැස්වීමක් ඔබට ලැබේ.
