JSON WEB TOKEN

[@dennywahyupratono7095]

Bagus banget penjelasannya kang. Cuman ada pertanyaan nih; bagaimana caranya service2 itu tau kalau sebuah JWT yang tadinya valid, sekarang harus dianggap invalid, misal, karena user logout atau user di banned/diblok dari layanan. Terimakasih

[@ProgrammerZamanNow]

Pertanyaan bagus, biasanya biar auto expired session nya, di jwt di sisipkan expired time, jadi service yg baca harus cek juga expire time nya, dan ketika logout, session service harus menghapus jwt dari cookies nya.

[@ProgrammerZamanNow]

Untuk blok user, alhasil jika belum expire, jwt tidak akan invalid. Nah ini jadi problem karena kalo account di take over sama hacker, maka secara otomatis gak bisa di kick user nya. Nah salah satu solusinya adalah dengan menggunakan mekanisme OAUTH2, nah kalo ini nanti kita bahas di video lain ya

[@dennywahyupratono7095]

Programmer Zaman Now! Terimakasih mas. Jadi setelah user logout, JWT nya baru akan invalid ketika JWT nya expired ya mas? Soalnya meskipun udah dihapus dari SessionService, kan service2 yang lain nggak tau.

[@dennywahyupratono7095]

Siap mas. Ditunggu pembahasan mengenai OAuth nya. Subscribed 🔔

[@ProgrammerZamanNow]

@@dennywahyupratono7095 service lain gak kan nyimpen jwt, jwt itu disimpan di cookies browser, jd kalo di delete, otomatis service yg lain gak kan nerima jwt lagi

[@DimyatiAzhar]

Terima kasih pak, meskipun video ini sudah lama diupload, tapi saya baru saja menontonnya dengan seksama hari ini. Terima kasih sekali lagi pak, karena dari video ini saya mendapat manfaat berupa pengetahuan baru yang mudah saya pahami berkat penjelasan dari pak eko yang gamblang. Semoga ilmu pengetahuan yang bapak bagikan ini menjadi barokah, dan semoga segala urusannya diberikan kelancaran, aamiin. Terus berkarya ya pak!

[@herawongjowo]

Favorite deh channel ini, singkat padat penejelasannya tapi mengena banget... mudah dipahami... terus berkarya bang saya terus dukung dan betah mengunjungi channel Programmer Zaman Now.

[@katipong1194]

Saya mantau channel yg lama ternya ada yg baru., Mantap ilmunya.., 👍

[@firmantr312]

ngikutin dulu jaman masih strip bandung.. mantap kang semoga berkah.

[@maoelable]

Saran saya pake Manual Fokus aja, di waktu tertentu kadang suka lost fokus mungkin AF nya berubah berubah

[@leskoding]

keren pembahasan beginian. Lanjutken kang

[@farham_harvianto]

Ini yang ditunggu-tunggu bang.. Likeee

[@thankyou609]

09:04 token signature 13:38

[@laodemuhammadalfatih7663]

Mas kalau boleh request, coba bahas juga saudaranya yaitu *JWS* (JSON Web Signature) & *JWE* (JSON Web Encryption). Terus bahas juga use case kapan kita perlu menggunakan *JWE* ? kapan perlu menggunakan *JWT* ? * Oh iya, saya berharap playlist belajar Redis nya segera dimulai, wkwkwk. Tapi nggak papa, mungkin mas punya pertimbangan. Makasih banyak mas.

[@BudiSantoso-er6cq]

Mantap mas eko..👍, saya download aja dulu..

[@bayucakra7648]

Sangat bermanfaat sekali, ditunggu pembahasan microservices nya mas

[@aghidayat]

penjelasannya keren jelas banget mas, kalo boleh Saya pengen request pembahasan oAuth2 mas. terimakasih :)

[@denykurniawan2217]

Channel Ganteng Intelek Terfavorite 🥰

[@aldinokemal2104]

Single Login pake JWT berarti ga bisa ya ? kan kita ga bisa force token expire

[@MrKidar]

Terimakasih mas eko atas ilmunya

[@samuelsteven4558]

Sangat jelas penjelasannya terimakasih pak

[@bayipintar7016]

pembahasannya renyah banget

[@muhammadtaufiqmaulana4279]

Whoah gila. Gw dulu disuru belajar jwt pas magang ruwetnya minta ampun ternyata setelah dijelasin systemnya se simple itu. Wkwkwkwk. Emng butuh otak dingin buat belajar plus guru yang terbaik tentunya. Dari penjelasan diatas langsung terjawab semua pertanyaan yang bikin ruwet selama ini. Wkwkwkk thanks bang

[@dipras3228]

Penjelasan nya enak mas dan peumpamaan nya juga masuk akal 👍

[@azwarbuton]

Banng bukaannya cookie skrng hnya bisa di manage oleh browser.. Solusi g man bang.

[@adigun7]

Terima kasih ilmunya kang, penjelasannya jelas banget :)

[@ulohhijbuloh8266]

bang boleh minta contoh scriptnya? pakai php. terima kasih

[@leonardoofficial5750]

Daging semua keren Mas Eko

[@donnip8163]

15:26 Mau tanya mas, kalau pakai Oauth2 dengan skema refresh token itu mau gak mau semua service harus sering call end point refresh token ya? dan sering nyocokin di db kalau refresh tokennya di simpan di DB. Mohon penjelasannya best practice nya gimana?

[@kawankoding]

ditunggu pembahasan microservicenya mas

[@ProgrammerZamanNow]

Wih, ada kawan koding mampir, noted, lain kali bikin video ngobrol bareng sama kawan koding ah

[@kawankoding]

@@ProgrammerZamanNow Nyari ilmu 😁, dulu ngikutin tutorial javanya pas kuliah. Wah kehormatan kalo diajakin mas eko nih 😁

[@gxry05]

setuju bgt nih,,, microservice dong mas...

[@semblehetri4290]

user service , order service dan yang lainnya itu , apakah maksutnya beda host ya? apa bedanya kita punya 1 host banyak container, dengan banyak host tapi tiap host berbeda service

[@kykurniawan]

Mas Eko, saya mau tanya dong. ini pertanyaan sudah saya cari dimana mana tapi masih belum mendapatkan jawaban yang jelas. Jadi ketika saya menggunakan access token dan refresh token di jwt implementasinya bagaimana ya. akses token kan untuk authorize request dimana biasanya memiliki expire time yang singkat sehingga dibutuhkan refresh token untuk mendapatkan akses token yang baru. Dimana saya harus menyimpan refresh token pada client side applikasi web saya ? Apakah disertakan pada header dan dikirim tiap request juga seperti akses token ? Apakah harus disimpan di dalam database pada client side ? Mohon bantuannya Mas Eko atau siapapun yang baca komentar ini karena saya masih pemula dan sangat bingung sekali.

[@hafizjoundysyafie8184]

padet dan sangat bermanfaat penjelasanya, langusng pencet like + subscribe :D

[@ilhamsa01]

makasih mas.. sangat membantu

[@rizalpurnama3535]

Keren sumpah... Makasih bang

[@asyikbrowsing200]

mantap penjelasannya om.. request tentang Microservice dan Doker dong om.

[@hanjo4059]

Mas mau tanya, gimana ya agar token hasil loginnya tidak bisa di pakai jika digunakan di device lain ? misalkan ada yg copy token dari device user, lalu di pakai di laptop si penyerang untuk request di postman. terimakasih

[@algoritmaatoz8782]

Masukkan aja informasi perangkat yg login di payload terus validasi di setiap service

[@FauziJabbar]

Berarti JWT itu sertifikasi / metode, kirain sebuah package yg digunakan untuk memverifikasi user

[@gazebochannel3828]

masuk pak eko

[@ariabimanyu]

Om, bahasa gmn cara hide secretkey nya dong. Terutama di framework frontend javascript.

[@ProgrammerZamanNow]

secretkey jwt bukan untuk di simpan di clientside, harus buat di server side

[@enkaperson]

Bang, mau nanya. kalo authorizationnya itu bakal dimasukin di payloadnya kan ya? Nah, yang saya liat ini, si payloadnya kan cuma diencrypt pake base64, yang artinya semua orang pada dasarnya bisa liat authorization structurenya. walaupun nggak bisa dimanipulasi tanpa ketauan karena signaturenya pasti salah, bijak nggak sih expose authorization structure itu ke publik? kalo saya kemaren bikin tokennya itu, selain secret key dan salt, saya bikin algonya juga rahasia, dan payloadnya diencrypt dan didecrypt dengan algo rahasia itu, sehingga nggak terexpose ke publik sama sekali (dan karena algonya emang rahasia, ya nggak ada headernya, cuma encrypted payload aja). Mohon bimbingannya untuk membandingkan 2 pilihan ini..

[@ferdiardianto4217]

pak. tanya dong. kalo cookienya di steal di hack karena fieldnya inputannya misal ga ada filter XSS. terus setelah cookienya di steal, di replace semua. berarti sama dong pak. tetep bisa login?

[@ProgrammerZamanNow]

cookie nya harus http only, jadi kalo ada bug XSS, cookie gak kan bisa di curi

[@acepabdurohman3345]

Wah kebetulan sekali nih, saya mau tanya kang, saya bikin token pake oauth2 + jwt pake java terus saya ingin sisipkan hasil token tersebut di bahasa pemrograman lain (server side) di headernya apakah bisa? Nuhun

[@ProgrammerZamanNow]

Bisa, kan jwt itu open standard, jd bisa diimplementasikan di bahasa pemrograman apapun

[@acepabdurohman3345]

Wah siap kang semakin semangat nguliknya. Nuhun

[@gunawanmigi2637]

Telat 2 thun sya.. bru belajr belajar.. pdhl udh lama jdi programmer 😂😂

[@MuhammadHidayah96]

Thanks banget penjelasannya mas. Tapi ada pertanyaan nih yg terngiang2 di otak saya. Jadi kan di jwt itu ada expeired time, nah misalkan ada service X diakses masih valid tuh tokennya kemudian dari service X balik lagi ke gateway ngakses service Y tokennya sudah expeired. Apa yang harus dilakukan system.

[@ProgrammerZamanNow]

idealnya sebelum expire, di extend dulu, jangan terlalu mepet, misal 1 jam sebelum expire, di extend.

[@PENYEJUK_HATI_1]

mas , giimana si dapetin secret keynya ?

[@reshaelfianur7537]

Tutorial kafka ada ko rabit mq ga ada mas? Perbedaannya dgn amqp apa ya?

[@rafifadhulnusywan5754]

Kang pingin tanya. Saya sudah coba pakai jsonwebtoken di node js buat server restfull api. JWT-nya saya pakai untuk verify user yang login. Tetapi kang saya masih bisa ngopy JWT dari komputer lain. Saya sudah coba pakai cookies, cookie-nya saya sudah coba pakai httpOnly sama Secure, tetapi di pihak front end masih bisa di edit pakai extension dari google chrome. Mohon bantuannya kang, senang bisa dapat balasan.

[@irmanjuliansyah254]

bahas mekanisme elasticsearch donk om

[@ProgrammerZamanNow]

Notes

[@irmanjuliansyah254]

mantap om

[@evanjohan4927]

Apakah sama saja dengan oAuth tentang JWT ini bang? Terima kasih

[@yudirunatmasneno9963]

bang eko kalo token dari jwt harus disimpan didatabase gk ?

[@septiowahyudi9078]

OAUTH2 kpn di share bang ?? Bnyk yg nunggu ni

[@ProgrammerZamanNow]

haha, siap2

[@septiowahyudi9078]

Ayo bang sekalian di share biar pada pinter2

[@elvackriansyah3604]

sblmnya makasih pak eko untuk ilmu yg bermanfaat saya mau nanya klo nyimpen token di database itu hukumnya apa ya pak?

[@ProgrammerZamanNow]

Gak masalah token simpen di database, biar bisa di revoke suatu saat. Kalo bisa yg bisa auto expire database nya, seperti redis

[@elvackriansyah3604]

Programmer Zaman Now got it pak thank you

[@IdulAdha-fx6cu]

Ada contoh kodingannya kang ?

[@akmalikhsan3995]

Suka banget ih

[@agungfachruddin1450]

Kang, bahas bedanya jwt sama oauth2 dong

[@ramaseira9722]

Wah makasih mas, makin jelas nih soal JWT, apakah JWT ini bisa di kombine untuk sharedpreff ya mas ?

[@ProgrammerZamanNow]

Sharedpreff itu apa ya? #hehe

[@kevinveroshamonangan]

@@ProgrammerZamanNow Shared Preferences di Android mungkin maksudnya, bang... #CMIIW

[@samcole5210]

mantapp

[@dekikurnia]

Mas. Tolong jelasin dong access token dan refresh token

[@ProgrammerZamanNow]

kalo ini masuk ke oauth

[@ziadahsani2132]

makasih bang

[@AriasetaSetiaAlam]

ngedit videonya pake apa nih mas? hehe

[@ProgrammerZamanNow]

Pake screenflow

[@endro55]

Kalo konsep expired, refresh token di jwt itu gimana ya om?

[@ProgrammerZamanNow]

Tinggal di remove aja dari cookies nya, cara yg paling bagus adalah menggunakan OAUTH2, tp nanti dibahas di video lain

[@stefanusayudha1853]

tutorial dong bang plis

[@hafiizheko230]

JWT Tokennya saat request ditaruh di header atau dibody ya mas? Makasih mas.

[@ProgrammerZamanNow]

Tergantung token apa, kalo oauth, di header

[@hafiizheko230]

@@ProgrammerZamanNow Oke makasih mas

[@ngarep1988]

how to code?

[@furniturefirstcode1412]

implementasiin bang contoh nya

[@gamayudistira1792]

Bedanya sama uuid apa ya mas?

[@ProgrammerZamanNow]

uuid itu random unique string

[@dimaswibowo2733]

OAuth dong

[@faizzz__]

ngulang belajar lagi jwt

[@IchwanAlmaza]

Maaf mas, ada pertanyaan nih kebetulan saya sedang buat service untuk auth 1. Konsep logout berarti “hanya” membersihkan cookies dari browser. Berarti service profile misalnya masih bisa di tembak by postman hingga expires token habis? bagaimana mengatasi kasus logout dan token seharusnya tidak berlaku lagi mas? 2. Untuk kasus token yang sudah expired tapi saya inginnya user tidak perlu login lagi berrti pake konsep refresh token? betulkah mas? Jika betul mungkin bisa minta tolong bagaimana konsepnya mas Terima kasih banyak Mas, suksess 🙏🏻🙏🏻

[@ProgrammerZamanNow]

1. Ya, yg namanya jwt itu stateless, jd kalo diambil tokennya, jd pasti bisa dipake, sampai tokennya expired 2. Ya itu salah satu penggunaan konsep OAUTH2. jadi ada refresh token dan access token. Mungkin saya bahas di video lain

[@feechanz]

Apabila ingin mengatasi logout supaya tokennya tidak berlaku lg sebelum expired, mungkin kita bisa buat sistem blacklist token trsbt sampai expired tokennya dihapus blacklistnya..

[@AlafGaniIT]

Jangan lupa mampir :)