JWT Auth: Konsep & Implementasinya (BE & FE) yang Aman 🛡️

[@mdikrykurniadi9369]

Keren, langsung ngerti, cocok bnget buat saya yg tipe visual

[@sendyjoan8212]

Membantu banget mas kontennya. Semangat bikin konten lagi mas!

[@alwanar5546]

Bagus bang, jadi ngerti konsepnya. request bang penjelasan alur penyimpanan images saat input form itu bagusnya di server atau cloud

[@skidipap6673]

sekedar sharing saja, di tempat saya implementasi JWT nya untuk refresh_token dirolling. Jadi ketika client minta token baru akan return data acces_token, dan refresh_token yang baru. Jadi refresh_token selalu dirolling dan akan berbeda-beda ketika meminta acces_token baru

[@muhammadaryomuzakki]

Kalau dirolling gitu, refresh tokennya dikasih expired date berapa lama ya bg?

[@zaki8527]

kalo udh di refresh gitu, token yang sebelumnya masih bisa dipake ga bang? walaupun belum expired

[@skidipap6673]

@@zaki8527 acces token Dan refresh token sebelumnya tidak bisa dipake karena masuk ke blacklist token

[@zaki8527]

@@skidipap6673 caranya gimana tu bang, pake redis kah?

[@skidipap6673]

@@zaki8527 iya, blacklist token disimpan di database ataupun cache

[@codingpanda6891]

Thx bg ilmu yg sangat bermanfaat

[@afifu]

Thank you 😁🙏

[@danihaikal9292]

makash banyak bang, sangat bermanfaat sekali, sering sering bikin pembahasan kaya gini bg, biar paham dulu sebelum develop🥲🥲🙏 mau nanya dong bang, kalo mekanisme Logout bagaimana ya? apakah dibuatkan api juga di backend untuk hapus cookie dan refresh tokenya?

[@afifu]

Iya, utk logout ada APInya utk menghapus cookie & refresh-token ✅ Seperti di menit 11:19

[@danihaikal9292]

@@afifu ok makash banyak bg😁

[@mochamadsyahrulakbar8850]

Teriakasih mas afif, penjelasannya ringan dengan bahasa yang mudah dipahami🙌

[@afifu]

Thank you.. 😁🙏

[@Yusran_Uca]

Sangat effort sekali penjelasannya , barakallahu

[@joan8380]

nice +1 youtuber about coding from indo yg gua suka

[@malamhari_]

Ini dia video yang ditunggu-tunggu, jadi paham tentang JWT Makasih gan

[@afifu]

Sama2 gan 😁🙏

[@eriscapricron4725]

Sering sering bikin konten seperti ini bang sangat informatif dan mudah dipahami

[@afifu]

Thank you 😁🙏

[@MegaPangastuti]

terima kasih, animasinya keren jadi penjelasannya sangat mudah dipahami

[@aditirajamhuri2634]

Bang, video abang yang ini bagus asli.

[@eserranda1248]

makasih bang, penjelasannya mudah di pahami

[@kanade___chan]

amjay, mantep dan agak mudah dipahami... gg bang

[@BukanSiiinchan]

mantap bang akhirnya sy ngerti kenapa ada access token dan refresh token 👊🏻👊🏻👊🏻

[@rendraandriansyah3046]

nice content bang 9 videonya keren keren semua

[@afifu]

Thank you~ 🙏😁

[@rendraandriansyah3046]

@@afifu jangan thank you aja bang, tambah lagi dong kontennya wkwk

[@airdrop_chroncles]

Gile, cara penjelasanya mantep poll...

[@aldhyx]

Keren, sangat mudah dimengerti 🔥 thank you gan

[@afifu]

You're welcome gan 😁🙏

[@irezpratama90]

Mantap...

[@MrBigBlackClock]

Mantap Langsung Ngerti

[@Ndrainz]

Makasih bang

[@afifu]

Ya, sama2 bang 😁🙏

[@MRXbef]

gw stuck gara2 ini makasi bang udah ada gambaran

[@taufik__unxp]

masyaAllah keren

[@aliif]

terimakasih mas videonya bagus tapi kali ini menurut saya agak kurang lengkap materinya seperti bagian terpenting dalam jwt yaitu expired at dan issued at dalam payload dan fungsi nya masing2 dalam berbagai strategi auth nya

[@afifu]

Hehee mungkin nanti bisa lanjut di part 2. Thanks buat feedbacknya 😁👍

[@Danzz_0_0]

agak kurang dikit bang, kayak asbabul nuzul jwt, agak bingung konsep refresh token, jwt yg pakai reffesh token itu yg di payload tidak ada iat kah? atau hanya menpermudah auth server tidak perku login ulang hanya menunjukan toker refresh? menarik saya user sebuah aplikasi yg menggunakan sso,, token bisa dipakai terus utk komunikasi ke server menu jika menggunakan fetch, post atau ajax, tidak di direct ke sso login, atau menolak req, kalau pakai halaman aslinya dia sudah gak feaktif dan ketika refresh du lenpar ke sso

[@aliif]

sepertinya jwt itu ada karena kebutuhan stateless pada saat proses auth sehingga backend gak perlu query ke db terus untuk validasi token nya pada tiap request@@Danzz_0_0

[@dirompurbowiseno9970]

Makasih bang , sangat bermanfaat

[@afifu]

Thank you 😁🙏

[@danihaikal9292]

mau nanya bg, untuk request access token baru pake refresh token apa harus dibuat API nya juga? atau di sisipin aja di middleware verifyToken pas tau kalo access tokenya gagal

[@cepbanu6774]

Haturnuhun..

[@muhamadardalepa23]

mantap bang

[@rohanarohana4474]

Makasih ya bang

[@triswansyahyuliano]

keren,bikin animasi nya pake apa bang

[@afifu]

Pakai Ms. PowerPoint

[@fahrisajaaa]

Makasih bang🤙

[@afifu]

Yoi, sama2 😁🙏

[@hierarki]

mantap bang lanjutt

[@AndersonKunadi-jc1ze]

gokil bg 👌

[@sigitpratama1016]

Mantap mas konseptualnya, mudah dipahami. Kalo utk implementasinya teknis nya punya rekomendasi sumber pembelajaran ga mas?

[@afifu]

Kalo utk teknisnya saya gak ada rekomendasi spesifiknya dr mana. Bisa googling, cari di KZbin, atau tanya ke ChatGPT. Kalo menurut saya, selama udah ngerti BE-FE, maka yg dibutuhkan sekedar cari librari utk create & validate JWT. Jadi dg modal pengetahuan BE-FE & konsep JWT auth, bisa bikin API sendiri, setup db sendiri, dan tinggal pakai aja library JWTnya 😁

[@QuarterBite]

Bang mau tanya. Untuk Access Token dan Refresh Token itu idealnya expired dalam kurun waktu berapa lama ya?

[@afifu]

Access token expirednya brp lama? Ini udah terjawab di menit 09:56 ya... Refresh token expirednya brp lama? Tergantung, kamu pengennya user gak pernah logout, atau dlm waktu sebulan auto logout (artinya user harus login tiap bulan), atau dlm waktu seminggu auto logout, atau gimana? Sesuaikan dengan kebutuhan

[@johandikasyahputralubis2455]

Buat video lagi dong bang.

[@Coolmenad]

contoh bang di web tampilan nya nya

[@jjjeeyy3081]

kerenn vid nya bg! btw mau nanya, pas dibuat 2 jwt di implementasi kedua masing" jwt payload sama headernya sama kah bang?

[@afifu]

Headernya sama aja gakpapa, gak perlu dibedain. Kalo utk payload, itu disesuaikan dg kebutuhan. Kalo access token biasanya butuh role atau scope yg boleh diakses apa aja. Sedangkan refresh token biasanya gak butuh hal2 spt itu, jadi lebih kecil payloadnya.

[@muhammadnizwa]

bagaimana jadinya kalau kita sign session id ke dalam jwt lalu jwt simpan ke cookie?

[@afifu]

Maksudnya session-based authorization, tp sessionnya bentuknya JWT kah? Balik lagi, issuenya session-based itu spt yg disampaikan di 4:44 Semoga terjawab 🙏

[@helpsleepingrelax3071]

Bang kalo semisal token yg dikasih oleh response login untuk set header, kita simpan di cookie gimana, saolnya kalo dilocalStorage gak bisa di akses oleh SSR ya khusunya nextjs betulkah begitu?

[@afifu]

Iya localStorage gak bisa diakses di server ketika pake strategi SSR ✅ Iya, bisa pake cara tsb, taro di cookie biar tokennya auto dikirim ke server gan

[@Danzz_0_0]

saya nemu aplikasi menggunakan double, cookies dan local storage, dan kirim authorizastion utk cookies, yg di local storage fi header X-CSRFTOKEN. berhub itu aplikasi input data ribuan saya terpaksa input by script krn halaman input saja belum tentu load sempurna krn aksesnya lagi tinggi dan wajib dan lagi periode penginputan. aplikasi pakai vue js, utk handle post and update info page

[@labkitadev]

apakah bisa data cookie, localstorage atau session storage di curi pada suatu website A, ketika kita mengunjungi website B, misal menggunakan javascript ?

[@afifu]

Gak bisa.. Website B gak punya akses utk melihat/mengedit/menghapus/menambah data cookie/localStorage/sessionStorage dr website A.

[@labkitadev]

@@afifu klo subdomain gmn ? misal kita kunjungin web parent domain, trs kita kunjungi jg subdomain, apakah yg di parent domain bisa d curi ?

[@afifu]

@@labkitadev gak bisa jg, web vercel.com gak punya hak akses ke storage dr abc.vercel.com

[@labkitadev]

@@afifuklo begitu pencurian data cookie lebih ke keperluan untuk ads aja ya kebanyakan, selain kesalahan penyimpanan data yg seharusnya di server

[@afifu]

@@labkitadev penurian data cookie itu pakenya XSS attack, dan tujuannya buah nge-hack. Kalo ads, itu bukan mencuri, dan itu ada mekanismenya sendiri (bukan XSS)

[@alfiandm5782]

Tapi bang bukannya JWT token itu fungsinya agar menperlancar proses kecepatan di server side ya kalau dilakukan penyimpanan token didatabase sesuai cara ke-2 bukannya sama aja gk pakai JWT tapi pakek session biasanya

[@afifu]

@@alfiandm5782 Yups memang tetep perlu cek db, tp hanya auth service, dan cek db nya hanya dilakukan 10 menit sekali. Di service lain itu gak perlu cek db, cukup cek JWT aja. Tambahan: JWT itu solve problem yg saya jelaskan di 4:45 (ini terjadi di penggunaan session token)

[@YosianusDinamis]

Bang saya punya pertanyaan untuk konsep refresh token. kan access token cuma aktif 10 menit dan expired. kalau saya request untuk me refresh access tokennya pada 10 menit lewat 30 detik, apakah akan di refresh kan? atau di tolak dan suruh login ulang?

[@afifu]

Ketika me-refresh token, yg dicek adalah apakah refresh tokennya valid. Bisa sekedar dicek validity-nya aja, atau dicek jg expiry time dari refresh-tokennya. Gak masalah access-tokennya udah expired.

[@YosianusDinamis]

@@afifu baik bang,, jadi 10 menit expired dari access token itu sebenarnya hanya untuk validasi refresh tokennya saja ya. terima kasih pencerahannya bang.

[@YosianusDinamis]

@@afifu bang , kalau tidak keberatan, bahas microservices dan konsep penyebaran JWT agar seluruh aplikasi pada microservices punya JWT terbaru.. terima kasih

[@TrinitySeven-p1b]

Izin nanya bang, untuk nyimpen refresh token di db nya, apakah 1 user hanya memiliki 1 refresh token, atau bisa banyak?

[@afifu]

Tergantung kebutuhan: apakah user bisa login di beberapa device? Jika iya, maka di 1 user tsb bisa punya lebih dr 1 refresh-token

[@BurhanuddinSyuhud]

Bang Afif, mau tanya kalau jwt nya bisa dipakai user lain selama belum expired apakah bisa ya. terima kasih banyak.

[@afifu]

Bisa, seperti yg di penjelasan 10:48 Di situ orang lain pakai token seseorang

[@BurhanuddinSyuhud]

@@afifu makasih bang afif

[@muhammadalfit5149]

om , akses token ada expired misal 3 menit, Ketika expired berarti generate token baru dong, jadi setiap respon, di siapkan untuk token baru nya ya?

[@afifu]

Q: Ketika expired berarti generate token baru dong? A: Iya Q: Jadi setiap response disiapkan token barunya ya? ^Ini maksud pertanyaannya gimana?

[@muhammadalfit5149]

@@afifu aplikasi saya (mobile), jika user tidak mengakses aplikasi lebih dari 3 menit maka akan ke keluar. logic saya begini, ketika expired di jwt berubah, maka token berubah kan ya? misal, setiap request, saya tambah expired 3 menit, maka token berubah(baru) dengan expired + 3 menit jadi, di setiap request, bakal ada respon token baru nya. Best pratictice nya gimana ya mas?

[@afifu]

@@muhammadalfit5149 pengecekan user logged-in dr refresh-token

[@rivntlewrient2787]

jadi pengecekan username dan password di database itu pake pengecekan biasa aj yh? kalo benar nnt di return jwt token gitu?,apa berlaku ke semua bahasa

[@afifu]

Proses authentikasinya gimana itu memang gak saya bahas di video ini mas, 03:09

[@umardev500]

kekuranganya kudu nunggu expires time wkwk... terus http only itu hanya buat browser.. lagi pula siapa yg ambil token di local storage kalau bukan user nya sendiri

[@handyrezaalf3282]

Berarti proses meminta ulang access token itu dilakukan secara otomatis ketika access token kadaluarsa ya bang dan kita juga perlu buat endpoint khusus buat refresh tokenya begitu ?

[@afifu]

Proses meminta akses token baru ini bisa ada 2 kemungkinan: * Bisa saat expired langsung request yg baru. * Bisa jg nunggu user mau melakukan request ke resource lain. Terserah sih mau yg mana.. Iya betul, perlu endpoint utk nge-request akses token baru.

[@handyrezaalf3282]

@@afifu Ok bang terimakasih infonya

[@tutorial2menit881]

secret keynya password nascar rumble

[@fajarislami2515]

GUYS KMZWAY87AA MENTIONED

[@wellmeetguys8364]

Makasih bang

[@afifu]

Yoi, sama2 bang 😁🙏