Tujuan Pembelajaran

Bisa mengimplementasikan JWT dengan aman
Mengerti refresh token rotation
Mengerti token storage dan XSS prevention

Analogi

Diagram


      JWT Flow:
Login -> Access Token (short-lived) + Refresh Token (long-lived)
Access -> Verify Access Token
Expired -> Refresh with Refresh Token
Logout -> Blacklist Refresh Token

JWT adalah standar untuk token autentikasi — tapi implementasi yang salah bisa menyebabkan security breach

Penjelasan Konsep

JWT (JSON Web Token) adalah standar untuk token autentikasi yang terdiri dari 3 bagian: Header (algorithm), Payload (claims/data), dan Signature (verifikasi). Tapi implementasi JWT yang salah bisa menyebabkan security breach.

JWT Security Best Practices

Gunakan algoritma yang kuat (RS256/ES256, jangan HS256 untuk distributed systems). Access token short-lived (15 menit). Refresh token long-lived dengan rotation (setiap refresh, generate token baru dan invalidate yang lama).

Store access token di memory (bukan localStorage — vulnerable XSS). Store refresh token di httpOnly cookie.

Refresh Token Rotation

Setiap kali refresh token digunakan untuk mendapatkan access token baru, generate refresh token baru juga. Invalid refresh token yang lama. Ini mencegah refresh token reuse kalau dicuri.

Logout

Blacklist refresh token di database/Redis.

Access token biarkan expire (short-lived anyway).

Inti yang Perlu Dipahami

Bagian ini berfokus pada bisa mengimplementasikan JWT dengan aman., mengerti refresh token rotation., dan mengerti token storage dan XSS prevention. Jangan terburu-buru menghafal istilahnya. Lebih penting untuk memahami peran setiap konsep dan kapan konsep itu muncul dalam pekerjaan web development.

Saat membaca JWT Security, gunakan tujuan belajar sebagai penanda arah. Kalau kamu sudah bisa menjelaskan tujuan itu dengan kata-katamu sendiri, berarti fondasinya mulai terbentuk.

Cara Membayangkannya

JWT adalah standar untuk token autentikasi — tapi implementasi yang salah bisa menyebabkan security breach. Analogi ini dipakai supaya konsep teknis tidak terasa melayang. Hubungkan setiap istilah dengan perannya: siapa yang meminta, siapa yang memproses, data apa yang berpindah, dan hasil apa yang diharapkan.

Kalau analoginya sudah terasa masuk akal, barulah lihat istilah teknisnya. Cara ini membuat materi lebih mudah dipahami daripada langsung menghafal definisi.

Saat Melihat Contoh Kode

Contoh kode pada chapter ini memakai bahasa typescript. Bacalah contoh kode sebagai ilustrasi alur, bukan sebagai bagian yang harus langsung dihafal. Refresh token rotation: setiap refresh generate token baru dan invalidate yang lama. Jti (JWT ID) untuk unique identification dan blacklist tracking.

Perhatikan nama fungsi, urutan langkah, dan data yang berpindah. Biasanya tiga hal itu sudah cukup untuk memahami hubungan antara teori dan praktik.

Konteks dalam Perjalanan Belajar

Setiap konsep di platform ini dipilih karena dipakai di industri. Fokus pada pemahaman, bukan hafalan.

Kamu sudah di bagian lanjutan. Mulai pikirkan bagaimana konsep ini dipakai di dunia kerja — bukan hanya untuk belajar, tapi untuk membangun produk nyata.

Gunakan pertanyaan reflektif dan prompt AI di akhir chapter sebagai latihan aktif. Membaca saja tidak cukup — kamu perlu menjelaskan ulang dengan kata-katamu sendiri.

Contoh Kode

typescript

// JWT implementation dengan Hono
import { jwt, sign, verify } from 'hono/jwt';

// Login: generate access + refresh token
app.post('/auth/login', async (c) => {
  const { email, password } = await c.req.json();
  const user = await authenticate(email, password);
  
  const accessToken = await sign(
    { sub: user.id, type: 'access' },
    ACCESS_SECRET,
    'HS256' // Use RS256 in production
  );
  
  const refreshToken = await sign(
    { sub: user.id, jti: crypto.randomUUID(), type: 'refresh' },
    REFRESH_SECRET,
    'HS256'
  );
  
  await storeRefreshToken(user.id, refreshToken);
  
  return c.json({ accessToken, refreshToken });
});

// Refresh token rotation
app.post('/auth/refresh', async (c) => {
  const { refreshToken } = await c.req.json();
  const payload = await verify(refreshToken, REFRESH_SECRET);
  
  const stored = await getRefreshToken(payload.sub);
  if (stored !== refreshToken) return c.json({ error: 'Invalid' }, 401);
  
  const newAccess = await sign({ sub: payload.sub }, ACCESS_SECRET, 'HS256');
  const newRefresh = await sign(
    { sub: payload.sub, jti: crypto.randomUUID() },
    REFRESH_SECRET,
    'HS256'
  );
  
  await replaceRefreshToken(payload.sub, refreshToken, newRefresh);
  return c.json({ accessToken: newAccess, refreshToken: newRefresh });
});

Penjelasan Kode

Refresh token rotation: setiap refresh generate token baru dan invalidate yang lama. Jti (JWT ID) untuk unique identification dan blacklist tracking.

Prompt AI

Implementasikan refresh token rotation di aplikasimu. Setup blacklist untuk revoked tokens dengan Redis TTL.

Pertanyaan Reflektif

JWT tidak bisa di-revoke secara instant — itu adalah trade-off. Makanya access token harus short-lived (15 menit).