RBAC & ABAC: Authorization Models

Authorization menentukan APA yang boleh dilakukan user yang sudah terautentikasi. Dua model utama:

RBAC (Role-Based Access Control): Permission di-assign ke role, role di-assign ke user. User → Role → Permission. Contoh: role ‘admin’ punya permission ‘user:delete’, ‘settings:write’. Role ‘editor’ punya ‘post:write’, ‘post:read’. Implementasi: middleware yang cek user.role untuk setiap request.

RBAC limitations: Role explosion — semakin granular, semakin banyak role. Tidak bisa handle context-dependent rules (“boleh edit post sendiri, tidak boleh edit post orang lain”).

ABAC (Attribute-Based Access Control): Keputusan berdasarkan kombinasi attributes (user attributes, resource attributes, environment attributes). Policy: “User boleh DELETE post IF user.id === post.authorId OR user.role === ‘admin’”. Lebih fleksibel dari RBAC.

Hybrid Approach: RBAC untuk broad permissions + ABAC-style rules untuk fine-grained control. Pattern: middleware cek role dulu (RBAC, cepat), kalau perlu fine-grained → resolve dengan policy engine.

Implementation tips: (1) Pemisahan authorization logic dari business logic. (2) Centralized policy — jangan scatter if-else di seluruh codebase. (3) Decision = Policy + Context (user + resource + action).

Inti yang Perlu Dipahami

Bagian ini berfokus pada memahami perbedaan RBAC dan ABAC serta trade-off masing-masing., mampu mengimplementasikan RBAC dengan middleware., dan mampu mendesain permission system yang scalable. Jangan terburu-buru menghafal istilahnya. Lebih penting untuk memahami peran setiap konsep dan kapan konsep itu muncul dalam pekerjaan web development.

Saat membaca RBAC & ABAC, gunakan tujuan belajar sebagai penanda arah. Kalau kamu sudah bisa menjelaskan tujuan itu dengan kata-katamu sendiri, berarti fondasinya mulai terbentuk.

Cara Membayangkannya

RBAC seperti kartu akses (role-based). ABAC seperti smart lock (attribute-based). Pilih sesuai kompleksitas authorization needs. Analogi ini dipakai supaya konsep teknis tidak terasa melayang. Hubungkan setiap istilah dengan perannya: siapa yang meminta, siapa yang memproses, data apa yang berpindah, dan hasil apa yang diharapkan.

Kalau analoginya sudah terasa masuk akal, barulah lihat istilah teknisnya. Cara ini membuat materi lebih mudah dipahami daripada langsung menghafal definisi.

Konteks dalam Perjalanan Belajar

Setiap konsep di platform ini dipilih karena dipakai di industri. Fokus pada pemahaman, bukan hafalan.

Kamu sudah di bagian lanjutan. Mulai pikirkan bagaimana konsep ini dipakai di dunia kerja — bukan hanya untuk belajar, tapi untuk membangun produk nyata.

Gunakan pertanyaan reflektif dan prompt AI di akhir chapter sebagai latihan aktif. Membaca saja tidak cukup — kamu perlu menjelaskan ulang dengan kata-katamu sendiri.