JSON Web Token (JWT) adalah standar terbuka (RFC 7519) yang mendefinisikan format token yang aman untuk pertukaran informasi antara pihak-pihak dalam bentuk objek JSON yang dapat dibaca dan ditandatangani. JWT sering digunakan dalam otentikasi dan otorisasi di aplikasi web dan API. Salah satu penggunaan JWT adalah untuk manajemen user role dalam aplikasi backend, yang memungkinkan kontrol akses berdasarkan peran pengguna.
Artikel ini akan membahas bagaimana JWT dapat digunakan untuk manajemen user role di backend, termasuk langkah-langkah untuk mengimplementasikan sistem peran dengan JWT.
Apa Itu JWT?
JSON Web Token (JWT) adalah format token yang memungkinkan pertukaran informasi antara pihak-pihak dengan cara yang aman dan terstandarisasi. JWT terdiri dari tiga bagian:
- Header: Berisi informasi tentang tipe token dan algoritma yang digunakan untuk menandatangani token.
- Payload: Berisi klaim atau data yang disertakan dalam token. Ini bisa berupa informasi tentang pengguna, seperti ID pengguna atau peran.
- Signature: Digunakan untuk memverifikasi integritas token dan memastikan bahwa token tidak dimodifikasi. Signature dibuat dengan menandatangani header dan payload menggunakan algoritma dan kunci rahasia.
Manfaat JWT untuk Manajemen User Role
- Konsistensi dan Skalabilitas: JWT memungkinkan distribusi token yang dapat digunakan untuk memverifikasi identitas pengguna dan peran mereka di berbagai server dan layanan.
- Isolasi: Token yang disertakan dalam setiap permintaan HTTP memungkinkan server untuk memverifikasi hak akses tanpa bergantung pada sesi server.
- Sederhana dan Aman: JWT dapat menyimpan informasi tentang peran pengguna secara aman, dan proses validasi token dapat dilakukan dengan cepat dan mudah.
Implementasi Manajemen User Role dengan JWT
1. Menyiapkan JWT di Backend
Mari kita lihat bagaimana mengimplementasikan manajemen user role menggunakan JWT di aplikasi Node.js dengan Express.js.
a. Instalasi Dependensi
Instal dependensi yang diperlukan:
npm install express jsonwebtoken bcryptjs
b. Setup JWT dan Bcrypt
Buat file auth.js untuk mengatur otentikasi dan manajemen peran:
const jwt = require('jsonwebtoken');
const bcrypt = require('bcryptjs');
const express = require('express');
const app = express();
const secretKey = 'your_secret_key'; // Ganti dengan kunci rahasia Anda
// Middleware untuk verifikasi token
function authenticateToken(req, res, next) {
const token = req.header('Authorization');
if (token == null) return res.sendStatus(401);
jwt.verify(token, secretKey, (err, user) => {
if (err) return res.sendStatus(403);
req.user = user;
next();
});
}
// Middleware untuk memeriksa peran
function authorizeRoles(...roles) {
return (req, res, next) => {
if (roles.includes(req.user.role)) {
next();
} else {
res.sendStatus(403);
}
};
}
// Endpoint untuk login
app.post('/login', async (req, res) => {
const { username, password } = req.body;
// Verifikasi pengguna dan kata sandi (misalnya dengan database)
// const user = await getUserByUsername(username);
const user = { username, role: 'admin' }; // Contoh pengguna
if (user && await bcrypt.compare(password, 'hashed_password')) {
const token = jwt.sign({ username: user.username, role: user.role }, secretKey);
res.json({ token });
} else {
res.status(401).send('Invalid credentials');
}
});
2. Menambahkan Role-Based Access Control
Tambahkan endpoint yang memerlukan hak akses berdasarkan peran pengguna:
// Endpoint yang hanya dapat diakses oleh pengguna dengan peran admin
app.get('/admin', authenticateToken, authorizeRoles('admin'), (req, res) => {
res.send('Welcome Admin');
});
// Endpoint yang hanya dapat diakses oleh pengguna dengan peran user
app.get('/user', authenticateToken, authorizeRoles('user', 'admin'), (req, res) => {
res.send('Welcome User');
});
3. Menyimpan dan Mengelola Peran Pengguna
Saat pengguna mendaftar atau di-update, simpan peran mereka di database bersama dengan informasi lainnya. Pastikan untuk mengubah peran pengguna sesuai kebutuhan. Saat pengguna login, ambil peran mereka dari database dan sertakan dalam JWT payload.
Berikut adalah contoh sederhana penyimpanan peran pengguna dalam database menggunakan MongoDB dan Mongoose:
const mongoose = require('mongoose');
const userSchema = new mongoose.Schema({
username: String,
password: String,
role: { type: String, default: 'user' }
});
const User = mongoose.model('User', userSchema);
// Menambahkan pengguna baru
app.post('/register', async (req, res) => {
const { username, password, role } = req.body;
const hashedPassword = await bcrypt.hash(password, 10);
const newUser = new User({
username,
password: hashedPassword,
role
});
await newUser.save();
res.status(201).send('User registered');
});
Kesimpulan
JWT adalah alat yang kuat untuk manajemen user role di backend, memungkinkan kontrol akses yang konsisten dan skalabel. Dengan menggunakan JWT, Anda dapat mengautentikasi pengguna dan mengelola peran mereka dengan cara yang terstandarisasi dan aman. Implementasi JWT melibatkan pembuatan dan verifikasi token, serta penanganan otorisasi berdasarkan peran pengguna. Dengan mengintegrasikan JWT ke dalam aplikasi backend, Anda dapat memastikan bahwa hanya pengguna yang memiliki hak akses yang sesuai yang dapat mengakses dan melakukan tindakan tertentu.
