Inti dari konsep login memang untuk memastikan bahwa hanya user yang berwenang yang dapat mengakses halaman atau fitur tertentu dalam aplikasi. Namun, konsep login lebih dari sekadar membatasi akses ke halaman tertentu.
Berikut adalah komponen utama dari konsep login yang lebih luas:
1️⃣ Authentication (Autentikasi) → "Siapa kamu?"
Autentikasi adalah proses memastikan bahwa user adalah siapa yang mereka klaim.
✔ Biasanya dilakukan dengan kombinasi username/email + password atau metode lain seperti OAuth, biometrik, atau magic link.
Contoh metode autentikasi:
🔹 Basic Auth → Username & password
🔹 OAuth → Login via Google, Facebook, GitHub
🔹 JWT (JSON Web Token) → Token berbasis stateless authentication
🔹 Biometric Auth → Face ID, fingerprint
🔹 Magic Link → Login melalui email tanpa password
2️⃣ Authorization (Otorisasi) → "Apa yang boleh kamu lakukan?"
Setelah user berhasil login, apakah dia bisa mengakses semua halaman? Tidak!
✔ Authorization menentukan akses user berdasarkan perannya (misalnya admin, user biasa, atau guest).
Contoh metode otorisasi:
🔹 Role-Based Access Control (RBAC) → Hak akses berdasarkan peran (admin, editor, viewer)
🔹 Attribute-Based Access Control (ABAC) → Hak akses berdasarkan atribut tertentu (misal, hanya user dari negara tertentu yang bisa mengakses fitur)
🔹 Scope-Based Authorization → Digunakan di API (misal, hanya user dengan scope read:user bisa melihat data user)
3️⃣ Session Management → "Berapa lama login berlaku?"
Setelah user login, bagaimana cara sistem mengenali bahwa dia sudah login di request berikutnya?
✔ Ada beberapa cara menjaga session:
🔹 Session-based (Stateful) → Disimpan di server, biasanya dengan cookie + session ID
🔹 Token-based (Stateless) → Disimpan di client-side seperti JWT (JSON Web Token)
🔹 Hybrid → Kombinasi keduanya, misalnya refresh token di backend, access token di frontend
🔒 Keamanan tambahan:
✅ Expiry time → Berapa lama user tetap login sebelum harus re-authenticate
✅ Refresh token → Agar user tidak perlu login terus-menerus tanpa mengorbankan keamanan
✅ Secure cookies → Supaya session tidak bisa dicuri oleh pihak lain
4️⃣ Secure Storage & Transmission → "Bagaimana cara menyimpan data login dengan aman?"
✔ Data login (seperti password atau token) harus dienkripsi dan dikirim dengan aman untuk mencegah pencurian data.
Best practice:
🔹 Gunakan hashing untuk password → Hash dengan bcrypt, Argon2, atau PBKDF2
🔹 Gunakan HTTPS untuk semua request → Mencegah serangan man-in-the-middle
🔹 Hindari menyimpan password di client → Jangan pernah menyimpan password dalam local storage
5️⃣ Logout & Session Expiry → "Bagaimana cara mengelola logout?"
✔ Logout adalah bagian dari login!
🔹 Manual Logout → User menekan tombol logout
🔹 Automatic Logout (Session Expiry) → User otomatis logout setelah waktu tertentu (misalnya 30 menit tidak aktif)
🔹 Revoke Tokens → Jika user logout dari satu perangkat, semua perangkat juga logout
🔹 Kesimpulan: Konsep Login Bukan Hanya Mengamankan Halaman
✅ Authentication → Memastikan user adalah dirinya sendiri
✅ Authorization → Memberikan hak akses yang sesuai setelah login
✅ Session Management → Menentukan cara login disimpan
✅ Secure Storage & Transmission → Menyimpan & mengirim data login dengan aman
✅ Logout & Expiry → Mengelola sesi dan logout user dengan baik
Jadi, konsep login bukan hanya membatasi akses ke halaman tertentu, tetapi juga mencakup bagaimana user masuk, keluar, dan bagaimana sistem mengelola sesi mereka dengan aman.