Integrasi API PHP dengan OAuth 2.0

Pendahuluan

OAuth 2.0 adalah standar protokol otentikasi dan otorisasi yang sering digunakan untuk memberikan akses aman ke sumber daya API tanpa perlu berbagi kredensial pengguna. OAuth 2.0 banyak digunakan oleh platform besar seperti Google, Facebook, dan GitHub untuk integrasi dengan aplikasi pihak ketiga.

Dalam artikel ini, kita akan membahas cara mengintegrasikan OAuth 2.0 dalam API PHP, termasuk implementasi alur otorisasi dan penggunaan token akses.

Langkah 1: Memahami Alur OAuth 2.0

Sebelum mulai implementasi, penting untuk memahami alur dasar OAuth 2.0:

1. Client Request: Aplikasi pihak ketiga mengarahkan pengguna untuk masuk melalui penyedia OAuth (misalnya Google).
2. User Authorization: Pengguna memberikan izin untuk akses aplikasi pihak ketiga.
3. Token Exchange: Penyedia OAuth memberikan access token yang dapat digunakan untuk mengakses API.
4. API Request: Aplikasi menggunakan access token untuk membuat permintaan ke API yang dilindungi.

OAuth 2.0 mendukung beberapa jenis alur (grant types), tetapi alur yang paling umum adalah Authorization Code Flow.

Langkah 2: Persiapan dan Konfigurasi OAuth 2.0

Sebelum memulai, Anda perlu mendaftar aplikasi Anda ke penyedia OAuth, seperti Google atau GitHub. Setelah itu, Anda akan mendapatkan:

• Client ID: ID unik untuk aplikasi Anda.
• Client Secret: Kunci rahasia untuk otorisasi.
• Redirect URI: URL untuk menerima token dari penyedia OAuth.

Contoh URL otorisasi Google:

https://accounts.google.com/o/oauth2/v2/auth?client_id=YOUR_CLIENT_ID
&redirect_uri=YOUR_REDIRECT_URI
&response_type=code
&scope=email profile

Langkah 3: Implementasi Authorization Code Flow

1. Mengarahkan Pengguna ke URL Otorisasi

Buat tautan di aplikasi Anda untuk mengarahkan pengguna ke penyedia OAuth:

<a href="https://accounts.google.com/o/oauth2/v2/auth?client_id=YOUR_CLIENT_ID&redirect_uri=YOUR_REDIRECT_URI&response_type=code&scope=email profile">Masuk dengan Google</a>

2. Menangani Callback dan Mendapatkan Access Token

Setelah pengguna memberikan izin, penyedia OAuth akan mengarahkan pengguna kembali ke redirect URI Anda dengan parameter code. Gunakan kode ini untuk meminta access token:

<?php
// Endpoint untuk mendapatkan access token
$token_url = "https://oauth2.googleapis.com/token";

// Data untuk permintaan token
$data = [
    'code' => $_GET['code'],
    'client_id' => 'YOUR_CLIENT_ID',
    'client_secret' => 'YOUR_CLIENT_SECRET',
    'redirect_uri' => 'YOUR_REDIRECT_URI',
    'grant_type' => 'authorization_code'
];

// Mengirim permintaan POST untuk mendapatkan token
$options = [
    'http' => [
        'header'  => "Content-type: application/x-www-form-urlencoded\r\n",
        'method'  => 'POST',
        'content' => http_build_query($data),
    ],
];
$context  = stream_context_create($options);
$response = file_get_contents($token_url, false, $context);

// Decode respons JSON
$token_data = json_decode($response, true);
$access_token = $token_data['access_token'];

echo "Access Token: " . $access_token;
?>

3. Menggunakan Access Token untuk Permintaan API

Setelah mendapatkan access token, Anda dapat menggunakannya untuk mengakses API yang dilindungi:

<?php
// Endpoint API Google untuk mendapatkan informasi pengguna
$userinfo_url = "https://www.googleapis.com/oauth2/v2/userinfo";

// Menambahkan header Authorization
$options = [
    'http' => [
        'header' => "Authorization: Bearer $access_token\r\n",
    ],
];
$context = stream_context_create($options);
$response = file_get_contents($userinfo_url, false, $context);

// Menampilkan informasi pengguna
$user_data = json_decode($response, true);
print_r($user_data);
?>

Langkah 4: Menyimpan dan Mengelola Token

Setelah mendapatkan access token, Anda dapat menyimpannya di database atau sesi pengguna. Pastikan untuk selalu memvalidasi token sebelum menggunakannya dan mengatur proses penyegaran token (refresh token) jika diperlukan.

Kesimpulan

OAuth 2.0 adalah standar yang sangat aman untuk otentikasi dan otorisasi API. Dengan mengintegrasikan OAuth 2.0 dalam API PHP Anda, Anda dapat memberikan pengalaman login yang aman bagi pengguna sekaligus melindungi data API Anda.

Selanjutnya, kita akan membahas cara mengelola API rate limiting dengan Redis untuk mencegah penyalahgunaan API. Baca selengkapnya di sini!

Bagikan Artikel ini