Menerapkan Autentikasi API Menggunakan JWT (JSON Web Token)

Menerapkan Autentikasi API Menggunakan JWT

Pendahuluan

Autentikasi adalah langkah penting untuk mengamankan API dari akses yang tidak sah. Salah satu metode autentikasi modern yang populer adalah menggunakan JSON Web Token (JWT). JWT adalah standar token berbasis JSON yang digunakan untuk mengidentifikasi pengguna dengan aman. Pada artikel ini, Anda akan belajar cara mengimplementasikan autentikasi API menggunakan JWT di PHP.

Langkah 1: Memasang Library JWT

Untuk memudahkan penggunaan JWT di PHP, Anda bisa menggunakan library seperti Firebase PHP-JWT. Instal library ini menggunakan Composer:

composer require firebase/php-jwt

Setelah terinstal, Anda dapat menggunakan library tersebut untuk membuat dan memverifikasi token JWT.

Langkah 2: Membuat Token JWT

Token JWT terdiri dari tiga bagian: header, payload, dan signature. Berikut adalah contoh pembuatan token JWT menggunakan library Firebase PHP-JWT:

<?php
require 'vendor/autoload.php';

use Firebase\JWT\JWT;
use Firebase\JWT\Key;

// Kunci rahasia (jangan bagikan kepada siapa pun)
$secret_key = "rahasia_api_anda";

// Data pengguna yang akan dienkripsi ke dalam token
$payload = [
    'iss' => 'http://api-anda.com', // Issuer
    'aud' => 'http://api-anda.com', // Audience
    'iat' => time(), // Issued at
    'nbf' => time(), // Not before
    'exp' => time() + 3600, // Expired (1 jam)
    'user_id' => 123 // ID pengguna
];

// Membuat token JWT
$jwt = JWT::encode($payload, $secret_key, 'HS256');

echo "Token JWT: " . $jwt;
?>

Kode di atas menghasilkan token JWT yang dapat diberikan kepada klien setelah proses login berhasil.

Langkah 3: Memverifikasi Token JWT

Setelah token dibuat dan dikirim ke klien, API perlu memverifikasi token tersebut untuk setiap permintaan yang dilindungi. Berikut adalah contoh kode untuk memverifikasi token JWT:

<?php
require 'vendor/autoload.php';

use Firebase\JWT\JWT;
use Firebase\JWT\Key;

$secret_key = "rahasia_api_anda";
$jwt = $_SERVER['HTTP_AUTHORIZATION']; // Token JWT dari header Authorization

try {
    // Memverifikasi token
    $decoded = JWT::decode($jwt, new Key($secret_key, 'HS256'));

    // Token valid
    echo "Token valid. Data pengguna: " . json_encode($decoded);
} catch (Exception $e) {
    // Token tidak valid
    http_response_code(401);
    echo json_encode(['error' => 'Token tidak valid: ' . $e->getMessage()]);
}
?>

Pada kode di atas, API membaca token dari header Authorization dan memverifikasinya menggunakan kunci rahasia yang sama dengan yang digunakan untuk membuat token.

Langkah 4: Mengamankan Endpoint API dengan JWT

Untuk melindungi endpoint API, Anda dapat membuat middleware sederhana yang memeriksa validitas token JWT sebelum melanjutkan ke logika utama API. Berikut adalah contohnya:

<?php
require 'vendor/autoload.php';

use Firebase\JWT\JWT;
use Firebase\JWT\Key;

$secret_key = "rahasia_api_anda";

// Fungsi middleware
function authenticate() {
    global $secret_key;

    $jwt = $_SERVER['HTTP_AUTHORIZATION'] ?? null;

    if (!$jwt) {
        http_response_code(401);
        echo json_encode(['error' => 'Token tidak diberikan']);
        exit();
    }

    try {
        $decoded = JWT::decode($jwt, new Key($secret_key, 'HS256'));
        return $decoded;
    } catch (Exception $e) {
        http_response_code(401);
        echo json_encode(['error' => 'Token tidak valid: ' . $e->getMessage()]);
        exit();
    }
}

// Memeriksa autentikasi sebelum melanjutkan
$user = authenticate();
echo json_encode(['message' => 'Selamat datang!', 'user' => $user]);
?>

Middleware ini memastikan bahwa hanya pengguna dengan token valid yang dapat mengakses endpoint API.

Langkah 5: Praktik Keamanan Tambahan

• Gunakan kunci rahasia yang kuat dan simpan di lingkungan server, bukan di dalam kode.
• Gunakan HTTPS untuk melindungi token saat ditransmisikan.
• Perbarui token secara berkala untuk mengurangi risiko penyalahgunaan.
• Gunakan refresh token untuk menjaga sesi pengguna tetap aktif tanpa memerlukan login ulang.

Kesimpulan

Autentikasi dengan JWT memungkinkan API Anda untuk mengamankan akses dengan cara yang modern dan efisien. Dengan pendekatan ini, Anda dapat memastikan bahwa hanya pengguna yang terotorisasi yang dapat mengakses data atau fitur tertentu.

Selanjutnya, kita akan membahas cara melindungi API dari serangan umum seperti SQL Injection. Baca selengkapnya di sini!

Bagikan Artikel ini