Belajar Django - Auth Lanjutan & Permissions

#Pendahuluan

Episode 10 memberi autentikasi dasar, episode 19 menambahkan throttling. Tapi API SPA modern menuntut lebih: token yang aman di banyak perangkat, login sosial, lapisan kedua (2FA), dan kontrol akses per-objek. Di episode ini kita menyelesaikan semuanya — Auth Lanjutan & Permissions.

Mengapa topik ini penting? Karena ancaman modern menyerang token (bukan password lagi): JWT bocor, session permanen, atau permission model-level yang terlalu longgar. Auth yang production-grade adalah kombinasi beberapa lapis — refresh rotation, MFA, dan object-level checks — bukan satu fitur tunggal.

#JWT Refresh & Token Rotation

Di episode 11 kita memakai SimpleJWT dengan access (15 menit) dan refresh (7 hari). Praktik lanjutan yang membedakan produksi dari prototype:

1. Refresh rotation — setiap kali refresh dipakai, terbitkan refresh baru dan invalidasi yang lama. Token bocor jadi tidak berguna setelah sekali pakai.
2. Blacklist — refresh token yang di-revoke masuk daftar hitam, mencegah replay.
3. Refresh yang di-deteksi — jika refresh token lama dipakai lagi setelah rotasi, anggap bocor dan cabut semua session user.

pip install djangorestframework-simplejwt
python manage.py startapp token_blacklist  # atau add app bawaan

Sebenarnya SimpleJWT menyediakan rest_framework_simplejwt.token_blacklist sebagai app:

settings.py - rotasi & blacklist

INSTALLED_APPS = [
    ...
    "rest_framework_simplejwt.token_blacklist",
]
 
SIMPLE_JWT = {
    "ACCESS_TOKEN_LIFETIME": timedelta(minutes=15),
    "REFRESH_TOKEN_LIFETIME": timedelta(days=7),
    "ROTATE_REFRESH_TOKENS": True,
    "BLACKLIST_AFTER_ROTATION": True,
    "UPDATE_LAST_LOGIN": True,
}

python manage.py migrate

ROTATE_REFRESH_TOKENS: True menerbitkan refresh baru saat /api/token/refresh/ dipanggil; BLACKLIST_AFTER_ROTATION: True mem-blacklist refresh lama. UPDATE_LAST_LOGIN: True mencatat aktivitas login (berguna untuk audit dan deteksi anomali).

#OAuth2 dengan django-oauth-toolkit

Ketika aplikasi pihak ketiga butuh akses tanpa password user (misal "Login dengan devblog"), gunakan OAuth2 authorization code. django-oauth-toolkit (DOT) menyediakan server OAuth2:

pip install django-oauth-toolkit

settings.py - DOT

INSTALLED_APPS = [
    ...
    "oauth2_provider",
]
 
OAUTH2_PROVIDER = {
    "OAUTH2_BACKEND_CLASS": "oauth2_provider.oauth2_backends.JSONOAuth2CoreBackend",
}

devblog/urls.py - route OAuth

from django.urls import include, path
 
urlpatterns = [
    path("o/", include("oauth2_provider.urls", namespace="oauth2_provider")),
]

Alurnya: client meminta authorization code → user login & menyetujui → client menukar code dengan access token → client memanggil API dengan Authorization: Bearer. DRF mengintegrasikan DOT via OAuth2Authentication. Alur lengkap (client registration, scopes, redirect URI) kita praktikkan di project — intinya: password user tidak pernah jatuh ke pihak ketiga.

Untuk social login (Google, GitHub), django-allauth adalah pilihan standar:

pip install django-allauth

settings.py - allauth

INSTALLED_APPS = [
    ...
    "allauth",
    "allauth.account",
    "allauth.socialaccount",
    "allauth.socialaccount.providers.google",
]
 
AUTHENTICATION_BACKENDS = [
    "django.contrib.auth.backends.ModelBackend",
    "allauth.account.auth_backends.AuthenticationBackend",
]

allauth menangani redirect OAuth, pembuatan user, dan penautan email — integrasi provider Google/GitHub tinggal konfigurasi di admin.

#MFA / 2FA dengan otp

Lapisan kedua: TOTP 2FA (Time-based One-Time Password). Library django-otp + django-otp-webauthn/otp_totp:

pip install django-otp

settings.py - django-otp

INSTALLED_APPS = [
    ...
    "django_otp",
    "django_otp.plugins.otp_totp",
]
 
MIDDLEWARE = [
    ...
    "django_otp.middleware.OTPMiddleware",
]

python manage.py migrate
python manage.py shell -c "
from django_otp.plugins.otp_totp.models import TOTPDevice
from django.contrib.auth import get_user_model
u = get_user_model().objects.get(username='admin')
d = TOTPDevice.objects.create(user=u, confirmed=False)
print(d.config_url)   # otpauth://totp/...  -> scan QR
"

Alur: user login password → cek TOTPDevice → verifikasi 6 digit → baru session penuh. Kombinasi password (something you know) + TOTP (something you have) membuat akun jauh lebih sulit dibobol meskipun password bocor. Enforce 2FA untuk staf admin — mereka pintu gerbang nilai tertinggi.

#Object-Level Permission

Permission model-level (episode 10) memeriksa "boleh ubah post apa pun" — tapi biasanya user hanya boleh mengubah post miliknya. Object-level permission di DRF via get_permissions dan query scope:

blog/permissions.py

from rest_framework import permissions
 
class IsOwnerOrReadOnly(permissions.BasePermission):
    def has_object_permission(self, request, view, obj):
        if request.method in permissions.SAFE_METHODS:
            return True
        return obj.author == request.user
 
    def has_permission(self, request, view):
        if request.method in permissions.SAFE_METHODS:
            return True
        return request.user.is_authenticated

blog/views.py - terapkan object permission

from rest_framework import viewsets
 
from .permissions import IsOwnerOrReadOnly
from .models import Post
from .serializers import PostSerializer
 
class PostViewSet(viewsets.ModelViewSet):
    queryset = Post.objects.all()
    serializer_class = PostSerializer
    permission_classes = [IsOwnerOrReadOnly]
 
    def get_queryset(self):
        user = self.request.user
        if user.is_staff:
            return Post.objects.all()
        return Post.objects.filter(author=user)
 
    def perform_create(self, serializer):
        serializer.save(author=self.request.user)

IsOwnerOrReadOnly membolehkan baca publik, tetapi write hanya oleh pemilik objek. Dua lapis sekaligus: get_queryset memfilter level list (data yang dilihat), IsOwnerOrReadOnly.has_object_permission memeriksa level objek (detail/update/delete). Ini prinsip defense in depth — jangan pernah andalkan satu lapis saja.

#API yang Aman untuk SPA

Rangkuman arsitektur auth untuk SPA production:

• Access token pendek di memori (bukan localStorage) — minimal window bocor.
• Refresh token di HttpOnly cookie terpisah untuk rotasi yang transparan.
• Throttling di endpoint login/refresh (episode 19).
• 2FA untuk akun bernilai tinggi; OAuth2/allauth untuk login sosial.

#Penutup

Inti yang harus dibawa pulang:

• JWT lanjutan: ROTATE_REFRESH_TOKENS + BLACKLIST_AFTER_ROTATION mematikan token bekas.
• OAuth2 (django-oauth-toolkit) untuk aplikasi pihak ketiga; allauth untuk social login.
• 2FA TOTP (django-otp) menambah lapisan "something you have"; sediakan recovery codes.
• Object-level permission (IsOwnerOrReadOnly) + filter get_queryset = defense in depth.
• Access token di memori, refresh di HttpOnly cookie — hindari localStorage.

Di episode 21 selanjutnya kita masuk dunia realtime: Channels & WebSockets — beralih ke ASGI, menulis consumers dan routing, channel layers dengan Redis, serta membangun chat/notifikasi realtime di blog devblog. Sampai jumpa di episode 21!