Belajar GraphQL - Implementasi Authentication dengan JWT

#Pendahuluan

API production hampir selalu melindungi sebagian datanya. Episode 13 membangun lapisan pertama keamanan: authentication — membuktikan siapa pengguna itu. Kita akan mengimplementasikannya dengan JWT (JSON Web Token), standar de facto untuk API stateless.

Kita akan memahami konsep authentication versus authorization, membedah struktur JWT, membangun mutation login dan signup dengan bcrypt, menyematkan user ke context GraphQL, lalu mempelajari pola refresh token dan integrasi OAuth.

#Authentication Concepts

#Authentication versus Authorization

Kedua istilah ini sering tertukar:

Authentication menjawab "siapa kamu?" — proses verifikasi identitas (login dengan email dan password).
Authorization menjawab "apa yang boleh kamu lakukan?" — proses pemberian izin berdasarkan identitas.

Episode ini membahas authentication; authorization dengan role dan permission akan dibahas di episode 14.

#Stateless dengan Token

GraphQL menolak penggunaan session cookie tradisional di banyak implementasi karena GraphQL memakai satu endpoint dan sering dikonsumsi aplikasi mobile. Pendekatan yang dipakai adalah token-based stateless authentication: server memverifikasi token di setiap request tanpa menyimpan session di server. Ini membuat server mudah di-scale horizontal (episode 34) dan cocok untuk API yang dipakai banyak jenis client.

#JWT: Struktur dan Verifikasi

#Header, Payload, dan Signature

JWT terdiri dari tiga bagian yang dipisahkan titik: header.payload.signature.

Header: algoritma dan tipe token.
Payload: klaim seperti sub (subject), iat (issued at), dan exp (expiration).
Signature: hasil hash dari header dan payload dengan secret, untuk menjamin integritas.

Install library JWT

npm install jsonwebtoken bcryptjs

#Membuat dan Memverifikasi Token

Membuat JWT

import jwt from "jsonwebtoken";
 
export function createToken(user) {
  return jwt.sign(
    { sub: user.id, role: user.role },
    process.env.JWT_SECRET,
    { expiresIn: "15m" }
  );
}

Memverifikasi JWT

import jwt from "jsonwebtoken";
 
export function verifyToken(token) {
  try {
    return jwt.verify(token, process.env.JWT_SECRET);
  } catch {
    throw new Error("Token tidak valid atau kedaluwarsa");
  }
}

Perhatikan bahwa payload JWT tidak terenkripsi — hanya ditandatangani. Jangan pernah menaruh data sensitif seperti password di dalam token. Secret JWT_SECRET wajib disimpan sebagai environment variable (dibaca lewat process.env.JWT_SECRET), jangan di-hardcode.

#Implementasi Authentication

Pertama, buat mutation signup dengan hashing password:

Signup dengan bcrypt

import bcrypt from "bcryptjs";
 
async function signup(_, args, ctx) {
  const hashed = await bcrypt.hash(args.input.password, 10);
  const user = await ctx.prisma.user.create({
    data: { email: args.input.email, password: hashed },
  });
  return { token: createToken(user), user };
}

Lalu mutation login memverifikasi password:

async function login(_, args, ctx) {
  const user = await ctx.prisma.user.findUnique({
    where: { email: args.input.email },
  });
  if (!user) throw new Error("Email atau password salah");
 
  const valid = await bcrypt.compare(args.input.password, user.password);
  if (!valid) throw new Error("Email atau password salah");
 
  return { token: createToken(user), user };
}

Catatan keamanan: gunakan pesan error yang sama untuk "user tidak ada" dan "password salah" agar tidak membocorkan apakah email terdaftar. Salt rounds 10 pada bcrypt memberikan keseimbangan kecepatan dan keamanan yang baik.

#Context-Based Authentication

Setelah token dibuat, setiap request membawanya di header Authorization. Fungsi context mengekstrak dan memverifikasinya:

Context dengan autentikasi

import { startStandaloneServer } from "@apollo/server/standalone";
 
const { url } = await startStandaloneServer(server, {
  context: async ({ req }) => {
    const header = req.headers.authorization || "";
    const token = header.replace("Bearer ", "");
 
    if (!token) return { user: null };
 
    try {
      const payload = verifyToken(token);
      const user = await prisma.user.findUnique({ where: { id: payload.sub } });
      return { user };
    } catch {
      return { user: null };
    }
  },
});

Semua resolver kini bisa membaca ctx.user untuk mengetahui siapa yang login. Resolver yang butuh login tinggal memeriksa if (!ctx.user) throw new UnauthorizedError(). Pola pemeriksaan ini akan dirapikan menjadi reusable helper di episode 14.

#Refresh Token dan OAuth

#Pola Refresh Token

Access token berumur pendek (15 menit) demi keamanan. Untuk menghindari login ulang, gunakan refresh token berumur panjang yang disimpan di tempat aman:

Access token: pendek (15-30 menit), dikirim di tiap request, diverifikasi stateless.
Refresh token: panjang (7-30 hari), hanya dipakai untuk mendapatkan access token baru, dengan rotasi — setiap pemakaian mengeluarkan refresh token baru dan menonaktifkan yang lama.

Endpoint refresh token

async function refreshToken(_, args, ctx) {
  const stored = await ctx.db.refreshTokens.find(args.token);
  if (!stored || stored.revoked) throw new Error("Refresh token tidak valid");
 
  await ctx.db.refreshTokens.revoke(args.token);
  const user = await ctx.db.users.find(stored.userId);
  const newRefresh = createRefreshToken(user);
 
  await ctx.db.refreshTokens.store(newRefresh, user.id);
  return { accessToken: createToken(user), refreshToken: newRefresh };
}

Pertimbangkan juga revocation: daftar token yang dinonaktifkan, atau short-lived refresh token. Penyimpanan refresh token di client (misalnya di secure storage mobile) adalah keputusan keamanan penting yang akan dibahas lagi di episode 28.

#OAuth Integration

Untuk login dengan penyedia pihak ketiga, alurnya memakai OAuth: aplikasi diarahkan ke penyedia (Google, GitHub), penyedia mengembalikan authorization code, server menukarnya dengan access token penyedia, lalu mengambil profil user:

Alur OAuth di GraphQL

redirect ke Google -> code -> server -> token + profil -> user dibuat/ditemukan -> JWT app

Implementasi di GraphQL biasanya menambah mutation seperti loginWithGoogle(code: String!) yang menerima authorization code dari sisi client. Kita akan membahas integrasi nyata OAuth bersama NextAuth di episode 27.

#Penutup

Inti yang harus dibawa pulang:

Authentication membuktikan identitas; authorization mengatur izin.
JWT terdiri dari header, payload, dan signature; jangan pernah simpan data sensitif di payload.
Hash password dengan bcrypt; jangan pernah simpan password mentah.
Context GraphQL mengekstrak dan memverifikasi token di setiap request.
Refresh token berumur panjang dengan rotasi untuk menjaga akses tetap aman.
OAuth memungkinkan login dengan penyedia pihak ketiga lewat authorization code.

Di episode 14 selanjutnya kalian akan mempelajari authorization dan access control — pola field-level dan object-level authorization, Role-Based Access Control dengan role hierarchy, permission granular, direktif @auth dan @hasRole, middleware yang reusable, hingga data filtering berdasarkan kepemilikan dan scope. Siapa boleh akses apa akan kalian kendalikan penuh!