Kepiye access token lan refresh token kerja bareng?

Question

IT Interview Practice · Accepted Answer

Loro token ngetutake siklus urip sing prasaja: **access token umur cendhak** menehi wewenang saben panggilan API, lan **refresh token umur dawa** kanthi meneng nyithak access token anyar nalika kadaluwarsa — dadi pangguna tetep login tanpa nglebokake kredensial maneh.

## Alure

```
┌─────────┐  1. login (user + pass)   ┌────────────┐
│ Client  │ ────────────────────────▶ │ Auth server│
│         │ ◀──── access + refresh ─── │            │
└─────────┘                            └────────────┘
     │  2. panggilan API: Authorization: Bearer <access>
     ▼
┌────────────┐  verifikasi signature + exp   (tanpa lookup DB)
│ Resource   │ ──── 200 OK ────▶ (access isih valid)
│ API        │ ──── 401 ───────▶ (access kadaluwarsa)
└────────────┘
     │  3. nalika 401: POST /token { refresh }
     ▼
┌────────────┐  verifikasi + rotasi
│ Auth server│ ──── access anyar (+ refresh anyar) ────▶ baleni panggilan
└────────────┘
```

1. **Login** — pangguna otentikasi sepisan; server mbalekake sawijining **access token** (TTL cendhak) lan sawijining **refresh token** (TTL dawa).
2. **Ngakses API** — client ngirim access token ing `Authorization: Bearer …` ing saben request. API mriksa kanthi stateless (signature + `exp`) banjur nanggapi — ora butuh session store.
3. **Refresh nalika kadaluwarsa** — nalika API mbalekake `401` (utawa client weruh `exp` wis cedhak), client nge-POST **refresh token** menyang endpoint `/token` server auth lan entuk access token anyar, banjur mbaleni request asline. Pangguna ora ngrasa apa-apa.
4. **Logout / cabut** — server mbusak utawa nglebokake refresh token ing denylist; refresh sabanjure gagal lan sesi rampung (access token saiki isih mati dhewe sajrone menit).

```js
// Interceptor client: refresh sepisan nalika 401, banjur baleni.
async function apiFetch(url, opts = {}) {
  let res = await fetch(url, withAuth(opts, accessToken));
  if (res.status === 401) {
    accessToken = await refreshAccessToken(refreshToken); // POST /token
    res = await fetch(url, withAuth(opts, accessToken));   // baleni
  }
  return res;
}
```

## Rotasi refresh token

Praktik paling apik yaiku **rotasi**: saben panggilan refresh mbalekake refresh token *anyar* lan mbatalake sing lawas. Yen refresh token lawas (sing wis dipakai) diaturake maneh, iku tandha nyolong — server nyabut kabeh kulawarga token lan meksa login maneh. Iki mbatesi karusakan saka refresh token sing dicolong.

## Panyimpenan

- **Refresh token** → cookie `httpOnly`, `Secure`, `SameSite` supaya JavaScript (lan mulané XSS) ora bisa maca.
- **Access token** → disimpen ing memori ing client; umur cendhak mbatesi eksposur.
- Aja nyelehake salah sijine ing `localStorage` yen bisa dihindari — bisa diwaca dening skrip apa wae sing disuntikake.

## Kenapa iki penting

Alur iki minangka balung mburi manajemen sesi ing SPA, aplikasi mobile, lan API modern, dadi pewawancara ngarepake sampeyan nelusuri saka pucuk nganti pungkasan: terbitake loro-lorone nalika login, wenehi wewenang nganggo access token, refresh kanthi transparan nalika kadaluwarsa, lan rotasi + cabut kanggo keamanan. Nglakoni detaile kanthi bener — verifikasi stateless, refresh mung ing token endpoint, rotasi kanthi deteksi panggunaan maneh, lan panyimpenan `httpOnly` — yaiku bedane antara sesi sing alus lan aman karo sesi ing ngendi siji token sing dicolong tegese pangrebutan akun umur dawa.

Alure

Rotasi refresh token

Panyimpenan

Kenapa iki penting

Pitakon sing gegandhengan