Kenapa sampeyan butuh access token lan refresh token pisan?

Question

IT Interview Practice · Accepted Answer

Loro token iku ana kanggo ngrampungake konflik langsung: access token kudu **dikirim ing saben request** (dadi kaeksposur banget), nanging sampeyan uga kepengin sesi sing **awet suwe** tanpa meksa login kerep. Sampeyan ora bisa nduweni loro-lorone kanthi aman ing siji token — dadi sampeyan mecah tugase.

## Loro peran

- **Access token** — umure cendhak (biasane 5–15 menit), dikirim ing header `Authorization` ing saben panggilan API. Amarga dikirim terus-terusan, bocor kamungkinan gedhe; nggawe cendhak tegese sing dicolong meh langsung kadaluwarsa.
- **Refresh token** — umure dawa (dina/minggu), dikirim **mung** menyang token endpoint server auth kanggo entuk access token anyar. Iku arang lelungan, bisa disimpen luwih aman, lan bisa dicabut ing sisih server.

```
Login ──▶ access (15m) + refresh (30d)
Saben panggilan API ──▶ kirim access
Access kadaluwarsa ──▶ kirim refresh ──▶ access anyar (+ refresh sing dirotasi)
```

## Kenapa ora mung siji token?

| | Siji access token umur dawa | Access + refresh |
|---|---|---|
| Eksposur | Dikirim saben request, urip suwe → jendhela nyolong gedhe | Access umure cendhak; refresh arang dikirim |
| Pencabutan | Angel (JWT stateless ora bisa dibatalake) | Cabut refresh token; access mati sajrone menit |
| UX | Login maneh kerep yen cendhak | Tetep login tanpa nglebokake kredensial maneh |
| Radius jeblugan bocor | Gedhe | Cilik (access cepet kadaluwarsa) |

- **Siji access token cendhak, tanpa refresh** → aman, nanging pangguna logout saben sawetara menit. UX ala.
- **Siji access token dawa** → UX apik, nanging token sing bocor valid suwe lan ora gampang dicabut.
- **Access + refresh** → jendhela eksposur cendhak *lan* sesi dawa. Refresh token iku siji-sijine rahasia umur dawa, lan mapan ing siji panggonan aman.

## Apa sing dimungkinake pamisahan iki

- **Pencabutan senadyan access token stateless.** Sampeyan ora bisa mbatalake JWT access token sadurunge kadaluwarsa, nanging sampeyan *bisa* mbusak/nolak refresh token, dadi sesi rampung ing refresh sabanjure (sajrone menit).
- **Rotasi refresh token** — terbitake refresh token anyar ing saben panggunaan lan deteksi panggunaan maneh sing lawas (tandha nyolong), banjur cabut kabeh ranteme.
- **Eksposur paling sithik** — rahasia umur dawa (refresh) dikirim menyang persis siji endpoint, idealé disimpen ing cookie `httpOnly`, adoh saka jangkauan XSS.

## Kenapa iki penting

Iki minangka desain auth modern sing standar, lan pewawancara takon iki kanggo ndeleng apa sampeyan ngerti *kena apa*, ora mung *kepiye*. Wawasan kuncine yaiku trade-off: statelessness lan eksposur cendhak (access) mungsuh sesi dawa lan bisa dicabut (refresh). Salah nglakoni — access token umur dawa, tanpa rotasi, refresh disimpen ing `localStorage` — ngowahi siji token sing bocor dadi kompromi akun umur dawa. Nyebutake pamisahan lan apa sing diwenehake saben token yaiku sing dikarepake dingerteni dening insinyur sing sadar keamanan.

	Siji access token umur dawa	Access + refresh
Eksposur	Dikirim saben request, urip suwe → jendhela nyolong gedhe	Access umure cendhak; refresh arang dikirim
Pencabutan	Angel (JWT stateless ora bisa dibatalake)	Cabut refresh token; access mati sajrone menit
UX	Login maneh kerep yen cendhak	Tetep login tanpa nglebokake kredensial maneh
Radius jeblugan bocor	Gedhe	Cilik (access cepet kadaluwarsa)

Loro peran

Kenapa ora mung siji token?

Apa sing dimungkinake pamisahan iki

Kenapa iki penting

Pitakon sing gegandhengan