Bagus banget penjelasannya kang. Cuman ada pertanyaan nih; bagaimana caranya service2 itu tau kalau sebuah JWT yang tadinya valid, sekarang harus dianggap invalid, misal, karena user logout atau user di banned/diblok dari layanan. Terimakasih
Pertanyaan bagus, biasanya biar auto expired session nya, di jwt di sisipkan expired time, jadi service yg baca harus cek juga expire time nya, dan ketika logout, session service harus menghapus jwt dari cookies nya.
Untuk blok user, alhasil jika belum expire, jwt tidak akan invalid. Nah ini jadi problem karena kalo account di take over sama hacker, maka secara otomatis gak bisa di kick user nya. Nah salah satu solusinya adalah dengan menggunakan mekanisme OAUTH2, nah kalo ini nanti kita bahas di video lain ya
Programmer Zaman Now! Terimakasih mas. Jadi setelah user logout, JWT nya baru akan invalid ketika JWT nya expired ya mas? Soalnya meskipun udah dihapus dari SessionService, kan service2 yang lain nggak tau.
@@dennywahyupratono7095 service lain gak kan nyimpen jwt, jwt itu disimpan di cookies browser, jd kalo di delete, otomatis service yg lain gak kan nerima jwt lagi
Terima kasih pak, meskipun video ini sudah lama diupload, tapi saya baru saja menontonnya dengan seksama hari ini. Terima kasih sekali lagi pak, karena dari video ini saya mendapat manfaat berupa pengetahuan baru yang mudah saya pahami berkat penjelasan dari pak eko yang gamblang. Semoga ilmu pengetahuan yang bapak bagikan ini menjadi barokah, dan semoga segala urusannya diberikan kelancaran, aamiin. Terus berkarya ya pak!
Favorite deh channel ini, singkat padat penejelasannya tapi mengena banget... mudah dipahami... terus berkarya bang saya terus dukung dan betah mengunjungi channel Programmer Zaman Now.
Whoah gila. Gw dulu disuru belajar jwt pas magang ruwetnya minta ampun ternyata setelah dijelasin systemnya se simple itu. Wkwkwkwk. Emng butuh otak dingin buat belajar plus guru yang terbaik tentunya. Dari penjelasan diatas langsung terjawab semua pertanyaan yang bikin ruwet selama ini. Wkwkwkk thanks bang
Mas kalau boleh request, coba bahas juga saudaranya yaitu *JWS* (JSON Web Signature) & *JWE* (JSON Web Encryption). Terus bahas juga use case kapan kita perlu menggunakan *JWE* ? kapan perlu menggunakan *JWT* ? * Oh iya, saya berharap playlist belajar Redis nya segera dimulai, wkwkwk. Tapi nggak papa, mungkin mas punya pertimbangan. Makasih banyak mas.
15:26 Mau tanya mas, kalau pakai Oauth2 dengan skema refresh token itu mau gak mau semua service harus sering call end point refresh token ya? dan sering nyocokin di db kalau refresh tokennya di simpan di DB. Mohon penjelasannya best practice nya gimana?
user service , order service dan yang lainnya itu , apakah maksutnya beda host ya? apa bedanya kita punya 1 host banyak container, dengan banyak host tapi tiap host berbeda service
Mas mau tanya, gimana ya agar token hasil loginnya tidak bisa di pakai jika digunakan di device lain ? misalkan ada yg copy token dari device user, lalu di pakai di laptop si penyerang untuk request di postman. terimakasih
Mas Eko, saya mau tanya dong. ini pertanyaan sudah saya cari dimana mana tapi masih belum mendapatkan jawaban yang jelas. Jadi ketika saya menggunakan access token dan refresh token di jwt implementasinya bagaimana ya. akses token kan untuk authorize request dimana biasanya memiliki expire time yang singkat sehingga dibutuhkan refresh token untuk mendapatkan akses token yang baru. Dimana saya harus menyimpan refresh token pada client side applikasi web saya ? Apakah disertakan pada header dan dikirim tiap request juga seperti akses token ? Apakah harus disimpan di dalam database pada client side ? Mohon bantuannya Mas Eko atau siapapun yang baca komentar ini karena saya masih pemula dan sangat bingung sekali.
Kang pingin tanya. Saya sudah coba pakai jsonwebtoken di node js buat server restfull api. JWT-nya saya pakai untuk verify user yang login. Tetapi kang saya masih bisa ngopy JWT dari komputer lain. Saya sudah coba pakai cookies, cookie-nya saya sudah coba pakai httpOnly sama Secure, tetapi di pihak front end masih bisa di edit pakai extension dari google chrome. Mohon bantuannya kang, senang bisa dapat balasan.
Wah kebetulan sekali nih, saya mau tanya kang, saya bikin token pake oauth2 + jwt pake java terus saya ingin sisipkan hasil token tersebut di bahasa pemrograman lain (server side) di headernya apakah bisa? Nuhun
Thanks banget penjelasannya mas. Tapi ada pertanyaan nih yg terngiang2 di otak saya. Jadi kan di jwt itu ada expeired time, nah misalkan ada service X diakses masih valid tuh tokennya kemudian dari service X balik lagi ke gateway ngakses service Y tokennya sudah expeired. Apa yang harus dilakukan system.
pak. tanya dong. kalo cookienya di steal di hack karena fieldnya inputannya misal ga ada filter XSS. terus setelah cookienya di steal, di replace semua. berarti sama dong pak. tetep bisa login?
Bang, mau nanya. kalo authorizationnya itu bakal dimasukin di payloadnya kan ya? Nah, yang saya liat ini, si payloadnya kan cuma diencrypt pake base64, yang artinya semua orang pada dasarnya bisa liat authorization structurenya. walaupun nggak bisa dimanipulasi tanpa ketauan karena signaturenya pasti salah, bijak nggak sih expose authorization structure itu ke publik? kalo saya kemaren bikin tokennya itu, selain secret key dan salt, saya bikin algonya juga rahasia, dan payloadnya diencrypt dan didecrypt dengan algo rahasia itu, sehingga nggak terexpose ke publik sama sekali (dan karena algonya emang rahasia, ya nggak ada headernya, cuma encrypted payload aja). Mohon bimbingannya untuk membandingkan 2 pilihan ini..
Maaf mas, ada pertanyaan nih kebetulan saya sedang buat service untuk auth 1. Konsep logout berarti “hanya” membersihkan cookies dari browser. Berarti service profile misalnya masih bisa di tembak by postman hingga expires token habis? bagaimana mengatasi kasus logout dan token seharusnya tidak berlaku lagi mas? 2. Untuk kasus token yang sudah expired tapi saya inginnya user tidak perlu login lagi berrti pake konsep refresh token? betulkah mas? Jika betul mungkin bisa minta tolong bagaimana konsepnya mas Terima kasih banyak Mas, suksess 🙏🏻🙏🏻
1. Ya, yg namanya jwt itu stateless, jd kalo diambil tokennya, jd pasti bisa dipake, sampai tokennya expired 2. Ya itu salah satu penggunaan konsep OAUTH2. jadi ada refresh token dan access token. Mungkin saya bahas di video lain
Apabila ingin mengatasi logout supaya tokennya tidak berlaku lg sebelum expired, mungkin kita bisa buat sistem blacklist token trsbt sampai expired tokennya dihapus blacklistnya..
![User Authentication in Flask App using JWT [ JSON Web Token ]](http://i.ytimg.com/vi/_3NKBHYcpyg/mqdefault.jpg)
Bagus banget penjelasannya kang. Cuman ada pertanyaan nih; bagaimana caranya service2 itu tau kalau sebuah JWT yang tadinya valid, sekarang harus dianggap invalid, misal, karena user logout atau user di banned/diblok dari layanan.
Terimakasih
Pertanyaan bagus, biasanya biar auto expired session nya, di jwt di sisipkan expired time, jadi service yg baca harus cek juga expire time nya, dan ketika logout, session service harus menghapus jwt dari cookies nya.
Untuk blok user, alhasil jika belum expire, jwt tidak akan invalid. Nah ini jadi problem karena kalo account di take over sama hacker, maka secara otomatis gak bisa di kick user nya. Nah salah satu solusinya adalah dengan menggunakan mekanisme OAUTH2, nah kalo ini nanti kita bahas di video lain ya
Programmer Zaman Now! Terimakasih mas. Jadi setelah user logout, JWT nya baru akan invalid ketika JWT nya expired ya mas? Soalnya meskipun udah dihapus dari SessionService, kan service2 yang lain nggak tau.
Siap mas. Ditunggu pembahasan mengenai OAuth nya. Subscribed 🔔
@@dennywahyupratono7095 service lain gak kan nyimpen jwt, jwt itu disimpan di cookies browser, jd kalo di delete, otomatis service yg lain gak kan nerima jwt lagi
Terima kasih pak, meskipun video ini sudah lama diupload, tapi saya baru saja menontonnya dengan seksama hari ini. Terima kasih sekali lagi pak, karena dari video ini saya mendapat manfaat berupa pengetahuan baru yang mudah saya pahami berkat penjelasan dari pak eko yang gamblang. Semoga ilmu pengetahuan yang bapak bagikan ini menjadi barokah, dan semoga segala urusannya diberikan kelancaran, aamiin. Terus berkarya ya pak!
09:04 token
signature 13:38
ngikutin dulu jaman masih strip bandung.. mantap kang semoga berkah.
Favorite deh channel ini, singkat padat penejelasannya tapi mengena banget... mudah dipahami... terus berkarya bang saya terus dukung dan betah mengunjungi channel Programmer Zaman Now.
Saya mantau channel yg lama ternya ada yg baru., Mantap ilmunya.., 👍
keren pembahasan beginian. Lanjutken kang
Ini yang ditunggu-tunggu bang.. Likeee
Saran saya pake Manual Fokus aja, di waktu tertentu kadang suka lost fokus mungkin AF nya berubah berubah
Mantap mas eko..👍, saya download aja dulu..
pembahasannya renyah banget
Channel Ganteng Intelek Terfavorite 🥰
Terimakasih mas eko atas ilmunya
Banng bukaannya cookie skrng hnya bisa di manage oleh browser.. Solusi g man bang.
Penjelasan nya enak mas dan peumpamaan nya juga masuk akal 👍
Sangat jelas penjelasannya terimakasih pak
Whoah gila. Gw dulu disuru belajar jwt pas magang ruwetnya minta ampun ternyata setelah dijelasin systemnya se simple itu. Wkwkwkwk. Emng butuh otak dingin buat belajar plus guru yang terbaik tentunya.
Dari penjelasan diatas langsung terjawab semua pertanyaan yang bikin ruwet selama ini. Wkwkwkk thanks bang
Sangat bermanfaat sekali, ditunggu pembahasan microservices nya mas
ditunggu pembahasan microservicenya mas
Wih, ada kawan koding mampir, noted, lain kali bikin video ngobrol bareng sama kawan koding ah
@@ProgrammerZamanNow Nyari ilmu 😁, dulu ngikutin tutorial javanya pas kuliah. Wah kehormatan kalo diajakin mas eko nih 😁
setuju bgt nih,,, microservice dong mas...
Mas kalau boleh request, coba bahas juga saudaranya yaitu *JWS* (JSON Web Signature) & *JWE* (JSON Web Encryption). Terus bahas juga use case kapan kita perlu menggunakan *JWE* ? kapan perlu menggunakan *JWT* ?
* Oh iya, saya berharap playlist belajar Redis nya segera dimulai, wkwkwk. Tapi nggak papa, mungkin mas punya pertimbangan. Makasih banyak mas.
penjelasannya keren jelas banget mas, kalo boleh Saya pengen request pembahasan oAuth2 mas. terimakasih :)
Om, bahasa gmn cara hide secretkey nya dong. Terutama di framework frontend javascript.
secretkey jwt bukan untuk di simpan di clientside, harus buat di server side
Daging semua keren Mas Eko
makasih mas.. sangat membantu
bang boleh minta contoh scriptnya? pakai php. terima kasih
Single Login pake JWT berarti ga bisa ya ? kan kita ga bisa force token expire
15:26 Mau tanya mas, kalau pakai Oauth2 dengan skema refresh token itu mau gak mau semua service harus sering call end point refresh token ya? dan sering nyocokin di db kalau refresh tokennya di simpan di DB. Mohon penjelasannya best practice nya gimana?
user service , order service dan yang lainnya itu , apakah maksutnya beda host ya?
apa bedanya kita punya 1 host banyak container, dengan banyak host tapi tiap host berbeda service
Terima kasih ilmunya kang, penjelasannya jelas banget :)
Mas mau tanya, gimana ya agar token hasil loginnya tidak bisa di pakai jika digunakan di device lain ? misalkan ada yg copy token dari device user, lalu di pakai di laptop si penyerang untuk request di postman. terimakasih
Masukkan aja informasi perangkat yg login di payload terus validasi di setiap service
Keren sumpah...
Makasih bang
Mas Eko, saya mau tanya dong. ini pertanyaan sudah saya cari dimana mana tapi masih belum mendapatkan jawaban yang jelas.
Jadi ketika saya menggunakan access token dan refresh token di jwt implementasinya bagaimana ya. akses token kan untuk authorize request dimana biasanya memiliki expire time yang singkat sehingga dibutuhkan refresh token untuk mendapatkan akses token yang baru.
Dimana saya harus menyimpan refresh token pada client side applikasi web saya ?
Apakah disertakan pada header dan dikirim tiap request juga seperti akses token ?
Apakah harus disimpan di dalam database pada client side ?
Mohon bantuannya Mas Eko atau siapapun yang baca komentar ini karena saya masih pemula dan sangat bingung sekali.
Suka banget ih
masuk pak eko
padet dan sangat bermanfaat penjelasanya, langusng pencet like + subscribe :D
Kang pingin tanya. Saya sudah coba pakai jsonwebtoken di node js buat server restfull api. JWT-nya saya pakai untuk verify user yang login. Tetapi kang saya masih bisa ngopy JWT dari komputer lain. Saya sudah coba pakai cookies, cookie-nya saya sudah coba pakai httpOnly sama Secure, tetapi di pihak front end masih bisa di edit pakai extension dari google chrome. Mohon bantuannya kang, senang bisa dapat balasan.
bahas mekanisme elasticsearch donk om
Notes
mantapp
Tutorial kafka ada ko rabit mq ga ada mas? Perbedaannya dgn amqp apa ya?
mantap penjelasannya om..
request tentang Microservice dan Doker dong om.
Wah kebetulan sekali nih, saya mau tanya kang, saya bikin token pake oauth2 + jwt pake java terus saya ingin sisipkan hasil token tersebut di bahasa pemrograman lain (server side) di headernya apakah bisa?
Nuhun
Bisa, kan jwt itu open standard, jd bisa diimplementasikan di bahasa pemrograman apapun
Wah siap kang semakin semangat nguliknya. Nuhun
mantap om
mas , giimana si dapetin secret keynya ?
Apakah sama saja dengan oAuth tentang JWT ini bang? Terima kasih
Berarti JWT itu sertifikasi / metode, kirain sebuah package yg digunakan untuk memverifikasi user
makasih bang
Mas. Tolong jelasin dong access token dan refresh token
kalo ini masuk ke oauth
Kalo konsep expired, refresh token di jwt itu gimana ya om?
Tinggal di remove aja dari cookies nya, cara yg paling bagus adalah menggunakan OAUTH2, tp nanti dibahas di video lain
Thanks banget penjelasannya mas. Tapi ada pertanyaan nih yg terngiang2 di otak saya. Jadi kan di jwt itu ada expeired time, nah misalkan ada service X diakses masih valid tuh tokennya kemudian dari service X balik lagi ke gateway ngakses service Y tokennya sudah expeired. Apa yang harus dilakukan system.
idealnya sebelum expire, di extend dulu, jangan terlalu mepet, misal 1 jam sebelum expire, di extend.
Ada contoh kodingannya kang ?
Kang, bahas bedanya jwt sama oauth2 dong
pak.
tanya dong.
kalo cookienya di steal
di hack karena fieldnya inputannya misal ga ada filter XSS.
terus setelah cookienya di steal, di replace semua.
berarti sama dong pak. tetep bisa login?
cookie nya harus http only, jadi kalo ada bug XSS, cookie gak kan bisa di curi
sblmnya makasih pak eko untuk ilmu yg bermanfaat saya mau nanya klo nyimpen token di database itu hukumnya apa ya pak?
Gak masalah token simpen di database, biar bisa di revoke suatu saat. Kalo bisa yg bisa auto expire database nya, seperti redis
Programmer Zaman Now got it pak thank you
OAUTH2 kpn di share bang ?? Bnyk yg nunggu ni
haha, siap2
Ayo bang sekalian di share biar pada pinter2
Bang, mau nanya. kalo authorizationnya itu bakal dimasukin di payloadnya kan ya?
Nah, yang saya liat ini, si payloadnya kan cuma diencrypt pake base64, yang artinya semua orang pada dasarnya bisa liat authorization structurenya. walaupun nggak bisa dimanipulasi tanpa ketauan karena signaturenya pasti salah, bijak nggak sih expose authorization structure itu ke publik?
kalo saya kemaren bikin tokennya itu, selain secret key dan salt, saya bikin algonya juga rahasia, dan payloadnya diencrypt dan didecrypt dengan algo rahasia itu, sehingga nggak terexpose ke publik sama sekali (dan karena algonya emang rahasia, ya nggak ada headernya, cuma encrypted payload aja).
Mohon bimbingannya untuk membandingkan 2 pilihan ini..
bang eko kalo token dari jwt harus disimpan didatabase gk ?
how to code?
Wah makasih mas, makin jelas nih soal JWT, apakah JWT ini bisa di kombine untuk sharedpreff ya mas ?
Sharedpreff itu apa ya? #hehe
@@ProgrammerZamanNow Shared Preferences di Android mungkin maksudnya, bang...
#CMIIW
tutorial dong bang plis
Telat 2 thun sya.. bru belajr belajar.. pdhl udh lama jdi programmer 😂😂
JWT Tokennya saat request ditaruh di header atau dibody ya mas? Makasih mas.
Tergantung token apa, kalo oauth, di header
@@ProgrammerZamanNow Oke makasih mas
OAuth dong
ngedit videonya pake apa nih mas? hehe
Pake screenflow
Bedanya sama uuid apa ya mas?
uuid itu random unique string
implementasiin bang contoh nya
Maaf mas, ada pertanyaan nih kebetulan saya sedang buat service untuk auth
1. Konsep logout berarti “hanya” membersihkan cookies dari browser. Berarti service profile misalnya masih bisa di tembak by postman hingga expires token habis? bagaimana mengatasi kasus logout dan token seharusnya tidak berlaku lagi mas?
2. Untuk kasus token yang sudah expired tapi saya inginnya user tidak perlu login lagi berrti pake konsep refresh token? betulkah mas? Jika betul mungkin bisa minta tolong bagaimana konsepnya mas
Terima kasih banyak Mas, suksess 🙏🏻🙏🏻
1. Ya, yg namanya jwt itu stateless, jd kalo diambil tokennya, jd pasti bisa dipake, sampai tokennya expired
2. Ya itu salah satu penggunaan konsep OAUTH2. jadi ada refresh token dan access token. Mungkin saya bahas di video lain
Apabila ingin mengatasi logout supaya tokennya tidak berlaku lg sebelum expired, mungkin kita bisa buat sistem blacklist token trsbt sampai expired tokennya dihapus blacklistnya..
ngulang belajar lagi jwt
Jangan lupa mampir :)