Pendahuluan dan Jawaban Langsung

Laravel: Kunci Session dan Secret Handling untuk API Berlapis menyoroti cara mengunci sesi pengguna dan rahasia (secret) pada API yang tersebar di berbagai layer layanan. Dalam konteks API modern, ancaman sesi hijack, replay attack, dan kebocoran secret dapat merusak integritas sistem. Dalam 1-2 paragraf ini, fokus diarahkan pada konfigurasi guard, cookies, rotasi secret, serta validasi token untuk memberikan lapisan pertahanan nyata dari awal.

Dalam artikel ini Anda akan menemukan contoh konfigurasi Laravel yang konkret, pola rotasi secret, integrasi validator token dengan Sanctum/Passport, serta langkah-langkah monitoring dan checklist sebelum deploy. Setiap bagian menjelaskan mengapa pendekatan dijalankan seperti itu sehingga bisa langsung diterapkan.

Mengidentifikasi Ancaman Utama pada API Berlapis

Untuk sistem API modern, tiga ancaman umum yang harus dimitigasi adalah sesi hijacking (mengambil alih session cookie), replay attack (token/stempel waktu digunakan ulang), dan secret leak (ENV file, credential yang bocor ke log atau repo). Ketika ada beberapa layer—misalnya API Gateway, layanan mikro, dan klien SPA atau mobile—kegagalan pada satu lapis bisa berdampak berantai.

Dalam praktiknya, mitigasi harus dimulai dari:

  • Pengamanan sesi dengan konfigurasi guard yang ketat dan cookie berbendera HttpOnly/secure/same-site.
  • Validasi token baik di gateway maupun layanan dalam untuk memastikan token belum dicabut.
  • Secret management agar credential database/API tidak disimpan mentah di environment file tanpa rotasi dan proteksi akses.

Konfigurasi Session Guard dan Cookie Aman

Laravel menyediakan file config/session.php untuk menentukan driver, lifetime, dan cookie. Untuk API berlapis, pertimbangkan agar sesi tetap stateless di tingkat gateway (misalnya token Bearer), namun gunakan session guard untuk endpoint internal atau panel admin. Pastikan cookie session disetel sebagai berikut:

  • 'same_site' => 'strict' untuk menghalangi pengiriman cookie lintas situs.
  • 'secure' => env('SESSION_SECURE_COOKIE', true) agar cookie hanya dikirim via HTTPS.
  • 'http_only' => true untuk mencegah akses JavaScript.

Contoh potongan konfigurasi:

'driver' => env('SESSION_DRIVER', 'cookie'),
'secure' => env('SESSION_SECURE_COOKIE', true),
'http_only' => true,
'same_site' => 'strict',
'lifetime' => 60, // menit
'expire_on_close' => false

Pindai dan hindari penggunaan 'driver' => 'file' pada environment produksi jika Anda menjalankan multi-instance tanpa shared storage. Gunakan Redis atau database session yang dikelola bersama sehingga sesi bisa divalidasi di semua layer.

Penyimpanan Persisten dan Shared Cookie

Jika gateway dan layanan backend berbagi domain, pastikan cookie session menargetkan domain induk (SESSION_DOMAIN) dan ditetapkan SESSION_DRIVER=redis untuk menjaga konsistensi. Untuk SPA, pertimbangkan membagi session cookie khusus dengan API_DOMAIN alias domain terbatas. Hindari menyimpan token akses di localStorage karena rentan XSS; gunakan cookie HttpOnly dan mekanisme refresh token yang disimpan aman.

Secret Handling dan Rotasi

Secret yang bocor menyebabkan akses tidak sah. Laravel menggunakan file .env untuk secret, tapi Anda tidak boleh mengandalkan file tersebut sebagai satu-satunya sumber. Terapkan pendekatan berikut:

  • Env dengan access control: Pastikan file .env hanya ada di server produksi dan diakses oleh user terbatas. Gunakan php artisan config:cache untuk mempercepat tapi ingat untuk menjalankan ulang saat env berubah.
  • Integrasi Vault atau Secret Manager: Tarik credential dari HashiCorp Vault/AWS Secrets Manager saat bootstrapping. Gunakan service provider custom untuk menyuntikkan konfigurasi yang di-cache.
  • Rotasi regular: Kunci API, database user, dan service token harus berganti secara otomatis/terjadwal dan disinkronkan dengan queue worker dan scheduler.

Contoh minimal service provider untuk memuat secret dari vault:

public function boot()
{
    $secret = $this->fetchFromVault('laravel-database');
    config(['database.connections.mysql.password' => $secret]);
}

protected function fetchFromVault(string $path)
{
    // panggil API Vault dengan credential token yang diputar secara berkala
}

Ingat: jangan mencetak secret ke log. Gunakan Log::debug('Connector ready', ['source' => 'vault']) tanpa mencantumkan isi secret. Ketika rotasi terjadi, jalankan php artisan config:cache dan php artisan route:cache ulang agar service worker membaca nilai terbaru.

Integrasi Sanctum/Passport dan Validasi Token

Laravel Sanctum cocok untuk SPA/mobile dengan cookie dan token per-device, sementara Passport lebih kuat untuk OAuth2 server-to-server. Pilih berdasarkan kebutuhan:

  • Sanctum: Jika API digunakan oleh SPA yang berada di domain sama atau subdomain dengan backend.
  • Passport: Saat membutuhkan standard OAuth2, scopes, dan token refresh antar layanan.

Setelah memilih, pastikan token disimpan dengan hashing di database dan dapat dikeluarkan ulang tanpa membeberkan credential client.

Validasi token harus dilakukan di middleware layer:

public function handle(Request $request, Closure $next)
{
    $token = $request->bearerToken();
    if (! $token || $this->isRevoked($token)) {
        return response()->json(['message' => 'Unauthorized'], 401);
    }
    return $next($request);
}

Aktifkan Passport::tokensCan(['read' => 'Read resources']) untuk mengikuti principle of least privilege. Gunakan middleware 'scope:read' jika endpoint butuh akses terbatas.

Validasi CSRF dan Upload Aman

Untuk endpoint berbasis cookie (Sanctum standard), Laravel secara otomatis memvalidasi CSRF via middleware VerifyCsrfToken. Pastikan semua request POST/PUT/DELETE dikirim dengan header X-XSRF-TOKEN atau cookie XSRF-TOKEN. Untuk API murni token, Anda bisa menonaktifkan CSRF, tapi wajib validasi token pada setiap request.

Upload file perlu diterapkan validasi tipe dan ukuran serta disimpan dengan path yang tidak dapat diakses langsung. Contoh sederhana:

'file' => 'required|file|mimes:png,jpg,pdf|max:2048'
$path = $request->file('file')->store('uploads', 'private');
Storage::disk('private')->put($path, $request->file('file')->get());

Konfigurasi disk private memastikan file tidak diakses tanpa kontrol auth. Validasi ini menghindari penyalahgunaan upload untuk menyisipkan malware.

Rate Limiting, Middleware Config, dan Monitoring

Laravel menyediakan middleware throttle untuk melindungi API terhadap flooding. Aktifkan pada route group:

Route::middleware(['auth:sanctum', 'throttle:60,1'])->group(function () {
    Route::get('/user', fn() => auth()->user());
});

Contoh middleware custom untuk memantau login dan gagal autentikasi:

public function handle(Request $request, Closure $next)
{
    $response = $next($request);
    if ($request->routeIs('login') && $response->status() === 200) {
        event(new LoginSuccessful(auth()->user()));
    }
    return $response;
}

Rekam event login/gagal menggunakan listener untuk disimpan pada log pusat atau monitoring tool. Gunakan channel log terpisah (monolog) untuk kejadian keamanan sehingga lebih mudah dianalisis.

Monitoring ini juga berguna untuk mendeteksi replay attack jika terdapat banyak percobaan token yang sama. Simpan hash token dan timestamp di cache untuk memastikan nilai lama tidak digunakan ulang.

Checklist Verifikasi Sebelum Deploy

  1. Pastikan SESSION_COOKIE memiliki flag Secure, HttpOnly, dan SameSite=strict.
  2. Verifikasi semua secret di-load melalui vault/secret manager dan php artisan config:cache dijalankan setelah perubahan.
  3. Cek middleware autentikasi: token di-hash, validasi scope, throttle aktif.
  4. Pastikan CSRF token untuk cookie-based auth, dan file upload tervalidasi tipe/ukuran.
  5. Uji rate limit dan konfigurasi guard di environment staging.
  6. Konfirmasi logging event login/gagal terkirim ke monitoring (misalnya Sentry, Elastic).
  7. Review pengaturan cache session (redis/database) agar horizontally scalable.

Kesimpulan

Laravel: Kunci Session dan Secret Handling untuk API Berlapis menuntut pendekatan bertahap: konfigurasi session guard yang ketat, pengelolaan secret yang terotentikasi, validasi token/CSRF yang konsisten, serta monitoring dan rate limit untuk mendeteksi abuse. Terapkan checklist sebelum deploy agar setiap layer sudah diuji dan siap menghadapi ancaman nyata. Pendekatan ini memastikan API Anda tetap aman tanpa mengorbankan pengalaman pengguna.