Apa Itu OAuth? "Sign in with Google" dan Akses yang Didelegasikan, Dijelaskan

OAuth adalah standar terbuka yang memungkinkan pengguna memberi satu aplikasi akses terbatas ke akunnya di layanan lain, tanpa menyerahkan kata sandinya. Ketika Anda mengklik “Connect Google Calendar” dan melihat layar yang bertanya “Izinkan aplikasi ini melihat acara Anda?”, itulah OAuth. Aplikasi mendapatkan token hanya untuk apa yang Anda setujui, dan Anda bisa mencabutnya kapan saja. Mekanisme yang sama, ditambah sebuah lapisan bernama OpenID Connect, menggerakkan “Sign in with Google” dan tombol serupa.

Mengapa OAuth penting saat membangun dengan AI

OAuth muncul dalam dua situasi umum ketika Anda membangun aplikasi:

1. Login sosial. Anda ingin pengguna Anda “Sign in with Google” (atau Apple, Microsoft, GitHub) alih-alih membuat kata sandi baru. Lihat cara menambahkan login ke aplikasi Anda.
2. Terhubung ke akun pengguna di layanan lain. Aplikasi Anda perlu membaca kalender pengguna, memposting ke akun media sosial mereka, mengambil file dari drive cloud mereka, atau menyinkronkan data akuntansi mereka.

Dalam kedua kasus itu pembuat aplikasi AI Anda bisa menulis kodenya, tetapi beberapa langkah hanya bisa Anda lakukan sendiri: membuat aplikasi developer di penyedia, mendapatkan client ID dan client secret, mendaftarkan URL callback, dan untuk beberapa izin, melewati tinjauan penyedia. Memahami cara kerja OAuth membuat langkah-langkah itu — dan error yang dihasilkannya — tidak terlalu membingungkan. Untuk gambaran yang lebih besar tentang login, lihat apa itu autentikasi.

Analogi sehari-hari

Bayangkan kartu kunci kamar hotel. Saat check-in, resepsionis memastikan siapa Anda, lalu memberi kartu yang membuka kamar dan gym Anda — bukan kamar lain, bukan area staf — dan berhenti berfungsi saat check-out. Kartu itu tidak berisi paspor Anda. Jika hilang, resepsionis membatalkannya dan menerbitkan kartu baru.

• Resepsionis adalah authorization server (halaman login Google).
• Pemeriksaan identitas Anda adalah Anda yang masuk ke Google.
• Kartu kunci adalah access token.
• “Hanya kamar dan gym” adalah scope yang Anda setujui.
• Check-out adalah token yang kedaluwarsa, atau Anda mencabut akses.

Aplikasi yang Anda gunakan tidak pernah melihat kata sandi Google Anda, hanya kartu kuncinya.

Cara kerja OAuth, langkah demi langkah

Alur yang paling umum untuk aplikasi web adalah authorization code flow. Berikut yang terjadi ketika pengguna menghubungkan Google Calendar-nya ke aplikasi penjadwalan:

1. Klik. Pengguna mengklik “Connect Google Calendar.”
2. Alihkan ke penyedia. Aplikasi mengirim browser ke Google dengan client ID-nya, scope yang diminta (membaca acara kalender), dan redirect URI tempat Google harus mengembalikan pengguna.
3. Masuk dan setujui. Pengguna masuk ke Google (jika belum) dan melihat layar persetujuan yang mencantumkan apa yang diminta aplikasi. Mereka mengklik Allow.
4. Kembali dengan kode. Google mengalihkan browser ke redirect URI aplikasi dengan authorization code sekali pakai yang berumur pendek.
5. Ditukar di server. Server aplikasi mengirim kode itu, bersama client secret-nya, langsung ke Google dan menerima access token (dan sering kali refresh token).
6. Pakai API. Server memanggil API Google Calendar dengan access token dan mendapatkan acara pengguna.

Callback pada langkah 4 kira-kira terlihat seperti ini:

https://yourapp.com/auth/google/callback?code=4/0Adeu5B...&state=x7Kq9

Dan respons token pada langkah 5 berupa JSON seperti:

{
  "access_token": "ya29.a0Af...",
  "expires_in": 3599,
  "refresh_token": "1//0gL...",
  "scope": "https://www.googleapis.com/auth/calendar.readonly",
  "token_type": "Bearer"
}

Poin desain yang penting: pertukaran token terjadi server-ke-server, sehingga client secret dan token tidak perlu melewati browser.

OAuth vs OpenID Connect vs login buatan sendiri

Banyak aplikasi menggabungkan ketiganya: login dengan email dan kata sandi, ditambah “Sign in with Google” lewat OIDC, ditambah koneksi OAuth terpisah ke layanan lain.

Istilah kunci

Kesalahpahaman umum

• “OAuth adalah sistem login.” OAuth biasa hanya memberi akses; OpenID Connect yang menangani identitas. Menggunakan access token mentah sebagai bukti siapa seseorang pernah menyebabkan bug keamanan yang nyata.
• “Aplikasi mendapatkan kata sandi saya.” Tidak pernah. Itulah intinya.
• “Meminta lebih banyak scope itu tidak berbahaya.” Pengguna lebih waspada terhadap permintaan yang luas, dan penyedia seperti Google bisa mewajibkan tinjauan aplikasi untuk scope yang sensitif atau dibatasi. Mintalah hanya yang Anda butuhkan.
• “Client secret boleh diletakkan di frontend.” Apa pun di kode browser bersifat publik. Simpan di rahasia sisi server.
• “Jika berfungsi saat pengujian, pasti berfungsi di produksi.” Penyedia sering membatasi aplikasi yang belum diverifikasi — misalnya hanya untuk pengguna uji yang terdaftar — dan redirect URI untuk domain live Anda harus didaftarkan secara terpisah.
• “Token berlaku selamanya.” Access token kedaluwarsa dengan cepat, dan pengguna bisa mencabut akses. Aplikasi Anda harus menangani keduanya dengan baik.

Yang sebaiknya ditanyakan ke pembuat aplikasi AI

• “Tambahkan ‘Sign in with Google’ menggunakan OpenID Connect dengan library autentikasi yang terawat baik — jangan tulis sendiri alur OAuth-nya.”
• “Gunakan authorization code flow dengan PKCE dan periksa parameter state.”
• “Baca client ID dan client secret dari variabel environment di server.”
• “Minta hanya scope yang kita butuhkan: akses kalender hanya-baca.”
• “Beri tahu saya setiap redirect URL yang perlu didaftarkan di konsol penyedia, untuk preview, URL yang dipublikasikan, dan domain kustom saya.”
• “Simpan refresh token terenkripsi di database, dan tangani token yang kedaluwarsa atau dicabut dengan meminta pengguna menghubungkan ulang.”
• “Biarkan pengguna memutus integrasi dari halaman pengaturan mereka.”

OAuth dan Mythex

Mythex tidak memiliki login pengguna akhir bawaan untuk aplikasi yang Anda bangun; dokumentasinya menjelaskan pendekatan bawa-sendiri — Anda memilih library autentikasi atau penyedia hosted, menyimpan kuncinya sebagai rahasia proyek, dan agent menulis kodenya. Resep menambahkan autentikasi memiliki starter prompt untuk ini. Anda juga akan menemui OAuth di Mythex sendiri: Anda bisa mendaftar dengan Google, menghubungkan GitHub untuk sinkronisasi repo memakai OAuth GitHub, dan klien AI yang terhubung ke Mythex lewat MCP melewati halaman persetujuan OAuth. Untuk pembahasan lebih lanjut, lihat apa itu autentikasi dan apa itu two-factor authentication.

Pertanyaan