92 Studi Kasus: Aplikasi Todo dengan Auth dan DB

Dalam dunia pengembangan perangkat lunak, membangun aplikasi to-do sederhana mungkin terdengar basic. Namun, ketika kita memasukkan elemen otentikasi (auth) dan integrasi basis data (DB), kompleksitasnya menjadi nyata—dan dalam realitas produksi, hal-hal “kecil” ini sering menjadi pijakan keterampilan inti seorang software engineer.

Di artikel kali ini, saya ingin membagikan sebuah studi kasus “ke-92” dari pengalaman saya membimbing tim pada bootcamp. Kita akan membahas bagaimana membangun aplikasi todo dengan auth dan DB—dengan contoh praktik, diagram, serta simulasi edge case yang sering diabaikan. Untuk studi kasus ini, saya akan pakai stack Express.js, MongoDB, dan JWT.

1. Overview Arsitektur

Mari kita lihat flow aplikasi ini secara garis besar.

Diagram Alur Mermaid

flowchart LR
    A[User] -->|Register/Login| B[API Auth Route]
    B -->|JWT Token| A
    A -->|Token| C[API Todo Route]
    C -->|CRUD Operation| D[Database (Todos Collection)]

flowchart LR
    A[User] -->|Register/Login| B[API Auth Route]
    B -->|JWT Token| A
    A -->|Token| C[API Todo Route]
    C -->|CRUD Operation| D[Database (Todos Collection)]

Garis besarnya:

• User mendaftar/login, server mengirim JWT token.
• Token tersebut digunakan untuk mengakses route TODO.
• Route TODO melakukan operasi CRUD ke database.
• Setiap todo dikaitkan ke user-nya (auth).

2. Struktur Database

Aplikasi membutuhkan dua koleksi (MongoDB):

Misal, dokumen todo seperti:

1{
2  "_id": "664f3bf...",
3  "user_id": "664f3be...",
4  "title": "Beli Kopi",
5  "description": "Pastikan arabika!",
6  "is_done": false
7}

3. Kode Inti: Express + MongoDB + JWT

Mari kita breakdown kode dalam tiga bagian utama.

a. Setup Auth

 1// authController.js
 2const bcrypt = require('bcrypt');
 3const jwt = require('jsonwebtoken');
 4const User = require('./models/User');
 5
 6// REGISTER
 7exports.register = async (req, res) => {
 8  const {username, password} = req.body;
 9  const hash = await bcrypt.hash(password, 8);
10  const user = await User.create({username, password_hash: hash});
11  res.status(201).json({message: 'User registered', user: user.username});
12};
13
14// LOGIN
15exports.login = async (req, res) => {
16  const {username, password} = req.body;
17  const user = await User.findOne({username});
18  if (!user) return res.status(401).json({message: 'User not found'});
19
20  const isMatch = await bcrypt.compare(password, user.password_hash);
21  if (!isMatch) return res.status(401).json({message: 'Invalid password'});
22
23  const token = jwt.sign({userId: user._id}, process.env.JWT_SECRET, {expiresIn: '1h'});
24  res.json({token});
25};

b. Middleware Auth

 1// middleware/auth.js
 2const jwt = require('jsonwebtoken');
 3
 4module.exports = (req, res, next) => {
 5  const token = req.headers['authorization']?.split(' ')[1];
 6  if (!token) return res.status(401).json({message: 'Token missing'});
 7
 8  try {
 9    const decoded = jwt.verify(token, process.env.JWT_SECRET);
10    req.user = decoded;
11    next();
12  } catch (err) {
13    res.status(401).json({message: 'Invalid/expired token'});
14  }
15};

c. CRUD Todo

 1// todoController.js
 2const Todo = require('./models/Todo');
 3
 4// GET ALL TODOs (per user)
 5exports.getTodos = async (req, res) => {
 6  const todos = await Todo.find({user_id: req.user.userId});
 7  res.json(todos);
 8};
 9
10// CREATE
11exports.createTodo = async (req, res) => {
12  const todo = await Todo.create({
13    user_id: req.user.userId,
14    title: req.body.title,
15    description: req.body.description,
16    is_done: false,
17  });
18  res.status(201).json(todo);
19};
20
21// UPDATE
22exports.updateTodo = async (req, res) => {
23  const todo = await Todo.findOneAndUpdate(
24    {_id: req.params.id, user_id: req.user.userId},
25    req.body,
26    {new: true}
27  );
28  if (!todo) return res.status(404).json({message: 'Todo not found'});
29  res.json(todo);
30};
31
32// DELETE
33exports.deleteTodo = async (req, res) => {
34  const result = await Todo.deleteOne({_id: req.params.id, user_id: req.user.userId});
35  if (result.deletedCount === 0) return res.status(404).json({message: 'Todo not found'});
36  res.json({message: 'Deleted'});
37};

4. Simulasi: Alur Request & Edge Case

Mari kita simulasi edge case yang sering terjadi:

a. User mencoba mengakses data user lain

Klien mengirimkan request:

1DELETE /api/todo/62e2d3...
2Authorization: Bearer xyz...

Endpoint mencari todo berdasarkan _id DAN user_id:

1Todo.deleteOne({_id: req.params.id, user_id: req.user.userId});

1{
2  "message": "Todo not found"
3}

b. Token Kadaluarsa

Jika JWT expired, semua akses auth-protected langsung terpental.

1{
2  "message": "Invalid/expired token"
3}

5. Testing Skenario di Postman

6. Opsional: Integrasi Frontend

Frontend bisa menggunakan React. Store token di localStorage atau cookie (HttpOnly jika concern XSS). Ajarkan user untuk handling expired token (logout otomatis/refresh).

7. Praktik Produksi

Beberapa tips ketika deploy ke production:

1. Enkripsi JWT Secret baik-baik (jangan hardcoded).
2. Jangan pernah log password user.
3. Limit request rate memakai express-rate-limit untuk mencegah brute-force login.
4. Sanitasi input untuk mencegah injection (meski MongoDB butuh attention khusus).
5. Monitoring error via log tailing seperti Sentry.

8. Studi Kasus Performa (Bonus Tabel)

(Test pada Mongo Atlas gratisan)

9. Kesimpulan & Improvement

Membangun aplikasi to-do dengan otentikasi dan database tampak sederhana di atas kertas, tapi begitu banyak aspek production-grade yang perlu diperhatikan: relay JWT, design skema DB, kontrol akses, hingga handling edge case. Studi kasus ke-92 ini membuktikan: “simplicity is deceptive—implementation is where the devil hides.”

Possible improvement:

• Refresh token flow.
• Soft delete (arsip, bukan hapus).
• Email verification/reset password.
• Logging yang comply GDPR.

Jika Anda ingin diskusi lebih lanjut seputar pattern otentikasi skala startup atau best practice deployment ke cloud, silakan komen—pengalaman di lapangan adalah guru terbaik, dan kita belajar studi kasus riil, bukan sekedar teori.

**Happy debugging! 🚀**