Otorisasi — siapa boleh apa

Autentikasi menjawab "kamu siapa"; otorisasi menjawab "kamu boleh menyentuh yang ini?". Yang kedua jauh lebih sering bocor, karena ia harus diperiksa di setiap objek, bukan sekali di gerbang.

Bentuk kerentanannya

GET /api/faktur/1001    → milikku, tampil        ✅
GET /api/faktur/1002    → milik orang lain...    ← apakah tetap tampil?

// ❌ RENTAN — memeriksa "sudah login", tidak memeriksa "ini milikmu"
func (h *Handler) AmbilFaktur(w http.ResponseWriter, r *http.Request) {
	id, _ := strconv.ParseInt(r.PathValue("id"), 10, 64)
	f, err := h.repo.Ambil(r.Context(), id)      // siapa pun bisa mengambil apa pun
	...
}

Pertahanan terkuat: batasi di kueri

// ✅ Kepemilikan jadi bagian dari WHERE. Data orang lain tidak pernah
//    ditemukan — bukan sekadar ditolak setelah ditemukan.
func (r *Repo) AmbilMilik(ctx context.Context, id, penggunaID int64) (Faktur, error) {
	var f Faktur
	err := r.db.QueryRowContext(ctx, `
		SELECT id, nomor, total
		FROM faktur
		WHERE id = $1 AND pengguna_id = $2`, id, penggunaID,
	).Scan(&f.ID, &f.Nomor, &f.Total)

	if errors.Is(err, sql.ErrNoRows) {
		return Faktur{}, ErrTidakDitemukan     // 404, BUKAN 403
	}
	return f, err
}

Empat lapis, dari yang paling lemah

Kebijakan di satu tempat

// internal/faktur/kebijakan.go — aturan tertulis sekali, dipakai dari mana saja
type Aksi string

const (
	AksiLihat Aksi = "lihat"
	AksiUbah  Aksi = "ubah"
	AksiHapus Aksi = "hapus"
	AksiKirim Aksi = "kirim"
)

func Boleh(u auth.Pengguna, a Aksi, f Faktur) bool {
	switch {
	case u.Peran == auth.PeranAdmin:
		return true

	case u.ID == f.PenggunaID:
		// Pemilik boleh melihat selalu, tapi hanya mengubah yang masih draf.
		switch a {
		case AksiLihat:
			return true
		case AksiUbah, AksiHapus:
			return f.Status == StatusDraf
		}

	case u.Peran == auth.PeranAkunting:
		return a == AksiLihat
	}
	return false
}

// Dipanggil di service — bukan di handler, supaya worker dan CLI ikut terlindungi.
func (s *Layanan) Ubah(ctx context.Context, id int64, ubah Perubahan) error {
	u := auth.DariContext(ctx)

	f, err := s.simpan.Ambil(ctx, id)
	if err != nil {
		return err
	}
	if !Boleh(u, AksiUbah, f) {
		return ErrTidakBerhak
	}
	...
}

Tes dua sisi

func TestKebijakanFaktur(t *testing.T) {
	pemilik := auth.Pengguna{ID: 1, Peran: auth.PeranBiasa}
	orangLain := auth.Pengguna{ID: 2, Peran: auth.PeranBiasa}
	admin := auth.Pengguna{ID: 9, Peran: auth.PeranAdmin}

	draf := Faktur{PenggunaID: 1, Status: StatusDraf}
	terkirim := Faktur{PenggunaID: 1, Status: StatusTerkirim}

	kasus := []struct {
		nama string
		u    auth.Pengguna
		a    Aksi
		f    Faktur
		mau  bool
	}{
		{"pemilik lihat draf", pemilik, AksiLihat, draf, true},
		{"pemilik ubah draf", pemilik, AksiUbah, draf, true},
		{"pemilik ubah terkirim", pemilik, AksiUbah, terkirim, false},
		{"orang lain lihat", orangLain, AksiLihat, draf, false},
		{"orang lain ubah", orangLain, AksiUbah, draf, false},
		{"admin ubah terkirim", admin, AksiUbah, terkirim, true},
	}

	for _, k := range kasus {
		t.Run(k.nama, func(t *testing.T) {
			if got := Boleh(k.u, k.a, k.f); got != k.mau {
				t.Errorf("Boleh() = %v, mau %v", got, k.mau)
			}
		})
	}
}

Tempat lain yang sering bocor

Daftar periksa

1. Setiap endpoint yang menerima ID membatasi kuerinya dengan kepemilikan atau tenant.
2. Setiap sumber daya punya fungsi kebijakan, dan kebijakannya dipanggil di service.
3. Setiap kebijakan punya tes dari kedua sisi.
4. Endpoint daftar diuji: pengguna A tidak melihat satu pun baris milik B.
5. Sumber daya bersarang memverifikasi seluruh rantai kepemilikan.
6. 404, bukan 403, untuk sumber daya yang keberadaannya sendiri rahasia.