Proyek: Login Sederhana

Kenapa Proyek Ini?

Login adalah fitur paling diminta di web dan paling sering dibobol. Proyek akhir ini merangkai: form, validasi, password_hash/password_verify, session, session fixation protection, guard halaman, dan logout total. Selesai proyek ini, kamu punya template login aman yang bisa dipakai ulang di semua project.

<?php
// Contoh 1: struktur multi-file yang rapi
// config.php      -> daftar user (nanti diganti database)
// auth.php        -> fungsi guard + mulai session
// login.php       -> form + proses
// dashboard.php   -> halaman privat
// logout.php      -> keluar total

// --- auth.php ---
session_start();
function wajibLogin(): void {
    if (!isset($_SESSION["user_id"])) {
        header("Location: login.php");
        exit;
    }
}
function sudahLogin(): bool {
    return isset($_SESSION["user_id"]);
}

// --- config.php ---
$users = [
    // username => [id, hash, nama]
    "sinta" => ["id" => 1, "hash" => password_hash("sinta123", PASSWORD_DEFAULT), "nama" => "Sinta"],
];

Memisahkan auth.php membuat guard konsisten: setiap halaman privat cukup require "auth.php"; wajibLogin();. Satu tempat untuk semua aturan keamanan session.

<?php
// Contoh 2: proses login + dashboard + logout
// --- login.php ---
require "auth.php";
if (sudahLogin()) { header("Location: dashboard.php"); exit; }

$error = "";
if ($_SERVER["REQUEST_METHOD"] === "POST") {
    $u = trim($_POST["username"] ?? "");
    $p = $_POST["password"] ?? "";
    require "config.php";
    if (isset($users[$u]) && password_verify($p, $users[$u]["hash"])) {
        session_regenerate_id(true);
        $_SESSION["user_id"] = $users[$u]["id"];
        $_SESSION["nama"] = $users[$u]["nama"];
        header("Location: dashboard.php");
        exit;
    }
    // Pesan generik: jangan bocorkan username mana yang salah!
    $error = "Username atau password salah.";
}

// --- dashboard.php ---
require "auth.php";
wajibLogin();
echo "Halo, " . htmlspecialchars($_SESSION["nama"]);

// --- logout.php ---
require "auth.php";
$_SESSION = [];
setcookie(session_name(), "", time() - 3600, "/");
session_destroy();
header("Location: login.php");
exit;

Pesan error login selalu generik ("username atau password salah"), tidak pernah "username tidak ditemukan": memberi tahu username mana yang valid membantu penyerang menebak akun.

Jebakan yang Sering Terjadi

Brute force tanpa batas. Tanpa rate limiting, penyerang bisa mencoba ribuan password per menit. Tambahkan jeda: catat waktu/gagal login per IP di session atau file, tolak setelah 5 gagal dalam 5 menit. Di production, ini wajib.

Session tidak pernah kedaluwarsa. Session default hidup sampai browser ditutup. Untuk keamanan, set batas idle: simpan $_SESSION["terakhir_aktif"] = time() tiap request, dan logout paksa jika lebih dari 30 menit tidak aktif. Modul session-keamanan membahas pola ini lengkap.

Peta Jalan Setelah Ini

Template login ini adalah fondasi. Urutan belajar yang disarankan setelahnya:

1. Database: ganti array $users dengan tabel MySQL + prepared statement (modul database di track lanjutan).
2. Registrasi: form daftar dengan validasi + password_hash, kirim email verifikasi.
3. Reset password: token acak kedaluwarsa via email (jangan pernah kirim password lama!).
4. OAuth: "Login dengan Google" memakai library league/oauth2-google.
5. Framework: pindahkan ke Laravel: semua konsep ini (hash, session, guard, CSRF) sudah built-in dan lebih rapi.

Setiap langkah memakai ulang pola keamanan dari proyek ini. Kuasai fondasinya, dan framework hanya menjadi "cara yang lebih cepat menulis hal yang sama".

Catatan teknis: Template ini adalah fondasi; langkah berikutnya adalah mengganti $users array dengan database (prepared statement) dan menambah fitur "ingat saya" dengan token. Kerangka keamanannya (hash, regenerate, guard, logout total) tetap sama persis.