[SECURITY] Token API Harus Expire & Support Rotasi/Revocation

[vickyrolanda]

Masalah

Token personal API/Sanctum bersifat permanent (expiration = null), sehingga credential yang bocor valid selamanya sampai dihapus manual di DB. Tidak ada mekanisme rotasi/revoke yang proper.

Dampak

• Unauthorized access bisa terjadi lama sekali bila token bocor
• Tidak comply best practice dan compliance requirements

Langkah Penyelesaian

1. Ubah setting config/sanctum.php agar token expired secara otomatis (contoh: expired = 60 menit)
2. Implementasi endpoint atau antarmuka untuk revoke/rotasi token
3. Simpan metadata (issued_at, ip, user_agent) serta cek anomali penggunaan token

Contoh

'expiration' => 60, // 60 menit
$user->currentAccessToken()->delete(); // revoke

Setelah Perbaikan

• Token lama otomatis tidak berlaku, tes misuse dari IP/device berbeda ter-log dan di-block jika perlu.