Autentikasi User dengan Flask-Login

Di artikel ini, kita akan membahas secara mendalam dan praktis cara membangun sistem autentikasi lengkap menggunakan Flask, dengan fokus utama pada ekstensi Flask-Login. Kita juga akan mengintegrasikan beberapa komponen penting lainnya seperti hashing password, token konfirmasi email, dan proteksi route.

1. Komponen Utama Autentikasi di Flask

Untuk membangun sistem autentikasi yang solid, kita biasanya membutuhkan:

Komponen	Fungsi	Paket yang Digunakan
Hashing Password	Menyimpan password secara aman	Werkzeug (`generate_password_hash`)
Session Management	Mengelola status login user	Flask-Login
Form Handling	Validasi input login & registrasi	Flask-WTF
Token untuk Konfirmasi	Verifikasi email / reset password	itsdangerous
Role & Permission	Membatasi akses berdasarkan peran user	Flask-Login + custom logic

2. Persiapan Proyek

Pastikan Anda sudah memiliki struktur proyek Flask yang rapi. Berikut paket yang akan kita gunakan:

1
pip install flask flask-sqlalchemy flask-login flask-wtf itsdangerous

Struktur folder yang direkomendasikan:

1
myapp/
2
├── app/
3
│   ├── __init__.py
4
│   ├── models.py
5
│   ├── forms.py
6
│   ├── views/
7
│   │   ├── __init__.py
8
│   │   ├── auth.py
9
│   │   └── main.py
10
│   └── templates/
11
├── config.py
12
└── run.py

3. Membuat User Model

Model User adalah fondasi dari sistem autentikasi.

`app/models.py`

1
from app import db
2
from werkzeug.security import generate_password_hash, check_password_hash
3
from flask_login import UserMixin
4

5
class User(UserMixin, db.Model):
6
    __tablename__ = 'users'
7

8
    id = db.Column(db.Integer, primary_key=True)
9
    email = db.Column(db.String(120), unique=True, index=True)
10
    username = db.Column(db.String(64), unique=True, index=True)
11
    password_hash = db.Column(db.String(128))
12
    confirmed = db.Column(db.Boolean, default=False)
13

14
    def set_password(self, password):
15
        self.password_hash = generate_password_hash(password)
16

17
    def verify_password(self, password):
18
        return check_password_hash(self.password_hash, password)
19

20
    def __repr__(self):
21
        return f'<User {self.username}>'

Catatan penting:

UserMixin dari Flask-Login memberikan method dasar yang dibutuhkan (is_authenticated, is_active, is_anonymous, get_id).
Password tidak pernah disimpan dalam bentuk plaintext.

`app/init.py`

1
from flask import Flask
2
from flask_sqlalchemy import SQLAlchemy
3
from flask_login import LoginManager
4

5
db = SQLAlchemy()
6
login_manager = LoginManager()
7
login_manager.login_view = 'auth.login'           # Nama endpoint halaman login
8
login_manager.login_message_category = 'info'
9

10
def create_app(config_name):
11
    app = Flask(__name__)
12
    app.config.from_object(config[config_name])
13

14
    db.init_app(app)
15
    login_manager.init_app(app)
16

17
    from .auth import auth as auth_blueprint
18
    app.register_blueprint(auth_blueprint, url_prefix='/auth')
19

20
    return app

User Loader

Tambahkan di app/models.py atau app/__init__.py:

1
from app.models import User
2

3
@login_manager.user_loader
4
def load_user(user_id):
5
    return User.query.get(int(user_id))

5. Membuat Form Autentikasi

`app/forms.py`

1
from flask_wtf import FlaskForm
2
from wtforms import StringField, PasswordField, BooleanField, SubmitField
3
from wtforms.validators import DataRequired, Length, Email, EqualTo
4

5
class LoginForm(FlaskForm):
6
    email = StringField('Email', validators=[DataRequired(), Length(1, 64), Email()])
7
    password = PasswordField('Password', validators=[DataRequired()])
8
    remember_me = BooleanField('Keep me logged in')
9
    submit = SubmitField('Log In')
10

11

12
class RegistrationForm(FlaskForm):
13
    email = StringField('Email', validators=[DataRequired(), Length(1, 64), Email()])
14
    username = StringField('Username', validators=[DataRequired(), Length(1, 64)])
15
    password = PasswordField('Password', validators=[
16
        DataRequired(), EqualTo('password2', message='Passwords must match.')
17
    ])
18
    password2 = PasswordField('Confirm password', validators=[DataRequired()])
19
    submit = SubmitField('Register')

6. Membuat Blueprint Autentikasi

`app/auth/views.py`

1
from flask import render_template, redirect, request, url_for, flash
2
from flask_login import login_user, logout_user, login_required, current_user
3
from . import auth
4
from .. import db
5
from ..models import User
6
from ..forms import LoginForm, RegistrationForm
7

8
@auth.route('/login', methods=['GET', 'POST'])
9
def login():
10
    form = LoginForm()
11
    if form.validate_on_submit():
12
        user = User.query.filter_by(email=form.email.data).first()
13
        if user is not None and user.verify_password(form.password.data):
14
            login_user(user, form.remember_me.data)
15
            next = request.args.get('next')
16
            if next is None or not next.startswith('/'):
17
                next = url_for('main.index')
18
            return redirect(next)
19
        flash('Invalid username or password.')
20
    return render_template('auth/login.html', form=form)
21

22

23
@auth.route('/logout')
24
@login_required
25
def logout():
26
    logout_user()
27
    flash('You have been logged out.')
28
    return redirect(url_for('main.index'))
29

30

31
@auth.route('/register', methods=['GET', 'POST'])
32
def register():
33
    form = RegistrationForm()
34
    if form.validate_on_submit():
35
        user = User(email=form.email.data,
36
                    username=form.username.data)
37
        user.set_password(form.password.data)
38
        db.session.add(user)
39
        db.session.commit()
40
        flash('You can now login.')
41
        return redirect(url_for('auth.login'))
42
    return render_template('auth/register.html', form=form)

7. Melindungi Route dengan `@login_required`

1
from flask_login import login_required
2

3
@main.route('/dashboard')
4
@login_required
5
def dashboard():
6
    return render_template('dashboard.html')

Jika user belum login dan mencoba mengakses halaman ini, Flask-Login akan otomatis mengarahkan ke halaman login (login_view yang sudah kita atur).

8. Konfirmasi Email (Account Confirmation)

Untuk meningkatkan keamanan, biasanya kita meminta user mengkonfirmasi email mereka.

Membuat Token dengan itsdangerous

1
from itsdangerous import URLSafeTimedSerializer
2

3
def generate_confirmation_token(email):
4
    serializer = URLSafeTimedSerializer(app.config['SECRET_KEY'])
5
    return serializer.dumps(email, salt=app.config['SECURITY_PASSWORD_SALT'])
6

7

8
def confirm_token(token, expiration=3600):
9
    serializer = URLSafeTimedSerializer(app.config['SECRET_KEY'])
10
    try:
11
        email = serializer.loads(token, salt=app.config['SECURITY_PASSWORD_SALT'], max_age=expiration)
12
    except:
13
        return False
14
    return email

Kemudian buat route untuk konfirmasi dan kirim email berisi link token tersebut.

9. Best Practices Keamanan

Berikut praktik terbaik yang sangat direkomendasikan:

Praktik	Alasan
Selalu hash password	Mencegah password bocor jika database diretas
Gunakan `login_required`	Melindungi halaman sensitif
Implementasikan “Remember Me” dengan hati-hati	Gunakan cookie yang aman
Batasi percobaan login	Gunakan Flask-Limiter atau Rate Limiting
Gunakan HTTPS di production	Melindungi data saat transmisi
Simpan session di server-side jika memungkinkan	Lebih aman daripada cookie saja
Logout user setelah ganti password	Mencegah session lama tetap aktif

10. Struktur File Akhir (Ringkasan)

models.py → User model + password hashing
forms.py → LoginForm dan RegistrationForm
auth/views.py → Blueprint untuk login, logout, register
app/__init__.py → Inisialisasi Flask-Login
templates/auth/ → Template login dan register

Kesimpulan

Sistem autentikasi yang baik adalah fondasi keamanan aplikasi web. Dengan menggunakan Flask-Login dikombinasikan dengan Werkzeug untuk hashing dan itsdangerous untuk token, kita bisa membangun sistem autentikasi yang:

Aman
Mudah dipelajari
Scalable
Sesuai dengan praktik terbaik industri

Autentikasi hanyalah langkah pertama. Di tahap selanjutnya, Anda bisa menambahkan:

Autentikasi User dengan Flask-Login

1. Komponen Utama Autentikasi di Flask

2. Persiapan Proyek

3. Membuat User Model

app/models.py

4. Konfigurasi Flask-Login

app/__init__.py