Day 29 — Keamanan Dasar & Optimasi Production

Fase: 3 — Deployment | Minggu: 6 | Hari: Kamis

---

🎯 Tujuan Hari Ini

• Melakukan audit keamanan dasar pada aplikasi SIMAS sebelum demo akhir.
• Menjalankan perintah optimasi cache Laravel untuk meningkatkan performa.
• Memahami cara membaca log error Laravel di production.
• Memastikan aplikasi siap untuk presentasi esok hari.

---

🔐 Bagian 1: Keamanan Dasar Aplikasi Laravel

Laravel sudah menyediakan banyak perlindungan secara bawaan. Tugasmu hari ini adalah memverifikasi semua perlindungan itu sudah aktif.

1.1 — Pastikan APP_DEBUG=false di Production

Ini sudah kita bahas di Day 26, tapi wajib diverifikasi kembali. Cek di Railway Variables.

1.2 — Proteksi CSRF (Cross-Site Request Forgery)

Laravel otomatis melindungi semua form POST dari serangan CSRF melalui @csrf directive di Blade. Lakukan audit:

# Cari semua form POST di project yang mungkin lupa @csrf
grep -rn --include="*.blade.php" "method=\"POST\"" resources/views/ | grep -v "@csrf"

Setiap form dengan method="POST" WAJIB memiliki @csrf.

1.3 — Validasi Input Wajib Ada di Controller

Cek bahwa semua method store() dan update() menggunakan $request->validate(). Jangan pernah menyimpan data mentah dari user langsung ke database.

BAD ❌:

Asset::create($request->all()); // BAHAYA! Mass assignment tanpa filter

GOOD ✅:

$validated = $request->validate([...]);
Asset::create($validated);

1.4 — Proteksi Hapus Data (Destructive Actions)

Pastikan tombol "Hapus" menggunakan form POST dengan method spoofing @method('DELETE'), bukan link GET:

{{-- BENAR: Menggunakan form POST --}}
<form action="{{ route('assets.destroy', $asset) }}" method="POST"
      onsubmit="return confirm('Yakin ingin menghapus aset ini?')">
    @csrf
    @method('DELETE')
    <button type="submit" class="btn btn-danger btn-sm">Hapus</button>
</form>

{{-- SALAH: Menggunakan link GET — bisa dieksploitasi --}}
<a href="/assets/{{ $asset->id }}/delete">Hapus</a>

---

⚡ Bagian 2: Optimasi Performa Production

Laravel menyediakan perintah caching yang membuat aplikasi berjalan jauh lebih cepat di production.

2.1 — Jalankan Perintah Optimasi

# Cache konfigurasi (gabungkan semua config ke satu file)
php artisan config:cache

# Cache route (compile semua route ke satu file)
php artisan route:cache

# Cache view Blade (compile semua view ke PHP)
php artisan view:cache

# Atau jalankan ketiganya sekaligus:
php artisan optimize

2.2 — Kapan Menjalankan Optimize?

Kapan	Perintah
Setelah deploy ke production	php artisan optimize
Saat development (ubah file)	php artisan optimize:clear
Ubah .env di production	php artisan config:clear

WARNING

Jangan jalankan config:cache atau route:cache di environment development! Ketika cache aktif, perubahan pada file config atau route tidak akan langsung terlihat — kamu harus clear cache dulu. Ini sumber kebingungan yang sering dialami developer baru.

2.3 — Tambahkan ke Startup Command Railway

Update railway.json untuk menjalankan optimize setelah deploy:

{
  "deploy": {
    "startCommand": "php artisan migrate --force && php artisan storage:link && php artisan optimize && php artisan serve --host=0.0.0.0 --port=$PORT"
  }
}

---

📋 Bagian 3: Membaca Log Error Laravel

Ketika APP_DEBUG=false, error tidak tampil di browser — tapi dicatat di log file.

Lokasi Log di Development (Laptop)

storage/logs/laravel.log

Cara Membaca Log di Railway

1. Buka dashboard Railway → service aplikasi
2. Tab "Logs" → lihat output realtime
3. Gunakan filter untuk mencari error tertentu

Format Log Laravel

[2026-04-01 08:30:00] production.ERROR: SQLSTATE[42S02] Table 'simas.loans' doesn't exist
  at /var/www/html/vendor/laravel/framework/src/...
  {
    "exception": "[object] (Illuminate\Database\QueryException ...)"
  }

Bagian penting yang harus dibaca:

• Level: ERROR, WARNING, INFO, DEBUG
• Pesan: Deskripsi error (biasanya sudah cukup jelas)
• Context: JSON di bawahnya berisi detail tambahan

---

🧪 Checklist Audit Keamanan & Optimasi

Jalankan audit berikut dan beri tanda centang:

Item Pemeriksaan	Status
APP_DEBUG=false di environment production	⬜
Semua form POST memiliki @csrf	⬜
Semua store() dan update() menggunakan validate()	⬜
Tombol hapus menggunakan form POST (bukan link GET)	⬜
File .env tidak ter-commit ke GitHub	⬜
php artisan optimize berhasil dijalankan	⬜
Tidak ada error di log setelah optimize	⬜

---

🎯 Persiapan Final untuk Demo Besok

Akhiri hari ini dengan melakukan persiapan demo:

1. Isi data demo di database production:

   • Minimal 3 kategori aset
   • Minimal 8 aset (beberapa dengan foto, beberapa tanpa)
   • Minimal 5 data peminjaman (campuran pending dan returned)

2. Test alur demo sekali dari awal ke akhir di URL production.

3. Siapkan slide presentasi (Google Slides / PowerPoint) dengan poin:

   • Pengenalan tim dan aplikasi
   • Demo fitur-fitur utama (termasuk upload dan export)
   • Challenge yang dihadapi dan cara mengatasinya
   • URL aplikasi production yang bisa dikunjungi audience

4. Tentukan urutan presenter untuk besok.

TIP

Lakukan demo dari URL production, bukan dari localhost. Ini menunjukkan bahwa aplikasimu benar-benar live dan bisa diakses siapapun — itulah poin yang paling mengesankan di mata mentor.