💬 Squad Chat Group

🟢 Tim Pro: Kenapa save() Jadi Pilihan?

• Cepat, praktis, tinggal kirim objek → ORM urus sisanya
• Cocok untuk full update, admin panel, atau form lengkap
• Sekali tulis, bisa handle insert atau update (UPSERT)
• DRY: bisa reuse fungsi yang sama tanpa mikir kolom spesifik

🔴 Tim Kontra: Kenapa save() Bisa Jadi Bumerang

• Gak aman buat partial update dari frontend
• Field sensitif bisa ke-overwrite karena NULL/default
• Payload kotor = bisa bikin silent data corruption
• Debugging jadi ribet karena gak keliatan field mana yang berubah

🧪 Analisa & Sudut Pandang Secure Coding

ORM .save() itu abstraction yang powerful... Tapi kalau kita kasih data setengah matang, ORM bisa aja ngira:

Padahal… bisa jadi frontend gak kirim field itu.

❌❌ Bad Practices ❌❌

Menggunakan .save() langsung dari payload frontend tanpa validasi atau sanitasi bisa berujung ke masalah besar.

Misalnya:

const payload = {
  id: 123,
  is_active: true, // cuma ini yang dimaksud
  // field lain gak dikirim → jadi undefined/null
};

await userRepo.save(payload); // ⛘ Field lain bisa ke-replace

Kenapa ini bisa bahaya?

• Field seperti role, status, atau flag bisa hilang nilainya jika tidak ikut dikirim oleh frontend.
• Default value dari DB bisa menimpa nilai lama tanpa terdeteksi.
• Logging perubahan jadi susah, karena kita gak tau mana field yang beneran diubah.
• ORM akan anggap semua field yang dikirim adalah “intended update”.

🛡️🛡️ Secure Best Practices 🛡️🛡️

Untuk partial update yang aman, kamu bisa gunakan pendekatan eksplisit di masing-masing stack:

✅ Typescript (MongoDB dengan Mongoose)

await User.updateOne(
  { _id: userId },
  { $set: { is_active: true } }
);

✅ Golang (PostgreSQL dengan SQLX)

_, err := db.Exec(`UPDATE users SET is_active = $1 WHERE id = $2`, true, userID)

✅ PHP (Laravel Eloquent dengan MySQL)

User::where('id', $userId)->update(['is_active' => true]);

Semua contoh di atas:

• Hanya mengubah field yang dimaksud
• Menjaga field lain tetap utuh
• Tidak bergantung pada keseluruhan object dari frontend

Tips tambahan:

• Validasi payload secara eksplisit
• Gunakan DTO (Data Transfer Object) atau Form Request (di Laravel)
• Audit log: simpan perubahan dan siapa yang melakukan
• Hindari auto-bind data tanpa filtering

✅ Takeaway Developer

Kalau update-nya full dan valid → boleh pakai .save(). Kalau cuma ubah sebagian atau dari frontend → mending .update().

🤔 Diskusi & Sharing Pengalaman

Lo tim save() atau update()? Pernah kena kasus field ketiban NULL cuma karena form gak lengkap?

Yuk share pengalaman lo. Biar semua developer belajar dari kasus nyata, bukan cuma dari dokumentasi.