Tag: security Cơ bản
Nội dung này là bản nháp và sẽ không được đưa vào các phiên bản thật.
17 bài viết được gắn tag security:
- BOLA/IDOR: đăng nhập rồi vẫn đọc được đơn của người khác
- CORS và CSRF: chặn đọc response chưa phải chặn request
- Dockerfile cho Node.js: multi-stage, layer cache và chạy non-root
- Hash mật khẩu: vì sao sha256 có salt vẫn vỡ khi database bị lộ?
- Lỗi hay gặp khi viết API: injection, phân quyền, secret, retry
- OAuth 2.0, OIDC và PKCE: đăng nhập qua identity provider mà không để lộ code hay token
- Rate limiting cho API: chọn thuật toán, lưu trạng thái ở đâu và trả lỗi thế nào
- Row-level security cho multi-tenancy: chung một schema, không đọc chéo tenant
- Sắp xếp: một lần đăng nhập OAuth Authorization Code + PKCE đúng chuẩn
- Secret trong Git, kích thước PR và checklist review
- Secure coding cho backend: lỗ hổng nằm ngay trong code bạn viết
- Session cookie hay JWT: chọn cơ chế xác thực cho backend
- SSRF: khi API fetch URL do client cung cấp
- Tình huống: API lộ đơn hàng của khách khác
- Tình huống: khách thấy hoá đơn của công ty khác
- Tình huống: token admin bị lộ
- Webhook: xác minh chữ ký, xử lý retry và chống xử lý trùng