Hệ thống & kiến trúc
12 bài viết gắn thẻ #security trên DiCodeWeb, từ nền tảng đến production, mới nhất trước.
12 bàiCập nhật 31 thg 10, 2026
Thế nào là secret, file .env và token CI dài hạn thực sự bị lộ ra sao, làm gì trong giờ đầu tiên sau khi lộ, so sánh các kho secret, GitHub Actions OIDC sang AWS và GCP thay cho key tĩnh, xoay vòng secret không downtime, và validate env có kiểu trong monorepo Turborepo.
Link preview, webhook, import ảnh từ URL và upload file trông như tính năng nhàm chán, nhưng cứ xuất hiện trong báo cáo sự cố. Vì sao blocklist SSRF thất bại, fetch an toàn trong Node với undici và pin IP, IMDSv2, và pipeline upload: presigned S3, magic bytes, sharp, domain riêng, quét bất đồng bộ.
Mô hình cross-origin của trình duyệt từ gốc: Same-Origin Policy chặn gì, CORS nới lỏng gì và không bao giờ bảo vệ gì, preflight và credentials, bug cache vì thiếu Vary: Origin, allowlist nguy hiểm, rồi CORP, COEP, COOP, Fetch Metadata và SameSite — kèm cấu hình NestJS và Next.js làm cho đúng.
Mô hình mối đe doạ thực tế cho ứng dụng đặt LLM giữa tool và dữ liệu riêng tư: prompt injection trực tiếp và gián tiếp, lethal trifecta, và các design pattern giữ thiệt hại trong tầm kiểm soát, đối chiếu với OWASP Top 10 for LLM Applications.
Đi qua cả mười rủi ro của OWASP API Security Top 10 (2023) bằng NestJS: kiểm tra quyền sở hữu trong scoped repository, DTO whitelist, định hình response, policy kiểu CASL, rate limit theo chi phí, business flow idempotent, fetch chống SSRF và ma trận phân quyền trong e2e test.
JWS khác JWE thế nào, những claim bắt buộc phải kiểm tra, alg: none, nhầm lẫn RS256/HS256, kid injection, lạm dụng jku — và cách pin thuật toán với jose, xoay khoá JWKS không làm ai bị logout, thu hồi token và test verifier bằng chính những token độc.
Đi từng request HTTP của luồng authorization code + PKCE, phân biệt state, nonce, ID token và access token, vì sao implicit flow đã chết, và cách dựng Backend-for-Frontend trong Next.js để token không bao giờ xuống trình duyệt — kèm refresh rotation, logout và các lỗ hổng mình gặp thật.
Cách mình chạy threat modeling thực tế cho một team sản phẩm: bốn câu hỏi, vẽ DFD với trust boundary, đi STRIDE từng phần tử trên một hệ thống thật có SPA, API, Postgres, S3, webhook thanh toán và admin panel, chấm rủi ro đơn giản, biến threat thành ticket và giữ threat model sống trong repo.
Một thiết kế xác thực trung thực cho API NestJS và frontend Next.js: khi nào dùng session, khi nào dùng JWT, cách xoay vòng refresh token có phát hiện tái sử dụng, đăng nhập bằng passkey với SimpleWebAuthn, và các guard, rate limit, CSRF đi kèm.
Coding agent thật sự giúp được team frontend ở đâu và âm thầm hỏng ở đâu, cách cho chúng context bằng AGENTS.md và task nhỏ, lên plan trước khi code, vòng lặp kiểm chứng, review PR do AI viết, rủi ro supply chain như slopsquatting, và những kỹ năng nào quan trọng hơn với kỹ sư mid và senior.
Từ Nx s1ngularity, chalk/debug đến Shai-Hulud, TanStack và ChainDrop: các vụ tấn công npm thực sự đã làm gì, npm và GitHub đã thay đổi những gì, và một hệ phòng thủ nhiều lớp — install, CI, publish — áp dụng thẳng vào một monorepo Bun + Turborepo.
React escape giúp bạn rất nhiều, nhưng không phải tất cả. Bài này đi qua những lỗ hổng XSS vẫn lọt qua React, cách dựng CSP nghiêm ngặt bằng nonce trong Next.js, Trusted Types, CSRF thời SameSite, chuyện lưu token ở đâu và cách chặn clickjacking.