Bảo mật phía backend

App của bạn giờ có người dùng thật — và mục tiêu thật

Khi bạn lưu người dùng, đơn hàng và tiền, ba việc sau thành trách nhiệm của bạn.

Authentication (xác thực) vs authorization (ủy quyền)

Vì sao cần xác thực

Internet đầy rẫy script cố hành động thay bất kỳ ai.

Đăng nhập cookie + session, từng bước

1. 1

   Người dùng gửi form

   POST /login kèm email + mật khẩu. Server băm (hash) mật khẩu và so với hash đã lưu (chi tiết ở Phần 2).

2. 2

   Server tạo session

   Một id ngẫu nhiên như sid=abc123 được lưu phía server, gắn với 'alice đang đăng nhập'. Server giữ bộ nhớ.

3. 3

   Cookie được gửi lại

   Response mang Set-Cookie: sid=abc123. Browser tự động lưu lại.

4. 4

   Browser gửi kèm mọi request

   Từ giờ, browser gắn Cookie: sid=abc123 vào mọi request tới site của bạn.

5. 5

   Server tra cứu

   Mỗi request: kiểm tra sid, tìm session, biết ai đang hỏi. Đăng xuất = xoá dòng session.

Mọi request sau khi đăng nhập

Cookie là tấm vé; session store là danh sách khách.

JWT — server quên, token nhớ

Token không có trạng thái do client mang theo — không cần session store.

API keys — cho dịch vụ, không cho con người

OAuth — 'đăng nhập bằng Google' và truy cập theo ủy quyền

Phương pháp auth nào, khi nào

Sessions cho đăng nhập web, JWT cho API stateless, key cho máy móc, OAuth khi người khác sở hữu danh tính.

Sai lầm auth khiến bạn bị hack

Đừng bao giờ lưu mật khẩu

Không plaintext, không 'đã mã hoá', không đảo ngược được. Tuyệt đối không.

Hashing — dấu vân tay một chiều

Salt — một chút muối ngẫu nhiên cho mỗi user

bcrypt / argon2 — chậm là cố tình

Đăng ký & đăng nhập bằng hash có salt

import bcrypt

def register(email, password):
    # bcrypt generates a fresh random salt for this user
    hashed = bcrypt.hashpw(password.encode(), bcrypt.gensalt())
    db.execute("INSERT INTO users(email, pw) VALUES(?, ?)", [email, hashed])

def login(email, password):
    row = db.execute("SELECT pw FROM users WHERE email = ?", [email]).fetchone()
    if row and bcrypt.checkpw(password.encode(), row[0]):
        return create_session(email)
    return None

Mật khẩu chỉ tồn tại trong bộ nhớ thoáng chốc. Thứ được lưu — và thứ vụ lộ để lộ — là hash.

Vụ lộ dữ liệu thực sự để lộ gì

SQL injection là gì

App của bạn ghép SQL từ input của user. CSDL không biết phần nào là của bạn.

Đăng nhập có lỗ hổng

def login(email, password):
    # email & password come from a text box — untrusted input
    q = "SELECT * FROM users WHERE email='" + email + "'"
    q = q + " AND password='" + password + "'"
    row = db.execute(q).fetchone()   # the DB runs whatever q says
    if row:
        return "logged in"
    return None

Ô email là dữ liệu — nhưng Python ghép nó vào câu SQL trước khi CSDL kịp nhìn thấy.

Giờ nhập vào ô email dòng này

-- the user types into the email field:
' OR 1=1 --

-- your string-building code produces:
SELECT * FROM users WHERE email='' OR 1=1 -- '
   AND password='whatever'

-- 1=1 is always true, and -- comments out the rest:
-- the password check is gone. every row comes back.

Payload chỉ là một chuỗi đối với bạn — nhưng với CSDL nó là chỉ thị: bỏ qua bước kiểm tra mật khẩu.

Attacker nhận được gì

Query tham số hoá — dữ liệu vẫn là dữ liệu

def login(email, password):
    # parameters: the query and the data travel separately
    row = db.execute(
        "SELECT * FROM users WHERE email = ? AND password = ?",
        [email, password],   # data stays data — never parsed as SQL
    ).fetchone()
    if row and bcrypt.checkpw(password.encode(), row[0]):
        return create_session(email)
    return None

CSDL nhận câu truy vấn và dữ liệu như hai thứ tách biệt. Dữ liệu không bao giờ có thể thay đổi câu truy vấn.

Nguyên tắc đằng sau cách sửa

HTTPS ở khắp nơi — bạn đã có rồi

Bí mật trong biến môi trường, không phải trong code

# .env — on the server only, NEVER committed to git
DATABASE_URL=sqlite:////data/shop.db
SESSION_SECRET=9f2c41d8e7b3...8812
SMTP_PASSWORD=correct-horse-battery

# .gitignore
.env

Code đi vào git (và có thể vào fork, log CI, hoặc đến tay người tuyển dụng). Bí mật ở lại server. Một dòng trong .gitignore giữ chúng ở ngoài.

Quyền tối thiểu — ai cũng chỉ nhận mức tối thiểu

Phòng thủ nhiều lớp — toàn bộ stack

Không lớp nào hoàn hảo. Đặt chung lại, chúng làm cho tấn công trở nên đắt đỏ ở mỗi bước.

Làm đúng những nền tảng này

Sáu thói quen đưa bạn vượt trước hầu hết các vụ lộ dữ liệu thực tế.