Bảo mật web: xác thực khác phân quyền, băm khác mã hóa

🔐 Đăng nhập thành công có được phép xem mọi dữ liệu?

Không. Xác thực trả lời “bạn là ai”; phân quyền trả lời “danh tính này được làm gì với tài nguyên cụ thể”. Mỗi yêu cầu nhạy cảm phải được kiểm tra quyền ở máy chủ.

Mật khẩu

Lưu salted password hash bằng thuật toán chuyên dụng như Argon2 hoặc bcrypt.
Băm mật khẩu là một chiều để kiểm tra, không phải mã hóa cần giải mã.
TLS bảo vệ dữ liệu đang truyền nhưng không sửa lỗi phân quyền của ứng dụng.

⚠️ Không tin dữ liệu từ giao diện

Ẩn nút trong trình duyệt không phải kiểm soát quyền. Kẻ tấn công có thể tự gửi HTTP request; máy chủ phải kiểm tra đối tượng và hành động.

🔎 Mô hình đe dọa

Xác định tài sản, tác nhân, đường tấn công và biện pháp; ghi log sự kiện quan trọng nhưng không ghi mật khẩu, token hoặc dữ liệu nhạy cảm không cần thiết.

📚 Lý thuyết trọng tâm

Mục tiêu: Separate authentication, authorization, password hashing and transport encryption in a layered web-security model.. Khi học Bảo mật web: xác thực khác phân quyền, băm khác mã hóa, hãy xác định khái niệm, điều kiện áp dụng và mối liên hệ giữa các dữ kiện; không chỉ ghi nhớ kết luận.

🧭 Ví dụ có hướng dẫn

Chọn một tình huống điển hình của bài. Bước 1: ghi dữ kiện và câu hỏi cần giải quyết. Bước 2: chọn khái niệm hoặc quy tắc phù hợp. Bước 3: giải thích từng bước và kiểm tra kết quả với điều kiện ban đầu. Nếu đổi một dữ kiện, hãy dự đoán kết quả thay đổi thế nào.

✍️ Luyện tập

Tóm tắt bài bằng ba ý: khái niệm, điều kiện và kết luận.
Tự tạo một ví dụ đúng và một phản ví dụ; chỉ ra điểm quyết định.
Giải lại ví dụ khi thay đổi một dữ kiện, sau đó nêu cách kiểm chứng.

Checklist tự đánh giá

Tôi giải thích được “vì sao”, không chỉ nêu đáp án.
Tôi nhận ra trường hợp không áp dụng được quy tắc.
Tôi kiểm tra được đơn vị, bằng chứng hoặc tính hợp lí của kết luận.