Bảo mật

Xác thực, phân quyền và các lỗ hổng web hay gặp.

Dàn ý

1. Session cookie vs JWT; lưu token ở đâu; thu hồi token.
2. OAuth2, OpenID Connect: các flow chính (authorization code + PKCE, client credentials).
3. Phân quyền: RBAC, ABAC; IDOR.
4. OWASP top 10: injection, XSS, CSRF, SSRF, broken access control.
5. Lưu mật khẩu: bcrypt / argon2, không phải SHA-256.
6. Mã hoá, quản lý secret, xoay vòng khoá.

Bảo mật riêng cho database: Bảo mật database.