Câu hỏi API, mạng và bảo mật

Safe không yêu cầu thay đổi state theo intent; idempotent nghĩa lặp request có intended effect như một lần. GET safe+idempotent; PUT/DELETE idempotent nhưng không safe.

Key scoped, fingerprint payload, atomic owner/result storage, concurrent duplicate wait/read result, same key khác payload conflict, TTL và audit rõ.

401 yêu cầu authentication hợp lệ và thường có WWW-Authenticate; 403 là server hiểu identity/request nhưng từ chối quyền.

no-cache cho lưu nhưng phải revalidate trước reuse; no-store yêu cầu không lưu.

Validator representation cho conditional GET/304 và có thể optimistic concurrency với If-Match.

Cursor/keyset nhanh và ổn định cho dataset thay đổi; cần unique order và opaque cursor. Offset dễ nhảy trang nhưng sâu chậm/drift.

Dùng trace/correlation timeline: DNS, connect, TLS, queue proxy, app, DB/downstream; kiểm tra timeout/pool/saturation từng hop và percentile.

Connect giới hạn thiết lập connection; read giới hạn chờ dữ liệu sau khi kết nối. Cần overall deadline để nhiều phase/retry không vượt budget.

Resource server có thể validate local, nhưng key rotation, revocation, user disable, refresh token và authorization data vẫn có state/coordination.

Access token dành resource server/authorization; ID token chứng minh authentication cho OIDC client. Không gửi ID token như access token.

Ràng buộc authorization request với token exchange bằng verifier/challenge, giảm nguy cơ intercepted authorization code bị attacker đổi token.

Không. CORS là browser policy cho script đọc response. Server vẫn cần authentication/authorization/rate limit.

Khi browser tự gửi credential như cookie. Bearer token thủ công không có cùng cơ chế nhưng XSS/token storage vẫn là rủi ro.

Broken Object Level Authorization: user đổi object ID để truy cập object không thuộc quyền. Phải authorize từng object server-side.

Không cho URL tùy ý; allow-list scheme/host/port, resolve và chặn private/link-local, kiểm soát redirect/DNS rebinding, egress policy và timeout/size.

Không: NAT làm nhiều user chung IP, attacker phân tán IP. Kết hợp principal, token, tenant, operation/resource và global capacity.

Một tầng có ownership, bounded exponential backoff+jitter, deadline và idempotency. Retry nhiều tầng nhân attempts thành storm.

Không tự động. Proxy→backend là trust boundary khác; cần network policy/mTLS khi cần và chỉ tin forwarded headers từ trusted proxy.

Ưu tiên additive backward compatibility, schema evolution và telemetry; breaking change dùng explicit version/deprecation/migration window.

Actor, action, resource, decision/result, timestamp, request/trace ID và source context; redact token/secret/PII, bảo vệ integrity/retention.

OS/JVM resolver cache hoặc HTTP connection pool giữ connection/IP lâu hơn TTL; load balancer/NAT cũng có state.

Client gửi ETag của version đã đọc; server chỉ update nếu current representation match, nếu không trả 412.

Ordered values + unique tie-breaker, filter/version context; opaque/signed nếu chống sửa, và stable semantics khi data đổi.

Outcome unknown; query/reconcile bằng idempotency key, không retry charge với key mới. Workflow lưu state và provider dùng stable key.

Tin kid như path/URL/query có thể injection/SSRF/key confusion. Chỉ lookup trong trusted key set từ configured issuer.

state bind authorization response với client request/CSRF; nonce bind ID token với authentication request và chống replay.

Không; có browser/flow exceptions, same-site subdomain threats và XSS. Kết hợp token/origin/method discipline.

BOLA là quyền trên object cụ thể; function-level là quyền gọi chức năng/route. Một user có quyền list nhưng không đọc mọi object.

Scope đủ hẹp theo downstream/operation/tenant nếu cần; breaker toàn app có blast radius lớn và trộn failure modes.

Publish new public key, signer chuyển new kid, validators accept old+new trong overlap, chờ old tokens expire rồi retire và audit.

JWT thường gồm base64url header, payload và signature; signature bảo vệ integrity/authenticity nhưng payload không được mã hóa mặc định. Resource server phải cố định thuật toán cho phép, xác minh signature bằng trusted key và kiểm tra iss, aud, exp, nbf cùng quyền/scope. Token ngắn hạn giảm cửa sổ rủi ro nhưng logout/revocation, key rotation, replay và token storage vẫn cần thiết; không đặt secret/PII trong payload.

Sau DNS và TCP, client gửi ClientHello gồm TLS versions, cipher suites, random và key share/SNI; server chọn tham số, gửi certificate và key share. Client kiểm tra chain tin cậy, hostname, thời hạn/chính sách certificate; hai bên dẫn xuất session keys và xác nhận Finished, rồi HTTP được mã hóa và kiểm tra integrity. TLS 1.3 hỗ trợ resumption để giảm round trip; nếu terminate TLS tại proxy thì proxy-to-backend là một trust boundary khác cần được bảo vệ.

JWT phù hợp khi nhiều resource servers cần validate local và chấp nhận authorization snapshot đến lúc token hết hạn. Opaque token + introspection dễ thu hồi/kiểm soát state tập trung nhưng thêm network dependency và latency. Chọn theo revocation requirement, audience boundaries, token size/privacy và operational model, không vì JWT luôn “stateless”.

Không có lựa chọn miễn nhiễm mọi rủi ro. Token trong localStorage dễ bị XSS đọc; HttpOnly Secure SameSite cookie giảm token theft từ JavaScript nhưng cần CSRF defense và cookie scope đúng. Thường giữ access token ngắn hạn trong memory/BFF session, refresh token được bảo vệ chặt, CSP/XSS prevention và rotation/reuse detection.

Dùng access token TTL ngắn, revoke/rotate refresh token và kiểm tra trạng thái tại refresh. Với sự kiện rủi ro cao có thể dùng deny-list theo jti, token version/user session version hoặc introspection, đổi lại thêm state/cache consistency. Key rotation thu hồi diện rộng nhưng blast radius lớn và không thay session-level revocation.

HTTPS cung cấp confidentiality, integrity và server authentication trên đường truyền nếu certificate validation đúng. Nó không bảo vệ dữ liệu trước malware/XSS ở client, sau khi decrypt tại server/proxy, khỏi authorization lỗi, log rò secret hoặc endpoint hợp lệ bị compromise. Vẫn cần application security, encryption/storage controls và trusted internal hops.

Client xây chain đến trust anchor, kiểm tra chữ ký, hostname/SAN, validity, key usage/policy và trạng thái theo platform. Attacker có certificate hợp lệ do CA/trust store bị lạm dụng vẫn là rủi ro; pinning chỉ phù hợp một số controlled clients vì rotation/recovery khó. Không tắt hostname/certificate verification để chữa lỗi môi trường.

HTTPS thông thường xác thực server; mTLS yêu cầu client cũng gửi certificate để server xác thực workload/device. mTLS hữu ích service-to-service zero-trust nhưng cần issuance, rotation, revocation và identity mapping. Nó xác thực transport peer, không tự thay user authentication hay business authorization.

A role can authorize the function while the requested object belongs to another tenant or user. Enforce ownership and tenant scope at the data/use-case boundary for every object.

A broad export can scan large data, consume CPU/memory/storage and call paid providers. Bound rows, fields, concurrency, time and cost; use quotas and asynchronous jobs.

An authorization bug grants access that policy forbids; sensitive-flow abuse uses valid access to automate scalping, spam or checkout. The latter needs velocity/risk controls and business-specific detection, not only role checks.

A partner can be compromised, return malformed or oversized data, or become slow. Treat the response as untrusted input: validate schema/size, sanitize by context, set deadlines and isolate failure.

Register hosts, routes, owners and versions; measure usage and sensitive clients, publish a deprecation window/migration guide, alert remaining callers, then disable and verify no traffic before removal.