Bảo mật và rate limit đúng cách

Vì sao đếm theo IP ở Việt Nam là chặn oan hàng trăm người thật, mô hình trần đúng theo phiên, và danh sách tự tấn công app của mình.

Bài này có một bài học đã trả giá hai lần bằng sự cố diện rộng. Nếu bạn chỉ đọc một mục trong cả Cấp 4, hãy đọc mục đầu tiên.

Đếm theo IP là sai ở Việt Nam

Không bao giờ đếm trần theo IP trần cho luồng người thật.

Lý do: mạng 4G Việt Nam dùng NAT cấp nhà mạng (CGNAT) — hàng trăm tới hàng nghìn người dùng chung một địa chỉ IP công cộng. Văn phòng cũng vậy: cả công ty đi ra ngoài bằng một IP.

Hậu quả thật, xảy ra hai lần:

• Lần 1: đặt trần đăng nhập theo IP. Giờ cao điểm, cả trăm nhân viên chia nhau một IP 4G → 429 dây chuyền, không ai đăng nhập được.
• Lần 2: đặt trần cho mọi request chưa có phiên, cũng theo IP. Kết quả tệ hơn: người dùng kẹt ở màn hình tải, app trông như chết.

Người tấn công thật thì không bị ảnh hưởng — họ đổi IP dễ hơn bạn nghĩ. Bạn chặn đúng người dùng của mình.

Mô hình trần đúng

Bốn quy tắc, áp theo thứ tự:

1. Người CHƯA có phiên → không đếm gì, ngoài trần riêng cho cửa đăng nhập.

An toàn được vì mọi đường tốn tài nguyên đều nằm sau tường xác thực. Hàm đọc phiên phải trả null ngay khi không có cookie, không chạm D1 — kẻ bắn phá chỉ nhận lại lỗi 401 rẻ tiền. (Xem mã ở Đăng nhập.)

2. Cửa đăng nhập: đếm theo ip + tên đăng nhập, không theo IP đơn thuần.

Ghép thêm tên đăng nhập làm cho cả nghìn người chung IP vẫn độc lập với nhau, trong khi kẻ dò một tài khoản vẫn bị chặn.

3. Có phiên → khóa đếm theo PHIÊN, không theo IP.

Và miễn đếm cho các đường rẻ hoặc đọc nhiều: ảnh, sự kiện, giờ máy chủ, phiên bản app, kiểm tra sống. Không miễn thì người dùng mở một thư viện ảnh 40 tấm là tự đốt trần của chính mình.

4. Giữ trần chống bot quét: đọc nặng ~60 lượt/phút, ghi ~60 lượt/phút, tính theo phiên. Đó mới là thứ đáng chặn.

const MIEN_DEM = ["/api/anh/", "/api/su-kien", "/api/gio", "/api/phien-ban", "/api/song"];

async function kiemTran(request, env, u) {
  const p = new URL(request.url).pathname;
  if (MIEN_DEM.some(d => p.startsWith(d))) return null;     // miễn
  if (!u) return null;                                      // chưa có phiên: không đếm
  const ghi = request.method !== "GET";
  const khoa = `tran:${u.id}:${ghi ? "ghi" : "doc"}:${Math.floor(Date.now() / 60000)}`;
  const n = (await env.PHIEN.get(khoa, { type: "json" })) || 0;
  if (n >= 60) return json({ loi: "Thao tac qua nhanh, cho mot chut" }, 429);
  await env.PHIEN.put(khoa, JSON.stringify(n + 1), { expirationTtl: 120 });
  return null;
}

Bảng kiểm bảo mật cho app Vibe Code

Mười mục, theo thứ tự thiệt hại từ nặng tới nhẹ:

Mục 10 — XSS — đáng nói thêm. Nếu bạn gán chữ của người dùng bằng innerHTML, kẻ xấu nhập mã vào ô "Ghi chú" và mã đó chạy trên máy của người khác, đọc được dữ liệu họ đang xem.

el.textContent = ghiChu;          // ĐÚNG — luôn an toàn
el.innerHTML = ghiChu;            // SAI — trừ khi đã tự tay làm sạch

Luật đơn giản: mặc định dùng textContent. Chỉ dùng innerHTML khi bạn tự sinh ra chuỗi đó, và không có mảnh dữ liệu người dùng nào trong đó.

Tự tấn công app của mình

Làm trước khi giao cho khách, mỗi lần có tính năng mới. Dùng tài khoản quyền thấp nhất:

# 1. Gọi API admin bằng tài khoản thường → phải 403
curl -i -X DELETE https://app.com/api/don-hang/1 -H "cookie: phien=<phien-nhan-vien>"

# 2. Xem dữ liệu người khác → phải 403/404
curl -i https://app.com/api/don-hang/999 -H "cookie: phien=<phien-nhan-vien>"

# 3. Không cookie → phải 401 (và phải nhanh, không đụng cơ sở dữ liệu)
curl -i https://app.com/api/don-hang

# 4. Kéo cả bảng → phải bị chặn trần số dòng
curl -i "https://app.com/api/don-hang?moi_trang=999999" -H "cookie: phien=<phien>"

# 5. SQL injection → phải trả về rỗng hoặc 400, KHÔNG phải cả bảng
curl -i "https://app.com/api/don-hang?trang_thai=' OR '1'='1" -H "cookie: phien=<phien>"

# 6. Tải file sai loại → phải 415
curl -i -F "anh=@trang.html;type=image/jpeg" https://app.com/api/anh -H "cookie: phien=<phien>"

curl -X POST https://app.com/api/don-hang --data-binary "@don.json" \
  -H "content-type: application/json" -H "cookie: phien=<phien>"

Hai việc nên bật ở lớp biên

Ở lớp 1 của sơ đồ, Cloudflare cho bạn hai thứ gần như miễn phí:

• Bot Fight Mode — chặn bot quét tự động. Bật trong Security → Bots.
• Quy tắc WAF cho đường quản trị. Nhưng nhớ bài học CGNAT: nếu chặn theo IP thì chỉ chặn ở những đường mà người dùng thật không đi qua (ví dụ /admin/ khi admin luôn ở văn phòng có IP cố định). Đừng áp lên đường đăng nhập chung.

Rà toàn bộ project theo 10 mục dưới đây. Với mỗi vi phạm: ghi file,
dòng, hậu quả cụ thể nếu bị khai thác, và cách sửa nhỏ nhất.
Mục nào không vi phạm thì KHÔNG nhắc tới.

1  SQL nối chuỗi thay vì .bind()
2  Đường /api/ nào thiếu kiểm quyền phía máy chủ
3  Truy vấn nào thiếu ràng buộc theo người sở hữu dữ liệu
4  Mật khẩu lưu không băm, hoặc băm không có muối
5  Cookie phiên thiếu HttpOnly / Secure / SameSite
6  Khóa bí mật, mật khẩu, số điện thoại thật nằm trong mã
7  Đường tải file thiếu chặn cỡ / lọc loại / tự đặt tên
8  Thông báo lỗi trả cho người dùng lộ chi tiết nội bộ
9  Trần chống dò đếm theo IP trần (SAI với mạng 4G Việt Nam)
10 Chữ của người dùng gán bằng innerHTML thay vì textContent

Chỉ đọc mã, không sửa. Sắp theo mức thiệt hại, nặng nhất trước.