Xây dựng hệ thống Auth an toàn với NextAuth

Auth không chỉ là login form

Một hệ thống auth tốt cần xử lý danh tính, session, phân quyền và các tình huống lỗi một cách nhất quán. Nếu bỏ qua chi tiết nhỏ, rủi ro bảo mật có thể xuất hiện rất nhanh.

Password

Password phải được hash bằng thuật toán phù hợp như bcrypt hoặc argon2. Không bao giờ lưu plain text password hoặc log password ra console.

Session

Session cần có thời hạn, cookie nên bật httpOnly và secure trong production. Với dashboard admin, hãy kiểm tra quyền ở server thay vì chỉ ẩn UI ở client.

OAuth

OAuth giúp giảm ma sát đăng nhập nhưng cần cấu hình callback URL và secret cẩn thận. Hãy kiểm tra luồng liên kết account để tránh tạo nhiều user trùng email.