Interact With Docker in Browser

How to Build Secure-by-Default Node.js APIs

Bài viết hướng dẫn xây dựng các API Node.js HTTP theo tiêu chuẩn bảo mật mặc định mà không cần phụ thuộc thư viện ngoài. Sáu biện pháp bảo vệ cốt lõi bao gồm: giới hạn kích thước body request (đo bằng bytes khi streaming), timeout request sử dụng AbortController, phân tích JSON an toàn chống tấn công prototype pollution, thiết lập tiêu đề bảo mật (CSP, HSTS, v.v.), so sánh secret an toàn bằng crypto.timingSafeEqual, và xác thực đầu vào chặt chẽ ngăn chặn mass-assignment. Ngoài ra còn giải thích CORS đúng cách, xử lý lỗi có cấu trúc với request ID, và nhấn mạnh triết lý "bảo mật mặc định tốt hơn checklist".

Lập trình viên nên đọc bài này để tránh rủi ro bảo mật khi phát triển API Node.js bằng cách áp dụng các quy tắc an toàn mặc định từ cơ sở, từ việc kiểm soát kích thước request đến xử lý mật khẩu an toàn, giúp giảm thiểu lỗ hổng mà không cần phụ thuộc vào thư viện phụ.

CQRS Without the Astronaut Architecture

Bài viết hướng dẫn triển khai CQRS trong Node.js/TypeScript theo cách đơn giản, không cần …

Authorized Logger

Một nhà phát triển tên Gretchen gia nhập dự án Node.js cũ kỹ sau khi bị mua lại và phát hiện hàng loạt lỗi nghiêm trọng: logging bị hỏng chỉ in ra "DEBUG", lỗ hổng SQL injection từ truy vấn thô, thiếu middleware phân quyền trên hầu hết endpoints (kể cả API admin), codebase dừng ở Node.js 14, và dữ liệu request được đưa trực tiếp vào database mà không qua bất kỳ validation nào.

Lập trình viên nên đọc bài này để tránh rơi vào những sai lầm an toàn và thiết kế không hiệu quả trong dự án Node.js, từ đó học cách cải thiện bảo mật, quản lý lỗi và tối ưu hóa hệ thống ngay từ giai đoạn đầu.

Radxa's Cubie A5E looked like the perfect Pi alternative — until I tried to actually use it

Radxa Cubie A5E sở hữu phần cứng ấn tượng (4GB LPDDR4, 2x Gigabit Ethernet, NVMe onboard, USB 3) với giá cạnh tranh như Raspberry Pi 4B, nhưng trải nghiệm thực tế lại gây thất vọng do thiếu hỗ trợ phần mềm: chỉ có image Debian 11 lỗi thời, Docker không hoạt động, NVMe/USB 3 phải cấu hình thủ công, cài Armbian làm HDMI hỏng. Bài viết khuyên nên chọn Raspberry Pi thay vì mất thời gian khắc phục lỗi trên nền tảng SBC ít hỗ trợ.

Nếu bạn đang tìm kiếm một board SBC với hiệu suất cao nhưng gặp khó khăn với các vấn đề về tương thích phần mềm và hỗ trợ cộng đồng, bài viết này sẽ giúp bạn phân tích sự khác biệt giữa Radxa Cubie A5E và các giải pháp hiện tại, từ đó quyết định liệu nó phù hợp với nhu cầu thực tế của bạn.

Docker Content Trust: Retirement and Migration Guidance

Docker Content Trust (DCT) và Notary v1 sẽ ngừng hoạt động vào ngày 8/12/2026 do ít người sử dụng (<0,05%) và mã nguồn không còn được bảo trì. Người dùng nên tắt biến môi trường DOCKER_CONTENT_TRUST, sử dụng digest để pin image, hoặc chuyển sang Sigstore/Cosign, Notation để xác thực nhà xuất bản. Docker Hardened Images cung cấp giải pháp thay thế sẵn sàng với chữ ký, provenance và SBOM tích hợp.

Lập trình viên nên đọc bài này để cập nhật về thay đổi cuối cùng của Docker, giúp bảo mật ứng dụng của mình bằng cách chuyển sang các giải pháp hiện đại như Sigstore/Cosign hoặc Docker Hardened Images trước khi hệ thống bị ngừng hỗ trợ.

Node.js — Node.js 24.18.0 (LTS)

Node.js 24.18.0 LTS (tên mã 'Krypton') bổ sung nhiều cải tiến quan trọng như cập nhật chứng chỉ gốc lên NSS 3.123.1, tối ưu hóa socket HTTP idle, tăng kích thước mặc định Buffer.poolSize lên 64 KiB, bổ sung thuật toán TurboSHAKE, KangarooTwelve cho Web Cryptography, hỗ trợ mã trạng thái HTTP 1xx tùy ý, và cải thiện bảo mật crypto (chống tấn công prototype pollution, tương thích BoringSSL, hỗ trợ ML-DSA/ML-KEM JWK). Ngoài ra, phiên bản này nâng cấp npm lên 11.16.0, SQLite lên 3.53.1 cùng nhiều sửa lỗi khác.

Lập trình viên nên đọc bài này vì phiên bản Node.js mới 24.18.0 LTS mang đến những cải tiến an toàn và hiệu năng quan trọng như hỗ trợ mã hóa WebCrypto mới, nâng cấp bảo mật và cải thiện trải nghiệm phát triển với các tính năng như kiểm soát chính xác độ phủ code và tối ưu hóa stream.

Node.js — Node.js 22.23.0 (LTS)

Node.js 22.23.0 (LTS) là bản cập nhật bảo mật chỉ tập trung vào dòng LTS 'Jod', vá 11 lỗ hổng CVE, bao gồm các lỗi nghiêm trọng về chuẩn hóa hostname TLS, bảo vệ độ dài cipher WebCrypto, tăng trưởng bộ nhớ không giới hạn HTTP/2, tiêm NUL byte vào DNS/net hostname, rò rỉ credential proxy, và poisoning hàng đợi HTTP. Các dependency như nghttp2, OpenSSL, llhttp, undici cũng được nâng cấp.

Lập trình viên Node.js nên đọc bài này để cập nhật các bản vá an toàn mới nhất, đặc biệt là các lỗ hổng TLS và WebCrypto có thể ảnh hưởng đến tính bảo mật của ứng dụng web của bạn.