Mike Dalton and Authentication Hell

Ruby 4.0.6 Released

Ruby 4.0.6 đã được phát hành.

Introduction to Agent Authentication and Authorization on Mastra Using Firebase

Bài viết hướng dẫn chi tiết cách bảo mật các AI agent xây dựng bằng Mastra sử dụng Firebase authentication và authorization trong ứng dụng Next.js. Nó bao gồm bốn lớp bảo mật: bảo vệ route frontend, xác thực token route API, phân quyền dựa trên vai trò qua Firestore, và bảo vệ server Mastra native bằng lớp MastraAuthFirebase.

Lập trình viên Next.js cần đọc bài này để nhanh chóng triển khai bảo mật cho ứng dụng AI của mình bằng Firebase, từ xác thực người dùng đến kiểm soát quyền truy cập theo vai trò, tránh rủi ro bảo mật khi triển khai hệ thống agent.

4.0.16 Released

RubyGems 4.0.16 và Bundler 4.0.16 đã được phát hành, trong đó RubyGems tích hợp sẵn Bundler 4.0.16 và sửa lỗi tương thích với BSD make, còn Bundler cải tiến hỗ trợ mật mã hậu lượng tử (PQC) và khắc phục nhiều lỗi trên Windows.

Lập trình viên cần đọc để cập nhật kiến thức về các cải tiến mới trong RubyGems và Bundler, đặc biệt là PQC (tương lai bảo mật chống máy tính lượng tử) và cách tối ưu hóa việc quản lý dự án, tránh lỗi phổ biến như lỗi đường dẫn Windows hoặc file lockfile không tương thích.

Introducing the New Neon API Command

Neon bổ sung lệnh api vào CLI, cho phép truy cập trực tiếp toàn bộ REST API thông qua xác thực tự động. Lệnh này giúp giải quyết vấn đề chậm cập nhật tính năng (do CLI thân thiện chỉ hỗ trợ một phần endpoints) và rủi ro quản lý secret (token) khi agent gọi API trực tiếp.

Lập trình viên cần đọc bài này để khám phá cách Neon cải thiện hiệu quả quản lý và sử dụng API REST thông qua một giao diện CLI an toàn, giúp tiết kiệm thời gian và tránh rủi ro khi xử lý token trong các ứng dụng AI.

What's the best way to do authentication in modern applications

Bài viết hướng dẫn toàn diện về bảo mật xác thực trong ứng dụng web hiện đại, từ lưu trữ JWT trong localStorage (dễ bị XSS đánh cắp) đến giải pháp an toàn hơn như token trong bộ nhớ, cookie httpOnly kết hợp bảo vệ CSRF, phiên server-side so với JWT, xoay vòng refresh token OAuth, và mô hình Backend for Frontend (BFF). Khuyến nghị chính là lưu phiên trong cookie httpOnly kèm server-side session store, sử dụng CSRF token cùng SameSite/Origin header, và đẩy toàn bộ xử lý token OAuth vào BFF để trình duyệt không bao giờ tiếp xúc trực tiếp. Ngoài ra, bài viết cũng đề cập đến mối đe dọa mới nổi là infostealer/pass-the-cookie và giải pháp bảo vệ cấp phần cứng DBSC của Chrome, kèm theo ví dụ code React để xử lý yêu cầu refresh token đồng thời.

Là người phát triển cần hiểu cách bảo mật xác thực hiện hiệu nhất để tránh các lỗ hổng như XSS, CSRF, và tấn công mới như pass-the-cookie, đồng thời tối ưu hóa hiệu suất và bảo mật cho ứng dụng hiện đại.

How to Build and List Secure Cross App Access (XAA) Connections on Okta Integration Network (OIN)

XAA là khung danh tính của Okta thay thế API keys tĩnh và OAuth rải rác bằng cơ chế truyền token dựa trên danh tính giữa các ứng dụng. Để tích hợp XAA vào OIN, ISV phải hỗ trợ OIDC/SAML SSO, triển khai ID-JAG token exchange flows, vượt qua bài test xác minh rồi gửi form chi tiết qua email tới Okta OIN team.

Lập trình viên phát triển ứng dụng cần đọc để hiểu cách xây dựng kết nối bảo mật Cross App Access (XAA) trên Okta, tránh rủi ro bảo mật và tối ưu hóa tính liên kết giữa các ứng dụng theo tiêu chuẩn hiện đại.

Continuations 2026/27: Hanami 3.0!

Hanami 3.0, phiên bản lớn mới của framework web Ruby, vừa được phát hành với nhiều cải tiến quan trọng như mailers, hỗ trợ i18n, tích hợp Minitest, và tối ưu hiệu suất đáng kể. Bản phát hành này là kết quả của 8 tháng làm việc liên tục, hơn 150 pull request, cùng hai gem mới và tài liệu hướng dẫn mở rộng, kèm theo bản vá 3.0.1 và bộ benchmark công khai.

Lập trình viên Ruby nên đọc bài này vì Hanami 3.0 mang đến những cải tiến mạnh mẽ về hiệu suất và tính đa quốc gia, giúp tối ưu hóa ứng dụng web cho các dự án hiện đại và mở rộng khả năng phát triển với các tính năng mới như tích hợp Minitest và công cụ logging chuyên dụng.