How I found an IDOR in Google Classroom on Day 3 of my Hunting?

How OAuth 2.0 Works: A Practical Guide for Backend Developers

OAuth 2.0 là framework tiêu chuẩn cho ủy quyền truy cập, sử dụng các thành phần như Authorization Server, Bearer Tokens, PKCE và các loại "grant" khác nhau. Mặc dù nhiều nhà phát triển nắm vững thuật ngữ, nhưng việc triển khai thực tế thường gặp khó khăn do sự phức tạp của luồng ủy quyền.

Lập trình viên backend nên đọc bài này để hiểu rõ cách OAuth 2.0 thực sự vận hành trong thực tế, tránh nhầm lẫn giữa lý thuyết và ứng dụng thực tế, từ đó xây dựng các giải pháp bảo mật và giao tiếp API hiệu quả hơn.

A Developer's Guide to API Access Policies in Auth0

Bối cảnh là hướng dẫn dành cho nhà phát triển về API Access Policies trong Auth0 để bảo mật API M2M. Nguyên nhân kỹ thuật là do Auth0 cung cấp hệ thống client grants, routing và phân biệt giữa truy cập first-party và third-party. Hệ quả là nhà phát triển sẽ được trang bị kiến thức để bảo vệ API hiệu quả. Điều đáng học là cách Auth0 xử lý các chính sách truy cập API cho ứng dụng third-party so với ứng dụng first-party. Bài viết cũng đề cập đến các phương thức xác thực cụ thể như Client Credentials và Authorization Code flow.

Bài hướng dẫn này giúp lập trình viên nắm vững cách bảo mật API bằng Auth0 API Access Policies, quản lý client grants, và phân biệt truy cập ứng dụng đầu tiên với ứng dụng thứ ba.

When AI Agents Start Acting, APIs Become Execution Contracts

Trong bối cảnh AI Agents ngày càng trở nên phổ biến, API đang chuyển đổi từ giao tiếp dữ liệu thành hợp đồng thực thi. Mike từ Curity tại apidays Munich chỉ ra khi AI Agents tự hành động, API cần thiết lập cơ chế authorization và authentication chặt chẽ để kiểm soát quyền truy cập dữ liệu. Hệ quả là các API phải thiết kế với khả năng xác minh identity và enforce policy phức tạp để ngăn chặn hành vi không mong muốn từ AI. Điều đáng học là các nhà phát triển cần tích hợp OAuth 2.0 và OpenID Connect ngay từ giai đoạn thiết kế API để chuẩn bị cho kỷ nguyên AI Agents.

Bài viết giải thích cách API sẽ trở thành hợp đồng thực thi khi các tác nhân AI bắt đầu hành động, giúp lập trình viên chuẩn bị cho tương lai phát triển ứng dụng.

How I Got My Highest Payout

Mục tiêu của cuộc kiểm tra là một portail ứng dụng nơi người dùng đăng ký, điền vào một biểu mẫu cực lớn và sau đó nhận được một file PDF chứa toàn bộ thông tin đã nộp, bao gồm các con số thu nhập. Trong quá trình kiểm tra, tác giả phát hiện một lỗi truy cập trực tiếp đối tượng (IDOR) cho phép truy cập vào PDF của người dùng khác mà không cần xác thực. Lỗi này được khai thác để lấy dữ liệu tài chính nhạy cảm từ các biểu mẫu đã gửi, tạo ra một rủi ro lộ thông tin cá nhân lớn. Do mức độ nghiêm trọng và tác động tiềm ẩn đến quyền riêng tư, chương trình bug bounty đã trao cho tác giả mức thưởng cao nhất mà anh từng nhận được. Kinh nghiệm này nhấn mạnh việc kiểm tra kỹ các cơ chế tạo file PDF và kiểm soát truy cập đối tượng là cần thiết để tránh rò rỉ dữ liệu trong các ứng dụng xử lý biểu mẫu lớn.

Bài này chia sẻ kỹ thuật khai thác lỗ hổng trong ứng dụng tạo PDF giúp lập trình viên hiểu rõ hơn về bảo mật web.

Announcing temporal policies and rate limiting in Amazon Bedrock AgentCore

Amazon Bedrock AgentCore bổ sung hai tính năng mới: temporal policies (chính sách tạm thời) để quản lý quyền truy cập theo thời gian, và rate limiting (giới hạn tốc độ) nhằm kiểm soát tần suất gọi API, giúp tối ưu hiệu suất và bảo mật.

Lập trình viên muốn phát triển ứng dụng AI tích hợp với AWS Bedrock nên đọc để hiểu cách cấu hình chính sách thời gian và giới hạn tốc độ trong AgentCore để tối ưu hiệu suất, tránh tình trạng chậm trễ và quản lý chi phí hiệu quả.

Free agents: How AWS Kiro could untie agents from editors

AWS giới thiệu Kiro dựa trên Agent Client Protocol, tách biệt các coding agents khỏi developer tools, tập trung sự khác biệt vào governance và policy.

Lập trình viên nên đọc bài này để hiểu cách AWS Kiro đang đổi mới cách các bot tự động hóa (agents) hoạt động độc lập hơn khỏi các công cụ biên tập, giúp tối ưu hóa hiệu quả và kiểm soát chính sách cho các dự án quy mô lớn.

New SymfonyCasts Course: Symfony Security

Learn the fundamentals of Symfony Security! This new SymfonyCasts course covers authentication, authorization, login forms, roles, voters, impersonation, and more - while showing how all the pieces fi…

Add Cross App Access to Your OIDC Requesting Application

Secure app-to-app connections using Cross App Access (XAA) with OIDC SSO for OIDC-federated enterprise apps.