Misc Learnings: SBOMs, Provenance and Attestations

Avoid Duke Nukem Forever Mode

Bối cảnh là việc phát triển phần mềm bị đình trệ, đặc biệt với dự án Duke Nukem Forever. …

Scaling Down Costs, Not Performance: How We Migrated from Couchbase to PostgreSQL

Trendyol xử lý hàng triệu sự kiện và giao dịch mỗi ngày và trước đây dựa vào Couchbase làm …

A Developer's Guide to API Access Policies in Auth0

Bối cảnh là hướng dẫn dành cho nhà phát triển về API Access Policies trong Auth0 để bảo mật API M2M. Nguyên nhân kỹ thuật là do Auth0 cung cấp hệ thống client grants, routing và phân biệt giữa truy cập first-party và third-party. Hệ quả là nhà phát triển sẽ được trang bị kiến thức để bảo vệ API hiệu quả. Điều đáng học là cách Auth0 xử lý các chính sách truy cập API cho ứng dụng third-party so với ứng dụng first-party. Bài viết cũng đề cập đến các phương thức xác thực cụ thể như Client Credentials và Authorization Code flow.

Bài hướng dẫn này giúp lập trình viên nắm vững cách bảo mật API bằng Auth0 API Access Policies, quản lý client grants, và phân biệt truy cập ứng dụng đầu tiên với ứng dụng thứ ba.

How to Synchronize Read and Write Databases in a CQRS Architecture

Bối cảnh là một hệ thống đặt phòng khách sạn cần mở rộng khả năng tra cứu nhanh nên áp dụng mô hình CQRS với MongoDB làm cơ sở dữ liệu đọc và PostgreSQL làm cơ sở dữ liệu ghi. Nguyên nhân kỹ thuật là việc tách riêng cơ sở dữ liệu đọc và ghi khiến dữ liệu trên MongoDB chỉ được cập nhật từ PostgreSQL theo cách bất đồng bộ, dẫn đến trễ thời gian giữa hai kho lưu trữ. Hệ quả là nếu không có cơ chế điều chỉnh, thông tin phòng có thể trở nên cũ, ảnh hưởng đến trải nghiệm người dùng và độ tin cậy của kết quả tra cứu. Để giảm thiểu drift, dự án sử dụng các cập nhật bất đồng bộ định kỳ kết hợp với việc xây dựng lại batch toàn bộ MongoDB theo lịch, giúp duy trì sự cân bằng giữa tốc độ và tính nhất quán. Điều đáng học là trong kiến trúc CQRS, việc kết hợp cơ chế sao chép async và các quy trình tái tạo batch là cách hiệu quả để kiểm soát độ trễ dữ liệu mà không hy sinh hiệu suất tìm kiếm.

Bài viết hướng dẫn giải pháp đồng bộ hóa dữ liệu giữa hai hệ quản trị cơ sở dữ liệu khác nhau trong kiến trúc CQRS giúp tối ưu hiệu năng và đảm bảo tính nhất quán.

GitLab Critical Patch Release: 19.3.2, 19.2.6, 19.1.8

GitLab vừa phát hành bản vá bảo mật quan trọng phiên bản 19.3.2, 19.2.6 và 19.1.8 cho cả Community Edition và Enterprise Edition. Các bản vá này khắc phục lỗ hổng nghiêm trọng ảnh hưởng đến GitLab CE và EE, không được chi tiết cụ thể trong bài. Người dùng nên cập nhật ngay vì lỗ hổng có thể cho phép kẻ tấn công thực thi mã từ xa hoặc truy cập dữ liệu không được phép. Điều đáng học hỏi là ngay cả các hệ thống như GitLab vẫn thường xuyên phát hiện ra lỗ hổng, cho thấy việc cập nhật bảo mật định kỳ là cần thiết.

Lập trình viên quản lý hệ thống hoặc phát triển ứng dụng trên GitLab nên đọc để cập nhật các sửa lỗi trọng tâm (critical patch) mới nhất, đặc biệt là về bảo mật và tính ổn định cho phiên bản CE/EE hiện tại, tránh rủi ro từ các exploit mới hoặc bug nghiêm trọng ảnh hưởng đến quy trình CI/CD và môi trường sản xuất.

The unbearable lightness of one more index

Nghiên cứu đã phân tích 30 schema PostgreSQL do các coding agent tạo ra và phát hiện các index hoạt động hiệu quả riêng lẻ nhưng gây ra chi phí tổng thể đáng kể. Vấn đề nằm ở số lượng index quá nhiều dẫn đến overhead write, disk space và maintenance cost khi mỗi schema chứa trung bình 1.4 index mỗi bảng. Hệ quả là hiệu suất tổng thể giảm đáng kể do conflict giữa các index. Bài viết dạy chúng ta cần cân nhắc kỹ trước khi thêm index, ngay cả khi các AI tool đề xuất chúng, vì lợi ích cục bộ không đồng nghĩa với hiệu suất toàn hệ thống.

Bài viết này giúp lập trình viên hiểu được tác động tiêu cực của việc thêm index quá nhiều trong PostgreSQL.

Load-Bearing People

Bài viết bắt đầu bằng việc mô tả cách một gói npm tên left-pad, chỉ gồm mười một dòng JavaScript, đã được tác giả xóa khỏi kho lưu trữ công cộng vào tháng 3/2016. Vì hàng nghìn dự án Node.js và các công cụ xây dựng phụ thuộc trực tiếp hoặc gián tiếp vào left-pad để thực hiện hàm padding chuỗi, việc xóa này khiến quá trình cài đặt và biên dịch của nhiều dự án thất bại ngay lập tức. Hậu quả lan rộng đến mức các dịch vụ web lớn như Netflix, PayPal và cả các hệ thống nội bộ của các công ty công nghệ đều gặp lỗi build, dẫn đến sự gián đoạn triển khai và trong một số trường hợp là downtime tạm thời. Bài viết nhấn mạnh rằng nguyên nhân không phải do lỗi phức tạp mà là sự quáмер phụ thuộc vào một gói nhỏ, không có bản sao lưu hoặc phiên bản dự phòng trong hệ thống quản lý phụ thuộc. Kết luận là để tránh tình trạng tương tự, các đội ngũ cần áp dụng chính sách khóa phiên bản, kiểm tra lại cây phụ thuộc và cân nhắc sao chép mã nguồn quan trọng vào nội bộ thay vì tin tưởng hoàn toàn vào gói bên ngoài.

Những dòng code làm sập Internet dạy chúng ta về tầm quan trọng của con người trong cấu trúc nhóm và trách nhiệm cá nhân.