#jwt

Revoke a JWT Before It Expires: Refresh Tokens and token

ASP.NET Core validates a JWT by its signature and expiry, so a stolen token keeps working after the user changes their password.

OAuth and OIDC Beyond the Login Button: Identity as the API Security Control Plane

OAuth and OIDC go beyond the login button. Learn why your identity layer is the control plane for API security and how to run it well.

How OAuth 2.0 Works: A Practical Guide for Backend Developers

OAuth 2.0 là framework tiêu chuẩn cho ủy quyền truy cập, sử dụng các thành phần như Authorization Server, Bearer Tokens, PKCE và các loại "grant" khác nhau. Mặc dù nhiều nhà phát triển nắm vững thuật ngữ, nhưng việc triển khai thực tế thường gặp khó khăn do sự phức tạp của luồng ủy quyền.

Lập trình viên backend nên đọc bài này để hiểu rõ cách OAuth 2.0 thực sự vận hành trong thực tế, tránh nhầm lẫn giữa lý thuyết và ứng dụng thực tế, từ đó xây dựng các giải pháp bảo mật và giao tiếp API hiệu quả hơn.

API Authentication & Authorization: An Engineering Deep Dive into Mechanisms, Trade-offs, and Failure Modes

Mọi API đều cần authentication, nhưng việc thiết kế nó đúng cách là một thách thức kỹ thuật. Các hệ thống production thường gặp lỗi như JWT không có expiry, dẫn đến rủi ro bảo mật nghiêm trọng. Nguyên nhân sâu xa là do thiếu hiểu biết về trade-offs giữa security, usability và performance trong khi thiết kế cơ chế authentication. Các failure mode như token theft hoặc insecure storage cần được xem xét kỹ. Bài viết cung cấp phân tích sâu về các cơ chế authentication/authorization giúp lập trình viên tránh được các lỗi phổ biến và thiết kế hệ thống an toàn hơn.

Bài viết này giúp lập trình viên hiểu rõ các cơ chế xác thực API, đánh đổi rủi ro và cách xử lý lỗi trong hệ thống thực tế.

Temporal JWT token authentication

Learn how to configure JWT authentication for self-hosted Temporal with Keycloak, including SSO, Worker access, role mapping, and token refresh.

Node.js JWKS Endpoint with Crypto: Add Missing Metadata

Build an Express JWKS endpoint using Node.js's native crypto module, and enrich exported JWK objects with the alg, use, and kid metadata required by token verifiers.

Email verification updates, October 2026

Updates to the Email Verification origin trial, including Android support, third-party origin trials, optional kid handling, and Sec-Fetch-Dest header changes.

Introducing JWT authentication in ClickHouse Cloud

ClickHouse Cloud giới thiệu xác thực JWT để tăng cường bảo mật. Bạn có thể sử dụng token có thời gian tồn tại ngắn từ identity provider thay vì mật khẩu cơ sở dữ liệu. Cơ chế này giải quyết vấn đề quản lý mật khẩu phức tạp và giảm rủi ro bảo mật khi chia sẻ truy cập. Công nghệ JWT (JSON Web Tokens) cung cấp cách an toàn để truyền thông tin xác thực giữa các bên. Việc triển khai sẽ giúp các nhà phát triển giảm gánh nặng quản lý người dùng trực tiếp trên ClickHouse Cloud.

Tìm hiểu cách sử dụng JWT authentication để bảo mật kết nối ClickHouse Cloud bằng token ngắn hạn thay vì mật khẩu.

Configuring generic OIDC provider for authentication

Learn how to configure Auth0 as a generic OpenID Connect (OIDC) authentication provider for Octopus Deploy.

A Practical Guide to Secure Authentication for Developers

Bối cảnh hướng dẫn các lập trình viên Node.js sửa lỗi xác thực thường gặp. Nguyên nhân kỹ thuật bao gồm lưu token trong localStorage gây nguy cơ XSS và không xác minh JWT signing algorithm dẫn đến tấn công algorithm confusion. Hệ quả cần khắc phục bằng cách chia token thành access token ngắn hạn và refresh token có thể thu hồi, giới hạn tốc độ login endpoint và thêm MFA bằng TOTP. Điều đáng học là Frames sessions và JWT không phải vấn đề bảo mật mà nơi lưu trữ trạng thái xác thực.

Bài này giúp lập trình viên thực hành giải pháp xác thực an toàn bằng Node.js, tránh lỗi XSS, tấn công thuật toán JWT, quản lý token hiệu quả và triển khai MFA TOTP.

16-year-old researcher found a Microsoft bug, got admin access to databases with 17.3 trillion rows

Một cậu thanh niên 16 tuổi đã khám phá ra lỗ hổng bảo mật trong hệ thống của Microsoft, cho phép truy cập vào cơ sở dữ liệu chứa tới 17.3 tỷ dòng. Nguyên nhân kỹ thuật là do lỗi trong cơ chế xác thực của Microsoft Azure SQL Database, cho phép bypass các lớp bảo mật. Kẻ tấn công có thể chiếm quyền admin trên toàn bộ hệ thống nếu biết tên tài khoản hợp lệ. Vụ việc này cho thấy ngay cả các nền tảng lớn như Microsoft cũng có thể gặp lỗi bảo hiểm nghiêm trọng. Điều đáng học hỏi là việc kiểm bảo mật thường xuyên và đào tạo nhận thức về bảo mật cho các nhà phát triển là yếu tố sống còn.

Bài này cho thấy cách một nhà nghiên cứu trẻ phát hiện lỗ hổng bảo mật nghiêm trọng trong hệ thống Microsoft.