#đăng nhập
3 bài
rate limitKhông có rate limit, form quên mật khẩu thành máy bắn spam miễn phí
Form quên mật khẩu, đăng nhập, gửi OTP không giới hạn số lần gọi thì ai cũng dùng được để spam người khác và đốt tiền email, SMS của bạn. Cách đặt rate limit theo IP, theo tài khoản, trả 429 kèm Retry-After, có code Next.js và Express.
lỗ hổngLaravel: gửi số 0 thay cho token là đăng nhập được vào tài khoản người khác
Lỗi CVE-2026-114509 (CVSS 9,2) trong guard token của Laravel cho người lạ đăng nhập API bằng tài khoản có sẵn, thường là admin, nếu app dùng MySQL hoặc MariaDB. Đã có mã khai thác công khai. Nâng lên 12.68.0 hoặc 13.29.0 và kiểm tra config/auth.php.
di độngApp di động lưu token đăng nhập ở đâu cho an toàn
AsyncStorage và SharedPreferences là chữ thường, ai mở được file là đọc được token. Cách lưu token bằng Keychain và Keystore, chặn sao lưu, chỉ dùng HTTPS, khi nào nên ghim chứng chỉ, che màn hình trong trình chuyển app và giữ deep link không tự làm việc nguy hiểm.