An toàn tầng ứng dụng (Application Security)
Trạng thái
Owner: Tech lead · Trạng thái: draft · Nguồn chuẩn: flezi.app.api.backend/app/middleware/
Tài liệu này tổng hợp các biện pháp phòng chống các lỗ hổng bảo mật ứng dụng web phổ biến theo chuẩn OWASP Top 10 trong toàn bộ mã nguồn của Flezi Galaxy.
Các cơ chế phòng vệ chính
| Lỗ hổng OWASP | Cơ chế kiểm soát trong Flezi Galaxy |
|---|---|
| Injection (SQLi, Command) | Sử dụng ORM SQLAlchemy / SQLModel với parameterized queries; thực thi shell chỉ trong container sandbox cô lập. |
| Broken Authentication | JWT thời hạn ngắn, bcrypt hashing cho mật khẩu, bảo vệ CSRF và CORS nghiêm ngặt. |
| Sensitive Data Exposure | Mã hóa at-rest và in-transit; tự động mask password trong log và session recording. |
| Cross-Site Scripting (XSS) | React tự động escape HTML trong JSX; cấu hình CSP (Content Security Policy) và sanitized DOM parser. |
| Broken Access Control | Kiểm tra quyền tập trung qua require_permission và ma trận phân quyền SRS v1.1 §2.3 trên mọi endpoint. |
| Rate Limiting & DoS | Middleware giới hạn tần suất request theo IP và theo user trên các endpoint nhạy cảm (RateLimitMiddleware). |
Vòng đời phát triển phần mềm an toàn (Secure SDLC)
- Code Review bắt buộc: Mọi thay đổi mã nguồn phải được ít nhất một kỹ sư duyệt qua PR.
- Kiểm thử tự động: Kiểm thử tự động trên CI đảm bảo không làm gãy các ràng buộc bảo mật và ma trận phân quyền trước khi merge.
- Quét phụ thuộc (Dependency Scanning): Thường xuyên kiểm tra và cập nhật các thư viện có lỗ hổng CVE đã công bố.
Kiểm soát hiện có
app/middleware/security.py,app/middleware/cors.py,app/middleware/rate_limit.py.- Thiết lập các HTTP security headers:
X-Content-Type-Options: nosniff,X-Frame-Options: SAMEORIGIN,Referrer-Policy: strict-origin-when-cross-origin.
Bằng chứng (file / config)
flezi.app.api.backend/app/middleware/flezi.docs/nginx.conf
Hạn chế & roadmap
- Đưa công cụ quét mã nguồn tĩnh (SAST) và quét container (Container Image Vulnerability Scanning) vào pipeline Jenkins tự động chặn build khi phát hiện lỗ hổng mức Critical.