https://thangvd2312.github.io/tags/security/Recent content in Security on jerry's notesHugovn-VNFri, 05 Jun 2026 00:00:00 +0000https://thangvd2312.github.io/posts/mfa-security-complete-guide/Fri, 05 Jun 2026 00:00:00 +0000https://thangvd2312.github.io/posts/mfa-security-complete-guide/Hướng dẫn MFA tập trung vào thực tế triển khai: user gặp case gì, MFA chặn rủi ro nào, login/enrollment flow, TOTP, WebAuthn, recovery, session và audit.https://thangvd2312.github.io/posts/opaque-token/Thu, 28 May 2026 00:00:00 +0000https://thangvd2312.github.io/posts/opaque-token/Opaque token là gì, cách hoạt động, so sánh với JWT, và khi nào nên dùnghttps://thangvd2312.github.io/posts/access-token-refresh-token-guide/Sun, 19 Apr 2026 00:00:00 +0000https://thangvd2312.github.io/posts/access-token-refresh-token-guide/<h1 id="access-token--refresh-token-từ-lý-thuyết-đến-production">Access Token &amp; Refresh Token: Từ Lý Thuyết Đến Production</h1> <blockquote> <p><strong>Câu chuyện thật:</strong> Năm 2016, tôi implement authentication cho một fintech startup. Vì không hiểu rõ về refresh token, chúng tôi đã bị data breach khi access token bị leak. Attacker có thể duy trì access <strong>vô thời hạn</strong> vì refresh token không được lưu trong database. Đó là bài học đắt giá nhất trong sự nghiệp của tôi.</p> </blockquote> <p>Bài viết này chia sẻ những gì tôi đã học được từ <strong>10 năm</strong> triển khai authentication cho nhiều hệ thống production - không phải lý thuyết sách vở, mà là kinh nghiệm thực tế, bao gồm cả những sai lầm chết người.</p>