Mục tiêu

Cung cấp các prompt chi tiết để triển khai hệ thống xác thực OAuth2 và JWT hoàn chỉnh trong ứng dụng full-stack, đảm bảo bảo mật cao và trải nghiệm người dùng tốt.

Khi nào nên dùng

• Xây dựng ứng dụng web hoặc mobile cần xác thực người dùng
• Tích hợp đăng nhập qua các nền tảng bên thứ ba (Google, GitHub, Facebook)
• Cần quản lý phiên làm việc an toàn với token JWT
• Phát triển API REST hoặc GraphQL yêu cầu authorization
• Muốn hiểu rõ flow OAuth2 và JWT từ lý thuyết đến thực hành

Hướng dẫn tùy biến

• Thay đổi provider OAuth2 (Google, GitHub, Microsoft, v.v.) theo nhu cầu
• Điều chỉnh thời gian hết hạn token phù hợp với yêu cầu bảo mật
• Chọn database phù hợp (PostgreSQL, MongoDB, MySQL)
• Tùy chỉnh scope và permission theo quyền hạn cần thiết
• Thêm 2FA hoặc các lớp bảo mật bổ sung nếu cần

Lưu ý

• Luôn lưu trữ secret key an toàn, không commit vào repository
• Sử dụng HTTPS trong production để bảo vệ token
• Implement token refresh mechanism để tăng bảo mật
• Validate và sanitize input từ người dùng
• Kiểm tra quyền hạn (authorization) sau khi xác thực (authentication)