BẢO VỆ PHIÊN ĐĂNG NHẬP CHỐNG NGUY CƠ CHIẾM ĐOẠT TOKEN: SUPERTOKENS MANG LẠI KIẾN TRÚC XÁC THỰC BẢO MẬT VƯỢT TRỘI
Hầu hết các giải pháp xác thực hiện nay sử dụng JSON Web Token (JWT) đơn thuần được lưu trong localStorage hoặc cookie. Khi Access Token bị đánh cắp qua lỗ hổng XSS, kẻ tấn công có thể mạo danh người dùng cho đến khi token hết hạn mà hệ thống backend hoàn toàn bất lực không thể thu hồi quyền truy cập ngay lập tức.
SuperTokens là giải pháp xác thực và quản lý phiên làm việc (Authentication & Session Management) mã nguồn mở, được thiết kế với cơ chế bảo mật phiên chuyên sâu chống lại các hình thức tấn công chiếm đoạt token tinh vi nhất.
Tech Stack:
Core engine được viết bằng Java tối ưu hóa hiệu năng cao, cung cấp SDK đầy đủ cho backend (Node.js, Python, Go) và frontend (React, React Native, Angular, Vue, Vanilla JS). Hỗ trợ lưu trữ trên PostgreSQL hoặc MySQL.
Tại sao nên dùng?
- Cơ chế quản lý phiên dựa trên Rotating Refresh Tokens: Tự động xoay vòng refresh token sau mỗi lần cấp mới access token, giúp phát hiện và vô hiệu hóa ngay lập tức toàn bộ phiên làm việc bị nghi ngờ rò rỉ token.
- Kiến trúc module hóa theo Recipe: Bật tắt linh hoạt các phương thức đăng nhập theo nhu cầu: Email/Password, Social Login, Passwordless (OTP qua SMS/Email), Multi-Factor Authentication (MFA) và phân quyền RBAC.
- Tự do tự host hoàn toàn: Bạn làm chủ 100% dữ liệu tài khoản người dùng, loại bỏ nỗi lo bị các nhà cung cấp SaaS đột ngột tăng giá gói doanh nghiệp.
Dự án sở hữu hơn 13.000 stars trên GitHub và là sự lựa chọn số một cho các ứng dụng đòi hỏi tiêu chuẩn bảo mật phiên đăng nhập nghiêm ngặt.
Link tham khảo: supertokens/supertokens-core
#OpenSourceVN #VNOSS #opensourcevn #vnoss #DevCommunity #SuperTokens #Authentication #Security #SessionManagement #OpenSource #Java
1 point
Mentions
BẢO VỆ PHIÊN ĐĂNG NHẬP CHỐNG NGUY CƠ CHIẾM ĐOẠT TOKEN: SUPERTOKENS MANG LẠI KIẾN TRÚC XÁC THỰC BẢO MẬT VƯỢT TRỘI Hầu hết các giải pháp xác thực hiện nay sử dụng JSON Web Token (JWT) đơn thuần được lưu trong localStorage hoặc cookie. Khi Access Token bị đánh cắp qua lỗ hổng XSS, kẻ tấn công có thể mạo danh người dùng cho đến khi token hết hạn mà hệ thống backend hoàn toàn bất lực không thể thu hồi quyền truy cập ngay lập tức. SuperTokens là giải pháp xác thực và quản lý phiên làm việc (Authentication & Session Management) mã nguồn mở, được thiết kế với cơ chế bảo mật phiên chuyên sâu chống lại các hình thức tấn công chiếm đoạt token tinh vi nhất. Tech Stack: Core engine được viết bằng Java tối ưu hóa hiệu năng cao, cung cấp SDK đầy đủ cho backend (Node.js, Python, Go) và frontend (React, React Native, Angular, Vue, Vanilla JS). Hỗ trợ lưu trữ trên PostgreSQL hoặc MySQL. Tại sao nên dùng? - Cơ chế quản lý phiên dựa trên Rotating Refresh Tokens: Tự động xoay vòng refresh token sau mỗi lần cấp mới access token, giúp phát hiện và vô hiệu hóa ngay lập tức toàn bộ phiên làm việc bị nghi ngờ rò rỉ token. - Kiến trúc module hóa theo Recipe: Bật tắt linh hoạt các phương thức đăng nhập theo nhu cầu: Email/Password, Social Login, Passwordless (OTP qua SMS/Email), Multi-Factor Authentication (MFA) và phân quyền RBAC. - Tự do tự host hoàn toàn: Bạn làm chủ 100% dữ liệu tài khoản người dùng, loại bỏ nỗi lo bị các nhà cung cấp SaaS đột ngột tăng giá gói doanh nghiệp. Dự án sở hữu hơn 13.000 stars trên GitHub và là sự lựa chọn số một cho các ứng dụng đòi hỏi tiêu chuẩn bảo mật phiên đăng nhập nghiêm ngặt. Link tham khảo: supertokens/supertokens-core #OpenSourceVN #VNOSS #opensourcevn #vnoss #DevCommunity #SuperTokens #Authentication #Security #SessionManagement #OpenSource #Java
I reported a high-severity vuln to @supertokensio last week (github.com/supertokens/supertokens-core/security/…), but looks like I’m not the only one, someone else reported it as well! in this era of AI, we may end up finding similar things at the same time. And who knows, maybe some black hats discovered this a long time ago and have been exploiting it ever since!