Tổng quan module Mô hình Bảo mật Trình duyệt

TL;DR: Trình duyệt hiện đại là môi trường thực thi mã nguồn phức tạp bậc nhất, nơi hàng chục website không hề tin tưởng nhau cùng chạy song song trên một máy tính. Làm thế nào để trang web ngân hàng của bạn không bị một trang web độc hại mở ở tab bên cạnh đánh cắp dữ liệu? Câu trả lời nằm ở Mô hình Bảo mật Trình duyệt, với hòn đá tảng là Same-Origin Policy (SOP). Module này sẽ giải phẫu cặn kẽ ranh giới Origin, làm rõ cơ chế nới lỏng an toàn CORS, thiết lập ma trận Cookie Security Flags và dựng phòng tuyến Content Security Policy (CSP).

1. Mục tiêu học tập

Sau khi hoàn thành module này, bạn sẽ có thể:

• Explain nguyên lý Same-Origin Policy (SOP), ranh giới Origin tuple và cơ chế cô lập tài nguyên của trình duyệt.
• Diagnose cấu hình sai CORS (wildcard origin đi kèm credentials, regex bypass) dẫn tới rò rỉ dữ liệu nhạy cảm.
• Choose tổ hợp cookie flags (HttpOnly, Secure, SameSite) phù hợp cho từng loại session và luồng xác thực.
• Design chính sách Content Security Policy (CSP) cơ bản để giảm thiểu rủi ro script injection.

2. Lộ trình bài học trong module

1. 01-same-origin-policy-sop: Tìm hiểu hòn đá tảng Same-Origin Policy và ranh giới bộ ba Scheme-Host-Port.
2. 02-cors-va-nhung-hieu-lam-tai-hai: Cơ chế chia sẻ tài nguyên chéo nguồn và phân tích các cấu hình sai tai hại.
3. 03-cookie-security-flags: Xây dựng ma trận cờ bảo vệ phiên làm việc chống đánh cắp và tấn công mạo danh.
4. 04-content-security-policy-csp-co-ban: Thiết lập chính sách CSP ngăn chặn nạp script độc hại bằng cơ chế Nonce.
5. 05-mini-challenge-giai-ma-chinh-sach-trinh-duyet: Thử thách độc lập phân tích rò rỉ token đa subdomain.
6. 06-tong-ket-module: Ôn tập và tự đánh giá năng lực làm chủ kiến thức.

Bắt đầu ngay với bài đầu tiên: 01-same-origin-policy-sop