Phần trước ta gọi Odoo bằng XML-RPC — chuẩn, chạy mọi ngôn ngữ, nhưng payload XML cồng kềnh và không tự nhiên với JavaScript. Khi client là web/JS (một app React đọc điểm thành viên, một trang tự viết gọi Odoo), có lựa chọn gọn hơn: JSON-RPC. Cùng khả năng — đăng nhập, search_read, create, gọi mọi method — nhưng gói tin là JSON, gọi thẳng từ fetch() không cần thư viện. Bài này chỉ endpoint /jsonrpc, cấu trúc gói tin, và chạy thật bằng curl trên Odoo 19.

Endpoint /jsonrpc: một POST JSON

Thay vì hai địa chỉ như XML-RPC, JSON-RPC dùng đúng một endpoint /jsonrpc, nhận một POST JSON. Trong params, service chọn common (đăng nhập) hay object (gọi model), và args là danh sách tham số y hệt execute_kw.

Ảnh chụp mã nền tối hai phần. Phần trên POST jsonrpc payload JSON không cần thư viện: object JSON với jsonrpc 2.0, method call, params gồm service object hoặc common để authenticate, method execute_kw, args là mảng blog19 uid 2 admin db uid pass, quan the thanh vien search_read, mảng lồng rỗng, dict fields name diem. Chú thích phản hồi jsonrpc 2.0 id result mảng hoặc error. Phần dưới gọi từ JavaScript bằng fetch JS-friendly: const res await fetch jsonrpc method POST headers Content-Type application json body JSON stringify object jsonrpc 2.0 method call params service object method execute_kw args db uid pw quan the thanh vien search_read mảng rỗng dict rỗng. const result await res json trả về mảng bản ghi. Chú thích cùng khả năng XML-RPC nhưng JSON nhẹ hợp web JS, front-end nội bộ dùng web session authenticate cookie cộng web dataset call_kw

Hình 1: Gói tin /jsonrpc. params.service = common/object, params.method = authenticate/execute_kw, params.args chứa [db, uid, pass, model, method, [args], {kwargs}]. Phản hồi luôn bọc trong {"jsonrpc","id","result"} (hoặc "error"). Phần dưới: gọi thẳng từ fetch() — đây là lý do JSON-RPC hợp JavaScript.

Chạy thật bằng curl

curl -X POST với thân JSON, đây là kết quả sống trên Odoo 19:

Ảnh chụp terminal nền tối curl POST jsonrpc thật trên Odoo 19 kết quả bọc jsonrpc result. Phần 1 authenticate: curl với data service common method authenticate tới jsonrpc, trả về jsonrpc 2.0 id 1 result 2 uid bằng 2. Phần 2 execute_kw search_read: curl data service object method execute_kw tới jsonrpc, trả về jsonrpc 2.0 id 2 result mảng bốn thẻ VIP-0001 bac 150, VIP-0003 vang 150, VIP-0002 bac 85, VIP-0004 bac 0. Phần 3 version: result server_version 19.0-20260908. Chú thích khác XML-RPC gói tin JSON dễ đọc ghi từ JS kết quả trong result

Hình 2: Thật. (1) authenticate → "result": 2 (uid). (2) execute_kw/search_read → "result" là mảng 4 thẻ. (3) version → 19.0-20260908. Khác XML-RPC ở chỗ mọi thứ là JSON, và kết quả nằm trong khoá "result" của phong bì.

Hai kiểu gọi: stateless và session

JSON-RPC Odoo có hai cách, dùng cho hai bối cảnh khác nhau:

  • Stateless — /jsonrpc (như trên): mỗi lời gọi tự mang db, uid, password. Hợp cho tích hợp máy-gọi-máy từ backend khác. Không dùng cookie.
  • Session — /web/session/authenticate + /web/dataset/call_kw: đăng nhập một lần, server đặt cookie session, các lời gọi sau đi kèm cookie (không phải gửi lại password). Đây là cách front-end OWL của Odoo nói chuyện với server (nhớ rpc() gọi qua @web/core/network/rpc). Hợp cho một web app đã đăng nhập trong cùng phiên trình duyệt.

Chọn stateless cho script/tích hợp ngoài; session cho giao diện web có người dùng đăng nhập.

Lưu ý khi gọi từ trình duyệt

  • Same-origin. Trình duyệt chặn gọi /jsonrpc sang domain khác (CORS) — JS trên myapp.com không tự gọi được odoo.com/jsonrpc bằng request đơn giản. Với session-based, đây là tính năng (chống CSRF, nhớ phần CSRF — jsonrpc an toàn nhờ Content-Type JSON + same-origin). Muốn gọi chéo domain thì cần backend trung gian hoặc cấu hình CORS.
  • Đừng nhét password vào JS chạy trên trình duyệt. Code JS ai cũng đọc được; stateless /jsonrpc với db/uid/password chỉ nên chạy ở server-side (Node, backend). Front-end thì dùng session (đăng nhập, cookie).
  • Kiểm error trong phản hồi. JSON-RPC trả 200 kể cả khi lỗi nghiệp vụ — lỗi nằm trong khoá "error", không phải mã HTTP. Luôn kiểm if (data.error).

XML-RPC hay JSON-RPC — chốt lại

XML-RPC JSON-RPC
Payload XML (nặng) JSON (nhẹ)
Thư viện Có sẵn mọi ngôn ngữ Chỉ cần JSON + HTTP
Hợp nhất Backend đa ngôn ngữ (Python/PHP/Java) Web/JavaScript, fetch
Endpoint /xmlrpc/2/common, /xmlrpc/2/object /jsonrpc (stateless) hoặc session

Cùng model, cùng execute_kw, cùng cơ chế quyền — chỉ khác định dạng và bối cảnh dùng.

Ba ý mang về

  1. JSON-RPC gọi Odoo qua một POST JSON tới /jsonrpc — params.service (common/object) + method + args ([db, uid, pass, model, method, args, kwargs]); phản hồi bọc trong {"jsonrpc","id","result"} (hoặc "error"). Gọi thẳng từ fetch(), không cần thư viện.
  2. Hai kiểu: stateless /jsonrpc (mỗi lời gọi mang db/uid/password — cho tích hợp server-side) và session (/web/session/authenticate + /web/dataset/call_kw, dùng cookie — cho front-end web đã đăng nhập).
  3. Từ trình duyệt cẩn thận: same-origin chặn gọi chéo domain; đừng nhét password vào JS client (dùng session); và luôn kiểm khoá "error" vì lỗi nghiệp vụ vẫn trả HTTP 200.

Ta đã cho bên ngoài gọi vào Odoo. Chiều ngược lại: Odoo gọi ra một API khác. Phần sau mổ xẻ gọi API ngoài từ Odoo bằng requests — cách một model/controller Odoo gửi HTTP tới dịch vụ thứ ba (thanh toán, SMS, giao vận), và những lưu ý về timeout, lỗi, và không chặn luồng.