auth trong @route quyết định ai được gọi và code chạy dưới danh nghĩa ai. Phân biệt user, public, none (và bearer mới của Odoo 19) qua ba route thật cùng thân hàm, curl lấy kết quả sống khi chưa và đã đăng nhập.
Portal là khu 'Tài khoản của tôi' cho khách hàng đăng nhập. Mổ xẻ CustomerPortal, override _prepare_home_portal_values để thêm ô đếm, và portal.mixin (access_url/access_token) — qua một ô Thẻ thành viên gắn thật vào /my của Odoo 19.
Dựng một form công khai để khách gửi dữ liệu vào Odoo: route GET render form, route POST tạo bản ghi. Mổ xẻ csrf_token bắt buộc, sudo cho public user, validate và honeypot chống bot — qua form đăng ký dựng thật rồi submit trên Odoo 19.
CSRF bảo vệ form POST khỏi giả mạo request. Cách Odoo sinh và kiểm token (HMAC + database.secret, consteq), khi nào csrf=False là đúng, và vì sao jsonrpc không cần — kiểm chứng bằng ba lần POST thật trên Odoo 19.
Chuyển hướng, trả 404, đọc request thô — tất cả đi qua Werkzeug bên dưới controller Odoo. Cách dùng request.redirect (và bẫy local=True), raise NotFound, đọc request.httprequest — kiểm chứng bằng curl thật trên Odoo 19.
Webhook lật chiều tích hợp: hệ thống khác chủ động POST vào Odoo khi có sự kiện. Controller csrf=False, xác thực bằng chữ ký HMAC-SHA256 thay vì session — với một webhook chạy thật trên module quản cà phê.