So sánh chuỗi bí mật bằng == trông vô hại, nhưng nó thoát sớm ở byte sai đầu tiên — và thời gian chạy rò rỉ số byte đúng. Bài này đo THẬT bằng Go: hàm so thoát sớm tăng đều từ 1,2 ns (0 byte đúng) tới 8,6 ns (31 byte đúng), một timing oracle rõ rệt; còn ConstantTimeCompare phẳng lì ~9,2 ns bất kể khớp bao nhiêu.
Dùng SHA-256 để băm mật khẩu là một sai lầm bảo mật kinh điển — vì nó quá nhanh. Bài này đo THẬT bằng Go: SHA-256 chạy 31 triệu lần/giây mỗi lõi, trong khi Argon2id chậm hơn ~559.000 lần có chủ đích. Đo cách tăng bộ nhớ (8→128 MiB) kéo thời gian băm từ 3,7 ms lên 324 ms, và vì sao tính bộ-nhớ-cứng của Argon2 vô hiệu hoá GPU dò mật khẩu.
Mặc định container chạy dưới quyền root — kẻ khai thác được app là có root trong container. Bài này đo thật ba lớp phòng thủ: --user chạy non-root (ghi /etc bị Permission denied), --cap-drop ALL bỏ quyền đặc quyền (root cũng không chown được), và --read-only khoá rootfs (không ghi được binary). Phòng thủ theo lớp để một container bị chiếm không thành thảm hoạ.
auth trong @route quyết định ai được gọi và code chạy dưới danh nghĩa ai. Phân biệt user, public, none (và bearer mới của Odoo 19) qua ba route thật cùng thân hàm, curl lấy kết quả sống khi chưa và đã đăng nhập.
Portal là khu 'Tài khoản của tôi' cho khách hàng đăng nhập. Mổ xẻ CustomerPortal, override _prepare_home_portal_values để thêm ô đếm, và portal.mixin (access_url/access_token) — qua một ô Thẻ thành viên gắn thật vào /my của Odoo 19.
Dựng một form công khai để khách gửi dữ liệu vào Odoo: route GET render form, route POST tạo bản ghi. Mổ xẻ csrf_token bắt buộc, sudo cho public user, validate và honeypot chống bot — qua form đăng ký dựng thật rồi submit trên Odoo 19.