CSRF bảo vệ form POST khỏi giả mạo request. Cách Odoo sinh và kiểm token (HMAC + database.secret, consteq), khi nào csrf=False là đúng, và vì sao jsonrpc không cần — kiểm chứng bằng ba lần POST thật trên Odoo 19.
Chuyển hướng, trả 404, đọc request thô — tất cả đi qua Werkzeug bên dưới controller Odoo. Cách dùng request.redirect (và bẫy local=True), raise NotFound, đọc request.httprequest — kiểm chứng bằng curl thật trên Odoo 19.
Webhook lật chiều tích hợp: hệ thống khác chủ động POST vào Odoo khi có sự kiện. Controller csrf=False, xác thực bằng chữ ký HMAC-SHA256 thay vì session — với một webhook chạy thật trên module quản cà phê.
Nhiều người tưởng sudo() đổi user hiện tại thành quản trị viên. Không phải. Bài này dùng odoo shell thật chỉ ra sudo() giữ nguyên user, chỉ bật cờ su để bỏ qua access rights và record rules — và cách dùng nó cho an toàn.
sudo() bỏ qua quyền. with_user đổi hẳn sang một user và áp đúng quyền của họ. with_company đổi công ty đang hoạt động. Ba thứ hay bị nhầm, phân biệt bằng odoo shell thật trên Odoo 19.
Đôi khi ORM không đủ và bạn phải viết SQL tay. cr.execute rất mạnh nhưng nối chuỗi input vào là mở toang cửa cho SQL injection. Hiểu tham số hoá %s, đối tượng SQL của Odoo 19, và cặp flush/invalidate — qua ví dụ injection thật.