Hồ sơ nhân sự chứa toàn dữ liệu nhạy cảm — lương, số tài khoản, ngày sinh, giấy tờ. Odoo dùng ba mức quyền (Chỉ đọc / Cán bộ / Quản trị viên) để chỉ đúng người có trách nhiệm mới thấy. Xem cách phân quyền dữ liệu nhân sự qua ảnh thật Odoo 19.
Mỗi model mới cần khai quyền, nếu không người dùng bấm vào chỉ thấy lỗi truy cập. File ir.model.access.csv cấp quyền CRUD cho từng nhóm — làm thật, xem trong Odoo 19.
Trong Odoo 19, tab Bảo mật của tài khoản liệt kê mọi thiết bị đang đăng nhập kèm IP và thời điểm, cho đăng xuất từ xa, đổi mật khẩu và bật xác thực hai lớp (2FA). Hướng dẫn qua ảnh thật.
Mô hình mối đe doạ bắt đầu bằng câu 'ứng dụng của tôi có những cửa nào'. Tôi đếm thật trên một app Flask: 8 route trong đầu, nhưng Flask đăng ký 31 cặp và 37 điểm trả lời từ bên ngoài. Framework tự mọc HEAD, OPTIONS, /static — những cửa bạn chưa bao giờ viết và chưa bao giờ bảo vệ.
Bốn cách chặn SQL injection, đo trên ứng dụng thật. Lọc dấu nháy và thoát ký tự bằng tay trông chắc chắn ngang tham số hoá — trong đúng một ngữ cảnh. Payload '0 OR 1=1' không có lấy một dấu nháy, và nó phơi cả bảng. Chỉ tham số hoá đứng vững, vì lý do sâu hơn 'chặn ký tự xấu'.
Tham số hoá là cách chặn SQL injection duy nhất thật sự đủ — nhưng chỉ ở vị trí giá trị. Có một chỗ nó không đặt vào được: tên cột trong ORDER BY. Tôi đo ở đó và đọc trọn một khoá bí mật không route nào hiển thị, một bit mỗi request, 144 request cho cả chuỗi.