Nhận file upload trong controller Odoo: đọc từ request.httprequest.files, kiểm loại và kích thước, lưu thành ir.attachment. Demo thật một form tải ảnh, upload một PNG và xác nhận attachment trên Odoo 19.
Controller trả file để tải xuống: make_response với Content-Type và Content-Disposition đúng, content_disposition cho tên tiếng Việt có dấu, và Stream cho file lớn. Demo thật một route xuất CSV rồi curl xem header trên Odoo 19.
CSRF bảo vệ form POST khỏi giả mạo request. Cách Odoo sinh và kiểm token (HMAC + database.secret, consteq), khi nào csrf=False là đúng, và vì sao jsonrpc không cần — kiểm chứng bằng ba lần POST thật trên Odoo 19.
request.env là cửa vào ORM (dựng theo auth), request.session giữ trạng thái giữa các request. Cách chúng hoạt động, khác nhau ra sao, và cách dùng đúng — kiểm chứng bằng một bộ đếm session thật tăng qua từng lần gọi trên Odoo 19.
Chuyển hướng, trả 404, đọc request thô — tất cả đi qua Werkzeug bên dưới controller Odoo. Cách dùng request.redirect (và bẫy local=True), raise NotFound, đọc request.httprequest — kiểm chứng bằng curl thật trên Odoo 19.
Phân trang danh sách trong controller tự viết: đếm tổng, tính offset/limit, clamp số trang, giữ tham số sắp xếp qua các trang. Bốn bước và cạm bẫy hay gặp — kiểm chứng bằng curl thật trên Odoo 19.