Làm thế nào để thiết kế và triển khai cơ chế xác thực và phân quyền (Authentication & Authorization) sử dụng JWT trong hệ thống API phân tán?

Question

Accepted Answer

Bản chất vấn đề
Hệ thống Enterprise thường áp dụng kiến trúc phi trạng thái (Stateless) để dễ dàng scale-out. JSON Web Token (JWT) là giải pháp phổ biến để xác thực người dùng. Tuy nhiên, lập trình viên cấp độ Junior thường gặp lỗi trong việc bảo mật token, quản lý vòng đời token (Access Token và Refresh Token) và phân quyền dựa trên Role/Permission.
Giải pháp kiến trúc

Access Token: Có thời gian sống ngắn (ví dụ: 15 phút), được lưu trữ ở Memory của Client (React state) hoặc HttpOnly Cookie, dùng để xác thực request API.
Refresh Token: Có thời gian sống dài hơn (ví dụ: 7 ngày), được lưu trữ trong HttpOnly Cookie (chống tấn công XSS), dùng để cấp lại Access Token mới khi hết hạn.
Authorization Middleware: Kiểm tra tính hợp lệ của JWT và kiểm tra xem người dùng có quyền (Permissions) thực thi hành động đó không.

Ví dụ triển khai (Middleware kiểm tra JWT)
const jwt = require('jsonwebtoken');

const verifyAccessToken = (req, res, next) => {
  const authHeader = req.headers['authorization'];
  const token = authHeader && authHeader.split(' ')[1]; // Bearer TOKEN

if (!token) {
    return res.status(401).json({
      success: false,
      error: { code: 'UNAUTHORIZED', message: 'Thiếu Access Token xác thực' }
    });
  }

jwt.verify(token, process.env.JWT_ACCESS_SECRET, (err, user) => {
    if (err) {
      return res.status(403).json({
        success: false,
        error: { code: 'TOKEN_EXPIRED_OR_INVALID', message: 'Token không hợp lệ hoặc đã hết hạn' }
      });
    }
    req.user = user; // Gắn thông tin user vào request
    next();
  });
};
Lưu ý kinh nghiệm thực chiến

Tuyệt đối không lưu trữ Access Token trong localStorage hoặc sessionStorage vì dễ bị đánh cắp thông qua lỗ hổng Cross-Site Scripting (XSS).
Cần xây dựng cơ chế Blacklist (sử dụng Redis) cho Refresh Token để có thể thu hồi quyền truy cập ngay lập tức khi người dùng đăng xuất hoặc tài khoản bị khóa.

Làm thế nào để thiết kế và triển khai cơ chế xác thực và phân quyền (Authentication & Authorization) sử dụng JWT trong hệ thống API phân tán?

Bản chất vấn đề

Làm Chủ Phỏng Vấn & Nâng Cao Trình Độ Chuyên Nghiệp

Tải Tuyển Tập 100+ Câu Hỏi Phỏng Vấn Chuyên Sâu (PDF)

Cần Mentor Phỏng Vấn Thử 1-1 & Tối Ưu CV?

Kiểm Tra CV Chuẩn ATS Miễn Phí

Câu hỏi api design liên quan cùng chủ đề