Nhiệm vụ của BE và FE trong khi làm chức năng xác thực email

Đầu tiên, bạn nghĩ đúng rồi. Thứ hai, là thoải mái đi combat lại với cái ông Back-end kia nhé, ai đời việc tạo mấy thứ kiểu token quan trọng này lại kêu FE làm vậy không biết, bảo mật ở đâu =))) Quy trình chuẩn là: - Phía Front-end bạn gửi email lên cho Back-end. - Back-end nhận được địa chỉ email thì tạo Token hoặc link verify...vv tùy spec sau đó gửi mail cho người dùng luôn. - Phía người dùng sẽ click vào đường link đó từ email ra ngoài. - Lúc này bạn sẽ dựa vào url đường link đó để lấy token cũng như những thông tin cần thiết ra và tiếp tục gửi lên một api verify cho phía BE xử lý logic verify tiếp. - Chuyên sâu hơn nữa thì còn tùy từng dự án, nhưng trên đây là các bước cơ bản chuẩn nhất rồi, bạn tham khảo để combat lại với ông Back-end kia cho vui nhé =)) - Ngoài ra mình cũng có chia sẻ một góc nhìn riêng về vấn đề là FE có cần học thêm về Back-end không hoặc ngược lại, để nâng cao kiến thức của bản thân, để áp dụng cho nhiều trường hợp ví dụ như gặp phải ông Back-end nào như trên :D, bạn cũng có thể thử tham khảo thêm ở đây nhé: - https://youtu.be/8o_QhqRPwdk

Bạn nói đúng rồi đấy, việc generate key đó thì nên được xử lý ở Backend. Việc này có thể bớt workload cho việc validate key ở phía BE. Nhưng nếu generate ở FE, thì Backend sẽ bớt workload cho việc generate (ko đáng kể), nhưng có thể để lại lỗ hổng từ phía FE. Một hệ thống secure thì nên có practice là validate data ở cả phía FE và BE. Nếu BE vẫn kiên quyết không generate key thì bạn cứ tự gen thôi, bạn có thể dùng nano id để tạo key dạng youtube id nha: https://github.com/ai/nanoid

Hic, mình định bảo bạn về đề xuất công ty cho team backend kia đi học lại về bảo mật cơ bản, nhưng nghĩ mãi cũng chả có cái khóa nào nó dạy về cái này. Giờ bạn chỉ cần nói với team backend như này này: - User vào web, anh muốn xác thực xem user có cái email X không, tức là phải gửi mã gì đó mà User KHÔNG BIẾT vào cái email kia. - Giờ frontend lại là chỗ tạo ra cái mã đấy, mà user lại có thể đọc được request mà frontend gửi lên (mở inspect web lên), tức là nó thấy luôn cái mã đấy rồi, THÌ CÒN CẦN GÌ VÀO MAIL VỚI XÁC THỰC CÁI GÌ NỮA? Đó vậy thôi. Quy trình xác thực email đúng ra phải là: - User submit email từ frontend lên backend - Backend tạo code dùng 1 lần, tạo email form rồi gửi tới email của user - User submit cái code kia (sau khi đọc được email mới biết) từ frontend lên backend - BE xác nhận user đã confirm email