📋 Checklist review code AI trước khi deploy

By Better Wise

Bạn đã đi qua gần hết module: secrets trong repo, HTTPS, phân quyền và validate input ở server. Giờ là lúc gom tất cả thành một danh sách ngắn chạy qua trước mỗi lần deploy, vì code AI sinh ra thường chạy được nhưng hiếm khi an toàn.

Một chuyện thật trong nhóm tôi: một PR do AI sinh được merge sau 4 phút review, vì "test pass hết rồi". Ba tuần sau mới phát hiện endpoint xem đơn hàng không kiểm tra chủ sở hữu, chỉ cần đổi số ID là đọc được đơn của người khác. Không có gì sập, chỉ là dữ liệu khách hàng nằm sai chỗ trong vài tuần. Bài này để chuyện đó không lặp lại.

Sau bài này, bạn có thể:

  • Chạy checklist 10 điểm trên một pull request do AI sinh.
  • Nhận ra 3 kiểu lỗi AI hay tái diễn và biết chỗ cần sửa.
  • Phân biệt phần nào review bằng mắt, phần nào để CI bắt.
  • Quyết định merge hay trả lại PR mà không cần đọc cả nghìn dòng.

Vì sao phải có checklist thay vì đọc lướt

Đọc lướt thì mắt bạn đi theo luồng code đẹp, còn lỗi bảo mật nằm ở chỗ thiếu: thiếu một middleware, thiếu một điều kiện WHERE, thiếu một dòng kiểm tra quyền. Mắt người không giỏi nhìn cái không có. Checklist giải quyết đúng điểm yếu đó: bạn không tìm lỗi, bạn đi kiểm tra từng mục có hay không.

Quy tắc: một PR AI sinh, 10 mục, mỗi mục trả lời "có" hoặc "không". Không có "chắc là có".

Checklist 10 điểm, đọc theo thứ tự

In this lesson

  • Ba vòng review trên một pull request thật
  • Ví dụ 1: endpoint xem đơn hàng
  • Ví dụ 2: key nằm ngay trong file config
  • Ví dụ 3: một dòng "cho chạy được trên máy local"
  • Ví dụ 4: validate chỉ nằm ở client

About this course

Part of Bảo mật web cho vibe coder: OWASP, secrets và dữ liệu người dùng — Hiểu các lỗ hổng bảo mật thường gặp trong sản phẩm do AI viết và biết cách kiểm tra, che giấu secrets trước khi mở cho người dùng thật.

Level
Beginner
Goal
Fundamentals
Language
Vietnamese
Focus
OWASP Top 10 ở mức nhận diện quản lý secrets và biến môi trường validate input và phân quyền review code AI sinh
Prior knowledge
Biết HTML/CSS/JavaScript cơ bản, Đã từng dùng AI để viết code, Biết chạy app trên máy local
Practice
Worked examples
Time
~3h
Voice
một kỹ sư bảo mật khó tính nhưng hay kể chuyện sự cố thật, luôn chỉ ra chỗ AI viết code ẩu để người học tự kiểm tra trước khi deploy
Not covered
Pentest chuyên sâu, Mã hóa học thuật, Bảo mật hạ tầng cloud nâng cao

This lesson is premium content. Sign in and purchase the course to view the full content. Sign in