Đăng nhập với Better-auth

Web bán hàng giờ đã nhớ được dữ liệu, nhưng còn thiếu một thứ căn bản: biết khách là ai. Phải có đăng ký và đăng nhập thì mới gắn được ví, đơn hàng và số dư cho đúng người. Việc chứng minh "bạn đúng là chủ tài khoản này" gọi là authentication (xác thực).

Đây là chỗ nhạy cảm bậc nhất: làm sai là lộ tài khoản, lộ mật khẩu, mất niềm tin. Nên bài này không khuyến khích mèo con "sáng tạo" - mà dựa vào công cụ đã được kiểm chứng.

Tự viết đăng nhập nghe đơn giản nhưng đầy cạm bẫy: lưu mật khẩu sai cách, session đoán được, link đặt lại bị lợi dụng... Một lỗ hổng nhỏ ở đây là toang cả sản phẩm. Quy tắc: đừng phát minh lại phần xác thực - dùng thư viện đã được nhiều người dùng và rà soát.

Khoá dùng Better-auth - một thư viện xác thực cho TypeScript/Next.js. Nó lo sẵn các phần khó: băm mật khẩu, session, đăng nhập Google/Zalo, quên mật khẩu. Mèo con mô tả, Claude gắn nó vào app.

• ▸Xác thực là chỗ nhạy cảm - lỗ hổng nhỏ cũng nguy hiểm.
• ▸Đừng tự chế: dùng thư viện đã kiểm chứng (Better-auth) an toàn hơn đồ tự viết.
• ▸Better-auth lo: hashing, session, OAuth (Google/Zalo), quên mật khẩu.

Nguyên tắc số một: không bao giờ lưu mật khẩu nguyên văn. Thay vào đó, mật khẩu được băm (hash) - biến thành một chuỗi rối một chiều - rồi mới lưu. Lúc đăng nhập, hệ thống băm lại mật khẩu vừa nhập và so khớp hai hash:

Vì băm là một chiều, kể cả khi database bị lộ, kẻ tấn công cũng không suy ngược ra được mật khẩu gốc. Better-auth làm phần này theo chuẩn (argon2/bcrypt) - mèo con không phải tự lo.

Sau khi đăng nhập đúng, chẳng lẽ mỗi lần bấm gì cũng bắt gõ lại mật khẩu? Không. Hệ thống cấp một session - như một tấm vé lưu trong cookie của trình duyệt. Các request sau kèm tấm vé đó, server biết ngay "à, người này đã đăng nhập" mà không hỏi lại mật khẩu.

Nhiều khách ngại tạo thêm một mật khẩu mới. Cho họ đăng nhập bằng Google hoặc Zalo tiện hơn nhiều. Cơ chế là OAuth: khách bấm "đăng nhập bằng Google", Google tự hỏi mật khẩu ở trang của Google rồi chỉ báo lại cho site "người này hợp lệ, đây là email".

Nút "đăng nhập bằng Google/Zalo" không tự chạy. Với MỖI nhà cung cấp, mèo con tạo một ứng dụng OAuth để lấy Client ID + Client Secret, và khai báo redirect URI - địa chỉ Better-auth nhận kết quả trả về. Làm một lần cho mỗi nhà cung cấp.

Google (Google Cloud Console):

• ▸Tạo một project ở Google Cloud Console.
• ▸Cấu hình "OAuth consent screen": tên app, email liên hệ, phạm vi cơ bản (email, profile).
• ▸Tạo "OAuth client ID" loại Web application.
• ▸Thêm Authorized redirect URI trỏ tới callback Better-auth (vd https://ten-mien/api/auth/callback/google).
• ▸Copy Client ID + Client Secret, đặt vào .env.

Zalo (Zalo Developers):

• ▸Tạo một ứng dụng ở Zalo Developers (developers.zalo.me).
• ▸Bật Zalo Login và khai báo redirect URL trỏ về Better-auth.
• ▸Lấy App ID + Secret Key, đặt vào .env.
• ▸Better-auth chưa có provider Zalo sẵn nên nối qua "generic OAuth" - đưa endpoint authorize/token Zalo cung cấp.

# Redirect URI: khai báo ở Google/Zalo đúng đường dẫn callback Better-auth in ra.
# vd Google:  https://ten-mien/api/auth/callback/google
# (khi dev:   http://localhost:3000/api/auth/callback/google)

GOOGLE_CLIENT_ID="..."
GOOGLE_CLIENT_SECRET="..."
ZALO_APP_ID="..."
ZALO_APP_SECRET="..."

Mật khẩu lộ là mất tài khoản. Thêm lớp thứ hai (2FA - two-factor authentication): ngoài mật khẩu, cần thêm một bằng chứng nữa. Với tài khoản dính tới tiền, khoá bắt buộc khách bật một trong hai:

• ▸Passkey (WebAuthn): khoá gắn thiết bị + sinh trắc (vân tay/Face ID); không có mã để lộ, chống lừa đảo (phishing) tốt nhất - khuyến nghị.
• ▸TOTP: mã 6 số đổi mỗi 30 giây trong app authenticator (Google Authenticator/Authy); phương án dự phòng khi không dùng được passkey.
• ▸Better-auth có sẵn plugin passkey và two-factor (TOTP) - bật là dùng, không tự chế.

Quan trọng không kém: mọi thao tác nhạy cảm phải xác nhận lại ngay lúc đó (step-up), không chỉ dựa vào việc đã đăng nhập từ trước - vì máy có thể bị bỏ quên lúc đang mở:

• ▸Step-up áp cho: nạp/rút/chuyển tiền, đổi mật khẩu, đổi email, và mọi thao tác admin.
• ▸Mỗi lần xác nhận ghi log (ai, làm gì, khi nào) để truy vết khi cần.
• ▸Cho subagent bảo mật rà: đúng các key action nhạy cảm đều có step-up, không sót cái nào.

Khách quên mật khẩu là chuyện thường. Cách đúng không phải gửi lại mật khẩu cũ - database chỉ giữ hash nên cũng không đọc ra được, mà gửi mật khẩu qua email cũng không an toàn. Thay vào đó: gửi một link đặt lại có hạn (vd 30 phút), khách bấm vào và tạo mật khẩu mới.

Better-auth lưu user và session vào PostgreSQL qua Drizzle - ăn khớp với mô hình dữ liệu mèo con đã dựng. Đại ý khi gắn vào, mô tả cho Claude rất gọn:

Gắn Better-auth vào app, lưu user/session vào PostgreSQL qua Drizzle.
Bật:
  - đăng ký / đăng nhập bằng email + mật khẩu (băm argon2)
  - đăng nhập Google và Zalo (OAuth)
  - 2FA: passkey (WebAuthn) + TOTP; BẮT BUỘC thiết lập ngay sau đăng nhập
  - xác nhận lại (step-up) cho thao tác nhạy cảm: nạp/rút tiền, đổi mật khẩu, admin
  - quên mật khẩu: gửi link đặt lại có hạn 30 phút; đặt lại mật khẩu thì RESET 2FA
Sau đó cho subagent bảo mật rà phần xác thực này.