Linh Fish Dev Podcast #11: Chặn Host header attack bằng TrustedHostMiddleware trong 5 phút
Tập 11: chặn Host header attack bằng TrustedHostMiddleware trong FastAPI. Bạn sẽ nghe vì sao app mặc định tin tưởng mù quáng Host header do client gửi — và vì sao một endpoint quên mật khẩu dựng link reset từ header đó có thể khiến token reset rơi vào tay kẻ xấu chỉ bằng một dòng curl với Host: evil.com. Giải pháp chỉ một dòng add_middleware với allowed_hosts: Host lạ bị chặn ngay với 400 Invalid host header trước khi chạm endpoint. Kiểm chứng thực tế: Host hợp lệ 200, subdomain khớp wildcard 200, evil.com 400, và cả Host giả dạng example.com.evil.com cũng 400. Lưu ý wildcard không khớp domain gốc, môi trường dev/test cần thêm localhost, 127.0.0.1 và testserver, và middleware này khác CORS ở chỗ nó chặn ngay trên server cả request từ curl hay script. Audio tiếng Việt trong tập này là bản chính thức, phát trên mọi nền tảng podcast; bản tiếng Anh ở player phụ bên dưới, video đầy đủ trên kênh YouTube Linh Fish Dev.
Đọc bài viết đầy đủ kèm code mẫu đã kiểm chứng chạy được tại: FastAPI: chặn Host header attack bằng TrustedHostMiddleware trong 5 phút
English version
Nghe Linh Fish Dev Podcast trên:
Spotify Apple Podcasts
Amazon Music YouTube
Castbox Pocket Casts TrueFans Pod.link