Tools & Services

เครื่องมือและบริการที่เกี่ยวข้องกับความปลอดภัย

Service	Description	ข้อดีหลัก
Supabase Auth	ระบบ authentication แบบโอเพนซอร์ส	ฟรี, เชื่อมกับ PostgreSQL ได้
Clerk	ผู้ให้บริการ authentication ที่ทันสมัย	มี UI สวยงาม, ตั้งค่าเร็ว
WorkOS	Enterprise-ready authentication	รองรับ SAML, Directory Sync

Authentication Methods

Method	Description	Common Use Cases	Security Level
API Keys	รหัสเฉพาะสำหรับการเข้าถึง API	การสื่อสารระหว่างเซิร์ฟเวอร์	Low-Medium
Password-based	การยืนยันตัวตนด้วยชื่อผู้ใช้และรหัสผ่าน	แอปพลิเคชันเว็บ, ระบบภายในองค์กร	Medium
OAuth/OIDC	มาตรฐานเปิดสำหรับการมอบสิทธิ์	การล็อกอินผ่านโซเชียล, การอนุญาต API	High
JWT	โทเคน JSON สำหรับการยืนยันตัวตนแบบไร้สถานะ	แอปหน้าเดียว, ไมโครเซอร์วิส	High
Biometric	การยืนยันตัวตนด้วยลักษณะทางชีวภาพ	อุปกรณ์มือถือ, ระบบความปลอดภัยสูง	Very High
Multi-factor	การยืนยันตัวตนหลายขั้นตอน	ระบบธนาคาร, ระบบที่ต้องการความปลอดภัยสูง	Very High

Authentication Workflow

ขั้นตอนการทำงานของระบบการยืนยันตัวตน

Signup

ขั้นตอนการสมัครสมาชิกใหม่

ขั้นตอน	คำอธิบาย
1	ผู้ใช้กรอกข้อมูลลงในฟอร์มสมัครสมาชิก
2	ระบบตรวจสอบและสร้างบัญชีผู้ใช้ใหม่
3	แจ้งผลการสมัครสมาชิกแก่ผู้ใช้

Signin

ขั้นตอนการเข้าสู่ระบบ

ขั้นตอน	คำอธิบาย
1	ผู้ใช้กรอกข้อมูลล็อกอิน
2	ระบบตรวจสอบความถูกต้อง
3	อนุญาตหรือปฏิเสธการเข้าสู่ระบบ

Forgot Password

ขั้นตอนการรีเซ็ตรหัสผ่าน

ขั้นตอน	คำอธิบาย
1	ผู้ใช้ขอรีเซ็ตรหัสผ่าน
2	ระบบส่งลิงก์รีเซ็ตทางอีเมล
3	ผู้ใช้ตั้งรหัสผ่านใหม่

Signout

ขั้นตอนการออกจากระบบ

ขั้นตอน	คำอธิบาย
1	ผู้ใช้กดปุ่มออกจากระบบ
2	ระบบยกเลิกโทเคนการเข้าสู่ระบบ
3	นำผู้ใช้กลับสู่หน้าล็อกอิน

Email Verification

ขั้นตอนการยืนยันอีเมล

ขั้นตอน	คำอธิบาย
1	ผู้ใช้คลิกลิงก์ยืนยันในอีเมล
2	ระบบตรวจสอบและอัปเดตสถานะ
3	แสดงผลการยืนยันสำเร็จ

Social Signin

ขั้นตอนการเข้าสู่ระบบผ่านโซเชียล

ขั้นตอน	คำอธิบาย
1	ผู้ใช้เลือกผู้ให้บริการโซเชียล
2	ระบบทำการตรวจสอบกับผู้ให้บริการ
3	สร้างและส่งคืนโทเคนการเข้าสู่ระบบ

Two-Factor Authentication (2FA)

ขั้นตอนการยืนยันตัวตนสองขั้นตอน

ขั้นตอน	คำอธิบาย
1	ผู้ใช้กรอกรหัสผ่าน
2	ระบบขอรหัส OTP เพิ่มเติม
3	ตรวจสอบและอนุญาตการเข้าถึง

Security Best Practices

แนวทางปฏิบัติด้านความปลอดภัยที่ดีที่สุด

Practice	คำอธิบาย	วิธีใช้งาน	ตัวอย่างเครื่องมือ
HTTPS	การเข้ารหัสข้อมูลระหว่างการส่ง	ใช้ SSL/TLS certificate	Let's Encrypt, Cloudflare
Strong Hashing	การเข้ารหัสรหัสผ่านที่ปลอดภัย	ใช้ algorithm แบบ slow hash	bcrypt, Argon2, PBKDF2
Rate Limiting	จำกัดการลองรหัสผ่าน	ตั้งค่าจำนวนครั้งที่ผิดได้	Express-rate-limit, NGINX
MFA	การยืนยันตัวตนหลายขั้นตอน	ใช้ร่วมกับ SMS/OTP/Authenticator	Google Authenticator, Authy
Dependency Updates	อัปเดตไลบรารี่ความปลอดภัย	ใช้เครื่องมือตรวจสอบอัตโนมัติ	Dependabot, Snyk

Common Vulnerabilities

ช่องโหว่ความปลอดภัยที่พบบ่อย

Vulnerability	คำอธิบาย	วิธีป้องกัน	ตัวอย่างการโจมตี
Credential Stuffing	ใช้รหัสที่รั่วไหลจากที่อื่น	ใช้ MFA, ตรวจสอบอุปกรณ์	การลองใช้รหัสผ่านที่ถูกแฮ็กจากเว็บอื่น
Session Hijacking	ขโมย Session ID	ใช้ Secure/HttpOnly cookies, Rotate session	การขโมยคุกกี้เพื่อแอบอ้างเป็นผู้ใช้
SQL Injection	ใส่คำสั่ง SQL ผ่าน input	ใช้ Parameterized queries	การใส่คำสั่ง SQL เพื่อดึงข้อมูลทั้งหมดจากฐานข้อมูล
XSS	ใส่ script ผ่าน input	ใช้ Content Security Policy (CSP)	การแทรกสคริปต์เข้าไปในหน้าเว็บ
CSRF	หลอกให้ส่ง request จากอีกเว็บ	ใช้ CSRF tokens, SameSite cookies	การสร้างฟอร์มลับเพื่อโอนเงินในเว็บธนาคาร