Production Security နှင့် Access Control

နားလည်ထားရမယ့် အချက်

Production security ဆိုတာ layer အစုအဝေးတစ်ခုပါ၊ setting တစ်ခုတည်း မဟုတ်ပါဘူး။ Traffic ကို in-transit encrypt လုပ်တဲ့ HTTPS ဟာ non-negotiable ပါ၊ optional polish မဟုတ်ပါဘူး။

• Authentication — မင်းဘယ်သူလဲ (login ဝင်တာ)။
• Authorization — မင်းဘာလုပ်ခွင့်ရှိလဲ (login ပြီးရင် permission)။ ဒီနှစ်ခုကို ရောထွေးတာက bug ရဲ့ classic source။
• Secret — password, API key, signing key — code ရဲ့ အပြင်ဘက်မှာ, env var ဒါမှမဟုတ် secrets manager ထဲမှာ, commit မလုပ်ရ။

Least privilege — user/service တိုင်းကို လိုအပ်တဲ့ permission ကိုပဲ ပေးပါ။ Firewall က network version ကို force ချပေးပါတယ် — တကယ်လိုအပ်တဲ့ port ကိုပဲ ဖွင့်ပါ။

Security header (CSP, HSTS) တွေက browser-enforced protection ထပ်ထည့်ပေးပါတယ်။ IAM — identity, role, permission, policy — ဆိုတာ ဘယ်သူ/ဘာက ဘာလုပ်နိုင်လဲ သတ်မှတ်ဖို့ vendor-neutral framework ပါ။

LAYERED PRODUCTION SECURITY
---------------------------
LAYERED PRODUCTION SECURITY
------------------------------

   internet
      |
      v
  +-----------------------------+
  |  HTTPS (encrypt in transit) |
  +-----------------------------+
      |
      v
  +-----------------------------+
  |  FIREWALL (only needed      |
  |  ports reach the server)    |
  +-----------------------------+
      |
      v
  +-----------------------------+
  |  IAM / LEAST PRIVILEGE      |
  |  (what each user/service    |
  |   can do once inside)       |
  +-----------------------------+
      |
      v
  [ APPLICATION + DATA ]

လက်တွေ့ scenario နဲ့ ချိတ်ကြည့်မယ်

CORS enforcement ရဲ့ core idea က incoming Origin header ကို ယုံကြည်ရတဲ့ site list နဲ့ စစ်တာပါ။

Allowed origin တစ်ခုက 'allow' ရပြီး header အဖြစ် ပြန် echo ခံရပါတယ်။ Rejected origin က 'reject' ရပြီး header ဘာမှ မရှိပါဘူး — browser ကို response ကို block လုပ်ဖို့ ပြောပြပါတယ်။

• Security က layer အဆင့်ဆင့်ပါ — HTTPS, firewall, least-privilege IAM တစ်ခုစီက user ကနေ data ဆီရောက်တဲ့ path ရဲ့ ကွဲပြားတဲ့ အပိုင်းကို ကာကွယ်ပါတယ်။
• Authentication (ဘယ်သူ) နဲ့ authorization (ဘာလုပ်ခွင့်) က check မတူညီပါဘူး — login ဝင်ခွင့်ရှိတာနဲ့ action အားလုံးအတွက် permission ရှိတာ မတူပါဘူး။
• CORS ဟာ browser-only policy တစ်ခုပါ၊ authentication system မဟုတ်ပါဘူး — non-browser client တစ်ခုက API ကို ခေါ်တာကို မတားပါဘူး။

Production Security အခြေခံများ

• Endpoint တိုင်းမှာ HTTPS force လုပ်ထား
• Secret တွေကို code ထဲ commit မလုပ်ထား
• User/service တိုင်းအတွက် least-privilege access
• Firewall rule တွေကို review လုပ်ပြီး နည်းအောင်ချုံ့ထား
• Dependency တွေကို update ဆက်လုပ်ထား
• Logging ဖွင့်ထား (secret redact လုပ်ထားတဲ့)
• CORS ကို trusted origin အစစ်တွေအတွက်ပဲ scope ချထား

အတူတူ စမ်းရေးကြည့်မယ်

function createCorsChecker(allowedOrigins) {
  return function checkOrigin(origin) {
    const allowed = allowedOrigins.includes(origin);
    return {
      origin,
      decision: allowed ? "allow" : "reject",
      headerSent: allowed ? origin : null,
    };
  };
}

const checkOrigin = createCorsChecker([
  "https://app.example.com",
  "https://admin.example.com",
]);

console.log(JSON.stringify(checkOrigin("https://app.example.com")));
console.log(JSON.stringify(checkOrigin("https://evil-clone.com")));

{"origin":"https://app.example.com","decision":"allow","headerSent":"https://app.example.com"}
{"origin":"https://evil-clone.com","decision":"reject","headerSent":null}
(output က locale နှစ်ခုစလုံးအတွက် တူညီပါတယ်)

MDN — Cross-Origin Resource Sharing (CORS) — Cloud & Deployment