Khi bạn triển khai một giao diện người dùng tinh tế để hiển thị PDF, PPT hoặc hoá đơn, bạn thường tập trung vào thẩm mỹ, khả năng phản hồi và thời gian tải. Tuy nhiên, điều thường bị bỏ qua là cách các tài liệu di chuyển từ máy chủ của bạn đến trình duyệt của người dùng. Một sai lầm duy nhất có thể biến một ứng dụng vững chắc thành một vector rò rỉ dữ liệu.
Trong hướng dẫn này, chúng tôi sẽ đi qua bảy khả năng tập trung vào bảo mật mà bạn nên nhúng—ngay từ đầu—khi tích hợp một trình xem tài liệu ưu tiên quyền riêng tư. Danh sách kiểm tra được viết cho các kỹ sư front‑end muốn củng cố các nhúng của mình mà không làm tăng độ phức tạp không cần thiết.
1. Mã Hoá End‑to‑End của Luồng Tài Liệu
Tại sao nó quan trọng
Ngay cả khi bạn phục vụ tệp qua HTTPS, tài liệu thô vẫn có thể bị chặn bởi một tiện ích mở rộng trình duyệt bị xâm phạm hoặc một script độc hại đọc phản hồi trước khi nó tới trình xem.
Cách triển khai
| Bước | Hành động |
|---|---|
| Mã hoá phía máy chủ | Mã hoá tệp (AES‑256‑GCM là một lựa chọn ổn) trước khi lưu hoặc truyền phát. |
| Bảo mật truyền tải | Cung cấp khối dữ liệu đã mã hoá qua TLS 1.3. |
| Giải mã phía client | Khởi chạy một Web Worker nhận luồng đã mã hoá, giải mã trong bộ nhớ và đưa văn bản thuần túy trực tiếp vào canvas của trình xem. |
| Không bao giờ lộ khóa | Giữ khóa giải mã trong một token ngắn hạn, được tạo bởi máy chủ (xem Tính năng #4). |
Khi trình xem bắt đầu render, tài liệu chưa bao giờ được lộ dưới dạng văn bản thuần trên mạng hoặc trên luồng chính.
2. Danh Sách Trắng Content‑Security‑Policy (CSP)
Rủi ro
Một CSP lỏng lẻo cho phép kẻ tấn công chèn script độc hại hoặc tải tài nguyên giả mạo có thể đọc dữ liệu canvas của trình xem.
Các điểm chính
- ‘unsafe‑inline’ và ‘unsafe‑eval’ bị cấm đối với script.
- Chỉ CDN của trình xem (hoặc bundle tự host) được phép cung cấp JavaScript.
- Các frame chỉ được phép tới miền trình xem đáng tin cậy.
Một CSP chặt chẽ giảm đáng kể bề mặt tấn công của trang chứa nhúng.
3. Cách Ly Same‑Origin qua Sandbox iframe
Tại sao cần sandbox?
Ngay cả khi có CSP, một trang bị xâm phạm vẫn có thể cố gắng truy cập vào DOM của trình xem. Một <iframe> được cô lập tạo ra một lồng bảo mật mà trang chủ không thể phá vỡ nếu không có quyền explicit.
Cờ sandbox cần tránh
allow-top-navigation– ngăn trình xem chiếm đoạt cửa sổ cấp cao nhất.allow-popups– chặn các pop‑up không mong muốn có thể dùng cho phishing.
Nếu trình xem cần giao tiếp với trang cha (ví dụ: để đồng bộ UI), hãy sử dụng postMessage kèm kiểm tra origin một cách rõ ràng.
4. Kiểm Soát Truy Cập Dựa Trên Token
Vấn đề với URL trực tiếp
Các URL tĩnh công khai cho phép bất kỳ ai có liên kết tải tệp vô thời hạn.
Vì token được ký phía máy chủ, bất kỳ sự thay đổi nào sẽ làm yêu cầu không hợp lệ, và trình xem sẽ từ chối tải.
5. Đánh Dấu Nước & Lớp Phủ Động
Mục đích
Một watermark động phía client thêm lớp chịu trách nhiệm mà không thay đổi file gốc.
Mẹo triển khai
- Vẽ watermark trên một canvas overlay nằm trên các trang PDF.
- Sử dụng email của phiên hoặc một UUID ngẫu nhiên để mỗi phiên trình xem đều duy nhất.
- Bật/tắt lớp phủ bằng một cờ đơn giản để giữ chi phí hiệu năng tối thiểu.
Nếu một tài liệu bị rò rỉ xuất hiện, định danh nhúng sẽ chỉ trực tiếp tới nguồn gốc.
6. Hạn Chế Tải Xuống & In Ấn
Mặc định của trình duyệt
Hầu hết các trình duyệt hiển thị menu ngữ cảnh khi click chuột phải cho phép lưu canvas dưới dạng hình ảnh, thực chất là xuất trang.
Những gì trình xem có thể và không thể làm
SDK của trình xem tài liệu có thể ẩn các hành động xuất khỏi thanh công cụ, và danh mục tính năng của Doconut liệt kê việc in trình duyệt và xuất PDF trong các khả năng bạn quyết định có hiển thị hay không. Hãy kiểm tra tên tùy chọn dựa trên tài liệu của phiên bản bạn cài đặt thay vì dựa vào bất kỳ bài viết nào, bao gồm cả bài này: các khóa cấu hình thay đổi giữa các phiên bản.
Quan trọng hơn là phần mà bất kỳ cài đặt thanh công cụ nào cũng không bao phủ. Ẩn một nút là một lựa chọn quy trình, không phải kiểm soát truy cập. Máy chủ vẫn phải ủy quyền cho mỗi yêu cầu trang, thumbnail, xuất, tải xuống và in, vì các endpoint này có thể được gọi trực tiếp. Và một khi pixel đã xuất hiện trên màn hình, ảnh chụp màn hình, máy ảnh và công cụ trợ năng luôn tồn tại; một trình xem hứa hẹn ngược lại đang bán cho bạn một điều mà nó không thể cung cấp.
7. Ghi Nhận Kiểm Toán & Hook Sự Kiện
Giá trị của khả năng quan sát
Ngay cả trình xem được bảo vệ tốt nhất cũng có thể bị lạm dụng. Ghi lại ai đã mở tài liệu nào, khi nào và những hành động họ thực hiện tạo ra một dấu vết pháp y.
Với nhật ký thời gian thực, bạn có thể phát hiện các mẫu bất thường—như một người dùng mở hàng chục PDF bí mật trong vài giây—và kích hoạt cảnh báo hoặc thu hồi quyền.
Kết Luận
Nhúng một trình xem tài liệu là một trách nhiệm bảo mật, không chỉ là giao diện người dùng. Mã hoá luồng tài liệu, Content‑Security‑Policy nghiêm ngặt, sandbox iframe cô lập, kiểm soát truy cập dựa trên token, watermark động, hạn chế xuất được xem như UX chứ không phải bảo vệ, và ghi nhận kiểm toán là những yếu tố phân biệt một nhúng bạn có thể bảo vệ và một nhúng không thể.
Hai trong số bảy yếu tố đó luôn thuộc về bạn bất kể bạn chọn trình xem nào: ủy quyền và kiểm toán. Không thành phần nào có thể đưa ra quyết định đó cho môi trường của bạn.
Sẵn sàng xây dựng nhúng chưa?
- Bắt đầu từ tài liệu chính thức của nhà cung cấp cho phiên bản bạn cài đặt. Đối với Doconut, đó là doconut.com — các gói, hướng dẫn cài đặt và mẫu. Sao chép các khóa cấu hình từ các bài viết là cách mà các tích hợp bị hỏng khi nâng cấp.
- Đặt danh sách kiểm tra bảy điểm vào mẫu pull‑request để việc đánh giá bảo mật diễn ra trước khi hợp nhất, không phải sau sự cố.
- Kiểm tra các trường hợp tiêu cực trước: định danh tài liệu của tenant khác, phiên đã hết hạn, yêu cầu trực tiếp tới một trang hoặc endpoint xuất. Đó là các kiểm thử giúp phát hiện lỗ hổng thực tế.