Cách bảo vệ /api path cho website

CORS chỉ ngăn request cross-origin từ trình duyệt, không chặn được người gõ tay API hay dùng Postman/curl. Muốn bảo vệ API thì phải có cơ chế xác thực (Authorization header + token, JWT, session cookie…). Và nếu BE của bạn đang public port, thì ai cũng có thể thử gọi. Token/Auth chỉ ngăn người chưa login, nhưng API vẫn lộ ra. Giải pháp an toàn hơn là: không expose BE trực tiếp ra Internet. Chạy BE trong private Docker network và chỉ cho Nginx gọi được. Khi đó user không thể gõ thẳng /api trên BE nữa.

hoạt động như thế là bình thường nha e. dù path path /api có public đi chăng nữa thì api cũng thường được secure bằng authentication/authorization

À tiện cho em hỏi luôn là CORS có giúp chặn api trong trường hợp này không ạ, em có nghe 1 bạn bảo dùng cái này nhưng ko rõ làm kiểu gì ạ, em có thử qua vài kiểu origin thì nó vẫn ko chặn được ạ.

Không public endpoint của BE ra bên ngoài internet nữa, chỉ chạy trong nội bộ và cho phép gọi từ lient thôi.

Bạn chỉ mở port 443/80 của Nginx thôi để cho internet gọi được mỗi nginx thôi là được giống như này nè:

                      +----------------+
Internet 🌍 ---> 443/80|     Nginx     |----> FE (Next.js)
                      | (Reverse Proxy)|----> BE (API)
                      +----------------+

Docker file thì kiểu kiểu này:

version: '3.8'

services:
  nginx:
    image: nginx:latest
    container_name: nginx_proxy
    ports:
      - "80:80"
      - "443:443"
    volumes:
      - ./nginx.conf:/etc/nginx/conf.d/default.conf:ro
    depends_on:
      - fe
      - be
    networks:
      - app-network

  fe:
    build: ./frontend
    container_name: nextjs_app
    expose:
      - "3000"   # chỉ cho phép trong network, không public
    networks:
      - app-network

  be:
    build: ./backend
    container_name: backend_api
    expose:
      - "5000"
    networks:
      - app-network

networks:
  app-network:
    driver: bridge

File nginx đơn giản kiểu này:

server {
    listen 80;

    server_name _;

    # ---------------------------
    # FE: Next.js frontend
    # ---------------------------
    location / {
        proxy_pass http://fe:3000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }

    # ---------------------------
    # BE: backend API
    # ---------------------------
    location /api/ {
        proxy_pass http://be:5000/;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }
}