--- url: https://docs.nemo12.com/quality/audit-standard/as-07-10.md description: >- Chỉ báo AS-07 bảo mật và riêng tư, AS-08 tin cậy và vận hành, AS-09 trải nghiệm và design system, AS-10 AI governance và chi phí. --- # Audit Standard · AS-07 tới AS-10 Một phần của [Audit Standard](./index.md). Chỉ báo AS-07 bảo mật và riêng tư, AS-08 tin cậy và vận hành, AS-09 trải nghiệm và design system, AS-10 AI governance và chi phí. ## AS-07 — Bảo mật, Riêng tư & Tuân thủ | ID | Chỉ báo | Cách kiểm | | --- | --- | --- | | **AS-07.1** | **Xác thực & phiên** | | | AS-07.1.1 | 🔴🚸 Mọi endpoint không public đều yêu cầu xác thực | `grep -c "requireSession" workers/api/src/modules` đối chiếu tổng số route; mỗi route thiếu phải được liệt kê + xác nhận "public có chủ đích" | | AS-07.1.2 | Token/session có hạn và có cơ chế thu hồi | đọc `resolveSession` + `rotated_token` | | AS-07.1.3 | `audience` / `issuer` của id_token được verify, không bỏ qua | đọc code xác thực OAuth | | AS-07.1.4 | 🚸 Khu vực nội bộ (admin, dolphin) có lớp bảo vệ hạ tầng (Cloudflare Access), không chỉ check ở app | thử truy cập ẩn danh vào `admin.nemo12.com`/`mentors.nemo12.com` — kỳ vọng chặn ở Access trước khi tới app (đã xác nhận PASS theo đính chính Audit #001 §5 — giữ trong Pilot Gate để không âm thầm tắt lại) | | AS-07.1.5 | Không có đường đăng nhập tắt / backdoor trên production | `grep -rn "bypass\|skip.*auth\|debug.*login"` + rà middleware | | **AS-07.2** | **Phân quyền backend** | | | AS-07.2.1 | 🔴🚸 Mọi truy cập learner data được authorize ở **backend**, không chỉ ẩn ở UI | rà từng endpoint chạm bảng có `learner_id`; `canAccessLearner()` (hoặc tương đương) phải xuất hiện trong mọi module đó | | AS-07.2.2 | 🔴 RBAC dựa trên role/id, **không so sánh email** | `grep -rn "role.*===.*email\|\.email ===" workers/api/src` trong logic authz phải rỗng | | AS-07.2.3 | 🔴🚸 Parent chỉ truy cập learner trong family của mình — có test chứng minh | `find workers/api/src -iname "*authz*test*" -o -iname "*parent*family*test*"` phải tồn tại và pass | | AS-07.2.4 | Mentor truy cập rộng hơn nhưng **bắt buộc** ghi audit log | đọc code mentor routes + `SELECT COUNT(*) FROM audit_log WHERE actor_role='mentor'` > 0 | | AS-07.2.5 | Ma trận quyền `reference/permissions.md` khớp kiểm tra thật trong code | đối chiếu | | **AS-07.3** | **Dữ liệu trẻ em & đồng thuận** | | | AS-07.3.1 | Mỗi trường dữ liệu trẻ em có mục đích ghi rõ (thu thập tối thiểu) | `data-dictionary.md` | | AS-07.3.2 | 🚸 Ghi dấu vết đồng thuận (KHÔNG chặn) — chủ dự án 2026-08-15 quyết bỏ cổng chặn, xem SRC-137 | đọc luồng onboarding — có bảng `consents` ghi ai bật/tắt cái gì, lúc nào | | AS-07.3.3 | Nội dung do trẻ viết (portrait learner sections) chỉ role learner được ghi | đọc code + `portraits/*.test.ts` | | AS-07.3.4 | Không chia sẻ dữ liệu trẻ em sang bên thứ ba ngoài nhà cung cấp hạ tầng đã khai | rà lời gọi ra ngoài — `grep -rn "fetch(\"https://" workers/api/src` đối chiếu domain đã khai | | AS-07.3.5 | Parent xem được dữ liệu nào đang dùng để ra quyết định về con mình | UI marlins | | **AS-07.4** | **Audit log** | | | AS-07.4.1 | Mọi truy cập learner data bởi role không phải chủ sở hữu được ghi log | đọc code — điểm ghi `audit_log` ở mọi route mentor/staff chạm learner data | | AS-07.4.2 | Log ghi đủ: ai, cái gì, khi nào, từ đâu | schema `audit_log` — có `actor_id`, `target_id`, `created_at`, `ip`/tương đương | | AS-07.4.3 | Log không chứa nội dung nhạy cảm nguyên văn (chỉ tham chiếu) | đọc mẫu log — chỉ `target_type`+`target_id`, không có nội dung | | AS-07.4.4 | Log không thể bị ứng dụng sửa/xóa | rà endpoint/quyền — không route nào `UPDATE`/`DELETE audit_log` | | AS-07.4.5 | Có đường truy vấn log phục vụ điều tra sự cố | UI admin/query endpoint | | **AS-07.5** | **Bề mặt tấn công** | | | AS-07.5.1 | 🔴 Không secret trong git history | `git log -p --all \| grep -E "(api[_-]?key\|secret\|token)\s*[:=]"` | | AS-07.5.2 | 🔴 Không endpoint debug/seed mở trên production | `grep -rn "debug\|/seed" workers/api/src/index.ts` đối chiếu route thật | | AS-07.5.3 | Input người dùng validate bằng schema trước khi chạm DB | rà router — mọi route có `.input()`/zod schema | | AS-07.5.4 | Nội dung người dùng nhập được escape khi render (chống XSS) | `grep -rn "dangerouslySetInnerHTML" apps/*/src` — mỗi hit xác nhận nguồn không phải input người dùng trực tiếp | | AS-07.5.5 | 🚸 Rate limit / chống lạm dụng cho endpoint tốn kém (AI, crawl, đăng nhập) | đọc code — middleware rate-limit trên route AI/login | *** ## AS-08 — Tin cậy & Vận hành | ID | Chỉ báo | Cách kiểm | | --- | --- | --- | | **AS-08.1** | **Production-ready** | | | AS-08.1.1 | Mỗi worker khai availability tier | docs/config | | AS-08.1.2 | Trả lời được bằng văn bản 5 câu hỏi production-ready SDD-006 §16 | đọc | | AS-08.1.3 | Mỗi tính năng mới định nghĩa "hỏng thì người dùng thấy gì" | đọc SDD | | AS-08.1.4 | 🚸 Health endpoint phản ánh phụ thuộc thật, không trả 200 cứng | đọc code `index.ts` + `curl` — health chạy `SELECT 1` trên D1 thật | | AS-08.1.5 | Không TODO/FIXME chặn đường còn sót trong mã đang chạy production | `grep -rn "TODO\|FIXME" workers/api/src apps/*/src` | | **AS-08.2** | **Idempotency & DLQ** | | | AS-08.2.1 | Mọi queue consumer idempotent theo message id | đọc code consumer | | AS-08.2.2 | 🔴🚸 Mọi queue có DLQ cấu hình | `grep "dead_letter_queue" workers/api/wrangler.jsonc` | | AS-08.2.3 | Có đường xử lý/replay message trong DLQ | quy trình + code | | AS-08.2.4 | Retry có giới hạn và backoff, không vòng lặp vô hạn | đọc `max_retries` trong wrangler config | | AS-08.2.5 | Cron job an toàn khi chạy chồng (overlap), hoặc có khóa | đọc code cron handler | | **AS-08.3** | **Observability** | | | AS-08.3.1 | Observability bật trên **mọi** worker | `grep -c "observability" workers/*/wrangler.jsonc` khớp số worker | | AS-08.3.2 | Log có level và request id xuyên suốt một request | đọc code middleware log | | AS-08.3.3 | Lỗi 5xx ghi kèm ngữ cảnh đủ để tái hiện | đọc code error handler | | AS-08.3.4 | Có chỉ số theo dõi engine/queue (số run, số lỗi) | dashboard/query | | AS-08.3.5 | Biết được một workflow đã chạy hay chưa mà không cần đọc log thô | `SELECT COUNT(*) FROM workflow_runs` > 0 | | **AS-08.4** | **CI/CD & rollback** | | | AS-08.4.1 | 🚸 CI chạy typecheck + lint + test **trước** khi deploy | `ci.yml` bước 1-3 — đã enforce trên mọi push; `deploy-app.yml` đọc lại kết quả ci qua `wait-for-ci.sh` | | AS-08.4.2 | Deploy chỉ chạy cho app có thay đổi (path filter đúng) | đọc workflow `paths:` | | AS-08.4.3 | 🔴🚸 Migration được áp trước code trong pipeline API | đọc `ci.yml` và `deploy-app.yml` — dòng apply trước dòng `wrangler deploy` ở cả hai | | AS-08.4.4 | Có cách rollback nhanh về version trước cho từng worker | `rollback.yml` + quy trình ghi lại | | AS-08.4.5 | Không bước deploy thủ công bắt buộc nằm trong đường chính | đọc workflow — mọi bước trong `on: push` tự động, không chờ tay trừ migration-apply (đã ghi rõ lý do ở AS-03.5.4) | | **AS-08.5** | **Suy giảm duyên dáng & phụ thuộc ngoài** | | | AS-08.5.1 | Mỗi phụ thuộc ngoài (AI, OAuth, crawl target) có hành vi fallback khi lỗi | đọc code | | AS-08.5.2 | Lỗi phụ thuộc ngoài không làm sập trang chính | thử ngắt — mock lỗi AI, xem UI | | AS-08.5.3 | Timeout đặt tường minh cho mọi lời gọi ra ngoài | `grep -rn "AbortSignal.timeout\|signal:" workers/api/src` | | AS-08.5.4 | Có cache / kết quả gần nhất cho dữ liệu đọc nhiều | đọc code — KV cache hoặc tương đương | | AS-08.5.5 | Sự cố hiển thị thông điệp người dùng hiểu được, không phải stack trace | thử lỗi — đọc response `errorResponse` | *** ## AS-09 — Trải nghiệm & Design System | ID | Chỉ báo | Cách kiểm | | --- | --- | --- | | **AS-09.1** | **Luật tối giản (SRC-048)** — *từ v0.2: đòi artifact cụ thể, xem [§1.10](./history.md#_1-10-as-09-1-luat-toi-gian-—-tu-ra-thu-cong-sang-co-artifact-kiem-đuoc)* | | | AS-09.1.1 | Mỗi màn hình có đúng **một** hành động chính rõ ràng | đọc `docs/reference/ui-minimalism-audit.md` cột "hành động chính"; artifact chưa tồn tại = KHÔNG PASS (mã CX) | | AS-09.1.2 | Bố cục full-width, không cột phụ thừa | cột "bố cục" trong cùng artifact | | AS-09.1.3 | Số element ở mức tối thiểu cần thiết — không badge/nhãn/đếm thừa | cột "số element" trong cùng artifact | | AS-09.1.4 | Hình ảnh/biểu tượng ưu tiên hơn chữ giải thích dài | cột "hình/chữ" trong cùng artifact | | AS-09.1.5 | Trang chủ mỗi cổng đóng vai trò **hub**, không phải trang nội dung dài | cột "là hub?" trong cùng artifact, riêng cho route `/` mỗi app | | **AS-09.2** | **Token & component** | | | AS-09.2.1 | Chỉ dùng token màu/khoảng cách của DS; không hardcode hex trong app — xem thêm AS-03.1.4 (góc khác: không *định nghĩa lại* token, đây là không *hardcode* khi dùng) | `grep -rEc "#[0-9a-f]{6}" apps/*/src` loại trừ file SVG/art | | AS-09.2.2 | Không fork component: mỗi component dùng chung có đúng một định nghĩa | `grep -rn "function " packages apps` phải chỉ 1 định nghĩa | | AS-09.2.3 | Không CSS riêng theo trang ngoài phạm vi cho phép | rà file `.css` theo route | | AS-09.2.4 | Portal theme chỉ đổi lớp accent, không đổi cấu trúc token | đọc `packages/design-system/tokens/base.css` | | AS-09.2.5 | Font size sàn 14px, không có chữ nhỏ hơn | `grep -rn "text-xs\|font-size:\s*1[0-3]px" apps/*/src` | | **AS-09.3** | **Accessibility** | | | AS-09.3.1 | 🔴🚸 Tương phản màu đạt WCAG AA cho cả text thường và text lớn | `npm run contrast --workspace @nemo12/design-system`, **chạy trong CI** từ SRC-593. Trước đó chỉ tiêu này có script nhưng script không được nối vào CI, nên một cặp trượt ngưỡng nằm trên `main` mà không gì báo — chỉ tiêu đỏ mà không có cổng chạy thì chỉ là một lời hứa. **Từ SRC-827** cổng chấm mỗi cặp trong đúng ngữ cảnh nó chạy (`:root`, `.n12-v1`, `.n12-v1 .n12-deep`, `.theme-marlins.od-root`, `.n12-band-dark`, `.n12-nav-deep`) thay vì chỉ ở gốc, hoà màu mờ lên `--card` trước khi đo, và soi gương các remap utility của từng vùng; nợ cũ (nếu có) phải ghi TÊN trong `contrast-baseline.json`, nợ mới là đỏ. Ca mẫu: `bg-accent-ink text-white` được chấm 17:1 ở gốc nhưng là 1,11:1 trong `.n12-deep` (b09b40ea). **Từ SRC-842** cổng chấm thêm ở **ĐỈNH** của mặt gradient (od-root/marlins/deep) với lớp kính đặt lên đó — đỉnh suy từ token thật, không phải stop tuyến tính — đọc `.od-dim`/`.od-card` từ chính CSS và **từ chối chạy** nếu `.od-root` rời `--surface-deep`. Giới hạn đã biết: mực badge của marlins trong od-root (`.n12-badge-solid`/`-review`, `hover:bg-card`) là gương viết tay trong PAIRS — xoá rule ở index.css thì cổng vẫn xanh; kiểm bằng đo pixel trên build (DS-001 §2·1·26). | | AS-09.3.2 | Mọi phần tử tương tác có focus state nhìn thấy được | thử tab qua bàn phím trên ≥3 màn hình chính | | AS-09.3.3 | Touch target ≥ 44px trên mobile | đo trên DevTools mobile emulation | | AS-09.3.4 | Mọi ảnh có `alt`, hoặc được đánh dấu là trang trí | `grep -rn "