คุณสั่ง AI ว่า "ทำหน้า login ให้หน่อย" แล้วก็ได้หน้าจอที่ใช้งานได้จริง มีช่องกรอกอีเมล ช่องรหัสผ่าน ปุ่มเข้าสู่ระบบ กรอกรหัสผิดก็แจ้งเตือน กรอกรหัสถูกก็พาเข้าหน้าข้างในได้ทันที

แต่วันหนึ่งมีคนลองพิมพ์ URL ของหน้าข้างในลงในเบราว์เซอร์ตรงๆ เช่น /admin หรือ /dashboard หน้านั้นกลับเปิดขึ้นมาให้เห็นข้อมูลทั้งหมดทันที โดยไม่ต้องกรอกรหัสผ่านเลย

เรื่องนี้ไม่ได้แปลว่า AI เขียนโค้ดผิดพลาด แต่แปลว่าคุณสั่งทำแค่ "หน้าจอสำหรับกรอกรหัส" ไม่ได้สั่งให้ "ป้องกันการเข้าถึงหน้าข้างใน" ซึ่ง AI ก็เขียนโค้ดให้ครบตรงตามที่คุณสั่งเป๊ะๆ

หน้าล็อกอินมีจริง แต่ไม่ได้กันหน้าข้างในไว้

เว็บไซต์ไม่ได้มีทางเข้าแค่ทางเดียว ทุกหน้ามี URL เป็นของตัวเอง และทุกคนก็เปิดหน้านั้นตรงๆ ได้ด้วยการพิมพ์ URL ไม่ว่าคุณจะทำปุ่มพาไปหรือไม่ก็ตาม

หน้า login ก็เป็นเพียงหน้าเว็บหน้าหนึ่ง ที่อาจดูสวยและทำงานได้ถูกต้อง แต่ไม่มีระบบอะไรบังคับให้ทุกคนต้องเปิดผ่านหน้านี้ก่อน คนที่พิมพ์ /admin เข้าไปตรงๆ ไม่ได้แฮกหรือเจาะระบบอะไรเลย เขาแค่ขอเปิดหน้านั้น แล้วเว็บก็เปิดให้ตามปกติ

การเปิดหน้าข้างในแบบนี้ไม่ต้องใช้ความรู้ทางเทคนิคอะไรเลย ขอแค่เดา URL ถูก ข้อมูลข้างในก็แสดงขึ้นมาให้เห็นแล้ว

เรื่องนี้เหมือนกับการซ่อนปุ่มเมนูแอดมินไม่ให้ลูกค้าเห็น ซึ่งเป็นการเปลี่ยนแค่สิ่งที่แสดงบนหน้าจอ แต่ไม่ได้จำกัดสิทธิ์ว่าใครเข้าหน้านั้นได้บ้าง ถึงปุ่มจะหายไป แต่ถ้าเขารู้ URL ก็ยังเปิดเข้ามาได้เหมือนเดิม

การตรวจรหัสผ่านกับ Authentication เป็นคนละงานกัน

หน้า login มีหน้าที่เพียงรับรหัสผ่านและตรวจว่าถูกต้องไหม ส่วน Authentication ที่เป็นระบบยืนยันตัวตนและตรวจสิทธิ์ คือส่วนที่คอยตรวจว่าคนที่ขอเปิดหน้าเว็บหรือขอข้อมูล มีสิทธิ์เข้าถึงจริงหรือไม่ สองส่วนนี้ทำงานคนละจุดและคนละขั้นตอนกัน

ทุกครั้งที่มีคนเปิดหน้าเว็บหรือขอข้อมูล เซิร์ฟเวอร์จะตัดสินใจใหม่เสมอ โดยไม่ได้จำว่าก่อนหน้านี้คนนี้เพิ่งกรอกรหัสผ่านจากหน้าไหนมา ถ้าเราไม่ได้สั่งให้เซิร์ฟเวอร์ตรวจสอบสิทธิ์ก่อนส่งข้อมูล ระบบก็ส่งข้อมูลให้ทุกคนที่ขอเข้ามาทันที

เปรียบเทียบง่ายๆ เหมือนเคาน์เตอร์ขายตั๋วกับคนตรวจตั๋วหน้าประตูโรงหนัง หน้า login คือเคาน์เตอร์ขายตั๋วที่มีหน้าที่รับเงินและออกตั๋วให้คนที่ซื้อตั๋วถูกต้อง แต่สิ่งที่กันไม่ให้คนไม่มีตั๋วแอบเดินเข้าโรงหนัง คือคนตรวจตั๋วที่ยืนคุมอยู่หน้าประตูแต่ละห้อง

ถ้ามีแค่เคาน์เตอร์ขายตั๋ว แต่ไม่มีคนคุมประตูข้างใน ใครจะแอบเดินเข้าโรงไปเลยก็ได้ หน้า login ที่ AI สร้างให้ก็เช่นกัน ถ้าเราไม่ได้สั่งให้สร้างระบบตรวจสอบสิทธิ์คุมหน้าข้างในไว้ ใครที่พิมพ์ URL หน้าข้างในตรงๆ ก็เปิดดูข้อมูลได้ทั้งหมด

จุดที่คนมักพลาดคือการเรียกรวมทั้งสองอย่างนี้ว่า "ระบบล็อกอิน" พอเห็นหน้า login ทำงานได้ถูกต้อง กรอกรหัสแล้วเด้งไปหน้าถัดไปได้ ก็คิดว่าระบบเสร็จสมบูรณ์แล้ว ทั้งที่จริงสิ่งที่เราเห็นเป็นแค่ประตูด้านหน้า แต่ยังไม่ได้ล็อกห้องข้างในเลยแม้แต่ห้องเดียว

AI ไม่ได้ทำพลาด แต่มันทำครบตามที่ขอ

คำสั่งว่า "ทำหน้า login ให้หน่อย" เป็นคำสั่งที่ชัดเจนมากสำหรับ AI เพราะมีขอบเขตงานชัดเจน ทั้งช่องกรอกข้อมูล การตรวจรหัส และการพาไปยังหน้าที่กำหนด เมื่อทำครบตามนี้ ในมุมของ AI งานก็เสร็จสมบูรณ์ 100% แล้ว

ในคำสั่งนั้นไม่มีข้อความไหนบอกเลยว่า "ห้ามคนอื่นเข้าถึงหน้าข้างใน" หรือ "ต้องจำกัดสิทธิ์ข้อมูลส่วนไหนบ้าง" AI จึงไม่ถามอะไรเพิ่ม เพราะเท่าที่สั่งมา งานก็เสร็จครบถ้วนแล้วจริงๆ

สิ่งที่ต้องระวังคือ คำสั่งที่เราตรวจความเรียบร้อยได้ด้วยตา เช่น หน้าตาบนหน้าจอหรือการกดปุ่ม มักได้ผลลัพธ์ที่ดูเรียบร้อยสวยงาม แต่ระบบความปลอดภัยไม่ได้แสดงออกมาบนหน้าจอ เราจะรู้ตัวว่าไม่มีระบบนี้ ก็ต่อเมื่อมีคนอื่นแอบเข้าหน้านั้นได้แล้วเท่านั้น

สั่งใหม่ให้ชัดว่าไม่ให้ใครเข้าถึงอะไร

ความแตกต่างไม่ได้อยู่ที่การใช้ศัพท์ทางเทคนิค แต่อยู่ที่ว่าเราสั่งแค่งานหน้าตาบนหน้าจอ หรือสั่งเรื่องการตรวจสอบสิทธิ์ป้องกันข้อมูลด้วย

ประโยคฝั่งขวามีโครงสร้างชัดเจน 3 ส่วน คือ 1. ระบุว่าหน้าไหนหรือข้อมูลใดที่ต้องป้องกัน 2. ใครบ้างที่มีสิทธิ์เข้าถึง 3. ถ้าคนที่ไม่มีสิทธิ์พยายามเข้ามา จะให้ระบบทำอย่างไร

ท่อนสุดท้ายสำคัญมาก เพราะถ้าเราไม่บอกว่าต้องทำอย่างไรกับคนที่ไม่มีสิทธิ์ ค่าเริ่มต้นของระบบคือการเปิดหน้านั้นให้ทุกคนตามปกติ

คุณเลือกได้ว่าจะจัดการกับคนที่ไม่มีสิทธิ์อย่างไร เช่น เด้งกลับไปหน้า login เพื่อไม่ให้คนนอกรู้ว่ามีหน้านี้อยู่จริง หรือแสดงข้อความเตือนตรงๆ ว่าไม่มีสิทธิ์ ซึ่งช่วยให้คนในทีมรู้ทันทีว่ากำลังใช้ผิดบัญชี จะเลือกแบบไหนก็ขึ้นอยู่กับความสำคัญของข้อมูลในหน้านั้น

คุณไม่จำเป็นต้องรู้โค้ดเบื้องหลัง แค่สั่งงานด้วยภาษาพูดธรรมดาและระบุเงื่อนไขเหล่านี้ให้ครบ AI ก็จะเขียนโค้ดป้องกันมาให้เอง

ลองเจาะเว็บตัวเองใน 1 นาที

เมื่อรู้วิธีสั่งแล้ว ลองมาเช็กกันว่าเว็บที่คุณทำไว้ตอนนี้ปลอดภัยจริงไหม ทดสอบง่ายๆ ได้ใน 1 นาทีโดยไม่ต้องใช้เครื่องมืออะไรเลย:

1. ล็อกอินเข้าเว็บตัวเองตามปกติ เปิดไปยังหน้าที่สำคัญที่สุด (เช่น หน้าแอดมินหรือหน้าจัดการข้อมูล) แล้วคัดลอก URL ของหน้านั้นเก็บไว้
2. เปิดโหมดไม่ระบุตัวตนอย่าง Incognito หรือ Private Window บนเบราว์เซอร์ เพื่อจำลองสถานะของผู้ใช้ที่ยังไม่ได้ล็อกอิน
3. วาง URL ที่คัดลอกไว้ลงในช่องที่อยู่ของเบราว์เซอร์ แล้วกด Enter

ผลลัพธ์ที่ได้:

• ถ้าหน้าเว็บเปิดขึ้นมาและเห็นข้อมูลครบ: แปลว่าหน้านั้นยังไม่มีระบบป้องกัน ใครรู้ URL ก็เข้ามาดูได้ทันที
• ถ้าเด้งกลับไปหน้า login หรือขึ้นข้อความว่าไม่มีสิทธิ์: แปลว่าหน้านั้นตรวจสอบสิทธิ์ถูกต้องแล้ว

นอกจากหน้าเว็บแล้ว ลิงก์ดาวน์โหลดไฟล์หรือเอกสารต่างๆ ก็ต้องระวังเช่นกัน ถ้าใครรู้ลิงก์แล้วกดดาวน์โหลดไฟล์ได้โดยไม่ต้องล็อกอิน ก็ถือว่ามีช่องโหว่แบบเดียวกัน และอีกจุดที่มักพลาดกันบ่อยตอนนำเว็บขึ้นใช้งานจริงก็คือ API key ที่ AI ใส่ทิ้งไว้ในโค้ด

เรื่องที่ AI ตัดสินใจแทนไม่ได้

ถ้าคุณระบุเงื่อนไขให้ชัดเจน AI ก็เขียนโค้ดตรวจสอบสิทธิ์ให้คุณได้ทั้งระบบ

แต่สิ่งที่ AI ตัดสินใจแทนคุณไม่ได้ คือ "ใครควรมีสิทธิ์เห็นข้อมูลอะไรบ้าง" เช่น พนักงานหน้าร้านควรเห็นยอดขายรายวันไหม หรือทีมไหนมีสิทธิ์เปิดดูประวัติลูกค้าบ้าง เรื่องเหล่านี้ไม่มีอยู่ในโค้ด แต่ขึ้นอยู่กับนโยบายและการทำงานของธุรกิจคุณโดยตรง

หน้า login ตอบได้แค่ว่าใครกรอกรหัสผ่านถูกต้อง ส่วนคำถามที่ว่าใครควรเห็นข้อมูลอะไรบ้าง คนที่รู้คำตอบมีเพียงคนเดียว คือคนที่รู้ว่าข้อมูลข้างในนั้นคืออะไรและสำคัญแค่ไหน