PON chat-service — Luồng một tin nhắn thường (gửi → lưu → phát realtime → thông báo) Diagram

Đường đậm là một tin text đi trọn vòng. Mobile gửi qua STOMP /app/chat.send, web gửi REST POST /api/messages; hai cổng khác nhau nhưng từ MessageService trở đi là chung một đường.
Tin được lưu Mongo trước, rồi mới phát. Một MessageResponse duy nhất bay lên /topic/conversation/{id}; người gửi cũng nhận lại chính frame này để thay bubble tạm.
Mọi broadcast (tin, typing, read, thông báo, call) đều đi qua ClusterMessageBroker, không ai gọi SimpMessagingTemplate trực tiếp.

STOMP broker là SimpleBroker trong bộ nhớ của từng instance: convertAndSend chỉ tới socket mà instance đó giữ. Hai người ở hai instance khác nhau sẽ mất realtime.
Giải pháp: publish envelope {destination, user?, payload} lên Redis; ClusterBroadcastListener ở MỌI instance (kể cả instance vừa publish) phát lại cho socket local → mỗi client nhận đúng một bản.
Redis lỗi → fallback phát local, realtime xuống cấp thành đơn-instance chứ không mất hẳn. convertAndSendAll gói nhiều payload trong một envelope để giữ thứ tự; broker bật preservePublishOrder.

CONNECT: Bearer JWT hợp lệ → SessionValidator (sid, iat) → từ chối TOKEN_CLAIMS_STALE / SESSION_REVOKED bằng STOMP ERROR. SUBSCRIBE theo allow-list, topic phòng cần là member (đọc Mongo trực tiếp); SEND chỉ tới /app/**.
sendMessage: content rỗng → là participant → type trong allow-list (client không được gửi type ai/system lạ) → block chỉ áp cho chat 1-1 → replyTo phải cùng phòng → mentions theo display name.
Upload: chặn đuôi exe/js/…, cap ảnh 10MB · video 100MB · audio/doc 20MB, kiểm magic bytes; virus scan hiện là no-op. File lưu GridFS với key UUID ngẫu nhiên, GET public nhưng nosniff + CSP sandbox.

Typing (/app/chat.typing), read receipt (/app/chat.read → MESSAGE_READ), reaction / pin / edit / recall / forward, link preview, system notice, call signalling, meeting.
FCM là no-op khi Firebase chưa cấu hình; push bị bỏ khi người nhận đang online (user:status) hoặc đã mute phòng. Presence chỉ về offline khi socket CUỐI CÙNG của user đóng.
Membership cache 10s được invalidate qua kênh Redis chat:conversation-membership; SUBSCRIBE cố ý không dùng cache này để member mới vào nghe được ngay.