Giao diện người dùng
- Đăng ký, đăng nhập, quên mật khẩu qua email
- Đăng nhập bằng tài khoản Google (OAuth 2.0)
- Bảo mật hai lớp (2FA) sử dụng mã TOTP
- Mua tài khoản theo danh mục hoặc mua ngẫu nhiên
- Xem lịch sử mua hàng và chi tiết đơn hàng
- Nạp tiền bằng thẻ cào điện thoại (Viettel, Vinaphone, Mobifone)
- Nạp tiền bằng chuyển khoản ngân hàng với xác nhận tự động
- Áp dụng mã giảm giá khi mua hàng
- Hiển thị thông báo giao dịch theo thời gian thực (marquee)
- Đọc bài viết, tin tức từ hệ thống
- AI hỗ trợ khách hàng tự động

Trang quản trị (Admin Panel)
- Trang tổng quan với thống kê doanh thu, đơn hàng, lợi nhuận, biểu đồ trực quan
- Quản lý danh mục nhiều cấp, hỗ trợ kéo thả sắp xếp, trường dữ liệu tùy chỉnh cho từng danh mục
- Quản lý tài khoản bán: thêm, sửa, xóa, nhập hàng loạt từ file TXT
- Quản lý đơn hàng: xem chi tiết, hoàn tiền, xuất danh sách ra file TXT
- Quản lý giao dịch: lọc theo loại giao dịch, khoảng thời gian, người dùng
- Quản lý người dùng: khóa/mở tài khoản, điều chỉnh số dư, xem chi tiết hoạt động
- Quản lý mã giảm giá: tạo mã, thiết lập hạn sử dụng và số lượng
- Quản lý ngân hàng: cấu hình tài khoản nhận tiền chuyển khoản
- Quản lý banner quảng cáo trang chủ
- Quản lý bài viết và tin tức
- Nhật ký hoạt động (Activity Log): ghi lại mọi thao tác của quản trị viên
- Cài đặt hệ thống: logo, favicon, SEO, màu sắc giao diện, thông báo
- Chế độ trình diễn (Demo Mode): chặn các thao tác thay đổi dữ liệu khi demo cho khách

Bảo mật
- Chống tấn công CSRF trên tất cả form và API
- Chống tranh chấp dữ liệu khi mua đồng thời (race condition) bằng SELECT FOR UPDATE
- Chống mua trùng tài khoản (double-purchase) với cơ chế đánh dấu nguyên tử (atomic)
- Chống hoàn tiền trùng (double-refund) bằng khóa bản ghi trong giao dịch
- Giới hạn mức điều chỉnh số dư cho quản trị viên (tối đa 100 triệu đồng mỗi lần)
- Mã hóa mật khẩu bằng bcrypt với độ phức tạp cao
- Phiên đăng nhập bảo mật với SameSite và HttpOnly
- Tiêu đề bảo mật HTTP: X-Content-Type-Options, X-Frame-Options, X-XSS-Protection
- Chống đăng nhập brute-force: tự động khóa sau 5 lần nhập sai
- Upload file an toàn: kiểm tra định dạng MIME, giới hạn dung lượng 5MB
- Thư mục uploads đặt ngoài thư mục public, bảo toàn khi cập nhật hệ thống