Khi thiết kế API cho phép người dùng tùy chỉnh tiêu chí sắp xếp (Dynamic Sorting), làm thế nào để ngăn chặn các cuộc tấn công từ chối dịch vụ (DoS) thông qua việc gửi các tham số sắp xếp phức tạp?

Question

Accepted Answer

Việc cho phép người dùng tùy ý chọn trường sắp xếp (ví dụ: ?sort=field_name) có thể bị lợi dụng để thực hiện các truy vấn nặng (Heavy Queries) làm cạn kiệt tài nguyên Server.
Giải pháp:

Whitelisting: Chỉ cho phép sắp xếp dựa trên danh sách các trường đã được định nghĩa trước (không cho phép sắp xếp theo các trường ẩn hoặc trường tính toán phức tạp).
Indexing: Đảm bảo các trường được phép sắp xếp đều đã được đánh Index trong Database. Nếu không, truy vấn sẽ thực hiện Full Table Scan gây treo hệ thống.
Limit/Pagination: Luôn áp dụng giới hạn số lượng bản ghi trả về (LIMIT) và yêu cầu phân trang để kiểm soát lượng dữ liệu cần sắp xếp.
Query Timeout: Thiết lập thời gian chờ tối đa cho các truy vấn sắp xếp để ngắt kết nối các yêu cầu gây nghẽn tài nguyên.

Khi thiết kế API cho phép người dùng tùy chỉnh tiêu chí sắp xếp (Dynamic Sorting), làm thế nào để ngăn chặn các cuộc tấn công từ chối dịch vụ (DoS) thông qua việc gửi các tham số sắp xếp phức tạp?

Làm Chủ Phỏng Vấn & Nâng Cao Trình Độ Chuyên Nghiệp

Tải Tuyển Tập 100+ Câu Hỏi Phỏng Vấn Chuyên Sâu (PDF)

Cần Mentor Phỏng Vấn Thử 1-1 & Tối Ưu CV?

Kiểm Tra CV Chuẩn ATS Miễn Phí

Câu hỏi sorting liên quan cùng chủ đề