Trong bối cảnh bảo mật, tại sao việc truyền trực tiếp mảng dữ liệu từ phía Client lên Server mà không qua kiểm tra cấu trúc (Schema Validation) lại là một lỗ hổng tiềm tàng, và bạn xử lý vấn đề này như thế nào?

Question

Accepted Answer

Rủi ro bảo mật
Khi Server nhận một mảng từ Client, nếu không kiểm tra, kẻ tấn công có thể gửi các cấu trúc dữ liệu độc hại (ví dụ: mảng chứa hàng triệu phần tử để gây ra Denial of Service - DoS, hoặc chứa các đối tượng có thuộc tính lạ để thực hiện Prototype Pollution).
Giải pháp thực chiến

Schema Validation: Sử dụng các thư viện như Joi, Zod hoặc Yup để định nghĩa cấu trúc mảng mong đợi (ví dụ: độ dài tối đa, kiểu dữ liệu của phần tử).
Sanitization: Luôn lọc bỏ các thuộc tính không mong muốn trong các đối tượng nằm trong mảng.
Giới hạn kích thước: Luôn kiểm tra array.length trước khi xử lý để tránh việc lặp vô tận hoặc tiêu tốn quá nhiều bộ nhớ trên Server.

Ví dụ với Zod:
const schema = z.array(z.string()).max(100);
// Kiểm tra trước khi xử lý logic nghiệp vụ
Việc này đảm bảo tính toàn vẹn dữ liệu và ngăn chặn các cuộc tấn công khai thác tài nguyên hệ thống.

Trong bối cảnh bảo mật, tại sao việc truyền trực tiếp mảng dữ liệu từ phía Client lên Server mà không qua kiểm tra cấu trúc (Schema Validation) lại là một lỗ hổng tiềm tàng, và bạn xử lý vấn đề này như thế nào?

Rủi ro bảo mật

Làm Chủ Phỏng Vấn & Nâng Cao Trình Độ Chuyên Nghiệp

Tải Tuyển Tập 100+ Câu Hỏi Phỏng Vấn Chuyên Sâu (PDF)

Cần Mentor Phỏng Vấn Thử 1-1 & Tối Ưu CV?

Kiểm Tra CV Chuẩn ATS Miễn Phí

Câu hỏi arrays liên quan cùng chủ đề