Lỗ hổng Mass Assignment (Over-posting) là gì trong các RESTful API và làm thế nào để Junior Developer phòng tránh hiệu quả?

Question

Accepted Answer

Khái niệm Mass Assignment
Mass Assignment là lỗ hổng xảy ra khi ứng dụng tự động ánh xạ (auto-bind) toàn bộ dữ liệu từ HTTP Request Body (gửi lên từ client) trực tiếp vào mô hình dữ liệu cơ sở dữ liệu (Database Model hoặc Entity) mà không thông qua bước lọc dữ liệu tường minh.
Ngữ cảnh thực tế
Giả sử bạn có bảng Users với cột is_admin (kiểu boolean, mặc định là false). Khi người dùng cập nhật thông tin cá nhân (tên, email), nếu hacker cố tình gửi thêm trường "is_admin": true lên trong JSON Request Body và Backend dùng trực tiếp object đó để update vào Database, tài khoản của kẻ tấn công sẽ lập tức được nâng cấp lên quyền quản trị viên.
Giải pháp phòng thủ chuẩn Enterprise

Sử dụng DTO (Data Transfer Object) / Request Validation:
Tách biệt rõ ràng đối tượng nhận request từ client và đối tượng lưu xuống database.
Định nghĩa rõ các trường dữ liệu nào được phép thay đổi.

Sử dụng các kỹ thuật Whitelisting (Pick / Omit):
Chỉ cho phép nhận các trường cụ thể và loại bỏ hoàn toàn các trường nhạy cảm.
Ví dụ minh họa tư duy code an toàn: // Thay vì update trực tiếp req.body
const { username, email } = req.body; // Chỉ lấy các trường cho phép
await db.User.update({ username, email }, { where: { id: userId } });

Sử dụng Validation Library: Tận dụng các thư viện như Joi, Zod (Node.js), hoặc Bean Validation (Java Spring) để kiểm tra cấu trúc và từ chối mọi trường lạ không nằm trong schema định nghĩa.

Lưu ý thực chiến
Các ORM phổ biến như Mongoose, Sequelize hay TypeORM đôi khi có các tính năng tự động nhận dữ liệu rất tiện lợi nhưng lại tiềm ẩn rủi ro này nếu lập trình viên không cấu hình giới hạn trường dữ liệu (select, omit, hoặc schema validation nghiêm ngặt).

Lỗ hổng Mass Assignment (Over-posting) là gì trong các RESTful API và làm thế nào để Junior Developer phòng tránh hiệu quả?

Khái niệm Mass Assignment

Làm Chủ Phỏng Vấn & Nâng Cao Trình Độ Chuyên Nghiệp

Tải Tuyển Tập 100+ Câu Hỏi Phỏng Vấn Chuyên Sâu (PDF)

Cần Mentor Phỏng Vấn Thử 1-1 & Tối Ưu CV?

Kiểm Tra CV Chuẩn ATS Miễn Phí

Câu hỏi web security liên quan cùng chủ đề