Làm thế nào để thực hiện kiểm tra dữ liệu đầu vào (Input Validation) một cách an toàn và tại sao việc chỉ lọc dữ liệu ở phía Client là không đủ?

Question

Accepted Answer

Tại sao Client-side validation là không đủ?
Client-side validation (sử dụng JavaScript hoặc HTML5 attributes) chỉ nhằm mục đích cải thiện trải nghiệm người dùng (UX). Kẻ tấn công có thể dễ dàng bỏ qua bằng cách sử dụng Postman, cURL hoặc can thiệp trực tiếp vào trình duyệt để gửi dữ liệu độc hại trực tiếp đến server.
Quy tắc vàng cho Server-side validation

Luôn coi mọi dữ liệu từ client là không tin cậy (Never trust user input).
Sử dụng Whitelisting: Chỉ cho phép các định dạng dữ liệu đã biết (ví dụ: chỉ cho phép số cho trường tuổi).
Sử dụng thư viện chuyên dụng: Sử dụng các thư viện như Joi, Validator.js hoặc Zod để định nghĩa schema chặt chẽ.

Ví dụ thực chiến
const { body, validationResult } = require('express-validator');
app.post('/register', body('email').isEmail().normalizeEmail(), (req, res) => {
  const errors = validationResult(req);
  if (!errors.isEmpty()) {
    return res.status(400).json({ errors: errors.array() });
  }
  // Xử lý logic tiếp theo
});

Làm thế nào để thực hiện kiểm tra dữ liệu đầu vào (Input Validation) một cách an toàn và tại sao việc chỉ lọc dữ liệu ở phía Client là không đủ?

Tại sao Client-side validation là không đủ?

Làm Chủ Phỏng Vấn & Nâng Cao Trình Độ Chuyên Nghiệp

Tải Tuyển Tập 100+ Câu Hỏi Phỏng Vấn Chuyên Sâu (PDF)

Cần Mentor Phỏng Vấn Thử 1-1 & Tối Ưu CV?

Kiểm Tra CV Chuẩn ATS Miễn Phí

Câu hỏi web security liên quan cùng chủ đề