Khi thiết kế API, làm thế nào để xây dựng cơ chế Filtering, Sorting và Searching (Lọc, Sắp xếp và Tìm kiếm) một cách linh hoạt và bảo mật mà không làm lộ cấu trúc Database?

Question

Accepted Answer

Tổng quan vấn đề
Khi Client cần lọc dữ liệu (ví dụ: chỉ lấy sản phẩm có giá từ 100 đến 500 và sắp xếp theo ngày tạo giảm dần), việc viết các câu lệnh truy vấn cứng nhắc sẽ làm API trở nên kém linh hoạt. Tuy nhiên, việc cho phép Client truyền trực tiếp câu lệnh SQL hoặc truy vấn thẳng vào ORM là một lỗ hổng bảo mật chết người (SQL Injection / NoSQL Injection).
Best Practices trong thiết kế:

Sử dụng Query Parameters chuẩn hóa:

Filtering: Sử dụng các toán tử rõ ràng như filter[price][gte]=100&filter[price][lte]=500 hoặc quy ước tên trường đơn giản price_min=100&price_max=500.
Sorting: Sử dụng tham số sort. Ví dụ: sort=-created_at,price (dấu trừ biểu thị thứ tự giảm dần DESC, ngược lại là tăng dần ASC).
Searching: Sử dụng tham số chung q hoặc search=keyword.

Bảo mật và ánh xạ (Mapping):

Không bao giờ dùng trực tiếp tên cột trong Database nếu nó nhạy cảm. Hãy tạo tầng ánh xạ (Whitelist) giữa tham số API truyền lên và tên cột thực tế trong Database.

Ví dụ minh họa (Node.js):
app.get('/api/v1/products', (req, res) => {
  const { price_min, price_max, sort, search } = req.query;

let query = Product.query();

// Xử lý Filtering an toàn
  if (price_min) query.where('price', '>=', Number(price_min));
  if (price_max) query.where('price', '<=', Number(price_max));

// Xử lý Searching
  if (search) query.where('name', 'like', `%${search}%`);

// Xử lý Sorting an toàn với Whitelist
  const allowedSorts = ['price', 'created_at', 'name'];
  if (sort) {
    const direction = sort.startsWith('-') ? 'desc' : 'asc';
    const field = sort.replace(/^-/, '');
    if (allowedSorts.includes(field)) {
      query.orderBy(field, direction);
    }
  }

return res.json(query.execute());
});
Lưu ý kinh nghiệm thực chiến:
Luôn giới hạn số lượng kết quả trả về tối đa (Max Limit) cho mỗi lần query để tránh việc Client cố tình tạo câu lệnh tìm kiếm quét toàn bộ Database gây quá tải CPU của Server.

Khi thiết kế API, làm thế nào để xây dựng cơ chế Filtering, Sorting và Searching (Lọc, Sắp xếp và Tìm kiếm) một cách linh hoạt và bảo mật mà không làm lộ cấu trúc Database?

Tổng quan vấn đề

Làm Chủ Phỏng Vấn & Nâng Cao Trình Độ Chuyên Nghiệp

Tải Tuyển Tập 100+ Câu Hỏi Phỏng Vấn Chuyên Sâu (PDF)

Cần Mentor Phỏng Vấn Thử 1-1 & Tối Ưu CV?

Kiểm Tra CV Chuẩn ATS Miễn Phí

Câu hỏi api design liên quan cùng chủ đề