Tại sao việc sử dụng trực tiếp các Entity Framework Core Model (Database Entities) làm Data Transfer Object (DTO) trong các API Response lại là một rủi ro bảo mật và kiến trúc?

Question

Accepted Answer

Các rủi ro chính

Over-posting/Mass Assignment: Người dùng có thể gửi các thuộc tính không mong muốn (ví dụ: IsAdmin = true) và EF Core sẽ tự động cập nhật vào Database nếu bạn dùng trực tiếp Entity.
Lộ dữ liệu nhạy cảm: Entity thường chứa các trường như PasswordHash, InternalNotes mà bạn không muốn trả về cho Client.
Tight Coupling: Khi thay đổi cấu trúc Database, API Contract bị thay đổi theo, gây phá vỡ (Breaking Change) cho các ứng dụng Client (Frontend/Mobile).

Giải pháp
Luôn sử dụng DTO (Data Transfer Object) và các thư viện như AutoMapper hoặc Mapster để thực hiện ánh xạ (Mapping) từ Entity sang DTO trước khi trả về cho Client.

Tại sao việc sử dụng trực tiếp các Entity Framework Core Model (Database Entities) làm Data Transfer Object (DTO) trong các API Response lại là một rủi ro bảo mật và kiến trúc?

Các rủi ro chính

Giải pháp

Làm Chủ Phỏng Vấn & Nâng Cao Trình Độ Chuyên Nghiệp

Tải Tuyển Tập 100+ Câu Hỏi Phỏng Vấn Chuyên Sâu (PDF)

Cần Mentor Phỏng Vấn Thử 1-1 & Tối Ưu CV?

Kiểm Tra CV Chuẩn ATS Miễn Phí

Câu hỏi net core liên quan cùng chủ đề