Thư Viện Câu Hỏi Phỏng Vấn

Ba câu lệnh này đều dùng để xóa dữ liệu hoặc cấu trúc trong MySQL nhưng có bản chất cơ chế hoạt động hoàn toàn khác nhau.

Giá trị NULL trong cơ sở dữ liệu biểu thị sự vắng mặt của một giá trị hoặc giá trị không xác định. Nó không giống với số 0 hay chuỗi rỗng ('').

Phân tích cơ chế

• IActionFilter: Cung cấp các phương thức đồng bộ OnActionExecuting và OnActionExecuted. Nó phù hợp với các tác vụ xử lý nhanh, không liên quan đến I/O.
• IAsyncActionFilter: Cung cấp phương thức OnActionExecutionAsync. Đây là tiêu chuẩn hiện đại trong .NET Core.

Tại sao nên dùng Async?

• Khi filter cần thực hiện các tác vụ I/O như truy vấn Database, gọi API bên thứ ba hoặc ghi log vào hệ thống tập trung.
• Sử dụng Async giúp giải phóng Thread từ Thread Pool trong khi chờ đợi kết quả I/O, từ đó tăng khả năng phục vụ (Scalability) của ứng dụng.

Ví dụ code

public async Task OnActionExecutionAsync(ActionExecutingContext context, ActionExecutionDelegate next)
{
    // Logic trước khi thực thi Action
    await next(); // Gọi Action tiếp theo
    // Logic sau khi thực thi Action
}

Lưu ý: Luôn ưu tiên IAsyncActionFilter để tránh hiện tượng Thread Starvation trong các ứng dụng Enterprise.

Giải pháp thực chiến

• User Secrets: Chỉ sử dụng trong môi trường Development. Dữ liệu được lưu trữ ngoài thư mục dự án, tránh bị commit lên Git.
• Environment Variables: Sử dụng cho môi trường Production. Các biến môi trường được thiết lập trực tiếp trên Server hoặc Container (Docker).
• Azure Key Vault / AWS Secrets Manager: Đối với các hệ thống Enterprise, đây là tiêu chuẩn để quản lý tập trung các Secret.

Cách triển khai

Trong Program.cs, ASP.NET Core tự động nạp các nguồn cấu hình theo thứ tự ưu tiên. Bạn nên sử dụng IOptions<T> pattern để truy xuất cấu hình một cách type-safe thay vì truy cập trực tiếp qua IConfiguration.

Các rủi ro chính

1. Over-posting/Mass Assignment: Người dùng có thể gửi các thuộc tính không mong muốn (ví dụ: IsAdmin = true) và EF Core sẽ tự động cập nhật vào Database nếu bạn dùng trực tiếp Entity.
2. Lộ dữ liệu nhạy cảm: Entity thường chứa các trường như PasswordHash, InternalNotes mà bạn không muốn trả về cho Client.
3. Tight Coupling: Khi thay đổi cấu trúc Database, API Contract bị thay đổi theo, gây phá vỡ (Breaking Change) cho các ứng dụng Client (Frontend/Mobile).

Giải pháp

Luôn sử dụng DTO (Data Transfer Object) và các thư viện như AutoMapper hoặc Mapster để thực hiện ánh xạ (Mapping) từ Entity sang DTO trước khi trả về cho Client.

Cơ chế

ASP.NET Core cung cấp các dịch vụ chạy ngầm (Background Tasks) để thực hiện các công việc định kỳ hoặc xử lý hàng đợi.

Bản chất

Response Compression là kỹ thuật nén dữ liệu (thường là JSON hoặc HTML) trước khi gửi từ Server về Client. Các thuật toán phổ biến là Gzip hoặc Brotli.

Bản chất lỗ hổng XSS

Cross-Site Scripting (XSS) xảy ra khi ứng dụng web cho phép kẻ tấn công chèn các mã độc (thường là JavaScript) vào trang web được hiển thị cho những người dùng khác. Mã độc này có thể đánh cắp Session Cookie, Token xác thực hoặc thực hiện các hành động mạo danh người dùng.

Bản chất lỗ hổng CSRF

Cross-Site Request Forgery (CSRF) là cuộc tấn công mà kẻ tấn công lừa người dùng đã đăng nhập thực hiện các hành động không mong muốn trên một ứng dụng web mà họ đang có phiên làm việc hợp lệ. Kẻ tấn công lợi dụng việc trình duyệt tự động đính kèm Cookie xác thực vào mọi HTTP request gửi đến server đích, bất kể request đó bắt nguồn từ đâu.

Bản chất lỗ hổng SQL Injection

SQL Injection (SQLi) xảy ra khi ứng dụng web nhận dữ liệu đầu vào từ người dùng và trực tiếp nối (concatenation) vào câu lệnh truy vấn SQL mà không qua kiểm tra hoặc xử lý biên dịch đúng đắn. Kẻ tấn công có thể thao túng cấu trúc câu lệnh SQL để truy xuất, chỉnh sửa hoặc xóa toàn bộ cơ sở dữ liệu.

Bản chất của CORS

CORS (Cross-Origin Resource Sharing) là một cơ chế bảo mật của trình duyệt (Browser security mechanism) dựa trên Same-Origin Policy. Nó cho phép một trang web từ một nguồn (origin) này có thể yêu cầu tài nguyên từ một nguồn khác khác tên miền, cổng hoặc giao thức.

Bản chất lỗ hổng IDOR

Insecure Direct Object References (IDOR) xảy ra khi ứng dụng sử dụng các tham số định danh trực tiếp từ phía người dùng (như ID tài khoản, mã hóa đơn, tên file) để truy xuất dữ liệu nội bộ mà không thực hiện kiểm tra xem người dùng hiện tại có quyền sở hữu hoặc quyền truy cập đối tượng đó hay không.

Bản chất vấn đề

Khi một class có constructor nhận vào quá nhiều tham số (thường từ 5 tham số trở lên), đây là dấu hiệu của lỗi thiết kế được gọi là Telescoping Constructor Anti-pattern hoặc class đang vi phạm Single Responsibility Principle (SRP). Điều này làm cho việc khởi tạo đối tượng trở nên khó đọc, dễ truyền nhầm thứ tự các tham số và khó bảo trì khi class thay đổi cấu trúc.

Bản chất vấn đề

Nhiều lập trình viên cấp độ Junior thường nhầm lẫn hoặc đánh đồng giữa tính đóng gói (Encapsulation) và ẩn thông tin (Information Hiding), mặc dù chúng có ý nghĩa và mục đích bổ trợ khác nhau trong thiết kế hệ thống.

Bản chất vấn đề

Từ khóa static gắn liền với phạm vi lớp (Class-level) thay vì phạm vi thể hiện (Instance-level). Khi một phương thức hoặc thuộc tính được khai báo là static, nó tồn tại duy nhất trong suốt vòng đời của ứng dụng và được chia sẻ toàn cục.