SQL & NoSQL injection

/// <summary>/// Hai kỹ thuật, không phải một, vì hai lỗi ở ví dụ trên khác bản chất://////   • GIÁ TRỊ  → tham số. DB nhận nó ở phía dữ liệu của ranh giới cú pháp.///   • ĐỊNH DANH → map allowlist. Tham số hoá không áp dụng được cho tên cột,///     nên chỗ này KHÔNG có cách nào ngoài việc client chỉ được chọn trong một///     tập hữu hạn mà server định nghĩa./// </summary>public sealed class ProductSearch{    // Client gửi KHOÁ, server tra ra tên cột. Không có đường nào để một chuỗi do    // client kiểm soát đi vào câu lệnh — chỉ có giá trị bên phải của map này đi vào,    // và mọi giá trị đó do chúng ta gõ ra.    private static readonly Dictionary<string, string> SortColumns = new(StringComparer.OrdinalIgnoreCase)    {        ["name"]  = "name",        ["price"] = "price",        ["newest"] = "created_at",    };     private readonly SecLabDbContext _db;     public ProductSearch(SecLabDbContext db) => _db = db;     public async Task<List<Product>> Search(string? category, string sort, bool desc, CancellationToken ct)    {        // Khoá lạ → 400, KHÔNG rơi về mặc định. Rơi về mặc định trông như an toàn        // nhưng làm mất tín hiệu: sẽ không ai biết là có người đang dò tên cột.        if (!SortColumns.TryGetValue(sort, out var column))            throw new ApplicationGeneralException(CatalogErrorsList.INVALID_SORT_KEY,                $"Unknown sort key '{sort}'");         // Đường đi ưa dùng: LINQ. Provider tự tham số hoá, và không có chuỗi SQL nào        // để ai đó nối thêm vào trong lần sửa sau.        var query = _db.Products.AsNoTracking();         if (!string.IsNullOrEmpty(category))            query = query.Where(p => p.Category == category);   // → tham số         // Sắp xếp theo cột đã map. Chỉ có ba chuỗi có thể tới đây, cả ba do ta viết.        query = (column, desc) switch        {            ("name", false)  => query.OrderBy(p => p.Name),            ("name", true)   => query.OrderByDescending(p => p.Name),            ("price", false) => query.OrderBy(p => p.Price),            ("price", true)  => query.OrderByDescending(p => p.Price),            (_, false)       => query.OrderBy(p => p.CreatedAt),            (_, true)        => query.OrderByDescending(p => p.CreatedAt),        };         return await query.Take(100).ToListAsync(ct);    }     /// <summary>    /// Khi buộc phải viết SQL thô (CTE, window function, hint mà LINQ không sinh được):    /// dùng FromSql với FormattableString, KHÔNG phải FromSqlRaw.    ///    /// Khác biệt tinh vi và đáng nhớ: cả hai đều viết được dưới dạng $"…{x}…", nhưng    /// FromSql nhận FormattableString nên nó thấy được x là một hole và biến x thành    /// tham số; FromSqlRaw nhận string nên nội suy đã xảy ra TRƯỚC khi nó được gọi và    /// nó chỉ còn thấy một chuỗi đã ghép xong.    /// </summary>    public Task<List<Product>> TopInCategory(string category, CancellationToken ct) =>        _db.Products.FromSql(                $"""                SELECT * FROM products                 WHERE category = {category}                 ORDER BY price DESC                 LIMIT 10                """)            .AsNoTracking()            .ToListAsync(ct);}

import { z } from "zod"; // Ranh giới ở đây là ranh giới KIỂU, không phải ranh giới cú pháp: một toán tử// Mongo chỉ tồn tại được nếu giá trị là object. Ép về string là đóng được cả họ lỗi// này, và nó đóng luôn những toán tử chưa ai nghĩ ra.const LoginBody = z.object({  email: z.string().email().max(320),  password: z.string().min(1).max(200),}); app.post("/api/login", async (req, res) => {  const parsed = LoginBody.safeParse(req.body);  if (!parsed.success) return res.status(400).json({ error: "invalid_body" });   const { email, password } = parsed.data;   // cả hai chắc chắn là string   // Và mật khẩu không bao giờ được so ở tầng truy vấn: tra user rồi verify hash,  // để việc so sánh đi qua một hàm hằng-thời-gian thay vì qua index của DB.  const user = await db.collection("users").findOne({ email });  if (!user || !(await argon2.verify(user.passwordHash, password)))    return res.status(401).json({ error: "invalid" });   return res.json({ token: sign(user) });});