Các lỗ hổng bảo mật phổ biến trong Node.js API và cách phòng tránh?

Bảy lỗ hổng hay gặp nhất trong một Node.js API, kèm cách bịt:

• SQL injection (OWASP A03): db.query('SELECT * FROM users WHERE id = ' + req.params.id) — attacker truyền 1 OR 1=1 là dump sạch DB. Sửa bằng parameterized query db.query('SELECT * FROM users WHERE id = $1', [id]) hoặc dùng ORM.
• NoSQL injection (MongoDB): query { username: req.body.username } với body { username: { $gt: '' } } là qua mặt được auth. Sửa bằng validate với Zod/Joi trước khi query.
• XSS (A07): lưu <script>alert(1)</script> vào DB rồi render không escape là mất cookie người dùng. Sửa bằng escape output, CSP header, DOMPurify.
• ReDoS: /(a+)+/.test(userInput) với input 'aaaaaaaaab' gây backtracking hàm mũ, block event loop hàng giây. Sửa bằng package safe-regex để soát pattern và đặt timeout cho regex.
• Directory traversal: fs.readFile('/uploads/' + req.query.file) với file=../../etc/passwd. Sửa bằng path.resolve() rồi kiểm tra kết quả có nằm trong thư mục cho phép không.
• Prototype pollution: obj[userKey] = userValue với key __proto__ làm hỏng Object prototype. Sửa bằng Object.create(null) cho plain object và validate key.
• Dependency vulnerabilities: npm audit + npm audit fix, thêm snyk vào CI/CD.

Cuối cùng, app.use(helmet()) chỉ một dòng nhưng set luôn 11 security header (X-Frame-Options, HSTS, CSP cơ bản, nosniff).