Backend hay gặp- Validation: kiểm input có hợp lệ không (kiểu, độ dài, khoảng giá trị, định dạng) và từ chối nếu sai. Ưu tiên allow-list (chỉ chấp nhận cái đúng) hơn deny-list (chặn cái xấu — dễ sót).
- Sanitization: làm sạch/biến đổi input để an toàn khi dùng (loại/thoát ký tự nguy hiểm, chuẩn hóa).
Nguyên tắc cốt lõi (OWASP): không bao giờ tin input từ client; validate ở server (client-side chỉ để cải thiện UX). Quan trọng vì input độc là gốc của SQL injection, XSS, path traversal...
Điểm hay nhầm: validation không thay thế phòng thủ theo ngữ cảnh — chống SQLi phải parameterized query, chống XSS phải output encoding đúng nơi hiển thị. Validation là lớp phòng thủ bổ sung, không phải lớp duy nhất.