Kiểm tra dữ liệu đầu vào ở client hay ở server?

Cách làm cho việc này bền vững là dùng CHUNG một định nghĩa schema cho cả hai phía — Zod là ví dụ điển hình: một schema chạy được ở form và ở server action, nên hai bên không thể lệch nhau. Khi định nghĩa bị nhân đôi, kiểu gì cũng có ngày ai đó nới lỏng ở một bên và quên bên kia, và lỗ hổng nằm chính xác ở khoảng chênh đó.

Điều thường bị bỏ sót là kiểm tra ở server phải là danh sách CHO PHÉP chứ không phải danh sách chặn, và phải áp cho cả những trường mà giao diện không hiển thị. Một endpoint cập nhật hồ sơ nhận nguyên object rồi ghi vào database sẽ vui vẻ nhận thêm trường role: "admin" mà không form nào từng gửi nó — mass assignment, và đó là lý do bạn liệt kê trường được phép thay vì loại trường bị cấm.