Doanh nghiệpEnterprise

Data Transfer Objectaka DTO, Request/Response model, View model

Object 'đóng gói' riêng cho việc gửi dữ liệu qua ranh giới — không bao giờ phơi entity ra API.A dedicated 'shipping box' for data crossing a boundary — never expose your entities through the API.

Độ khóDifficulty: DễEasy
Mức phổ biếnUsage: Mức phổ biếnUsage 5/5
Thời gian đọcReading time: ~8 phút đọc~8 min read

Thảo luậnDiscussion

Ví dụ đời thườngReal-life analogy

Khi gửi hàng qua Giao Hàng Nhanh, bạn không đưa cả cái tủ trong kho cho shipper. Bạn đóng gói đúng món khách đặt vào thùng, dán nhãn rõ ràng. Thùng hàng là DTO: vừa đủ những gì người nhận cần, không lộ giá nhập hay ghi chú nội bộ, và kho có sắp xếp lại thế nào thì thùng vẫn y như vậy.When shipping with a courier, you don't hand them the entire warehouse cabinet. You pack exactly what the customer ordered into a box with a clear label. The box is the DTO: just what the recipient needs, no purchase price or internal notes, and however you reorganise the warehouse, the box looks the same.

Vấn đề và giải phápProblem and solution

Không có patternWithout the pattern

Controller trả thẳng entity Order ra JSON: lộ luôn giá vốn, ghi chú nội bộ, có khi cả passwordHash của Customer. Lazy loading làm Jackson ném LazyInitializationException hoặc lặp vô hạn Order ↔ Customer. Tệ hơn, nhận entity làm @RequestBody thì client gửi thêm field "status":"PAID" là tự đánh dấu đã thanh toán (mass assignment). Đổi tên một cột DB là app mobile vỡ.The controller returns the Order entity straight as JSON: cost price, internal notes, maybe even the Customer's passwordHash leak out. Lazy loading makes Jackson throw LazyInitializationException or loop forever Order ↔ Customer. Worse, accepting the entity as @RequestBody lets a client send "status":"PAID" and mark itself paid (mass assignment). Rename a DB column and the mobile app breaks.

Với Data Transfer ObjectWith Data Transfer Object

Định nghĩa object riêng cho từng hướng: Request DTO chỉ chứa field client được phép gửi (kèm validate), Response DTO chỉ chứa field client được phép thấy. Việc chuyển đổi entity ↔ DTO diễn ra ở biên (controller/handler) bằng hàm map viết tay hoặc MapStruct. API trở thành một hợp đồng ổn định, độc lập với schema database.Define separate objects per direction: a Request DTO with only the fields the client may send (plus validation), and a Response DTO with only the fields the client may see. Mapping entity ↔ DTO happens at the edge (controller/handler) with hand-written functions or MapStruct. The API becomes a stable contract, independent of the database schema.

Thành phần tham giaParticipants

Request DTO: Dữ liệu client gửi vào, đã được validate, không có field nhạy cảm.Data the client sends in, validated, with no sensitive fields.
Response DTO: Dữ liệu trả ra, phẳng, không lazy loading, không lộ thông tin nội bộ.Data sent out — flat, no lazy loading, no internal details.
Entity / Domain model: Model nội bộ gắn với DB và quy tắc nghiệp vụ.The internal model tied to the DB and business rules.
Mapper: Chuyển đổi entity ↔ DTO (hàm tay hoặc MapStruct).Converts entity ↔ DTO (hand-written or MapStruct).

Sơ đồ và luồng thực thiDiagram and execution flow

Dùng Tự chạy hoặc phím mũi tên để đi qua từng bước gọi giữa các object. Console hiển thị output tương ứng của chương trình.Use Autoplay or the arrow keys to step through each call between objects. The console shows the matching program output.

1App gửi JSON, kể cả field lạ "status":"PAID". Jackson chỉ bind vào các field có trong CreateOrderRequest — field lạ bị bỏ qua.The app sends JSON, including a sneaky "status":"PAID". Jackson only binds fields that exist on CreateOrderRequest — the extra one is ignored.

← →

console

1> POST /api/orders {customerId: 42, items: [...], status: "PAID"}

implementsimplementsextendsextendsgọi / dùngcalls / usestạo racreatesgửi qua channelsends via channel1thứ tự chạy (bấm để nhảy bước)execution order (click to jump)

Code: Java Spring Boot ⇄ GoCode: Java Spring Boot ⇄ Go

Cùng một bài toán, hai ngôn ngữ. Rê chuột hoặc focus vào chú thích (số màu cam) để làm nổi bật dòng code tương ứng.Same problem, two languages. Hover or focus an annotation (orange number) to highlight its line.

JavaSpring Boot 3 · Java 21Spring Boot 3 · Java 21

package com.shop.order.api;

import jakarta.validation.Valid;
import jakarta.validation.constraints.NotBlank;
import jakarta.validation.constraints.NotEmpty;
import jakarta.validation.constraints.NotNull;
import jakarta.validation.constraints.Positive;
import jakarta.validation.constraints.Size;
import java.util.List;

// Inbound: ONLY what the client is allowed to send (no id, no status, no price)
public record CreateOrderRequest(1
        @NotNull Long customerId,
        @NotEmpty List<@Valid Item> items,2
        @Size(max = 200) String note) {

    public record Item(@NotBlank String sku, @Positive int quantity) {}3
}

GoGo 1.23 · thư viện chuẩnGo 1.23 · standard library

package order

import "time"

// Order is the domain model: no json tags, never encoded directly.1
type Order struct {
	ID           int64
	CustomerID   int64
	Status       string
	Lines        []Line
	CostTotal    int64  // internal: purchase cost2
	InternalNote string // internal: staff only
	CreatedAt    time.Time
}

type Line struct {
	SKU       string
	Name      string
	Qty       int
	UnitPrice int64
}

func (o Order) Total() int64 {
	var sum int64
	for _, l := range o.Lines {
		sum += int64(l.Qty) * l.UnitPrice
	}
	return sum
}

Khác biệt chính giữa Java và GoKey differences between Java and Go

01Java dùng record — bất biến, gọn. Go dùng struct thường kèm struct tag json:"..." để đặt tên field JSON.Java uses records — immutable and concise. Go uses plain structs with json:"..." struct tags to name JSON fields.
02Mapping: Java hay dùng MapStruct (sinh code lúc compile) hoặc static factory. Go viết hàm map bằng tay — hơi dài nhưng rõ ràng, không cần thư viện.Mapping: Java often uses MapStruct (compile-time code generation) or static factories. Go writes mapping functions by hand — a bit longer but explicit, no library needed.
03Validate: Java có Bean Validation (@NotNull, @Positive + @Valid). Go viết method Validate() hoặc dùng go-playground/validator với tag validate:"required".Validation: Java has Bean Validation (@NotNull, @Positive + @Valid). Go writes a Validate() method or uses go-playground/validator with validate:"required" tags.
04Field lạ trong JSON: Jackson của Spring Boot mặc định bỏ qua; Go có dec.DisallowUnknownFields() để từ chối. Slice nil trong Go encode thành null — nhớ khởi tạo slice rỗng.Unknown JSON fields: Spring Boot's Jackson ignores them by default; Go offers dec.DisallowUnknownFields() to reject them. A nil Go slice encodes as null — remember to initialise empty slices.

Ứng dụng thực tếReal-world usage

Spring Web + Jackson + Bean ValidationSpring Web + Jackson + Bean Validation
@RequestBody @Valid CreateOrderRequest là bộ ba chuẩn của mọi REST API Spring Boot.@RequestBody @Valid CreateOrderRequest is the standard trio of every Spring Boot REST API.
MapStructMapStruct
Thư viện mapping phổ biến nhất trong Java enterprise, sinh code thuần lúc compile nên nhanh như viết tay.The most popular mapping library in enterprise Java; it generates plain code at compile time, so it's as fast as hand-written.
Protobuf / gRPC messageProtobuf / gRPC messages
Message sinh từ .proto chính là DTO của gRPC; service Go map chúng sang struct domain thay vì dùng thẳng.Messages generated from .proto files are gRPC DTOs; Go services map them to domain structs instead of using them directly.
API công khai cho đối tácPublic partner APIs
Cổng thanh toán, API vận chuyển giữ version DTO (v1, v2) ổn định nhiều năm trong khi DB bên trong đổi liên tục.Payment gateways and shipping APIs keep DTO versions (v1, v2) stable for years while the internal DB changes constantly.

Khi nào dùng và khi nào khôngWhen to use it, and when not

Nên dùng khiUse it when

Mọi API công khai (REST, gRPC, message queue) — dữ liệu ra/vào hệ thống.Every public API (REST, gRPC, message queue) — data entering or leaving the system.
Entity có field nhạy cảm hoặc quan hệ lazy/vòng tròn.Entities have sensitive fields or lazy/circular relations.
Hình dạng dữ liệu cho client khác với hình dạng lưu trữ (gộp, làm phẳng, đổi tên).The shape clients need differs from the stored shape (aggregated, flattened, renamed).

Không nên dùng khiAvoid it when

Giữa các tầng nội bộ trong cùng service (service ↔ repository) — dùng thẳng domain model, đừng sinh DTO cho từng tầng.Between internal layers of the same service (service ↔ repository) — use the domain model directly; don't create DTOs per layer.
Tool nội bộ / prototype rất nhỏ không có client bên ngoài.Tiny internal tools / prototypes with no external clients.

Ưu điểmPros

Bảo mật: chặn mass assignment và rò rỉ field nhạy cảm.Security: blocks mass assignment and sensitive-field leaks.
Hợp đồng API ổn định, độc lập với schema DB.A stable API contract, independent of the DB schema.
Tránh lỗi lazy loading và vòng lặp khi serialize.Avoids lazy-loading errors and serialisation cycles.

Nhược điểmCons

Thêm class và code mapping cần bảo trì.More classes and mapping code to maintain.
Dễ quên map field mới nếu không bật kiểm tra (ReportingPolicy.ERROR, test).Easy to forget mapping new fields unless checks are on (ReportingPolicy.ERROR, tests).

Anti-pattern: lỗi thường gặpAnti-pattern: common mistake

Trả và nhận thẳng entity JPAReturning and accepting JPA entities directly

Nhận entity làm @RequestBody cho phép client ghi đè mọi field (status, price). Trả entity thì lộ field nội bộ, dính LazyInitializationException hoặc vòng lặp JSON vô hạn giữa Order và Customer.Accepting the entity as @RequestBody lets clients overwrite any field (status, price). Returning it leaks internal fields and triggers LazyInitializationException or infinite JSON loops between Order and Customer.

@PostMapping("/orders")
public Order create(@RequestBody Order order) {  // ❌ client can set status/price
    return orderRepository.save(order);          // ❌ leaks costPrice, internalNote
}

@GetMapping("/customers/{id}")
public Customer get(@PathVariable Long id) {     // ❌ passwordHash in JSON,
    return customerRepository.findById(id)       //    orders ↔ customer loop
        .orElseThrow();
}

Dễ nhầm vớiEasily confused with

Data Transfer Object vs Repository

DTO là hình dạng dữ liệu đi qua ranh giới; Repository là nơi đọc/ghi entity vào kho. Repository trả entity, tầng API map sang DTO.A DTO is the shape of data crossing a boundary; a Repository is where entities are read/written. The repository returns entities; the API layer maps them to DTOs.

Data Transfer Object vs Adapter

Adapter chuyển đổi INTERFACE (cách gọi) giữa hai hệ thống. DTO chỉ là object chứa dữ liệu; mapper chuyển đổi DỮ LIỆU, không đổi hành vi.An Adapter converts an INTERFACE (how you call) between systems. A DTO is just a data holder; the mapper converts DATA, not behaviour.

Bài tập áp dụngExercise

Thêm API GET /customers/{id} trả về tên, email đã che (h***@gmail.com) và số đơn đã đặt. Entity Customer có passwordHash, phone, addresses — không được lộ.Add GET /customers/{id} returning the name, a masked email (h***@gmail.com) and the number of orders. The Customer entity has passwordHash, phone, addresses — none may leak.

Kiểm tra kiến thứcKnowledge check

Câu 1 / 5Question 1 of 5

Rủi ro bảo mật lớn nhất khi dùng entity làm @RequestBody là gì?What is the biggest security risk of using an entity as @RequestBody?

Phím 1–4 để chọn đáp án, Enter để kiểm tra.Press 1–4 to choose an answer, Enter to check.

Thẻ ghi nhớFlashcards

Ôn tập ngắt quãng (spaced repetition): thẻ được lặp lại sau 1 → 3 → 7 → 14 → 30 ngày để củng cố trí nhớ dài hạn.Spaced repetition: cards are repeated after 1 → 3 → 7 → 14 → 30 days to build long-term memory.

Pattern liên quanRelated patterns

Service Layer Repository Adapter Facade

Thảo luậnDiscussion

Data Transfer Objectaka DTO, Request/Response model, View model

DễEasy

Mức phổ biếnUsage 5/5

~8 phút đọc~8 min read

package com.shop.order.api; import jakarta.validation.Valid; import jakarta.validation.constraints.NotBlank; import jakarta.validation.constraints.NotEmpty; import jakarta.validation.constraints.NotNull; import jakarta.validation.constraints.Positive; import jakarta.validation.constraints.Size; import java.util.List; // Inbound: ONLY what the client is allowed to send (no id, no status, no price) public record CreateOrderRequest(1 @NotNull Long customerId, @NotEmpty List<@Valid Item> items,2 @Size(max = 200) String note) { public record Item(@NotBlank String sku, @Positive int quantity) {}3 }

package order import "time" // Order is the domain model: no json tags, never encoded directly.1 type Order struct { ID int64 CustomerID int64 Status string Lines []Line CostTotal int64 // internal: purchase cost2 InternalNote string // internal: staff only CreatedAt time.Time } type Line struct { SKU string Name string Qty int UnitPrice int64 } func (o Order) Total() int64 { var sum int64 for _, l := range o.Lines { sum += int64(l.Qty) * l.UnitPrice } return sum }

@PostMapping("/orders") public Order create(@RequestBody Order order) { // ❌ client can set status/price return orderRepository.save(order); // ❌ leaks costPrice, internalNote } @GetMapping("/customers/{id}") public Customer get(@PathVariable Long id) { // ❌ passwordHash in JSON, return customerRepository.findById(id) // orders ↔ customer loop .orElseThrow(); }