Chương 01: Authentication (Xác thực)
Bảo mật mật khẩu, băm mật mã học (BCrypt/Argon2id), MFA, Session fixation, chống Brute-force & NIST guidelines.
Chương 02: Authorization (Phân quyền)
Mô hình RBAC, ABAC, Principle of Least Privilege, Method Security (@PreAuthorize) và phòng chống IDOR.
Chương 03: Input Validation (Kiểm định đầu vào)
Jakarta Bean Validation (@Valid), Allowlist regex, làm sạch ký tự, giới hạn độ dài và chuẩn hóa dữ liệu.
Chương 04: Injection Flaws (Lỗ hổng tiêm mã độc)
Triệt tiêu SQLi bằng PreparedStatement/JPA, Command Injection với ProcessBuilder, LDAP Injection và NoSQL.
Chương 05: Cross-Site Scripting — XSS
Hóa giải Stored, Reflected, DOM XSS; Context-aware encoding với Thymeleaf và OWASP Java HTML Sanitizer.
Chương 06: Cross-Site Request Forgery — CSRF
Kích hoạt Spring Security CsrfFilter, CookieCsrfTokenRepository cho SPA, cờ SameSite=Strict và Origin check.
Chương 07: API Security Essentials
OAuth2 Bearer Tokens, Nimbus JWT, Bucket4j Rate Limiting, CORS allowlist, BOLA/IDOR và DoS protection.
Chương 08: HTTP & Web Security Standards
Cấu trúc HTTP/TLS 1.3, bộ Security Headers hoàn chỉnh (CSP, HSTS, X-Frame-Options, X-Content-Type) và Cookie flags.
Chương 09: File Upload Security
Whitelist định dạng, phát hiện MIME thực bằng Apache Tika, kiểm tra Magic Bytes, đổi tên UUID và cô lập S3.
Chương 10: Path Traversal Mitigation
Chống duyệt thư mục lùi ../, chuẩn hóa Path.normalize(), kiểm định Canonical Path và cô lập ranh giới tệp.
Chương 11: Server-Side Request Forgery — SSRF
Kiểm soát URL Scheme, danh sách trắng tên miền, chặn dải mạng nội bộ RFC 1918 và Cloud Metadata 169.254.
Chương 12: Secret Management & Protection
Triệt tiêu Hardcoded Secrets, bảo vệ DB Credentials, tích hợp HashiCorp Vault / AWS Secrets và quét CI/CD.
Chương 13: Modern Applied Cryptography
AES-256-GCM, RSA-OAEP, ECC Ed25519, Argon2id, Salt/IV ngẫu nhiên CSPRNG và chuẩn bị Hậu Lượng tử (PQC).
Chương 14: Error Handling & Information Disclosure
Xử lý lỗi tập trung @RestControllerAdvice, triệt tiêu Stack Trace, áp dụng chuẩn RFC 7807 ProblemDetail.
Chương 15: Security Logging & Audit Trails
Chống Log Injection (CRLF), mặt nạ hóa dữ liệu nhạy cảm PII, lưu vết kiểm toán bất biến và tích hợp SIEM.
Chương 16: Database Security & Hardening
Xác thực IAM Database, phân quyền RBAC tối thiểu, PreparedStatement, mã hóa TDE tĩnh/động và pgAudit.
Chương 17: Security Misconfiguration Prevention
Nguyên tắc Secure by Default, vô hiệu hóa Debug Mode trên Prod, triệt tiêu mật khẩu mặc định và khóa Actuator.
Chương 18: Third-Party Dependency & Supply Chain
Bảo mật chuỗi cung ứng phần mềm, vòng đời lỗ hổng CVE/CVSS, bài học Log4Shell, khóa phiên bản và quét SCA.
Chương 19: Secure Code Review Methodology
Phân tích luồng dữ liệu Source/Sanitizer/Sink, nhận diện ranh giới tin cậy, duyệt phân quyền và chống lộ PII.
Chương 20: Security Testing & Ethical Hacking
Kiểm thử an ninh đa tầng: Phối hợp SAST (SpotBugs), DAST (OWASP ZAP), SCA, Fuzz Testing (Jazzer) và Pentest.
Chương 21: Threat Modeling & Architecture
Mô hình hóa mối đe dọa bài bản: Nhận diện tài sản, STRIDE, đánh giá rủi ro DREAD, sơ đồ DFD và Defense-in-Depth.
Chương 22: OWASP Top 10 (2021) Enterprise Guide
Bản đồ 10 rủi ro bảo mật web hàng đầu: Từ A01 Broken Access Control đến A10 SSRF, phân tích chi tiết và đối chiếu Java.
Chương 23: OWASP API Security Top 10 (2023)
Bảo vệ toàn diện hệ sinh thái API hiện đại: Từ API1 BOLA/IDOR đến API9 Zombie APIs, chiến lược phòng thủ Spring Boot.