Chương 02: Authorization (Kiểm soát quyền truy cập)

// CHUẨN AN TOÀN SPRING SECURITY: @PreAuthorize("hasRole('ADMIN')")
@PreAuthorize("hasRole('ADMIN')")
@GetMapping("/admin/users")
public List getAllUsers() {
    return userService.getAllUsers();
}

// CHUẨN ABAC TRONG SPRING BOOT: Dùng PermissionEvaluator tùy biến
@Component
public class MedicalRecordPermissionEvaluator implements PermissionEvaluator {
    @Override
    public boolean hasPermission(Authentication auth, Object targetDomainObject, Object permission) {
        CustomUserDetails doctor = (CustomUserDetails) auth.getPrincipal();
        MedicalRecord record = (MedicalRecord) targetDomainObject;

        boolean isAssignedDoctor = record.getDoctorId().equals(doctor.getId());
        boolean isSameDept = record.getDepartment().equals(doctor.getDepartment());
        return isAssignedDoctor || (isSameDept && doctor.isOnDuty());
    }
}
// Áp dụng trong Controller:
// @PreAuthorize("hasPermission(#record, 'READ')")

// CHUẨN AN TOÀN: Ràng buộc ID người dùng đăng nhập
@GetMapping("/orders/{orderId}")
public OrderResponse getOrder(@PathVariable Long orderId, @AuthenticationPrincipal CustomUserDetails user) {
    return orderRepository.findByIdAndUserId(orderId, user.getId())
        .map(orderMapper::toDto)
        .orElseThrow(() -> new ResourceNotFoundException("Đơn hàng không tồn tại"));
}

// CHUẨN: Bảo vệ chặt chẽ ở Backend
@PreAuthorize("hasAuthority('USER_DELETE')")
@PostMapping("/api/admin/delete-user")
public ResponseEntity deleteUser(@RequestParam Long id) {
    userService.deleteUser(id);
    return ResponseEntity.ok().build();
}

// CHUẨN AN TOÀN SPRING SECURITY: anyRequest().authenticated()
http.authorizeHttpRequests(auth -> auth
    .requestMatchers("/public/**").permitAll()
    .requestMatchers("/admin/**").hasRole("ADMIN")
    .anyRequest().authenticated() // Mặc định BẮT BUỘC phải đăng nhập!
);

// CHUẨN: Dùng UUID + Ràng buộc Session User trong JPA
@GetMapping("/invoices/{uuid}")
public InvoiceResponse getInvoice(@PathVariable UUID uuid, @AuthenticationPrincipal CustomUserDetails user) {
    return invoiceRepo.findByUuidAndCustomerId(uuid, user.getId())
        .map(invoiceMapper::toDto)
        .orElseThrow(() -> new ResourceNotFoundException("Hóa đơn không tồn tại"));
}

# application.properties dùng user nghiệp vụ riêng biệt
spring.datasource.username=app_order_service
spring.datasource.password=${DB_APP_PASSWORD}
# Trên MySQL:
# GRANT SELECT, INSERT, UPDATE ON shop_db.orders TO 'app_order_service'@'%';