Chương 03: Input Validation (Kiểm định dữ liệu đầu vào)

// CHUẨN: Mọi nguồn dữ liệu đều là Untrusted Input
@GetMapping("/stats")
public void logStats(@RequestHeader("User-Agent") String ua) {
    String cleanUa = ua != null ? ua.substring(0, Math.min(ua.length(), 255)) : "";
    jdbcTemplate.update("INSERT INTO logs (ua) VALUES (?)", cleanUa);
}

// CHUẨN: Dùng Allowlist Set hoặc Enum trong Java
public enum SortField {
    PRICE("price"), DATE("created_at"), NAME("name");
    private final String column;
    SortField(String col) { this.column = col; }
    public String getColumn() { return column; }
}

@GetMapping("/products")
public List getProducts(@RequestParam(defaultValue = "DATE") SortField sort) {
    // Hoàn toàn an toàn vì Spring tự động map sang Enum hợp lệ!
    return productRepo.findAll(Sort.by(sort.getColumn()));
}

// CHUẨN: Dùng Java Strong Typing với DTO định kiểu rõ ràng
public record FindUserRequest(
    @NotNull Long id,
    @Min(0) Integer age
) {}

@PostMapping("/find")
public ResponseEntity find(@Valid @RequestBody FindUserRequest req) {
    return ResponseEntity.ok(userService.findByIdAndAge(req.id(), req.age()));
}

// CHUẨN AN TOÀN JAVA: Dùng @Size của Jakarta Validation
public record CommentRequest(
    @NotBlank
    @Size(min = 1, max = 500, message = "Bình luận tối đa 500 ký tự")
    String content
) {}

// CHUẨN AN TOÀN JAVA: Dùng @Min và @Max
public record OrderItemRequest(
    @NotNull Long productId,
    @Min(value = 1, message = "Số lượng tối thiểu là 1")
    @Max(value = 50, message = "Số lượng tối đa là 50 sản phẩm mỗi đơn")
    int quantity
) {}

// CHUẨN AN TOÀN JAVA: Dùng thư viện Commons Validator hoặc Regex tuyến tính
import org.apache.commons.validator.routines.EmailValidator;

boolean isValidEmail = EmailValidator.getInstance().isValid(email);

// Hoặc thiết lập Timeout cho CharSequence khi chạy Regex:
// Pattern.compile("^[a-zA-Z0-9._%+-]+@[a-zA-Z0-9.-]+\\.[a-zA-Z]{2,}$");

// CHUẨN AN TOÀN JAVA: Dùng Apache Tika đọc Magic Bytes
Tika tika = new Tika();
String actualMime = tika.detect(file.getInputStream());
if (!List.of("image/jpeg", "image/png").contains(actualMime)) {
    throw new IllegalArgumentException("File không phải là ảnh hợp lệ!");
}

// CHUẨN AN TOÀN JAVA: Kiểm tra Scheme và phân giải IP chống SSRF
URI uri = new URI(userSuppliedUrl);
if (!"https".equalsIgnoreCase(uri.getScheme())) throw new SecurityException("Chỉ chấp nhận HTTPS");

InetAddress[] addrs = InetAddress.getAllByName(uri.getHost());
for (InetAddress addr : addrs) {
    if (addr.isLoopbackAddress() || addr.isSiteLocalAddress()) {
        throw new SecurityException("Cấm truy cập mạng nội bộ!");
    }
}

// CHUẨN BẢO MẬT OWASP CHO JAVA XML PARSER:
DocumentBuilderFactory dbf = DocumentBuilderFactory.newInstance();
// Vô hiệu hóa DTD và External Entities hoàn toàn:
dbf.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);
dbf.setFeature("http://xml.org/sax/features/external-general-entities", false);
dbf.setFeature("http://xml.org/sax/features/external-parameter-entities", false);
dbf.setXIncludeAware(false);
dbf.setExpandEntityReferences(false);
DocumentBuilder db = dbf.newDocumentBuilder();