Chương 06: Cross-Site Request Forgery — CSRF

// CHUẨN AN TOÀN SPRING SECURITY 6: Kích hoạt CsrfFilter với CookieCsrfTokenRepository
@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http.csrf(csrf -> csrf
            .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse())
            .csrfTokenRequestHandler(new SpaCsrfTokenRequestHandler()) // Hỗ trợ SPA (React/Vue/Angular)
        );
        return http.build();
    }
}

// CHUẨN AN TOÀN: Kiểm tra CSRF Token qua Request Header hoặc Form Param
@PostMapping("/api/transfer")
public ResponseEntity transferMoney(@RequestBody TransferRequest req,
                                      @AuthenticationPrincipal UserPrincipal user,
                                      HttpServletRequest request) {
    // Spring Security CsrfFilter tự động kiểm tra token trong Header X-XSRF-TOKEN
    // Nếu token thiếu hoặc sai lệch -> ném lỗi AccessDeniedException (403 Forbidden)
    accountService.transfer(user.getId(), req.getToAccount(), req.getAmount());
    return ResponseEntity.ok("Transfer Completed");
}

// CHUẨN AN TOÀN: application.properties hoặc ResponseCookie SameSite=Strict / Lax
// Trong application.properties:
server.servlet.session.cookie.same-site=strict
server.servlet.session.cookie.http-only=true
server.servlet.session.cookie.secure=true

// Hoặc tạo Cookie thủ công trong Spring Controller:
ResponseCookie secureCookie = ResponseCookie.from("SESSION_ID", sessionId)
    .httpOnly(true)
    .secure(true)
    .sameSite("Strict") // Chỉ gửi khi cùng miền nguồn gốc
    .maxAge(Duration.ofHours(2))
    .path("/")
    .build();
response.addHeader(HttpHeaders.SET_COOKIE, secureCookie.toString());

// CHUẨN AN TOÀN: Kiểm tra Origin bằng URI hoặc Allowlist nghiêm ngặt
private static final Set ALLOWED_ORIGINS = Set.of(
    "https://bank.com", 
    "https://app.bank.com"
);

public boolean isValidOrigin(HttpServletRequest request) {
    String origin = request.getHeader("Origin");
    if (origin == null) {
        return false; // Yêu cầu POST/PUT/DELETE bắt buộc phải có Origin
    }
    try {
        URI originUri = URI.create(origin);
        String normalizedOrigin = originUri.getScheme() + "://" + originUri.getAuthority();
        return ALLOWED_ORIGINS.contains(normalizedOrigin);
    } catch (IllegalArgumentException e) {
        return false;
    }
}

// CHUẨN AN TOÀN: Parse Referer thành URL và so khớp Hostname tuyệt đối
public boolean isRefererTrusted(HttpServletRequest request) {
    String referer = request.getHeader("Referer");
    if (referer == null) return false;
    try {
        URI refUri = URI.create(referer);
        return "https".equalsIgnoreCase(refUri.getScheme()) &&
               "bank.com".equalsIgnoreCase(refUri.getHost()) &&
               (refUri.getPort() == -1 || refUri.getPort() == 443);
    } catch (Exception e) {
        return false;
    }
}