Chương 07: API Security Essentials

// CHUẨN AN TOÀN SPRING SECURITY 6: Bearer Token qua Header Authorization
@Configuration
@EnableWebSecurity
public class ApiSecurityConfig {
    @Bean
    public SecurityFilterChain apiFilterChain(HttpSecurity http) throws Exception {
        http
            .securityMatcher("/api/**")
            .csrf(csrf -> csrf.disable()) // API Stateless không dùng Cookie
            .sessionManagement(s -> s.sessionCreationPolicy(SessionCreationPolicy.STATELESS))
            .oauth2ResourceServer(oauth2 -> oauth2.jwt(Customizer.withDefaults()));
        return http.build();
    }
}

// CHUẨN AN TOÀN: Phân quyền phương thức với @PreAuthorize và Scope/Role
@DeleteMapping("/api/v1/users/{id}")
@PreAuthorize("hasAuthority('SCOPE_admin:write') and hasRole('SYSTEM_ADMIN')")
public ResponseEntity deleteUser(@PathVariable Long id) {
    userService.deleteUserWithAudit(id);
    return ResponseEntity.noContent().build();
}

// CHUẨN AN TOÀN: Dùng Bucket4j điều tiết request theo IP hoặc ClientId
@Component
public class RateLimitInterceptor implements HandlerInterceptor {
    private final Map cache = new ConcurrentHashMap<>();

    private Bucket createNewBucket() {
        return Bucket.builder()
            .addLimit(Bandwidth.classic(10, Refill.intervally(10, Duration.ofMinutes(1))))
            .build();
    }

    @Override
    public boolean preHandle(HttpServletRequest req, HttpServletResponse res, Object handler) {
        String clientIp = req.getRemoteAddr();
        Bucket bucket = cache.computeIfAbsent(clientIp, k -> createNewBucket());
        if (bucket.tryConsume(1)) {
            return true;
        } else {
            res.setStatus(429);
            res.setHeader("Retry-After", "60");
            return false;
        }
    }
}

// CHUẨN AN TOÀN: Jakarta Bean Validation với @Valid và Annotations
public record ProductDto(
    @NotBlank(message = "Tên sản phẩm không được rỗng")
    @Size(min = 2, max = 100, message = "Độ dài từ 2 đến 100 ký tự")
    String name,

    @NotNull(message = "Giá bắt buộc nhập")
    @DecimalMin(value = "0.01", message = "Giá tối thiểu là 0.01")
    BigDecimal price
) {}

@PostMapping("/api/v1/products")
public ResponseEntity createProduct(@Valid @RequestBody ProductDto dto) {
    Product p = productService.create(dto);
    return ResponseEntity.status(HttpStatus.CREATED).body(p);
}

// CHUẨN AN TOÀN: Lưu chuỗi băm SHA-256 và so khớp an toàn với MessageDigest.isEqual
public boolean validateApiKey(String clientKey) {
    if (clientKey == null) return false;
    byte[] clientKeyHash = DigestUtils.sha256(clientKey);
    ApiKey entity = apiKeyRepository.findByKeyPrefix(clientKey.substring(0, 8));
    if (entity == null) return false;
    return MessageDigest.isEqual(clientKeyHash, entity.getHashedSecret());
}

// CHUẨN AN TOÀN: Sử dụng NimbusJwtDecoder với Khóa bí mật cố định và thuật toán bắt buộc
@Bean
public JwtDecoder jwtDecoder() {
    NimbusJwtDecoder decoder = NimbusJwtDecoder.withSecretKey(secretKey)
        .macAlgorithm(MacAlgorithm.HS256) // Khóa chặt thuật toán HMAC SHA-256
        .build();
    OAuth2TokenValidator withIssuer = JwtValidators.createDefaultWithIssuer("https://auth.company.com");
    decoder.setJwtValidator(withIssuer);
    return decoder;
}

// CHUẨN AN TOÀN SPRING SECURITY: Chỉ định rõ danh sách domain được cấp phép
@Bean
public CorsConfigurationSource corsConfigurationSource() {
    CorsConfiguration config = new CorsConfiguration();
    config.setAllowedOrigins(List.of("https://dashboard.company.com"));
    config.setAllowedMethods(List.of("GET", "POST", "PUT", "DELETE"));
    config.setAllowedHeaders(List.of("Authorization", "Content-Type"));
    config.setAllowCredentials(true);
    config.setMaxAge(Duration.ofHours(1));

    UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
    source.registerCorsConfiguration("/api/**", config);
    return source;
}

// CHUẨN AN TOÀN: Dùng DTO riêng biệt, chỉ nhận các trường được phép sửa
public record UpdateProfileRequest(
    @Size(min = 2, max = 50) String displayName,
    @Size(max = 200) String bio
) {}

@PutMapping("/api/v1/profile")
public ResponseEntity updateProfile(@Valid @RequestBody UpdateProfileRequest dto,
                                      @AuthenticationPrincipal UserPrincipal user) {
    User current = userRepository.findById(user.getId()).orElseThrow();
    current.setDisplayName(dto.displayName());
    current.setBio(dto.bio());
    userRepository.save(current); // Thuộc tính role và balance hoàn toàn an toàn
    return ResponseEntity.ok("Profile updated");
}

// CHUẨN AN TOÀN: Ràng buộc truy vấn với ID của tài khoản đang đăng nhập
@GetMapping("/api/v1/invoices/{invoiceId}")
public ResponseEntity getInvoice(@PathVariable Long invoiceId,
                                   @AuthenticationPrincipal UserPrincipal user) {
    Invoice invoice = invoiceRepository.findByIdAndUserId(invoiceId, user.getId())
        .orElseThrow(() -> new ResourceNotFoundException("Hóa đơn không tồn tại"));
    return ResponseEntity.ok(invoice);
}

// CHUẨN AN TOÀN: Bắt buộc phân trang và giới hạn trần kích thước trang
@GetMapping("/api/v1/audit-logs")
public ResponseEntity> getLogs(
    @RequestParam(defaultValue = "0") int page,
    @RequestParam(defaultValue = "20") int size) {
    
    // Giới hạn cứng kích thước tối đa 50 phần tử / trang
    int safeSize = Math.min(Math.max(size, 1), 50);
    Pageable pageable = PageRequest.of(page, safeSize, Sort.by("createdAt").descending());
    return ResponseEntity.ok(auditService.getLogs(pageable));
}

// CHUẨN AN TOÀN: Giới hạn route theo Spring Profile và quản lý qua OpenAPI
@RestController
@Profile("dev | test") // Tuyệt đối không nạp Controller này trên môi trường Prod!
@Hidden // Ẩn khỏi tài liệu OpenAPI công khai nếu không cần thiết
public class DevDebugController {
    @GetMapping("/api/internal/health-check")
    public String healthCheck() {
        return "DEV_OK";
    }
}