Chương 08: HTTP & Web Security Standards

// CHUẨN AN TOÀN: Ẩn thông tin Server trong application.properties
server.server-header=
server.tomcat.server-header=
// Tắt toàn bộ header tiết lộ thông tin phiên bản nội bộ

// CHUẨN AN TOÀN: Chỉ dùng POST/DELETE để thay đổi trạng thái, GET phải Idempotent
@DeleteMapping("/api/v1/accounts/{id}")
@PreAuthorize("hasRole('ADMIN')")
public ResponseEntity deleteAccount(@PathVariable Long id) {
    accountService.deleteAccount(id);
    return ResponseEntity.noContent().build();
}

// CHUẨN AN TOÀN: Trả về đúng mã trạng thái HTTP chuẩn RFC
@GetMapping("/api/data")
public ResponseEntity getData() {
    if (!hasPermission()) {
        return ResponseEntity.status(HttpStatus.FORBIDDEN).body("Quyền truy cập bị từ chối");
    }
    return ResponseEntity.ok(dataService.getData());
}

// CHUẨN AN TOÀN: Kích hoạt toàn bộ Security Headers
http.headers(headers -> headers
    .contentTypeOptions(Customizer.withDefaults())
    .frameOptions(f -> f.deny())
    .xssProtection(Customizer.withDefaults())
    .httpStrictTransportSecurity(h -> h.includeSubDomains(true).maxAgeInSeconds(31536000))
);

// CHUẨN AN TOÀN: Đặt đầy đủ HttpOnly, Secure và SameSite
ResponseCookie cookie = ResponseCookie.from("AUTH_TOKEN", token)
    .httpOnly(true)
    .secure(true)
    .sameSite("Strict")
    .path("/")
    .maxAge(3600)
    .build();
response.addHeader(HttpHeaders.SET_COOKIE, cookie.toString());

// CHUẨN AN TOÀN: Kích hoạt TLS 1.3 trong Spring Boot
server.port=8443
server.ssl.key-store=classpath:keystore.p12
server.ssl.key-store-password=MySecurePassword123
server.ssl.key-store-type=PKCS12
server.ssl.enabled-protocols=TLSv1.3,TLSv1.2

// CHUẨN AN TOÀN: Cấu hình HSTS thời hạn tối thiểu 1 năm kèm preload
http.headers(headers -> headers
    .httpStrictTransportSecurity(hsts -> hsts
        .includeSubDomains(true)
        .maxAgeInSeconds(31536000)
        .preload(true)
    )
);

// CHUẨN AN TOÀN: Bắt buộc trình duyệt tuân thủ MIME type
http.headers(headers -> headers
    .contentTypeOptions(Customizer.withDefaults()) // Gửi X-Content-Type-Options: nosniff
);

// CHUẨN AN TOÀN: Content Security Policy với Nonce
http.headers(headers -> headers
    .contentSecurityPolicy(csp -> csp
        .policyDirectives("default-src 'self'; script-src 'self' 'nonce-{random}'; object-src 'none'; frame-ancestors 'none';")
    )
);

// CHUẨN AN TOÀN: Giới hạn Referrer-Policy
http.headers(headers -> headers
    .referrerPolicy(r -> r.policy(ReferrerPolicy.STRICT_ORIGIN_WHEN_CROSS_ORIGIN))
);

// CHUẨN AN TOÀN: Khóa toàn bộ quyền truy cập phần cứng nhạy cảm
http.headers(headers -> headers
    .permissionsPolicy(p -> p.policy("camera=(), microphone=(), geolocation=()"))
);

// CHUẨN AN TOÀN: Nhúng script đi kèm mã hash SRI sha384

// CHUẨN AN TOÀN: Cách ly tiến trình duyệt với COOP & CORP
http.headers(headers -> headers
    .crossOriginOpenerPolicy(coop -> coop.sameOrigin())
    .crossOriginResourcePolicy(corp -> corp.sameOrigin())
);