Chương 12: Secret Management & Protection

// CHUẨN AN TOÀN: Đọc bí mật từ biến môi trường hoặc Vault
@Configuration
public class DatabaseConfig {
    @Value("${SPRING_DATASOURCE_PASSWORD}")
    private String dbPassword;
}

// CHUẨN AN TOÀN: Mặt nạ hóa dữ liệu nhạy cảm trong Logback
log.info("Xác thực người dùng: {}", username); // Tuyệt đối không log credentials!

// CHUẨN AN TOÀN: Tích hợp HashiCorp Vault hoặc AWS Secrets Manager
// pom.xml: spring-cloud-starter-vault-config
// bootstrap.yml:
spring.cloud.vault:
  uri: https://vault.company.com:8200
  authentication: TOKEN
  token: ${VAULT_TOKEN}

// CHUẨN AN TOÀN: Hỗ trợ nạp động mật khẩu mới không cần restart ứng dụng
@RefreshScope
@Component
public class PaymentGatewayClient {
    @Value("${payment.api.key}")
    private String currentApiKey;
}

// CHUẨN AN TOÀN: Dùng tài khoản tối thiểu đặc quyền & IAM DB Authentication
// AWS RDS IAM Authentication: Tự động xin token có hạn dùng 15 phút

// CHUẨN AN TOÀN: Lưu khóa riêng tư trong Java KeyStore (PKCS12) có mật khẩu
KeyStore ks = KeyStore.getInstance("PKCS12");
ks.load(new FileInputStream("/etc/ssl/app.p12"), keystorePass.toCharArray());
PrivateKey privateKey = (PrivateKey) ks.getKey("app-key", keyPass.toCharArray());

// CHUẨN AN TOÀN: API Key gắn thời hạn TTL và trạng thái is_revoked trong CSDL

// CHUẨN AN TOÀN: Lưu Access/Refresh Token trong Cookie HttpOnly, Secure, SameSite=Strict

// CHUẨN AN TOÀN: Cấu hình pre-commit hook với Gitleaks hoặc TruffleHog
# .pre-commit-config.yaml
repos:
  - repo: https://github.com/gitleaks/gitleaks
    rev: v8.18.2
    hooks:
      - id: gitleaks