Chương 16: Database Security & Hardening

// CHUẨN AN TOÀN: Dùng AWS IAM Database Authentication hoặc Spring Cloud Vault
@Configuration
public class HikariIamDataSourceConfig {
    @Bean
    public DataSource dataSource() {
        HikariConfig config = new HikariConfig();
        config.setJdbcUrl("jdbc:postgresql://db.prod:5432/main_db?sslmode=verify-full");
        config.setUsername("app_iam_user");
        // Tự động sinh IAM Auth Token có thời hạn 15 phút
        config.setPassword(RdsIamTokenGenerator.generateAuthToken());
        return new HikariDataSource(config);
    }
}

-- CHUẨN AN TOÀN: Tạo Role riêng biệt và chỉ GRANT quyền tối thiểu cần thiết
CREATE ROLE app_readonly_role;
GRANT CONNECT ON DATABASE main_db TO app_readonly_role;
GRANT USAGE ON SCHEMA public TO app_readonly_role;
GRANT SELECT ON ALL TABLES IN SCHEMA public TO app_readonly_role;

CREATE USER catalog_service WITH PASSWORD 'StrongR4nd0mP@ss!';
GRANT app_readonly_role TO catalog_service;

// MỖI MICROSERVICE DÙNG TÀI KHOẢN RIÊNG VỚI SCHEMA ĐỘC LẬP
// Auth Service: chỉ truy cập bảng users, refresh_tokens
// Payment Service: chỉ truy cập bảng transactions, payment_methods
// Reporting Service: chỉ được cấp quyền SELECT trên bản sao Read-Replica

// CHUẨN AN TOÀN: Dùng PreparedStatement hoặc Spring Data JPA Parameterized Query
public User findUser(String username) throws SQLException {
    String sql = "SELECT * FROM users WHERE username = ?";
    try (PreparedStatement pstmt = connection.prepareStatement(sql)) {
        pstmt.setString(1, username); // Dữ liệu được escape an toàn ở tầng driver
        try (ResultSet rs = pstmt.executeQuery()) {
            return mapUser(rs);
        }
    }
}
// Hoặc trong Spring Data JPA:
@Query("SELECT u FROM User u WHERE u.username = :username")
Optional findByUsername(@Param("username") String username);

-- CHUẨN AN TOÀN: Stored Procedure tĩnh có tham số hoặc sp_executesql
CREATE PROCEDURE FindUserSafe(IN p_username VARCHAR(100))
BEGIN
    SELECT * FROM users WHERE username = p_username; -- Biên dịch tĩnh an toàn 100%
END;

-- Gọi an toàn từ Java Spring Boot:
SimpleJdbcCall jdbcCall = new SimpleJdbcCall(dataSource)
    .withProcedureName("FindUserSafe");
Map out = jdbcCall.execute(new MapSqlParameterSource("p_username", username));

# CHUẨN AN TOÀN: Bắt buộc mã hóa ổ cứng và CSDL với AWS KMS
resource "aws_db_instance" "prod_db" {
  allocated_storage     = 100
  engine                = "postgres"
  instance_class        = "db.r6g.xlarge"
  storage_encrypted     = true
  kms_key_id            = aws_kms_key.db_encryption_key.arn # Quản lý khóa tập trung
}

// Trong Java Spring Data: Mã hóa cột nhạy cảm ở tầng ứng dụng (JPA AttributeConverter)
@Convert(converter = EncryptedStringConverter.class)
private String ssn;

// CHUẨN AN TOÀN: Bắt buộc SSL với sslmode=verify-full và Truststore CA
spring.datasource.url=jdbc:postgresql://db.company.internal:5432/finance?ssl=true&sslmode=verify-full&sslrootcert=/etc/ssl/certs/rds-ca.pem

// Cấu hình HikariCP nâng cao:
hikari.data-source-properties.ssl=true
hikari.data-source-properties.sslmode=verify-full
hikari.data-source-properties.sslrootcert=/etc/ssl/certs/rds-ca.pem

-- CHUẨN AN TOÀN: Kích hoạt Extension pgAudit trong PostgreSQL
-- postgresql.conf:
shared_preload_libraries = 'pgaudit'
pgaudit.log = 'write, ddl, role'
pgaudit.log_catalog = off
pgaudit.log_parameter = on -- Ghi cả tham số thực thi

-- Trong Spring Data JPA: Áp dụng Hibernate Envers lưu lịch sử thay đổi từng phiên bản
@Entity
@Audited // Tự động sinh bảng users_AUD lưu vết mọi lần INSERT/UPDATE/DELETE
public class User { ... }