Chương 17: Security Misconfiguration Prevention

// CHUẨN AN TOÀN: Mặc định từ chối tất cả (Deny by default)
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    http
        .authorizeHttpRequests(auth -> auth
            .requestMatchers("/api/public/**").permitAll() // Chỉ mở đích danh route công khai
            .anyRequest().authenticated() // Mặc định tất cả các route khác PHẢI đăng nhập!
        );
    return http.build();
}

# application-prod.properties: CHUẨN AN TOÀN MÔI TRƯỜNG THẬT
debug=false
logging.level.root=INFO
logging.level.org.springframework=WARN
server.error.include-stacktrace=never
server.error.include-message=never

// CHUẨN AN TOÀN: Sinh mật khẩu ngẫu nhiên độ dài 24 ký tự và in ra Console bảo mật 1 lần
@Component
public class SecureBootstrapInitializer implements CommandLineRunner {
    private static final Logger log = LoggerFactory.getLogger(SecureBootstrapInitializer.class);
    
    public void run(String... args) {
        if (userRepo.count() == 0) {
            String initialPass = SecurePasswordGenerator.generateRandomAlphanumeric(24);
            userRepo.save(new User("admin", passwordEncoder.encode(initialPass), "ROLE_ADMIN"));
            log.warn("=== KHỞI TẠO HỆ THỐNG: Mật khẩu Admin ban đầu là: [{}]. HÃY ĐỔI NGAY SAU KHI ĐĂNG NHẬP! ===", initialPass);
        }
    }
}

# application.properties: CHUẨN AN TOÀN SẢN XUẤT
management.endpoints.web.exposure.include=health,info
management.endpoint.health.show-details=never

# Đặt Actuator trên cổng nội bộ riêng biệt (khác cổng phục vụ khách hàng)
management.server.port=9090
management.server.address=127.0.0.1

# CẤU HÌNH CHUẨN AN TOÀN NGINX
location /uploads {
    autoindex off; # TẮT HOÀN TOÀN DUYỆT THƯ MỤC
}

// Trong Spring Boot: Không map ResourceHandler vào thư mục gốc hệ thống
@Override
public void addResourceHandlers(ResourceHandlerRegistry registry) {
    registry.addResourceHandler("/static/**")
            .addResourceLocations("classpath:/static/")
            .resourceChain(true); // Chỉ phục vụ tệp cụ thể, không list thư mục
}

// CHUẨN AN TOÀN: Bật trọn bộ Security Headers khuyến nghị bởi OWASP
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    http.headers(headers -> headers
        .frameOptions(f -> f.deny())
        .contentTypeOptions(Customizer.withDefaults())
        .httpStrictTransportSecurity(h -> h.includeSubDomains(true).maxAgeInSeconds(31536000))
        .contentSecurityPolicy(c -> c.policyDirectives("default-src 'self'; frame-ancestors 'none';"))
        .referrerPolicy(r -> r.policy(ReferrerPolicy.STRICT_ORIGIN_WHEN_CROSS_ORIGIN))
    );
    return http.build();
}