Chương 22: OWASP Top 10 (2021) Enterprise Guide

// CHUẨN AN TOÀN SPRING SECURITY:
@GetMapping("/documents/{id}")
public ResponseEntity getDoc(@PathVariable Long id, 
                                         @AuthenticationPrincipal UserPrincipal user) {
    Document doc = documentRepository.findByIdAndUserId(id, user.getId())
        .orElseThrow(() -> new AccessDeniedException("Bạn không có quyền xem tài liệu này"));
    return ResponseEntity.ok(convertToDto(doc));
}

// CHUẨN AN TOÀN SPRING SECURITY:
@Bean
public PasswordEncoder passwordEncoder() {
    return Argon2PasswordEncoder.defaultsForSpringSecurity_v5_8();
}

// CHUẨN AN TOÀN SPRING DATA JPA:
@Query("SELECT a FROM Account a WHERE a.owner = :owner")
List findByOwner(@Param("owner") String owner); // Tự động tham số hóa an toàn

// THIẾT KẾ AN TOÀN: Mô hình Token đặt lại mật khẩu bất đối xứng
// 1. Sinh Token ngẫu nhiên cryptographically strong (256-bit)
// 2. Gán thời hạn hết hạn nghiêm ngặt (15 phút)
// 3. Chỉ cho phép sử dụng đúng 1 lần duy nhất (One-time use)
// 4. Hủy bỏ token ngay khi mật khẩu mới được cập nhật

# CẤU HÌNH GIA CỐ BẢO MẬT SẢN XUẤT:
server.error.include-stacktrace=never
management.endpoints.web.exposure.include=health,info
spring.h2.console.enabled=false
server.server-header=

    org.springframework.boot
    spring-boot-starter-parent
    3.2.4 

// CHUẨN AN TOÀN SPRING SECURITY:
// 1. Giới hạn số lần thử bằng Bucket4j
// 2. Cấu hình Session Timeout 15 phút:
// server.servlet.session.timeout=15m
// 3. Tích hợp Xác thực 2 bước (2FA / MFA với Google Authenticator):
boolean isTotpValid = totpService.verifyCode(user.getTotpSecret(), mfaCode);
if (!isTotpValid) throw new BadCredentialsException("Mã OTP không chính xác");

// CHUẨN AN TOÀN: Xác minh chữ ký số và mã Hash SHA-256 trước khi thực thi
public static boolean verifyChecksum(File file, String expectedSha256) throws Exception {
    byte[] fileBytes = Files.readAllBytes(file.toPath());
    String actualSha256 = DigestUtils.sha256Hex(fileBytes);
    return actualSha256.equalsIgnoreCase(expectedSha256);
}

// CHUẨN AN TOÀN: Ghi log sự kiện an ninh có cấu trúc và tích hợp Prometheus
@ExceptionHandler(AccessDeniedException.class)
public ProblemDetail handleAccessDenied(AccessDeniedException ex, HttpServletRequest request) {
    log.warn("SECURITY_ALERT: Truy cập trái phép bị chặn - IP: [{}], URI: [{}], User: [{}]",
        request.getRemoteAddr(), request.getRequestURI(), SecurityContextHolder.getContext().getAuthentication().getName());
    meterRegistry.counter("security.access.denied").increment(); // Bắn Metrics giám sát
    return ProblemDetail.forStatusAndDetail(HttpStatus.FORBIDDEN, "Truy cập bị từ chối");
}

// CHUẨN AN TOÀN: Kiểm tra IP sau khi DNS Resolve và chặn hoàn toàn dải nội bộ
public byte[] safeProxy(String userUrl) throws Exception {
    URI uri = URI.create(userUrl);
    InetAddress addr = InetAddress.getByName(uri.getHost());
    if (addr.isLoopbackAddress() || addr.isSiteLocalAddress() || addr.getHostAddress().startsWith("169.254.")) {
        throw new SecurityException("Từ chối truy cập vào địa chỉ nội bộ!");
    }
    return httpClient.send(HttpRequest.newBuilder().uri(uri).build(), HttpResponse.BodyHandlers.ofByteArray()).body();
}