Chương 23: OWASP API Security Top 10 (2023)

// CHUẨN AN TOÀN SPRING SECURITY:
@GetMapping("/api/v1/orders/{orderId}")
public ResponseEntity getOrder(@PathVariable Long orderId, 
                                        @AuthenticationPrincipal UserPrincipal user) {
    Order order = orderRepository.findByIdAndOwnerId(orderId, user.getId())
        .orElseThrow(() -> new ResourceNotFoundException("Đơn hàng không tồn tại"));
    return ResponseEntity.ok(convertToDto(order));
}

// CHUẨN AN TOÀN: Nimbus JWT Encoder với khóa RSA 3072-bit & Expiration
@Bean
public JwtEncoder jwtEncoder(JWKSource jwkSource) {
    return new NimbusJwtEncoder(jwkSource);
}
// Thời gian sống của Access Token ngắn (15 phút) đi kèm Refresh Token xoay vòng

// CHUẨN AN TOÀN: Luôn dùng DTO riêng biệt cho Input và Output
public record UpdateUserRequest(@Size(min = 2, max = 50) String displayName) {}
public record UserPublicResponse(Long id, String displayName) {}

@PutMapping("/api/v1/users/{id}")
public ResponseEntity updateUser(@PathVariable Long id, 
                                                    @Valid @RequestBody UpdateUserRequest req) {
    User user = userService.updateDisplayName(id, req.displayName());
    return ResponseEntity.ok(new UserPublicResponse(user.getId(), user.getDisplayName()));
}

// CHUẨN AN TOÀN: Bắt buộc phân trang và áp đặt giới hạn trần cứng (Hard Limit)
@GetMapping("/api/v1/products")
public Page getProducts(
    @RequestParam(defaultValue = "0") int page,
    @RequestParam(defaultValue = "20") int size) {
    // Ép buộc kích thước tối đa không quá 50 phần tử / trang
    int safeSize = Math.min(Math.max(size, 1), 50);
    return productService.findAll(PageRequest.of(page, safeSize));
}

// CHUẨN AN TOÀN SPRING METHOD SECURITY:
@DeleteMapping("/api/v1/admin/users/{id}")
@PreAuthorize("hasRole('ADMIN') and hasAuthority('SCOPE_user:manage')")
public ResponseEntity deleteUser(@PathVariable Long id) {
    userService.deleteWithAudit(id);
    return ResponseEntity.noContent().build();
}

// CHUẨN AN TOÀN: Kiểm soát luồng kinh doanh bằng Rate Limit & Bằng chứng xác thực người
@PostMapping("/api/v1/flash-sale/buy")
public ResponseEntity buyFlashSale(@Valid @RequestBody BuyRequest req,
                                     @RequestHeader("X-Turnstile-Token") String captchaToken,
                                     @AuthenticationPrincipal UserPrincipal user) {
    // 1. Xác thực bằng chứng không phải bot (Cloudflare Turnstile)
    botDetectionService.verifyHuman(captchaToken);
    // 2. Ràng buộc nghiệp vụ: Mỗi CMND/User chỉ được mua tối đa 1 sản phẩm trong đợt sale
    flashSaleService.processWithStrictBusinessLimit(user.getId(), req.getProductId());
    return ResponseEntity.ok("Success");
}

// CHUẨN AN TOÀN: Sử dụng bộ gửi Webhook cô lập trong Subnet riêng biệt có Egress Firewall
public void sendSafeWebhook(String targetUrl, String payload) throws Exception {
    URI uri = URI.create(targetUrl);
    if (!"https".equalsIgnoreCase(uri.getScheme())) {
        throw new IllegalArgumentException("Chỉ chấp nhận HTTPS Webhook");
    }
    InetAddress addr = InetAddress.getByName(uri.getHost());
    if (addr.isSiteLocalAddress() || addr.isLoopbackAddress() || addr.isLinkLocalAddress()) {
        throw new SecurityException("Webhook không được phép trỏ tới địa chỉ nội bộ!");
    }
    // Thực hiện gửi request với timeout ngắn 3 giây
}

// CHUẨN AN TOÀN SPRING BOOT:
@Bean
public CorsConfigurationSource corsConfigurationSource() {
    CorsConfiguration config = new CorsConfiguration();
    config.setAllowedOrigins(List.of("https://dashboard.mycompany.com"));
    config.setAllowedMethods(List.of("GET", "POST", "PUT", "DELETE"));
    config.setAllowedHeaders(List.of("Authorization", "Content-Type"));
    config.setAllowCredentials(true);
    UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
    source.registerCorsConfiguration("/api/**", config);
    return source;
}

// CHUẨN AN TOÀN: Quản lý vòng đời API và trả về Header Sunset / 410 Gone
@RestController
@RequestMapping("/api/v1/auth")
public class DeprecatedAuthController {
    @PostMapping("/**")
    public ResponseEntity deprecated() {
        return ResponseEntity.status(HttpStatus.GONE) // HTTP 410 GONE
            .header("Sunset", "Wed, 01 Jan 2025 00:00:00 GMT")
            .body("Phiên bản API v1 đã bị khai tử hoàn toàn. Vui lòng nâng cấp lên /api/v2/");
    }
}