OAuth 2.0 & OIDC

[HttpGet("/oauth/callback")]public async Task<IActionResult> Callback([FromQuery] string code, [FromQuery] string state){    // ❌ 1 — không kiểm state. state là token chống CSRF của luồng. Thiếu nó, kẻ tấn    //    công ghép code CỦA HỌ vào phiên nạn nhân → nạn nhân đăng nhập vào tài khoản    //    kẻ tấn công (login CSRF).    //    // ❌ 2 — không PKCE. Một code bị chặn trên đường (nó đi qua trình duyệt) đổi    //    được token ngay, vì không có code_verifier để đòi.     var http = new HttpClient();    var tokenResponse = await http.PostAsync("https://id.provider/token", new FormUrlEncodedContent(        new Dictionary<string, string>        {            ["grant_type"] = "authorization_code",            ["code"] = code,            ["client_id"] = "app",            ["client_secret"] = _secret,            // ❌ 3 — redirect_uri không cần khớp chính xác vì server tự viết cũng            //    khớp lỏng. Covert Redirect ở khối 5 là chính xác lỗi này.        }));     var tokens = await tokenResponse.Content.ReadFromJsonAsync<TokenResponse>();     // ❌ 4 — dùng ACCESS_TOKEN để lấy danh tính. access_token nói "được phép làm gì",    //    không nói "là ai". Một token cấp cho APP KHÁC vẫn gọi được /userinfo và    //    Google trả về danh tính đúng của chủ token → confused deputy.    var userinfo = await http.GetFromJsonAsync<UserInfo>(        $"https://id.provider/userinfo?access_token={tokens.AccessToken}");     await SignInAsync(userinfo.Email);   // đăng nhập bằng danh tính chưa verify đúng cách     // ❌ 5 — và token trả về client để lưu localStorage.    return Ok(new { accessToken = tokens.AccessToken, refreshToken = tokens.RefreshToken });}

// ❌ Implicit flow: response_type=token. OAuth 2.1/RFC 9700 đã BỎ nó vì token trả//    trong URL fragment — rò qua lịch sử trình duyệt, referer, và log.function login() {  const params = new URLSearchParams({    client_id: "app",    redirect_uri: "https://app.example/callback",    response_type: "token",           // ❌ implicit    scope: "openid profile email",    // ❌ không có state, không có code_challenge (PKCE)  });  window.location.href = "https://id.provider/authorize?" + params;} function handleCallback() {  // ❌ Token đọc từ URL fragment và lưu localStorage. XSS đọc được bằng một dòng.  const token = new URLSearchParams(location.hash.slice(1)).get("access_token");  localStorage.setItem("access_token", token);   // XSS đọc được — xem topic xss}

public class OAuthFlowTests : IClassFixture<ApiFixture>{    private readonly ApiFixture _fx;     public OAuthFlowTests(ApiFixture fx) => _fx = fx;     /// <summary>    /// URL authorize phải mang CẢ state lẫn code_challenge, và response_type=code.    /// Đây là phép kiểm sớm nhất — nó bắt được implicit flow và thiếu PKCE ngay ở    /// bước đầu, trước khi có bất kỳ token nào.    /// </summary>    [Fact]    public async Task Authorize_redirect_carries_state_and_pkce()    {        var res = await _fx.Client.GetAsync("/oauth/login");        var location = res.Headers.Location!.ToString();         Assert.Contains("response_type=code", location);        Assert.DoesNotContain("response_type=token", location);   // implicit đã bị bỏ        Assert.Contains("code_challenge=", location);        Assert.Contains("code_challenge_method=S256", location);        Assert.Contains("state=", location);        Assert.Contains("nonce=", location);    }     /// <summary>    /// Login CSRF: callback với state không khớp giá trị đã lưu phải bị từ chối.    /// So sánh phải với giá trị ĐÃ LƯU (cookie tương quan), không với chính giá trị    /// trong URL — kẻ tấn công kiểm soát URL.    /// </summary>    [Fact]    public async Task Callback_with_mismatched_state_is_rejected()    {        var (client, _) = await _fx.StartOAuthFlowAsync();   // lưu state=A trong cookie         // Callback mang state=B (của kẻ tấn công) → không khớp A → từ chối.        var res = await client.GetAsync("/signin-oidc?code=attacker_code&state=B");         Assert.Equal(HttpStatusCode.BadRequest, res.StatusCode);        Assert.False(res.Headers.Contains("Set-Cookie"));   // không có phiên nào được tạo    }     /// <summary>    /// Confused deputy: một access_token cấp cho APP KHÁC không được nhận làm danh    /// tính. Bản vá là dùng id_token có aud = client của ta, nên một token có aud    /// khác bị từ chối ở tầng verify.    /// </summary>    [Fact]    public async Task Access_token_for_another_app_is_not_accepted_as_identity()    {        // Token này hợp lệ, do đúng provider ký, nhưng aud là một app khác.        var foreignIdToken = _fx.IssueIdToken(aud: "some-other-app", sub: "victim");         var res = await _fx.Client.PostAsJsonAsync("/oauth/callback-exchange",            new { idToken = foreignIdToken });         Assert.Equal(HttpStatusCode.Unauthorized, res.StatusCode);    }     /// <summary>    /// redirect_uri phải khớp CHÍNH XÁC (nếu ta là provider). Mỗi dòng là một biến    /// thể Covert Redirect ở khối 5 — tiền tố, path traversal, userinfo trong host,    /// domain con.    /// </summary>    [Theory]    [InlineData("https://app.example.evil.com/callback")]   // tiền tố    [InlineData("https://app.example/callback/../evil")]    // path traversal    [InlineData("https://app.example@evil.com/callback")]   // userinfo trong host    [InlineData("https://evil.com/callback?x=app.example")] // chuỗi con    public async Task Provider_rejects_non_exact_redirect_uri(string uri)    {        var res = await _fx.ProviderClient.GetAsync(            $"/authorize?client_id=app&response_type=code&redirect_uri={Uri.EscapeDataString(uri)}");         Assert.Equal(HttpStatusCode.BadRequest, res.StatusCode);    }     /// <summary>Token không được trả về cho client để lưu localStorage (BFF pattern).</summary>    [Fact]    public async Task Tokens_are_not_returned_to_the_client()    {        var (client, _) = await _fx.CompleteOAuthFlowAsync(_fx.Alice);         var body = await (await client.GetAsync("/api/me")).Content.ReadAsStringAsync();         Assert.DoesNotContain("access_token", body);        Assert.DoesNotContain("refresh_token", body);        // Danh tính đến từ cookie phiên HttpOnly, không từ token trong body.    }}