API security

[ApiController][Route("api/v1/users")][Authorize]                       // trả lời câu ① ở khối 3, và chỉ câu ①public class UsersController(SecLabDbContext db) : ControllerBase{    [HttpGet("{id:long}")]    public async Task<IActionResult> Get(long id, CancellationToken ct)    {        var user = await db.Users.FindAsync([id], ct);        if (user is null) return NotFound();         // ❌ API3 · đọc quá nhiều. Serialize thẳng ENTITY, nên response mang mọi cột:        //    email, phone, passwordChangedAt, failedLoginCount, internalNotes,        //    stripeCustomerId. Trang web chỉ hiện ba trường nên không ai thấy vấn đề.        //        //    Và điều tệ hơn là HƯỚNG của mặc định: cột nào thêm vào entity ngày mai        //    cũng tự động công khai.        return Ok(user);    }     [HttpPatch("{id:long}")]    public async Task<IActionResult> Update(long id, [FromBody] AppUser patch, CancellationToken ct)    {        // ❌ API3 · mass assignment. Model binder bind cả Role và IsDeleted vì        //    chúng là property của AppUser. Client gửi {"role":"Admin"} là đủ.        var user = await db.Users.FindAsync([id], ct);        if (user is null) return NotFound();         db.Entry(user).CurrentValues.SetValues(patch);        await db.SaveChangesAsync(ct);        return Ok(user);    }     [HttpGet]    public async Task<IActionResult> List(int page = 1, int pageSize = 20, CancellationToken ct = default)    {        // ❌ API4 · không có trần. pageSize=1000000 trả toàn bộ bảng: 412MB,        //    38 giây, và một pod bị OOMKilled. Không cần lỗ hổng nào khác.        return Ok(await db.Users.Skip((page - 1) * pageSize).Take(pageSize).ToListAsync(ct));    }     // ❌ API5 · BFLA. Không có nút nào trong UI gọi tới đây, nên nó không nằm trong    //    luồng test nào — và OpenAPI spec nói cho mọi người biết nó tồn tại.    [HttpDelete("{id:long}")]    public async Task<IActionResult> Delete(long id, CancellationToken ct)    {        await db.Users.Where(u => u.Id == id).ExecuteDeleteAsync(ct);        return NoContent();    }}

public class ApiContractTests{    private static Assembly Application => typeof(SecLab.Application.DependencyInjection).Assembly;     /// <summary>    /// Danh sách tên trường KHÔNG được xuất hiện trong bất kỳ DTO nào.    ///    /// Đây là DỮ LIỆU, và đó là điểm: khi ai đó thêm một cột nội bộ mới, họ thêm một    /// dòng ở đây và mọi DTO vô tình mang nó ra đều đỏ ngay. Không có cách nào khác    /// bắt được API3 trước production, vì API3 không làm gì hỏng — trang web vẫn chạy    /// đúng và không ai báo lỗi.    ///    /// SecLab đã có đúng test này cho isCorrect của QuizOptionDto (design/11 §4.3);    /// đây là bản mở rộng cho toàn bộ bề mặt.    /// </summary>    private static readonly string[] Forbidden =    [        "passwordHash", "password", "salt",        "internalNotes", "internalRiskScore",        "failedLoginCount", "lockoutEnd",        "isCorrect", "rationale",              // đáp án quiz        "stripeCustomerId", "zitadelSub",      // id của hệ thống khác        "connectionString", "apiKey", "secret",    ];     /// <summary>    /// Duyệt MỌI type DTO, không chỉ những cái ta nhớ. Reflection ở đây là cố ý:    /// một DTO mới thêm vào tuần sau cũng tự động nằm trong phạm vi test.    /// </summary>    [Fact]    public void No_dto_exposes_a_forbidden_field()    {        var dtos = Application.GetTypes()            .Where(t => t.Name.EndsWith("Dto", StringComparison.Ordinal))            .Where(t => t is { IsAbstract: false, IsGenericTypeDefinition: false })            .ToList();         Assert.NotEmpty(dtos);   // test phải thật sự tìm thấy DTO, không im lặng pass         var violations = new List<string>();         foreach (var dto in dtos)        foreach (var prop in dto.GetProperties(BindingFlags.Public | BindingFlags.Instance))        foreach (var bad in Forbidden)            if (string.Equals(prop.Name, bad, StringComparison.OrdinalIgnoreCase))                violations.Add($"{dto.Name}.{prop.Name}");         Assert.Empty(violations);    }     /// <summary>    /// Chiều VÀO: DTO đầu vào không được có trường mà chỉ server được quyết. Đây là    /// nửa mass assignment của API3, và nó cần một danh sách riêng — role là hợp lệ    /// trong một DTO đầu RA của admin, và không bao giờ hợp lệ trong một DTO đầu VÀO.    /// </summary>    [Fact]    public void No_request_dto_accepts_a_privileged_field()    {        var requests = Application.GetTypes()            .Where(t => t.Name.EndsWith("Request", StringComparison.Ordinal)                     || t.Name.EndsWith("Command", StringComparison.Ordinal))            .Where(t => t is { IsAbstract: false });         string[] privileged = ["role", "isAdmin", "isDeleted", "isVerified", "createdAt", "userId", "tenantId"];         var violations = (from dto in requests                          from prop in dto.GetProperties()                          where privileged.Contains(prop.Name, StringComparer.OrdinalIgnoreCase)                          select $"{dto.Name}.{prop.Name}").ToList();         Assert.Empty(violations);    }     /// <summary>    /// API3 end-to-end: một người dùng thường đọc profile người khác và response    /// KHÔNG được mang trường nào ngoài bốn trường công khai.    ///    /// Khẳng định trên TẬP KHOÁ, không trên vài trường cụ thể: kiểm "không có email"    /// vẫn pass khi ai đó thêm một cột mới, còn kiểm "đúng bốn khoá này" thì đỏ.    /// </summary>    [Fact]    public async Task Public_profile_returns_exactly_the_public_fields()    {        var alice = await _fx.SeedUserAsync("alice@acme.com", role: SystemRole.Learner);         var res = await _fx.ClientAs(_fx.Bob).GetAsync($"/api/v1/users/{alice.Id}");        var json = await res.Content.ReadFromJsonAsync<JsonObject>();         Assert.Equal(            new[] { "avatarUrl", "bio", "displayName", "id" },            json!.Select(kv => kv.Key).Order().ToArray());    }     /// <summary>Mass assignment, end-to-end. Trường không có trong DTO — cố tình gửi.</summary>    [Fact]    public async Task Privileged_fields_in_the_body_are_not_bound()    {        var res = await _fx.ClientAs(_fx.Bob).PatchAsJsonAsync($"/api/v1/users/{_fx.Bob.Id}", new        {            bio = "xin chào",            role = "Admin",       // không có trong UpdateProfileRequest            isDeleted = false,        });         res.EnsureSuccessStatusCode();         // Khẳng định ở TẦNG DỮ LIỆU, không ở response: một mapper có thể không trả        // role ra mà entity vẫn đã bị đổi.        var reloaded = await _fx.GetUserFromDbAsync(_fx.Bob.Id);        Assert.Equal(SystemRole.Learner, reloaded.Role);    }     /// <summary>API4 — trần bị KẸP, không phải trả 400 rồi mời thử số khác.</summary>    [Theory]    [InlineData(1_000_000)]    [InlineData(int.MaxValue)]    [InlineData(-1)]    public async Task Page_size_is_clamped(int pageSize)    {        await _fx.SeedUsersAsync(count: 250);         var res = await _fx.ClientAs(_fx.Bob).GetAsync($"/api/v1/users?pageSize={pageSize}");        res.EnsureSuccessStatusCode();         var body = await res.Content.ReadFromJsonAsync<PagedResponse<UserPublicDto>>();        Assert.InRange(body!.Data.Count, 1, 100);    }     /// <summary>    /// API5 — BFLA. Route này không có nút nào trong UI gọi tới, nên nó không nằm    /// trong luồng test nào khác. Đó chính là lý do nó cần một test riêng.    /// </summary>    [Theory]    [InlineData("DELETE", "/api/v1/users/{id}")]    [InlineData("POST", "/api/v1/admin/users/{id}/impersonate")]    [InlineData("GET", "/api/v1/admin/audit-log")]    public async Task Admin_routes_reject_ordinary_accounts(string method, string template)    {        var target = await _fx.SeedUserAsync("victim@acme.com");        var path = template.Replace("{id}", target.Id.ToString());         var res = await _fx.ClientAs(_fx.Bob).SendAsync(new HttpRequestMessage(new HttpMethod(method), path));         Assert.Equal(HttpStatusCode.Forbidden, res.StatusCode);        Assert.NotNull(await _fx.GetUserFromDbAsync(target.Id));   // và không có tác dụng phụ    }     /// <summary>    /// API9 — bề mặt API phải khớp danh sách đã duyệt.    ///    /// Test fail cả khi endpoint bị THÊM (đó là API9) và khi bị XOÁ (file đã lạc hậu,    /// nên nó không còn giá trị gì). Đây là phép kiểm mà Optus không có.    /// </summary>    [Fact]    public void Api_surface_matches_the_reviewed_inventory()    {        var actual = _fx.Services.GetRequiredService<EndpointDataSource>().Endpoints            .OfType<RouteEndpoint>()            .Select(e => $"{string.Join(",", e.Metadata.GetMetadata<HttpMethodMetadata>()?.HttpMethods ?? [])} /{e.RoutePattern.RawText}")            .Order()            .ToArray();         var reviewed = File.ReadAllLines("docs/api-surface.txt")            .Where(l => l.Length > 0 && !l.StartsWith('#'))            .Order()            .ToArray();         Assert.Equal(reviewed, actual);    }}