Authentication

[HttpPost("/api/password-reset")]public async Task<IActionResult> RequestReset([FromBody] ResetRequest req){    var user = await _users.FindByEmailAsync(req.Email);    if (user is null)        // ❌ Rò sự tồn tại: email không có tài khoản trả về khác với email có.        return NotFound(new { error = "No account with that email" });     // ❌ Token đoán được: userId + timestamp. Kẻ tấn công biết userId (từ URL công    //    khai) và đoán được timestamp trong một khoảng hẹp → dựng lại được token.    var token = $"{user.Id}-{DateTimeOffset.UtcNow.ToUnixTimeSeconds()}";     // ❌ Lưu token THÔ, và không hết hạn. Một vụ rò DB là mọi token đặt lại.    user.ResetToken = token;    await _users.SaveAsync(user);     // ❌ Gửi tới địa chỉ TRONG REQUEST, không tới địa chỉ đã lưu → account takeover.    await _mail.SendAsync(req.DeliverTo ?? req.Email, $"Reset: /reset?token={token}");     return Ok();} [HttpPost("/api/login")]public async Task<IActionResult> Login([FromBody] LoginRequest req){    var user = await _users.FindByEmailAsync(req.Email);     // ❌ Không rate limit, không MFA, và trả về sớm khi không có user (chênh thời    //    gian → liệt kê). Credential stuffing chạy tự do ở đây.    if (user is null) return Unauthorized(new { error = "No such user" });    if (!_hasher.Verify(user.PasswordHash, req.Password))        return Unauthorized(new { error = "Wrong password" });     return Ok(new { token = IssueSession(user) });   // session id không đổi → fixation}

public class AuthTests : IClassFixture<ApiFixture>{    private readonly ApiFixture _fx;     public AuthTests(ApiFixture fx) => _fx = fx;     /// <summary>    /// Đặt lại phải gửi tới địa chỉ ĐÃ LƯU, không tới địa chỉ trong request. Đây là    /// một account takeover đầy đủ nếu sai, và luồng reset là bề mặt ít review nhất.    /// </summary>    [Fact]    public async Task Reset_ignores_a_request_supplied_delivery_address()    {        var victim = await _fx.SeedUserAsync("victim@acme.com");         await _fx.Client.PostAsJsonAsync("/api/password-reset",            new { email = "victim@acme.com", deliverTo = "attacker@evil.example" });         // Thư đi tới địa chỉ đã lưu, KHÔNG tới deliverTo.        Assert.Equal("victim@acme.com", _fx.LastEmailRecipient);        Assert.NotEqual("attacker@evil.example", _fx.LastEmailRecipient);    }     /// <summary>Token phải ngẫu nhiên — không dựng lại được từ userId và thời gian.</summary>    [Fact]    public async Task Reset_token_is_high_entropy_and_unpredictable()    {        var user = await _fx.SeedUserAsync("a@acme.com");         var tokens = new HashSet<string>();        for (var i = 0; i < 5; i++)        {            await _fx.Client.PostAsJsonAsync("/api/password-reset", new { email = "a@acme.com" });            tokens.Add(_fx.ExtractResetTokenFromLastEmail());        }         Assert.Equal(5, tokens.Count);                       // mỗi lần một token khác        Assert.All(tokens, t => Assert.True(t.Length >= 40)); // 32 byte base64url        // Và không token nào chứa userId hay một timestamp gần đây.        Assert.All(tokens, t => Assert.DoesNotContain(user.Id.ToString(), t));    }     [Fact]    public async Task Reset_token_expires_and_is_single_use()    {        var (user, token) = await _fx.RequestResetAsync("b@acme.com");         // Dùng một lần: lần đầu OK, lần hai với cùng token phải thất bại.        var first = await _fx.Client.PostAsJsonAsync("/api/reset", new { token, password = "NewPassw0rd!xyz" });        var second = await _fx.Client.PostAsJsonAsync("/api/reset", new { token, password = "Another1!xyz" });        first.EnsureSuccessStatusCode();        Assert.Equal(HttpStatusCode.BadRequest, second.StatusCode);         // Hết hạn: một token quá 15 phút phải bị từ chối.        var (_, oldToken) = await _fx.RequestResetAsync("b@acme.com");        _fx.AdvanceClock(TimeSpan.FromMinutes(16));        var expired = await _fx.Client.PostAsJsonAsync("/api/reset", new { token = oldToken, password = "Yet1!more" });        Assert.Equal(HttpStatusCode.BadRequest, expired.StatusCode);    }     /// <summary>Đăng nhập không được rò email nào có tài khoản — nội dung VÀ thời gian.</summary>    [Fact]    public async Task Login_does_not_reveal_which_emails_exist()    {        await _fx.SeedUserAsync("real@acme.com", "correct-horse-battery");         var exists = await _fx.Client.PostAsJsonAsync("/api/login",            new { email = "real@acme.com", password = "wrong" });        var missing = await _fx.Client.PostAsJsonAsync("/api/login",            new { email = "no-such@acme.com", password = "wrong" });         Assert.Equal(exists.StatusCode, missing.StatusCode);        Assert.Equal(await exists.Content.ReadAsStringAsync(),                     await missing.Content.ReadAsStringAsync());    }     /// <summary>Session id phải đổi sau đăng nhập (chống fixation).</summary>    [Fact]    public async Task Session_id_changes_after_login()    {        var client = _fx.NewClient();        var before = await _fx.GetSessionIdAsync(client);   // phiên khách trước đăng nhập         await client.PostAsJsonAsync("/api/login",            new { email = "real@acme.com", password = "correct-horse-battery" });        var after = await _fx.GetSessionIdAsync(client);         Assert.NotEqual(before, after);    }     /// <summary>MFA bắt buộc cho tài khoản có quyền cao — mật khẩu đúng vẫn chưa đủ.</summary>    [Fact]    public async Task Admin_login_requires_mfa()    {        await _fx.SeedUserAsync("admin@acme.com", "correct-horse-battery", role: SystemRole.Admin);         var res = await _fx.Client.PostAsJsonAsync("/api/login",            new { email = "admin@acme.com", password = "correct-horse-battery" });         var body = await res.Content.ReadFromJsonAsync<JsonObject>();        Assert.True(body!["mfaRequired"]!.GetValue<bool>());        Assert.Null(body["token"]);   // không cấp phiên đầy đủ trước MFA    }}