Business logic vulnerabilities

// ❌ Mẫu ② — DTO đầu vào chứa UnitPrice. Server BIẾT giá; nó nằm trong bảng product.//    Nhận nó từ client nghĩa là client quyết định giá, và không có phép kiểm nào//    ở dưới sửa được điều đó — vì không có gì để so sánh với.public record AddToCartRequest(string ProductId, int Quantity, decimal UnitPrice); [HttpPost("/api/cart/items")]public async Task<IActionResult> AddItem([FromBody] AddToCartRequest req, CancellationToken ct){    var cart = await _carts.GetForUserAsync(_currentUser.UserId, ct);     // ❌ Mẫu ③ — không có sàn và không có trần. Quantity = -3 cho tổng âm;    //    Quantity = 2147483647 tràn int khi nhân và cũng cho tổng âm.    //    Không ai viết "quantity > 0" ra thành code, vì nó "hiển nhiên".    cart.Items.Add(new CartItem(req.ProductId, req.Quantity, req.UnitPrice));     cart.Total = cart.Items.Sum(i => i.Quantity * i.UnitPrice);    await _carts.SaveAsync(cart, ct);     return Ok(new { cartTotal = cart.Total });} [HttpPost("/api/orders/{id:long}/ship")]public async Task<IActionResult> Ship(long id, CancellationToken ct){    var order = await _orders.GetByIdAsync(id, _currentUser.UserId, ct);    if (order is null) return NotFound();     // ❌ Mẫu ① — [Authorize] đã chạy và ownership đã kiểm, nên đoạn này TRÔNG như    //    đã đủ. Nhưng không có gì kiểm đơn đã được TRẢ TIỀN: thứ tự các bước chỉ    //    tồn tại trong thứ tự mà UI gọi endpoint.    order.Status = OrderStatus.Shipped;    order.TrackingCode = await _shipping.CreateLabelAsync(order, ct);    await _orders.SaveAsync(order, ct);     return Ok(new { status = order.Status, trackingCode = order.TrackingCode });}

app.post("/api/checkout", async (req, res) => {  const { items, total } = req.body;   // ❌ Mẫu ② — total tới từ client. Server tính được nó, nên nhận nó nghĩa là  //    client quyết định số tiền bị trừ.  const charge = await stripe.charges.create({ amount: total, currency: "vnd" });   const order = await db.orders.create({ userId: req.user.id, items, total });   // ❌ Mẫu ① — không có gì kiểm charge đã thành công. charge.status có thể là  //    "pending" hoặc "failed", và đơn vẫn sang Paid.  await db.orders.update(order.id, { status: "paid" });   return res.json({ orderId: order.id });});

public class CheckoutLogicTests : IClassFixture<ApiFixture>{    private readonly ApiFixture _fx;     public CheckoutLogicTests(ApiFixture fx) => _fx = fx;     /// <summary>    /// Mẫu ② — tin dữ liệu client. Test gửi unitPrice VÀO BODY dù DTO không có    /// trường đó: nếu ai đó thêm nó lại trong một lần refactor, test này đỏ.    ///    /// Khẳng định là GIÁ THẬT, không phải mã trạng thái: một bản vá trả 400 cũng    /// pass "Assert.BadRequest", nhưng chỉ bản vá đúng làm tổng bằng giá catalogue.    /// </summary>    [Fact]    public async Task Client_supplied_price_is_ignored_entirely()    {        await _fx.SeedProductAsync("iphone-16-pro", price: 32_000_000m);         var res = await _fx.ClientAs(_fx.Bob).PostAsJsonAsync("/api/cart/items", new        {            productId = "iphone-16-pro",            quantity = 1,            unitPrice = 1,          // trường không có trong DTO — cố tình gửi        });         res.EnsureSuccessStatusCode();        var cart = await res.Content.ReadFromJsonAsync<CartDto>();        Assert.Equal(32_000_000m, cart!.CartTotal);   // giá catalogue, không phải 1    }     /// <summary>    /// Mẫu ③ — miền giá trị. Cả sàn và TRẦN, và trần là nửa hay bị bỏ:    /// int.MaxValue tràn khi nhân và cho ra tổng âm mà không cần số âm nào.    /// </summary>    [Theory]    [InlineData(-3)]    [InlineData(0)]    [InlineData(101)]    [InlineData(int.MaxValue)]    public async Task Quantity_outside_its_domain_is_rejected(int quantity)    {        await _fx.SeedProductAsync("airpods", price: 2_990_000m);         var res = await _fx.ClientAs(_fx.Bob).PostAsJsonAsync("/api/cart/items", new        {            productId = "airpods", quantity,        });         Assert.Equal(HttpStatusCode.UnprocessableEntity, res.StatusCode);         // Và khẳng định thật sự quan trọng: giỏ hàng KHÔNG bị chạm tới. Một bản vá        // trả 400 sau khi đã ghi vào DB vẫn pass mọi khẳng định về status code.        var cart = await _fx.GetCartAsync(_fx.Bob);        Assert.Empty(cart.Items);        Assert.Equal(0m, cart.Total);    }     /// <summary>    /// Mẫu ① — bỏ bước. Bảng ĐẦY ĐỦ, không phải vài trường hợp: với N trạng thái và    /// M hành động, phủ hết N×M là cách duy nhất bắt được ô mà không ai nghĩ tới —    /// và "ô không ai nghĩ tới" chính là định nghĩa của mẫu này.    /// </summary>    [Theory]    [InlineData(OrderStatus.Draft,            "ship",   false)]    [InlineData(OrderStatus.AwaitingPayment,  "ship",   false)]    [InlineData(OrderStatus.Paid,             "ship",   true)]    [InlineData(OrderStatus.Shipped,          "ship",   false)]   // không giao hai lần    [InlineData(OrderStatus.Cancelled,        "ship",   false)]    [InlineData(OrderStatus.Refunded,         "ship",   false)]    [InlineData(OrderStatus.Draft,            "refund", false)]    [InlineData(OrderStatus.Paid,             "refund", true)]    [InlineData(OrderStatus.Refunded,         "refund", false)]   // không hoàn hai lần    public async Task Only_legal_transitions_are_accepted(        OrderStatus from, string action, bool shouldSucceed)    {        var order = await _fx.SeedOrderInStateAsync(_fx.Bob, from);         var res = await _fx.ClientAs(_fx.Bob).PostAsync($"/api/orders/{order.Id}/{action}", null);         if (shouldSucceed)            res.EnsureSuccessStatusCode();        else        {            Assert.Equal(HttpStatusCode.UnprocessableEntity, res.StatusCode);            // Trạng thái KHÔNG đổi — đây là khẳng định về nghiệp vụ, không về HTTP.            Assert.Equal(from, (await _fx.GetOrderAsync(order.Id)).Status);        }    }     /// <summary>    /// Mẫu ⑤ — giả định ngầm. Đây là test khó nghĩ ra nhất và đáng giá nhất: nó đi    /// đúng chuỗi thao tác hợp lệ mà không ai dự tính, và mọi request trong đó đều 200.    /// </summary>    [Fact]    public async Task Editing_the_cart_after_checkout_does_not_change_the_order()    {        await _fx.SeedProductAsync("iphone-16-pro", price: 32_000_000m);        var client = _fx.ClientAs(_fx.Bob);         await client.PostAsJsonAsync("/api/cart/items", new { productId = "iphone-16-pro", quantity = 10 });        var order = await (await client.PostAsync("/api/checkout", null))            .Content.ReadFromJsonAsync<OrderDto>();         // Hợp lệ hoàn toàn: người dùng sửa giỏ hàng. Và đó là điểm — nó KHÔNG được        // ảnh hưởng tới một đơn đã checkout.        await client.PatchAsJsonAsync("/api/cart/items/1", new { quantity = 1 });         var after = await _fx.GetOrderAsync(order!.Id);        Assert.Equal(320_000_000m, after.Total);           // 10 máy, giá đã đóng băng        Assert.Equal(10, after.Lines.Single().Quantity);    }     /// <summary>    /// Mẫu ④ — lặp quá số lần. Xem topic race-conditions cho phiên bản ĐỒNG THỜI;    /// đây là phiên bản tuần tự, và nó bắt được lỗi "không ai đếm".    /// </summary>    [Fact]    public async Task Same_coupon_cannot_be_applied_twice_to_one_order()    {        var order = await _fx.SeedOrderInStateAsync(_fx.Bob, OrderStatus.Draft, total: 10_000_000m);        await _fx.SeedCouponAsync("SAVE50", percent: 50, maxUses: 1);        var client = _fx.ClientAs(_fx.Bob);         var first = await client.PostAsJsonAsync($"/api/orders/{order.Id}/coupon", new { code = "SAVE50" });        var second = await client.PostAsJsonAsync($"/api/orders/{order.Id}/coupon", new { code = "SAVE50" });         first.EnsureSuccessStatusCode();        Assert.Equal(HttpStatusCode.UnprocessableEntity, second.StatusCode);        Assert.Equal(5_000_000m, (await _fx.GetOrderAsync(order.Id)).Total);   // giảm MỘT lần    }     /// <summary>    /// Bất biến toàn cục, chạy sau mọi test khác: total của đơn luôn khớp tổng các    /// dòng. Đây là query đối soát ở lớp 2, đặt vào CI — và nó bắt được lỗi logic mà    /// không test nào ở trên nghĩ tới, vì lỗi logic không để lại exception nào.    /// </summary>    [Fact]    public async Task Order_totals_always_match_the_sum_of_their_lines()    {        var mismatched = await _fx.QueryAsync<(long Id, decimal Total, decimal Computed)>("""            SELECT o.id, o.total, sum(l.quantity * l.unit_price)              FROM core."order" o JOIN core.order_line l ON l.order_id = o.id             GROUP BY o.id, o.total            HAVING o.total <> sum(l.quantity * l.unit_price)            """);         Assert.Empty(mismatched);    }}