Clickjacking

/// <summary>/// Header chống nhúng, đặt ở MỘT chỗ cho MỌI response HTML.////// Một middleware chứ không một attribute trên từng action, và lý do giống hệt/// AutoValidateAntiforgeryToken ở topic csrf: bảo vệ theo từng endpoint là/// mặc-định-MỞ, nên action thứ 41 sẽ thiếu. Và quan trọng hơn — trang 404, trang/// lỗi 500, và các redirect trung gian KHÔNG đi qua action nào cả, nhưng chúng vẫn/// là trang nhúng được.////// Đặt cả ở đây VÀ ở reverse proxy: app phải tự bảo vệ được khi có ngày nó được/// deploy sau một proxy khác, hoặc chạy trực tiếp trong một môi trường test./// </summary>public sealed class FrameProtectionMiddleware(RequestDelegate next){    public async Task InvokeAsync(HttpContext ctx)    {        // OnStarting, không đặt trực tiếp: đặt trực tiếp ở đây thì response đã bắt        // đầu ghi (một trang lỗi, một stream) sẽ ném InvalidOperationException, và        // lúc đó middleware thành nguyên nhân của một sự cố thay vì một bản vá.        ctx.Response.OnStarting(() =>        {            var h = ctx.Response.Headers;             // frame-ancestors là chuẩn hiện tại và nó THẮNG khi cả hai có mặt.            // 'none' là mặc định nên chọn: không ai nhúng được, kể cả chính ta.            //            // Nếu có nhu cầu nhúng thật (partner, widget): liệt kê tường minh ở đây.            // Đây là chỗ X-Frame-Options không làm được — ALLOW-FROM chưa bao giờ            // được Chrome hỗ trợ, và đó là lý do người ta BỎ header đi thay vì            // chuyển sang CSP.            h.Append("Content-Security-Policy", "frame-ancestors 'none'");             // X-Frame-Options vẫn cần: trình duyệt cũ và một số WebView không hiểu            // CSP. Hai header không xung đột — cái nào hiểu được thì áp cái đó.            h["X-Frame-Options"] = "DENY";             return Task.CompletedTask;        });         await next(ctx);    }} // Program.cs — đặt SỚM trong pipeline để nó phủ cả trang lỗi do các middleware// sau ném ra. Đặt sau UseExceptionHandler thì đúng trang lỗi lại không có header.app.UseMiddleware<FrameProtectionMiddleware>();app.UseExceptionHandler("/error");app.UseStaticFiles();app.MapControllers(); // ── Lớp 1b · phá "một cú bấm" cho hành động không hồi phục được ─────────────/// <summary>/// Bản vá này không phụ thuộc header, nên nó là bản vá duy nhất còn đứng khi header/// bị một reverse proxy gỡ đi, hoặc khi trang nạp trong một WebView bỏ qua CSP.////// Clickjacking điều khiển được CON TRỎ, không điều khiển được BÀN PHÍM. Nên yêu/// cầu gõ một thứ là biện pháp trực tiếp — và nó chỉ áp cho hành động không hồi/// phục được hoặc cấp quyền, không áp cho mọi nút: mỗi bước xác nhận là ma sát./// </summary>public record DeleteAccountRequest(string CurrentPassword, string ConfirmPhrase); [HttpDelete("/api/account")]public async Task<IActionResult> DeleteAccount(    [FromBody] DeleteAccountRequest req, CancellationToken ct){    var user = await _users.GetAsync(_currentUser.UserId, ct)        ?? throw new NotFoundException(IdentityErrorsList.USER_NOT_FOUND);     if (!_hasher.Verify(user.PasswordHash, req.CurrentPassword))        throw new ApplicationGeneralException(IdentityErrorsList.INVALID_PASSWORD);     // Mẫu của GitHub: gõ một chuỗi cụ thể. Nó đòi bàn phím, nên một cú bấm bị    // hijack không đi tới được đây.    if (req.ConfirmPhrase != user.Handle)        throw new ApplicationGeneralException(IdentityErrorsList.CONFIRMATION_MISMATCH,            "Type your handle to confirm deletion");     await _users.SoftDeleteAsync(user.Id, ct);    return NoContent();}

# ── nginx ───────────────────────────────────────────────────────────────────# Đặt ở CẢ HAI chỗ (app và proxy), không phải chọn một. Proxy phủ được trang lỗi do# chính nginx sinh ra (502, 504) — những trang mà app không bao giờ chạm tới. Và app# phủ được trường hợp nó được deploy sau một proxy khác, hoặc chạy trực tiếp.nginx: |  server {      listen 443 ssl http2;      server_name app.example;       # always là phần quyết định: không có nó, add_header BỎ QUA mọi response      # 4xx/5xx — và trang lỗi nhúng được vẫn là một trang nhúng được.      add_header Content-Security-Policy "frame-ancestors 'none'" always;      add_header X-Frame-Options "DENY" always;       location / {          proxy_pass http://app:5100;           # KHÔNG dùng proxy_hide_header cho hai header này: nếu app cũng đặt chúng          # thì có hai giá trị, và trình duyệt lấy giá trị NGHIÊM NGẶT hơn với          # frame-ancestors. Trùng lặp ở đây là an toàn, không phải một lỗi.      }  } # ── Trường hợp có partner nhúng thật ───────────────────────────────────────# Đây là chỗ X-Frame-Options KHÔNG làm được: ALLOW-FROM chưa bao giờ được Chrome# hỗ trợ. Nên khi có nhu cầu nhúng thật, cách đúng là liệt kê trong frame-ancestors# và BỎ X-Frame-Options cho đúng những route đó — không phải bỏ cả hai header.partner_embed: |  # Chỉ áp cho route được nhúng, không áp toàn site.  location /embed/ {      add_header Content-Security-Policy          "frame-ancestors https://partner.example https://app.example" always;      # X-Frame-Options cố tình KHÔNG đặt ở đây: DENY sẽ chặn partner, và      # SAMEORIGIN cũng vậy. Trình duyệt cũ không nhúng được — chấp nhận được,      # vì phương án khác là bỏ bảo vệ cho toàn bộ site.      proxy_pass http://app:5100;  } # ── Kiểm sau mỗi deploy ────────────────────────────────────────────────────verify: |  B=https://app.example  FAIL=0  # /not-a-real-page và /error trong danh sách là có ý: chúng đi đường khác và  # thường là chỗ duy nhất còn thiếu header.  for p in / /login /settings /settings/danger /oauth/authorize /not-a-real-page /error; do    H=$(curl -sI "$B$p" | tr -d '\r')    echo "$H" | grep -qiE 'content-security-policy:.*frame-ancestors' \      || { echo "THIẾU frame-ancestors: $p"; FAIL=1; }    echo "$H" | grep -qi 'x-frame-options' \      || echo "  (cảnh báo) thiếu X-Frame-Options: $p"  done  exit $FAIL