CORS misconfiguration

// ── ① Phản chiếu Origin. Dạng phổ biến nhất, và là lỗ hổng đầy đủ ───────────builder.Services.AddCors(o => o.AddPolicy("api", p => p    // ❌ SetIsOriginAllowed(_ => true) là "phản chiếu mọi origin". Cộng    //    AllowCredentials() nghĩa là MỌI trang web trên Internet đọc được dữ liệu    //    đã xác thực của người dùng bạn, bằng chính phiên của họ.    //    //    Người ta viết dòng này để SPA ở localhost gọi được API staging.    .SetIsOriginAllowed(_ => true)    .AllowAnyHeader()    .AllowAnyMethod()    .AllowCredentials())); // ── ② "Kiểm domain" — và bảng ở khối 3 cho thấy nó không đủ ────────────────builder.Services.AddCors(o => o.AddPolicy("api", p => p    .SetIsOriginAllowed(origin =>        // ❌ Thiếu ranh giới: "https://evil-example.com".EndsWith(".example.com")        //    là FALSE... nhưng "https://evil.example.com" là TRUE, và bất kỳ ai        //    tạo được một subdomain đều đọc được dữ liệu. Với dịch vụ có        //    "*.example.com" cho khách hàng thì đây là lỗ hổng ngay.        origin.EndsWith(".example.com", StringComparison.OrdinalIgnoreCase)        || origin == "null")            // ❌ null tới từ iframe sandbox    .AllowCredentials())); // ── ③ Tự viết middleware — và nó thiếu Vary ────────────────────────────────app.Use(async (ctx, next) =>{    var origin = ctx.Request.Headers.Origin.FirstOrDefault();    if (origin is not null && Allowed.Contains(origin))    {        ctx.Response.Headers["Access-Control-Allow-Origin"] = origin;        ctx.Response.Headers["Access-Control-Allow-Credentials"] = "true";        // ❌ Thiếu Vary: Origin. Allowlist ĐÚNG, phép so ĐÚNG, và vẫn rò: CDN ở        //    trước cache response này (kèm Allow-Origin của app.example.com) rồi        //    trả nó cho một request từ origin khác. Không test nào ở tầng ứng dụng        //    thấy được, vì lỗi chỉ tồn tại khi có cache trung gian.    }    await next();});

import cors from "cors"; app.use(cors({  // ❌ origin: true KHÔNG phải "cho phép origin của tôi" — nó là "phản chiếu Origin  //    của request". Cộng credentials: true nghĩa là mọi trang web đọc được dữ liệu  //    đã xác thực. Đây là hai dòng, và chúng là một lỗ hổng đầy đủ.  origin: true,  credentials: true,})); // Và biến thể "kiểm domain" cũng sai theo đúng bảng ở khối 3:app.use(cors({  origin: (o, cb) => cb(null, !!o && o.endsWith(".example.com")),  credentials: true,}));

public class CorsTests : IClassFixture<ProductionLikeFixture>{    private readonly ProductionLikeFixture _fx;   // allowlist = https://app.example.com     public CorsTests(ProductionLikeFixture fx) => _fx = fx;     /// <summary>    /// Mỗi dòng là một hàng của bảng phép so sai ở khối 3. Đặt chúng thành DỮ LIỆU    /// test là toàn bộ khác biệt: khi ai đó tìm ra cách viết thứ tám, họ thêm một    /// dòng ở đây thay vì sửa một điều kiện trong code sản phẩm.    /// </summary>    [Theory]    [InlineData("https://evil.example")]                    // origin hoàn toàn khác    [InlineData("https://evil-example.com")]                // EndsWith thiếu ranh giới    [InlineData("https://notapp.example.com")]              // cùng lỗi    [InlineData("https://app.example.com.evil.com")]        // StartsWith không neo cuối    [InlineData("https://evil.com/?x=app.example.com")]     // Contains không neo hai đầu    [InlineData("https://a.b.app.example.com")]             // regex subdomain quá rộng    [InlineData("http://app.example.com")]                  // đúng host, SAI scheme    [InlineData("https://APP.EXAMPLE.COM")]                 // khác chữ hoa thường    [InlineData("null")]                                     // iframe sandbox / data:    [InlineData("http://localhost:3000")]                    // cấu hình dev rò sang    public async Task Disallowed_origin_gets_no_allow_header(string origin)    {        var req = new HttpRequestMessage(HttpMethod.Get, "/api/me");        req.Headers.Add("Origin", origin);         var res = await _fx.Client.SendAsync(req);         // Khẳng định là header KHÔNG CÓ, không phải request bị 403: CORS không chặn        // request, nó chỉ không cấp phép đọc response. Một test kiểm status code sẽ        // xanh trên cả cấu hình sai.        Assert.False(res.Headers.Contains("Access-Control-Allow-Origin"),            $"origin {origin} được cấp phép đọc response");    }     [Fact]    public async Task Allowed_origin_gets_the_header_and_vary()    {        var req = new HttpRequestMessage(HttpMethod.Get, "/api/me");        req.Headers.Add("Origin", "https://app.example.com");         var res = await _fx.Client.SendAsync(req);         Assert.Equal("https://app.example.com",            res.Headers.GetValues("Access-Control-Allow-Origin").Single());         // Vary: Origin. Đây là khẳng định bắt được lớp lỗi mà cả allowlist đúng lẫn        // phép so đúng vẫn có: thiếu nó thì một CDN ở trước cache response này rồi        // trả nó cho một origin khác. Tự viết middleware CORS là lúc dòng này biến mất.        Assert.Contains("Origin", res.Headers.Vary, StringComparer.OrdinalIgnoreCase);    }     /// <summary>    /// Preflight kiểm RIÊNG. Một OPTIONS cấu hình sai trong khi GET đúng vẫn là lỗ,    /// vì preflight là chỗ trình duyệt hỏi TRƯỚC — nếu nó nói được thì trình duyệt    /// không hỏi lại nữa.    /// </summary>    [Fact]    public async Task Preflight_from_a_disallowed_origin_is_not_approved()    {        var req = new HttpRequestMessage(HttpMethod.Options, "/api/me");        req.Headers.Add("Origin", "https://canary.invalid");        req.Headers.Add("Access-Control-Request-Method", "DELETE");        req.Headers.Add("Access-Control-Request-Headers", "authorization");         var res = await _fx.Client.SendAsync(req);         Assert.False(res.Headers.Contains("Access-Control-Allow-Origin"));    }     /// <summary>Origin đúng vẫn không được cấp mọi method và mọi header.</summary>    [Fact]    public async Task Preflight_narrows_methods_and_headers()    {        var req = new HttpRequestMessage(HttpMethod.Options, "/api/me");        req.Headers.Add("Origin", "https://app.example.com");        req.Headers.Add("Access-Control-Request-Method", "GET");         var res = await _fx.Client.SendAsync(req);         var methods = res.Headers.GetValues("Access-Control-Allow-Methods").Single();        Assert.DoesNotContain("*", methods);        Assert.DoesNotContain("TRACE", methods, StringComparison.OrdinalIgnoreCase);         var headers = res.Headers.GetValues("Access-Control-Allow-Headers").Single();        Assert.DoesNotContain("*", headers);    }     /// <summary>    /// Cấu hình fail NHANH khi sai hình dạng. Một allowlist chứa localhost ở    /// production, hay một origin thiếu scheme, phải làm app không khởi động được —    /// vì cả hai đều là lỗ hổng và cả hai đều không có triệu chứng nào khác.    /// </summary>    [Theory]    [InlineData("app.example.com")]              // thiếu scheme    [InlineData("http://app.example.com")]       // không https ở production    [InlineData("https://app.example.com/api")]  // có path    [InlineData("http://localhost:3000")]        // localhost ở production    public void Invalid_production_origin_fails_startup(string origin)    {        var config = new ConfigurationBuilder()            .AddInMemoryCollection([new("Cors:AllowedOrigins:0", origin)])            .Build();         Assert.Throws<InvalidOperationException>(            () => new ServiceCollection().AddSecLabCors(config, ProductionEnvironment));    }}