Content Security Policy

/// <summary>/// CSP dạng nonce. Đây là hình dạng DUY NHẤT đáng triển khai, theo kết luận của/// nghiên cứu Google ở khối 5: allowlist domain thất bại ở quy mô thật, vì bạn không/// kiểm soát được nội dung của một domain bạn cho phép.////// Nonce đổi câu hỏi: allowlist hỏi "script này đến từ đâu", nonce hỏi "SERVER CỦA/// TÔI có sinh ra thẻ này không". Kẻ tấn công chèn được HTML nhưng không biết nonce./// </summary>public sealed class CspMiddleware(RequestDelegate next){    /// <summary>Khoá để Razor/view đọc lại nonce và gắn vào thẻ script.</summary>    public const string NonceKey = "csp-nonce";     public async Task InvokeAsync(HttpContext ctx)    {        // 16 byte từ CSPRNG, base64url. Sinh MỖI request: một nonce dùng lại là một        // nonce kẻ tấn công đọc được từ response trước rồi dùng cho payload của họ.        var nonce = WebEncoders.Base64UrlEncode(RandomNumberGenerator.GetBytes(16));        ctx.Items[NonceKey] = nonce;         var policy = string.Join("; ",        [            // default-src 'none', KHÔNG 'self': mọi loại tài nguyên đóng theo mặc            // định rồi mở từng cái. Chiều này quan trọng — với 'self', một loại tài            // nguyên mới trong chuẩn CSP tương lai sẽ mặc định được phép.            "default-src 'none'",             // KHÔNG có unsafe-inline. Đặt cùng nonce thì trình duyệt cũ dùng            // unsafe-inline và bỏ nonce.            //            // strict-dynamic để bundler chia chunk động vẫn chạy — thiếu nó thì CSP            // vỡ ở lần build sau và người ta TẮT nó, đó là nguyên nhân thật của phần            // lớn trường hợp CSP bị bỏ. https: là fallback cho trình duyệt không            // hiểu strict-dynamic; trình duyệt hiểu nó thì bỏ qua https:.            $"script-src 'nonce-{nonce}' 'strict-dynamic' https:",             // CSS inline không chạy được code, nên unsafe-inline ở đây là đánh đổi            // chấp nhận được — và style-src nonce làm vỡ gần như mọi CSS-in-JS.            "style-src 'self' 'unsafe-inline'",            "img-src 'self' data: https:",            "font-src 'self'",            "connect-src 'self'",             // ── Bốn chỉ thị mà gần như mọi CSP thực tế đều thiếu ────────────────            // <object>/<embed> chạy được code, và default-src không phủ chúng ở            // một số trình duyệt.            "object-src 'none'",             // Chỉ thị bị bỏ NHIỀU NHẤT, và là chỉ thị vòng qua được cả nonce:            // <base href="https://evil/"> làm <script nonce="..." src="/app.js">            // nạp từ domain kẻ tấn công — nonce vẫn khớp, code là của họ.            // Nếu chỉ thêm được một dòng vào một CSP đang có, thêm dòng này.            "base-uri 'none'",             // Không có nó, CSP chặn script nhưng một <form action="https://evil">            // đã chèn vẫn gửi dữ liệu người dùng vừa gõ ra ngoài.            "form-action 'self'",             // Clickjacking, cùng một header — xem topic clickjacking.            "frame-ancestors 'none'",             // Đóng cả họ DOM XSS ở TẦNG API: innerHTML không nhận chuỗi thô nữa,            // nó đòi một TrustedHTML. Biện pháp duy nhất ở đây tác động vào nguyên            // nhân của DOM XSS thay vì vào từng chỗ gọi.            "require-trusted-types-for 'script'",             // GIỮ sau khi cưỡng chế. Mỗi report là một trong hai thứ: một trang bị            // vỡ (bug của ta) hoặc MỘT LẦN XSS BỊ CHẶN. Đây là thứ British Airways            // thiếu trong 15 ngày.            "report-uri /api/csp-report",        ]);         ctx.Response.Headers["Content-Security-Policy"] = policy;         // Mẫu để đổi policy về sau mà không có cửa sổ không được bảo vệ: chạy        // Report-Only với policy MỚI song song với cưỡng chế policy CŨ. Hai header        // cùng lúc là hợp lệ.        // ctx.Response.Headers["Content-Security-Policy-Report-Only"] = nextPolicy;         await next(ctx);    }} // Program.cs — đặt SỚM để phủ cả trang lỗi do middleware sau ném ra.app.UseMiddleware<CspMiddleware>();app.UseExceptionHandler("/error"); // ── Razor: gắn nonce vào thẻ script ────────────────────────────────────────// @{ var nonce = (string)Context.Items[CspMiddleware.NonceKey]!; }// <script nonce="@nonce" src="~/js/app.js"></script>//// Không còn onclick= nào trong HTML, và không còn <script> nào không có nonce.// Đây là công việc thật của việc triển khai CSP — thường vài ngày cho một app cỡ// trung, và là lý do phần lớn dự án dừng ở unsafe-inline. // ── Nhận báo cáo ───────────────────────────────────────────────────────────[HttpPost("/api/csp-report")][AllowAnonymous][EnableRateLimiting("csp-report")]public async Task<IActionResult> Report(CancellationToken ct){    using var doc = await JsonDocument.ParseAsync(Request.Body, cancellationToken: ct);    var r = doc.RootElement.GetProperty("csp-report");    var blocked = r.TryGetProperty("blocked-uri", out var b) ? b.GetString() ?? "" : "";     // Lọc nhiễu từ extension: nếu không, chúng chiếm hơn 90% report và làm cả    // dashboard vô dụng — rồi không ai xem nó nữa.    if (blocked.StartsWith("chrome-extension:") || blocked.StartsWith("moz-extension:")        || blocked.StartsWith("safari-extension:"))        return NoContent();     _log.LogWarning("Vi phạm CSP: {Directive} chặn {Blocked} trên {Document}",        r.TryGetProperty("violated-directive", out var d) ? d.GetString() : "?",        blocked,        r.TryGetProperty("document-uri", out var u) ? u.GetString() : "?");     return NoContent();}

// middleware.ts — Next.js App Routerimport { NextResponse, type NextRequest } from "next/server"; export function middleware(req: NextRequest) {  // Sinh MỖI request. Web Crypto vì middleware chạy ở Edge runtime, không có  // node:crypto — và crypto.randomUUID() thì entropy thấp hơn 16 byte thô.  const bytes = new Uint8Array(16);  crypto.getRandomValues(bytes);  const nonce = btoa(String.fromCharCode(...bytes)).replace(/\+/g, "-").replace(/\//g, "_").replace(/=/g, "");   const csp = [    "default-src 'none'",    // KHÔNG unsafe-inline. strict-dynamic là dòng làm CSP sống được với chunk động    // của Next — thiếu nó thì mọi route mới nạp bị chặn và người ta tắt CSP.    "script-src 'nonce-" + nonce + "' 'strict-dynamic' https:",    "style-src 'self' 'unsafe-inline'",    "img-src 'self' data: https:",    "font-src 'self'",    "connect-src 'self'",    // Bốn chỉ thị hay bị bỏ. base-uri là cái vòng qua được cả nonce.    "object-src 'none'",    "base-uri 'none'",    "form-action 'self'",    "frame-ancestors 'none'",    "report-uri /api/csp-report",  ].join("; ");   // Truyền nonce xuống bằng REQUEST header: Next đọc x-nonce và tự gắn nó vào mọi  // thẻ script nó sinh ra. Đây là mảnh mà bản lỗi thiếu — nonce trong response  // header mà script không có nonce thì trang vỡ, và người ta thêm unsafe-inline.  const headers = new Headers(req.headers);  headers.set("x-nonce", nonce);   const res = NextResponse.next({ request: { headers } });  res.headers.set("Content-Security-Policy", csp);  return res;} // Áp cho mọi route TRỪ tài nguyên tĩnh: _next/static không cần CSP và thêm header// vào đó chỉ làm tăng kích thước mỗi response.export const config = {  matcher: ["/((?!_next/static|_next/image|favicon.ico).*)"],}; // ── Dùng nonce trong layout ────────────────────────────────────────────────// import { headers } from "next/headers";//// export default async function RootLayout({ children }) {//   const nonce = (await headers()).get("x-nonce") ?? undefined;//   return (//     <html>//       <body>//         {children}//         {/* Mọi script tự viết phải mang nonce. Script của Next tự có nhờ x-nonce. */}//         <Script nonce={nonce} src="/js/analytics.js" strategy="afterInteractive" />//       </body>//     </html>//   );// }