CSRF

// Program.csbuilder.Services.AddAuthentication().AddCookie(o =>{    // ❌ None vì "widget nhúng cần nó". Quyết định có lý do nghiệp vụ thật, nhưng nó    //    xoá mặc định Lax của trình duyệt — và không có token CSRF nào thay vào,    //    nên CSRF cổ điển sống lại nguyên vẹn.    o.Cookie.SameSite = SameSiteMode.None;    o.Cookie.SecurePolicy = CookieSecurePolicy.Always;    o.Cookie.Name = "session";        // ❌ không có tiền tố __Host-}); // ❌ Không có AutoValidateAntiforgeryToken ở global. Bảo vệ theo từng endpoint là//    mặc-định-MỞ, nên endpoint thứ 41 sẽ thiếu. [HttpPost("/api/account/email")]public async Task<IActionResult> ChangeEmail([FromBody] ChangeEmailRequest req, CancellationToken ct){    // ❌ Không token CSRF, không kiểm Origin, và không yêu cầu mật khẩu hiện tại.    //    Một form tự submit từ evil.example là đủ để đổi email — rồi "quên mật khẩu"    //    trên địa chỉ mới là account takeover.    var user = await _users.GetAsync(_currentUser.UserId, ct);    user.ChangeEmail(req.Email, DateTime.UtcNow);    await _users.SaveAsync(user, ct);     // ❌ Và xác nhận gửi tới địa chỉ MỚI: kẻ tấn công tự xác nhận thay đổi của mình.    await _mail.SendConfirmationAsync(req.Email, ct);     return Ok();} // ❌ GET có tác dụng phụ. SameSite=Lax CHO ĐI QUA (navigation cấp cao), và mọi//    antiforgery filter đều BỎ QUA GET theo thiết kế — nên không lớp nào bảo vệ nó.//    Endpoint này gần như luôn tồn tại vì một link trong email.[HttpGet("/api/account/delete")]public async Task<IActionResult> Delete([FromQuery] string confirm, CancellationToken ct){    if (confirm == "yes")        await _users.SoftDeleteAsync(_currentUser.UserId, ct);    return Ok();}

// Express + double-submit cookieapp.use((req, res, next) => {  if (["POST", "PUT", "PATCH", "DELETE"].includes(req.method)) {    const fromCookie = req.cookies["csrf"];    const fromHeader = req.get("X-CSRF-Token");     // ❌ Phép so ĐÚNG, và bản vá vẫn vô nghĩa. Cookie tên "csrf" không có tiền tố    //    __Host-, nên một subdomain (usercontent.example, hay một subdomain bị chiếm)    //    đặt được cookie đó với Domain=.example — rồi nó biết giá trị và copy sang    //    header. Hai bên khớp, và request đi qua.    if (!fromCookie || fromCookie !== fromHeader) {      return res.status(403).json({ error: "csrf" });    }  }  next();});

public class CsrfTests : IClassFixture<ApiFixture>{    private readonly ApiFixture _fx;     public CsrfTests(ApiFixture fx) => _fx = fx;     /// <summary>    /// Phép kiểm quan trọng nhất của topic này, và nó là một phép ĐẾM chứ không phải    /// một phép thử: liệt kê MỌI endpoint không an toàn và khẳng định từng cái có    /// antiforgery. Một endpoint mới thêm tuần sau tự động nằm trong phạm vi.    ///    /// Cùng kỹ thuật với AuthzCoverage ở topic access-control, và cùng lý do: CSRF là    /// lỗi của việc THIẾU một thứ, nên code review không thấy nó — không ai nhận ra    /// một attribute không có mặt trong diff.    /// </summary>    [Fact]    public void Every_unsafe_endpoint_has_antiforgery()    {        string[] unsafeMethods = ["POST", "PUT", "PATCH", "DELETE"];         var unprotected = _fx.Services.GetRequiredService<EndpointDataSource>().Endpoints            .OfType<RouteEndpoint>()            .Where(e => e.Metadata.GetMetadata<HttpMethodMetadata>()?.HttpMethods                         .Any(unsafeMethods.Contains) == true)            // Endpoint dùng bearer token thì không có CSRF — trình duyệt không tự gửi            // Authorization header. Miễn tường minh, và danh sách miễn phải ngắn.            .Where(e => e.Metadata.GetMetadata<BearerOnlyAttribute>() is null)            .Where(e => e.Metadata.GetMetadata<IAntiforgeryMetadata>() is null or { RequiresValidation: false })            .Select(e => e.RoutePattern.RawText)            .ToList();         Assert.Empty(unprotected);    }     /// <summary>    /// GET phải AN TOÀN theo nghĩa RFC 9110. Test này bắt lỗ mà không lớp nào bảo vệ:    /// Lax cho GET đi qua, và antiforgery bỏ qua GET theo thiết kế.    /// </summary>    [Fact]    public void No_get_endpoint_has_a_side_effecting_name()    {        string[] verbs = ["Delete", "Remove", "Cancel", "Approve", "Confirm", "Reset", "Send", "Revoke", "Disable"];         var suspicious = _fx.Services.GetRequiredService<EndpointDataSource>().Endpoints            .OfType<RouteEndpoint>()            .Where(e => e.Metadata.GetMetadata<HttpMethodMetadata>()?.HttpMethods.Contains("GET") == true)            .Where(e => verbs.Any(v => e.DisplayName?.Contains(v, StringComparison.OrdinalIgnoreCase) == true))            .Select(e => e.DisplayName)            .ToList();         Assert.Empty(suspicious);    }     [Fact]    public async Task Post_without_csrf_token_is_rejected()    {        var client = await _fx.SignedInClientWithoutCsrfAsync(_fx.Bob);         var res = await client.PostAsJsonAsync("/api/account/email",            new { email = "attacker@evil.example", currentPassword = "correct-horse" });         Assert.Equal(HttpStatusCode.BadRequest, res.StatusCode);         // Khẳng định ở TẦNG DỮ LIỆU: một 400 sau khi đã ghi vẫn pass khẳng định về        // status code, và đó là loại bản vá nửa vời cần bắt.        Assert.Equal(_fx.Bob.Email, (await _fx.GetUserFromDbAsync(_fx.Bob.Id)).Email);    }     /// <summary>Lớp 2 — Sec-Fetch-Site: cross-site bị chặn dù token có hợp lệ.</summary>    [Fact]    public async Task Cross_site_request_is_rejected_even_with_a_valid_token()    {        var (client, token) = await _fx.SignedInClientWithCsrfAsync(_fx.Bob);        var req = new HttpRequestMessage(HttpMethod.Post, "/api/account/email")        {            Content = JsonContent.Create(new { email = "attacker@evil.example", currentPassword = "correct-horse" }),        };        req.Headers.Add("X-CSRF-Token", token);        req.Headers.Add("Sec-Fetch-Site", "cross-site");         Assert.Equal(HttpStatusCode.Forbidden, (await client.SendAsync(req)).StatusCode);    }     /// <summary>Thiếu header thì KHÔNG chặn — trình duyệt cũ không gửi nó.</summary>    [Fact]    public async Task Missing_fetch_metadata_falls_back_to_the_token()    {        var (client, token) = await _fx.SignedInClientWithCsrfAsync(_fx.Bob);        var req = new HttpRequestMessage(HttpMethod.Post, "/api/account/email")        {            Content = JsonContent.Create(new { email = "new@acme.com", currentPassword = "correct-horse" }),        };        req.Headers.Add("X-CSRF-Token", token);   // không có Sec-Fetch-Site         Assert.Equal(HttpStatusCode.Accepted, (await client.SendAsync(req)).StatusCode);    }     /// <summary>    /// Cấu hình cookie sống trong Program.cs, nên nó bị đổi trong một lần deploy mà    /// không test nào đỏ. Test này là thứ làm nó đỏ — kể cả tiền tố __Host-, thứ mà    /// không có nó thì double-submit vòng qua được từ một subdomain.    /// </summary>    [Fact]    public async Task Session_and_csrf_cookies_have_the_required_attributes()    {        var res = await _fx.Client.PostAsJsonAsync("/api/auth/login",            new { email = _fx.Bob.Email, password = "correct-horse" });         var cookies = res.Headers.GetValues("Set-Cookie").ToList();         var session = Assert.Single(cookies, c => c.Contains("session"));        Assert.Contains("__Host-", session);        Assert.Contains("HttpOnly", session, StringComparison.OrdinalIgnoreCase);        Assert.Contains("Secure", session, StringComparison.OrdinalIgnoreCase);        Assert.Contains("SameSite=Lax", session, StringComparison.OrdinalIgnoreCase);         var csrf = Assert.Single(cookies, c => c.Contains("csrf"));        Assert.Contains("__Host-", csrf);        // Và cookie CSRF cố ý KHÔNG HttpOnly — client phải đọc được để copy sang header.        Assert.DoesNotContain("HttpOnly", csrf, StringComparison.OrdinalIgnoreCase);    }}