Information disclosure

// ── Kênh ① · Thông báo lỗi ──────────────────────────────────────────────────var app = builder.Build(); // ❌ Không có điều kiện IsDevelopment(). Một biến môi trường đặt sai ở MỘT môi//    trường là đủ, và không dòng code nào ở đây "có lỗi" nên không test nào đỏ.app.UseDeveloperExceptionPage(); app.MapControllers(); // ── Kênh ① · và cùng lỗi ở tầng handler ─────────────────────────────────────[HttpGet("/api/orders/{id:long}")]public async Task<IActionResult> Get(long id, CancellationToken ct){    try    {        return Ok(await _orders.GetByIdAsync(id, _currentUser.UserId, ct));    }    catch (Exception ex)    {        // ❌ ex.ToString() là stack trace ĐẦY ĐỦ: đường dẫn tuyệt đối trên server,        //    tên assembly, số dòng, và với lỗi Npgsql thì cả chuỗi kết nối.        return StatusCode(500, new { error = ex.ToString() });    }} // ── Kênh ⑤ · Liệt kê người dùng qua thời gian ───────────────────────────────public async Task<LoginResult> LoginAsync(string email, string password, CancellationToken ct){    var user = await _users.FindByEmailAsync(email, ct);     // ❌ TRẢ VỀ SỚM. Thông báo lỗi ở hai nhánh giống nhau từng byte, nên bản vá này    //    TRÔNG như đã đúng. Nhưng nhánh này về ngay (~50ms) còn nhánh dưới chạy    //    Argon2 (~700ms) — và 700ms là câu trả lời rõ ràng cho "email này có tài    //    khoản không".    if (user is null)        return LoginResult.Invalid;     if (!_hasher.Verify(user.PasswordHash, password))        return LoginResult.Invalid;     return LoginResult.Success(user);}

public class DisclosureTests : IClassFixture<ProductionLikeFixture>{    private readonly ProductionLikeFixture _fx;   // ASPNETCORE_ENVIRONMENT=Production     public DisclosureTests(ProductionLikeFixture fx) => _fx = fx;     /// <summary>    /// Kênh ① — phép kiểm quan trọng nhất của topic này, vì lỗi mà nó bắt được KHÔNG    /// nằm ở dòng code nào: nó nằm ở một biến môi trường đặt sai. Không có test này    /// thì không có gì đỏ khi ai đó deploy với Development ở production.    /// </summary>    [Theory]    [InlineData("/api/orders/abc")]           // sai kiểu → FormatException    [InlineData("/api/orders/99999999999999999999")]  // tràn Int64    [InlineData("/api/boom")]                 // endpoint cố tình ném lỗi    public async Task Error_responses_never_contain_internals(string path)    {        var res = await _fx.Client.GetAsync(path);        var body = await res.Content.ReadAsStringAsync();         // Dấu hiệu của stack trace và của hạ tầng. Danh sách này là DỮ LIỆU: khi ai        // đó phát hiện một dạng rò mới, họ thêm một dòng ở đây.        foreach (var leak in new[]                 {                     "at SecLab.",          // khung stack                     "/src/",               // đường dẫn tuyệt đối lúc build                     "Exception:",           // tên exception                     ".cs:line",             // số dòng                     "Npgsql",               // tên thư viện hạ tầng                     "Host=", "Password=",   // chuỗi kết nối                     "core.app_user",        // tên bảng                 })            Assert.DoesNotContain(leak, body, StringComparison.OrdinalIgnoreCase);         // Và khẳng định mặt còn lại: có traceId để tra. Một bản vá "trả chuỗi rỗng"        // cũng pass mọi khẳng định ở trên, và nó làm hệ thống không debug được.        Assert.Contains("traceId", body);    }     /// <summary>Kênh ② — header nhận diện. Một dòng cấu hình, và nó bị mất khi đổi host.</summary>    [Fact]    public async Task Response_headers_do_not_advertise_the_stack()    {        var res = await _fx.Client.GetAsync("/");         Assert.False(res.Headers.Contains("Server"));        Assert.False(res.Headers.Contains("X-Powered-By"));        Assert.False(res.Headers.Contains("X-AspNet-Version"));    }     /// <summary>Swagger ở production là danh mục đầy đủ mọi endpoint, kèm hình dạng request.</summary>    [Theory]    [InlineData("/swagger")]    [InlineData("/swagger/v1/swagger.json")]    [InlineData("/scalar")]    public async Task Api_documentation_is_not_served_in_production(string path)    {        Assert.Equal(HttpStatusCode.NotFound, (await _fx.Client.GetAsync(path)).StatusCode);    }     /// <summary>    /// Kênh ⑤ — hằng thời gian.    ///    /// So TRUNG VỊ, không so trung bình: một lần GC pause hay một lần cold start làm    /// trung bình vô nghĩa. Và ngưỡng rộng (2×) để test không nhấp nháy trên CI chậm —    /// một test nhấp nháy sẽ bị ai đó tắt đi, và lúc đó kênh rò mở lại.    /// </summary>    [Fact]    public async Task Login_timing_does_not_reveal_whether_the_account_exists()    {        await _fx.SeedUserAsync("alice@acme.com", "correct-horse-battery");         var existing = await MeasureMedianAsync("alice@acme.com", samples: 15);        var missing = await MeasureMedianAsync("no-such-user@acme.com", samples: 15);         var ratio = Math.Max(existing, missing) / Math.Min(existing, missing);         Assert.True(ratio < 2.0,            $"thời gian lệch {ratio:F1}× (tồn tại {existing:F0}ms, không tồn tại {missing:F0}ms) " +            "— nhánh không tìm thấy user đang trả về sớm");    }     /// <summary>Và nội dung cũng phải giống hệt — nửa còn lại của kênh ⑤.</summary>    [Fact]    public async Task Login_responses_are_byte_identical()    {        await _fx.SeedUserAsync("bob@acme.com", "correct-horse-battery");         var a = await PostLoginAsync("bob@acme.com", "wrong-password");        var b = await PostLoginAsync("no-such-user@acme.com", "wrong-password");         Assert.Equal(a.StatusCode, b.StatusCode);        Assert.Equal(await a.Content.ReadAsStringAsync(), await b.Content.ReadAsStringAsync());    }     /// <summary>Đăng ký không được nói email đã tồn tại — đó là một API liệt kê người dùng.</summary>    [Fact]    public async Task Registration_does_not_reveal_existing_accounts()    {        await _fx.SeedUserAsync("carol@acme.com", "x");         var existing = await PostRegisterAsync("carol@acme.com");        var fresh = await PostRegisterAsync("dave@acme.com");         Assert.Equal(HttpStatusCode.Accepted, existing.StatusCode);        Assert.Equal(HttpStatusCode.Accepted, fresh.StatusCode);        Assert.Equal(await existing.Content.ReadAsStringAsync(),                     await fresh.Content.ReadAsStringAsync());         // Sự khác nhau nằm trong THƯ gửi đi, không trong response.        Assert.Equal("password-reset-hint", _fx.LastEmailTemplateFor("carol@acme.com"));        Assert.Equal("confirm-address", _fx.LastEmailTemplateFor("dave@acme.com"));    }     private async Task<double> MeasureMedianAsync(string email, int samples)    {        var times = new List<double>(samples);        // Một lần chạy nóng để loại cold start khỏi phép đo.        await PostLoginAsync(email, "wrong");         for (var i = 0; i < samples; i++)        {            var sw = Stopwatch.StartNew();            await PostLoginAsync(email, "wrong");            times.Add(sw.Elapsed.TotalMilliseconds);        }         times.Sort();        return times[times.Count / 2];    }}