Cross-site scripting (XSS)

import DOMPurify from "dompurify"; /** * Kiểm SCHEME, không escape. Đây là chỗ mà HTML-encoding không thay thế được: * "javascript:alert(1)" không chứa <, >, & hay dấu nháy nào, nên mọi hàm escape * đều cho nó đi qua nguyên vẹn. * * Allowlist ba scheme. "data:" KHÔNG có trong danh sách: data:text/html,<script>… * là XSS đầy đủ, và "vbscript:" thì vẫn còn sống trong một số WebView. */const SAFE_SCHEMES = new Set(["http:", "https:", "mailto:"]); function safeHref(raw: string | null | undefined): string | undefined {  if (!raw) return undefined;  try {    // Base tuỳ ý để URL tương đối vẫn parse được; ta chỉ quan tâm protocol.    const url = new URL(raw, "https://placeholder.invalid");    return SAFE_SCHEMES.has(url.protocol) ? raw : undefined;  } catch {    return undefined;   // không parse được thì không render — không "cứ thử xem".  }} export function Profile({ user }: { user: User }) {  // Sanitize lúc RENDER, không lúc lưu: cùng một dữ liệu có thể được render ở  // ngữ cảnh khác về sau, và dữ liệu vào DB từ import/job/admin không đi qua  // sanitizer nào cả.  const bio = DOMPurify.sanitize(user.bioHtml, {    ALLOWED_TAGS: ["p", "br", "strong", "em", "ul", "ol", "li", "a", "code"],    ALLOWED_ATTR: ["href"],    ALLOWED_URI_REGEXP: /^https?:\/\//i,  });   const href = safeHref(user.website);   return (    <>      <h2>{user.displayName}</h2>       <div dangerouslySetInnerHTML={{ __html: bio }} />       {/* Không có href an toàn thì render text, không render link chết. */}      {href ? <a href={href} rel="noopener noreferrer">website</a> : <span>{user.website}</span>}       {/* DOM XSS: textContent thay innerHTML. Trình duyệt không parse HTML từ          textContent, nên không có ngữ cảnh nào để thoát ra. */}      <div ref={(el) => el && (el.textContent = decodeURIComponent(location.hash.slice(1)))} />    </>  );}

/// <summary>/// CSP dạng nonce. Ba quyết định ở đây đều là chỗ CSP thực tế hay làm sai://////   • nonce sinh MỖI REQUEST. Nonce dùng lại là nonce mà kẻ tấn công đọc được từ///     một response trước rồi dùng cho payload của mình.///   • KHÔNG có 'unsafe-inline'. Đặt cùng nonce thì trình duyệt cũ dùng///     unsafe-inline và bỏ nonce — nonce thành trang trí.///   • base-uri 'none'. Bị bỏ sót ở gần như mọi CSP thật: thiếu nó, một///     <base href="https://evil"> chèn được sẽ đổi đích của mọi URL tương đối./// </summary>public sealed class CspMiddleware{    private readonly RequestDelegate _next;     public CspMiddleware(RequestDelegate next) => _next = next;     public async Task InvokeAsync(HttpContext ctx)    {        var nonce = Convert.ToBase64String(RandomNumberGenerator.GetBytes(16));        ctx.Items["csp-nonce"] = nonce;   // Razor đọc lại: <script nonce="@nonce">         ctx.Response.Headers["Content-Security-Policy"] = string.Join("; ",        [            "default-src 'self'",            // 'strict-dynamic' cho script đã tin cậy nạp thêm script — không có nó            // thì mọi bundler chia chunk động đều vỡ, và người ta sẽ tắt CSP.            $"script-src 'nonce-{nonce}' 'strict-dynamic' https:",            "style-src 'self' 'unsafe-inline'",   // CSS inline không chạy được code            "img-src 'self' data: https:",            "connect-src 'self'",            "object-src 'none'",                  // chặn <object>/<embed> Flash-era            "base-uri 'none'",                    // chặn <base> injection            "frame-ancestors 'none'",             // clickjacking, cùng một header            "form-action 'self'",                 // chặn đổi đích của form đã chèn            "require-trusted-types-for 'script'", // chặn cả họ DOM XSS ở tầng API            "report-uri /api/csp-report",         // thứ DUY NHẤT cho biết đang bị thử        ]);         await _next(ctx);    }}