Perform Security Review for Endpoint
Checklist bảo mật khi thiết kế hoặc review API endpoint. Xuất report dạng PASS/FAIL cho từng mục.
@Valid và Bean Validation annotations.@Query với binding.@PreAuthorizeSecurityContext), KHÔNG từ request body hay path param.ownerId — user A không được đọc/sửa data của user B.ROLE_ARTIST mới được upload track).password, passwordHash, internal UUID không cần thiết, stackTrace.SELECT theo mặc định — dùng @JsonIgnore hoặc projection riêng.show_sql hoặc p6spy.Khi review xong, xuất report theo format sau:
| # | Check | Status | Notes |
|---|---|---|---|
| 1 | Input validation | ✅ PASS / ❌ FAIL | |
| 2 | No SQL injection | ✅ PASS / ❌ FAIL | |
| 3 | JWT claims only | ✅ PASS / ❌ FAIL | |
| 4 | Ownership check | ✅ PASS / ❌ FAIL | |
| 5 | No sensitive leak | ✅ PASS / ❌ FAIL | |
| 6 | Pagination / rate limit | ✅ PASS / ❌ FAIL | |
| 7 | Sensitive data in logs | ✅ PASS / ❌ FAIL | |
| 8 | Kafka safe (if applicable) | ✅ PASS / ❌ FAIL | N/A nếu không có |
Overall: ✅ PASS / ❌ FAIL — [summary ngắn nếu có FAIL]35:["$","$L3b",null,{"content":"$3c","frontMatter":{"name":"security-review","description":"Perform Security Review for Endpoint"}}]