// === Spring Security — CSRF + XSS + ヘッダー ===
@Configuration
public class SecurityConfig {
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        return http
            // CSRF — Spring Security デフォルト有効
            .csrf(csrf -> csrf.csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse()))
            // セキュリティヘッダー
            .headers(h -> h
                .contentSecurityPolicy(csp -> csp.policyDirectives("default-src 'self'"))
                .frameOptions(f -> f.deny())              // Clickjacking 防御
                .xssProtection(xss -> xss.disable())      // モダンブラウザはCSPを推奨
                .httpStrictTransportSecurity(hsts -> hsts.maxAgeInSeconds(31536000))
            )
            // クッキーセキュリティ
            .sessionManagement(s -> s.sessionCreationPolicy(SessionCreationPolicy.STATELESS))
            .build();
    }
}

// === Parameterized Query — Spring JPA ===
// ❌ 脆弱 (絶対 X):
// @Query("SELECT u FROM User u WHERE u.name = '" + name + "'")
// ✅ 安全:
public interface UserRepo extends JpaRepository<User, Long> {
    @Query("SELECT u FROM User u WHERE u.name = :name")
    Optional<User> findByName(@Param("name") String name);
}

// ─────────────────────────────────────────────────
// Node.js (Express) 例
// ─────────────────────────────────────────────────
/*
const helmet = require('helmet');
const csrf = require('csurf');

app.use(helmet());                 // セキュリティヘッダー自動
app.use(csrf({ cookie: true }));   // CSRFトークン自動検証
app.use(express.json({ limit: '10kb' }));   // payload制限

// XSS - React が基本で escape。dangerouslySetInnerHTML のみ注意

// SQL Injection - pg parameterized
const result = await pool.query(
  'SELECT * FROM users WHERE id = $1',     // $1 placeholder
  [userId]                                  // 値
);

// クッキー
app.use(session({
  cookie: { httpOnly: true, secure: true, sameSite: 'lax' }
}));
*/