// === Spring Security — CSRF + XSS + 헤더 ===
@Configuration
public class SecurityConfig {
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        return http
            // CSRF — Spring Security 기본 활성화
            .csrf(csrf -> csrf.csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse()))
            // 보안 헤더
            .headers(h -> h
                .contentSecurityPolicy(csp -> csp.policyDirectives("default-src 'self'"))
                .frameOptions(f -> f.deny())              // Clickjacking 방어
                .xssProtection(xss -> xss.disable())      // 모던 브라우저는 CSP 권장
                .httpStrictTransportSecurity(hsts -> hsts.maxAgeInSeconds(31536000))
            )
            // 쿠키 보안
            .sessionManagement(s -> s.sessionCreationPolicy(SessionCreationPolicy.STATELESS))
            .build();
    }
}

// === Parameterized Query — Spring JPA ===
// ❌ 취약 (절대 X):
// @Query("SELECT u FROM User u WHERE u.name = '" + name + "'")
// ✅ 안전:
public interface UserRepo extends JpaRepository<User, Long> {
    @Query("SELECT u FROM User u WHERE u.name = :name")
    Optional<User> findByName(@Param("name") String name);
}

// ─────────────────────────────────────────────────
// Node.js (Express) 예시
// ─────────────────────────────────────────────────
/*
const helmet = require('helmet');
const csrf = require('csurf');

app.use(helmet());                 // 보안 헤더 자동
app.use(csrf({ cookie: true }));   // CSRF 토큰 자동 검증
app.use(express.json({ limit: '10kb' }));   // payload 제한

// XSS - React 가 기본으로 escape. dangerouslySetInnerHTML 만 주의

// SQL Injection - pg parameterized
const result = await pool.query(
  'SELECT * FROM users WHERE id = $1',     // $1 placeholder
  [userId]                                  // 값
);

// 쿠키
app.use(session({
  cookie: { httpOnly: true, secure: true, sameSite: 'lax' }
}));
*/