Arquitetura de Segurança & Manual de Testes de Penetração

// ✕ VULNERÁVEL: Armazenar senha em MD5 ou texto puro
const query = `INSERT INTO users (email, password) VALUES ('${email}', '${password}')`;
// Se o banco for vazado, todas as senhas ficam expostas instantaneamente.

// ✓ SEGURANÇA: Web Crypto API PBKDF2 (100.000 iterações + Salt de 16 bytes)
const keyMaterial = await crypto.subtle.importKey('raw', encoder.encode(password), { name: 'PBKDF2' }, false, ['deriveBits']);
const derivedBits = await crypto.subtle.deriveBits({ name: 'PBKDF2', salt, iterations: 100000, hash: 'SHA-256' }, keyMaterial, 256);
const storedHash = `pbkdf2:100000:${saltHex}:${hashHex}`;

// ✕ VULNERÁVEL: Qualquer usuário logado pode ler pedidos de terceiros trocando o ID na URL
app.get('/api/orders/:id', async (req, res) => {
  const order = await db.query('SELECT * FROM orders WHERE id = ?', [req.params.id]);
  return res.json(order); // Retorna dados sensíveis do pedido de outro usuário!
});

// ✓ SEGURANÇA: Validação estrita de escopo (user_id === session.user_id) no banco D1
export async function getOrderByIdForUser(orderId: string, userId: string) {
  const order = await db
    .prepare('SELECT * FROM orders WHERE id = ? AND user_id = ?')
    .bind(orderId, userId)
    .first();
  if (!order) return null; // Retorna 404 neutro se não pertencer ao usuário
  return order;
}

// ✕ VULNERÁVEL: Concatenar strings permite alteração da lógica da instrução SQL
const sql = "SELECT * FROM users WHERE email = '" + req.body.email + "' AND password_hash = '" + hash + "'";
db.execute(sql); // Entrada "admin@test.com' --" anula a verificação de senha

// ✓ SEGURANÇA: Cloudflare D1 Prepared Statement com vinculação de parâmetros
const user = await db
  .prepare('SELECT * FROM users WHERE email = ?')
  .bind(email.toLowerCase().trim())
  .first<User>();

let serverCalculatedTotal = 0;
for (const item of items) {
  const product = await getProductById(item.productId); // Busca valor direto no D1
  if (product.stock < item.quantity) throw new Error('Estoque insuficiente');
  
  const realUnitPrice = Number(product.price); // Descarta o preço enviado pelo navegador
  serverCalculatedTotal += realUnitPrice * item.quantity;
}