الـ Security Headers والـ TLS: كل response يقول للـ browser يحمي المستخدم إزاي

// scan.js: فحص سريع زي securityheaders.com، بس على جهازك
import { get, tlsProbe } from "./get.js";

const mark = (good, name, value = "") => console.log(good ? "✅" : "❌", name, value);

const home = await get("https://localhost:3443/");
const h = home.h;
mark(!!h["strict-transport-security"], "Strict-Transport-Security (HSTS)", h["strict-transport-security"] ?? "(مفيش)");
mark(/frame-ancestors/.test(h["content-security-policy"] ?? ""), "CSP فيها frame-ancestors", h["content-security-policy"] ?? "(مفيش)");
mark(h["x-content-type-options"] === "nosniff", "X-Content-Type-Options: nosniff", h["x-content-type-options"] ?? "(مفيش)");
mark(!!h["referrer-policy"], "Referrer-Policy", h["referrer-policy"] ?? "(مفيش)");
mark(!!h["permissions-policy"], "Permissions-Policy", h["permissions-policy"] ?? "(مفيش)");
mark(!!h["cross-origin-opener-policy"], "Cross-Origin-Opener-Policy", h["cross-origin-opener-policy"] ?? "(مفيش)");
mark(!h["x-powered-by"], "مفيش X-Powered-By", h["x-powered-by"] ?? "");

const me = await get("https://localhost:3443/api/me");
mark(/no-store/.test(me.h["cache-control"] ?? ""), "/api/me عليه Cache-Control: no-store", me.h["cache-control"] ?? "(مفيش)");

const crash = await get("https://localhost:3443/api/crash");
mark(!/ at |\.js:\d|internal/.test(crash.body), "الـ error ما بيسرّبش تفاصيل", crash.body.replace(/\s+/g, " ").slice(0, 90));

const plain = await get("http://localhost:3000/api/me");
mark(plain.status === 308 || plain.status === 301, "http بيحوّل لـ https", `${plain.status} ${plain.body.slice(0, 50)}`);

const old = await tlsProbe({ minVersion: "TLSv1", maxVersion: "TLSv1.1", ciphers: "DEFAULT@SECLEVEL=0" });
mark(old !== "TLSv1.1" && old !== "TLSv1", "TLS 1.0 و 1.1 مرفوضين", old);

$ node server.js & S=$!; sleep 1; node scan.js; kill $S
http:  http://localhost:3000
https: https://localhost:3443
❌ Strict-Transport-Security (HSTS) (مفيش)
❌ CSP فيها frame-ancestors (مفيش)
❌ X-Content-Type-Options: nosniff (مفيش)
❌ Referrer-Policy (مفيش)
❌ Permissions-Policy (مفيش)
❌ Cross-Origin-Opener-Policy (مفيش)
❌ مفيش X-Powered-By Express
❌ /api/me عليه Cache-Control: no-store (مفيش)
❌ الـ error ما بيسرّبش تفاصيل <!DOCTYPE html> <html lang="en"> <head> <meta charset="utf-8"> <title>Error</title> </head
❌ http بيحوّل لـ https 200 {"user":"mahmoud","balance":15000,"iban":"EG380019
❌ TLS 1.0 و 1.1 مرفوضين TLSv1.1

// security.js: كل إعدادات الأمان بتاعة الـ HTTP والـ TLS في مكان واحد
import { randomUUID } from "node:crypto";
import { key, cert } from "./lab-cert.js";

// العنوان العام الحقيقي بتاع الموقع (في الإنتاج: https://bank.example)
export const PUBLIC_ORIGIN = "https://localhost:3443";

const HEADERS = {
  // مفيش scripts ولا صور ولا forms غير من نفس الموقع، ومفيش حد يحطّنا جُوّه iframe
  "Content-Security-Policy":
    "default-src 'self'; object-src 'none'; base-uri 'none'; form-action 'self'; frame-ancestors 'none'",
  "X-Frame-Options": "DENY", // نفس frame-ancestors للـ browsers القديمة
  "X-Content-Type-Options": "nosniff", // الـ browser ما يخمّنش نوع الـ file
  "Referrer-Policy": "no-referrer", // الـ URL بتاعنا ما يطلعش لمواقع تانية
  "Permissions-Policy": "camera=(), microphone=(), geolocation=()",
  "Cross-Origin-Opener-Policy": "same-origin",
  "Cross-Origin-Resource-Policy": "same-origin",
};

export function securityHeaders(req, res, next) {
  res.removeHeader("X-Powered-By");
  res.set(HEADERS);
  // HSTS على https بس: على http الـ browser بيتجاهله، والـ attacker في النص ممكن يشيله
  if (req.secure) res.set("Strict-Transport-Security", "max-age=31536000; includeSubDomains");
  next();
}

// الـ API فيه data شخصية: ولا browser ولا proxy يحفظها
export function noStore(req, res, next) {
  res.set("Cache-Control", "no-store");
  next();
}

// التفاصيل في الـ log، والمستخدم ياخد رسالة عامة و id يدّيه للـ support
export function errorHandler(err, req, res, next) {
  const id = randomUUID();
  console.error(`[${id}]`, err.message); // في الإنتاج: logger.error({ id, err }) والـ stack كامل
  res.status(500).json({ error: "حصلت مشكلة عندنا، جرّب تاني", id });
}

// بيشتغل على node:http عادي (مش express)، فبنستخدم writeHead
export function redirectToHttps(req, res) {
  // ما بنستخدمش req.headers.host: ده جاي من الـ client، ولو حطّيناه في الـ Location يبقى open redirect
  res.writeHead(308, { Location: PUBLIC_ORIGIN + req.url });
  res.end();
}

// TLS 1.2 كحد أدنى (والـ default في Node هو كده أصلًا)، و TLS 1.3 بيتفاوض لوحده
export const tlsOptions = { key, cert, minVersion: "TLSv1.2" };

$ node server.js & S=$!; sleep 1; node scan.js; kill $S
http:  http://localhost:3000 (redirect)
https: https://localhost:3443
✅ Strict-Transport-Security (HSTS) max-age=31536000; includeSubDomains
✅ CSP فيها frame-ancestors default-src 'self'; object-src 'none'; base-uri 'none'; form-action 'self'; frame-ancestors 'none'
✅ X-Content-Type-Options: nosniff nosniff
✅ Referrer-Policy no-referrer
✅ Permissions-Policy camera=(), microphone=(), geolocation=()
✅ Cross-Origin-Opener-Policy same-origin
✅ مفيش X-Powered-By 
✅ /api/me عليه Cache-Control: no-store no-store
✅ الـ error ما بيسرّبش تفاصيل {"error":"حصلت مشكلة عندنا، جرّب تاني","id":"0c8ba1ce-0b6e-4e06-a897-e495944b6d8c"}
✅ http بيحوّل لـ https 308 
✅ TLS 1.0 و 1.1 مرفوضين ERR_SSL_TLSV1_ALERT_PROTOCOL_VERSION

// server.js: نفس البنك، بس كل الإعدادات جاية من security.js
import express from "express";
import http from "node:http";
import https from "node:https";
import { securityHeaders, noStore, errorHandler, redirectToHttps, tlsOptions } from "./security.js";

const app = express();
app.use(securityHeaders);
app.use("/api", noStore);

app.get("/", (req, res) => res.send("<h1>بنك باسمة</h1><p>أهلًا يا محمود</p>"));
app.get("/api/me", (req, res) => res.json({ user: "mahmoud", balance: 15000, iban: "EG380019000500000000263180002" }));
app.get("/api/crash", () => {
  throw new Error("connect ECONNREFUSED db-primary.internal:5432 (user=bank_admin)");
});
// 404 بتاعنا: الـ 404 الافتراضي بتاع express بيحط CSP بتاعته فوق بتاعتنا
app.use((req, res) => res.status(404).json({ error: "مش موجود" }));
app.use(errorHandler);

// الـ http ما بيقدّمش أي data: بيحوّل لـ https وبس
http.createServer(redirectToHttps).listen(3000, () => console.log("http:  http://localhost:3000 (redirect)"));
https.createServer(tlsOptions, app).listen(3443, () => console.log("https: https://localhost:3443"));

// lab-cert.js: شهادة self-signed للمعمل بس (localhost و 127.0.0.1). المفتاح ده علني في الكورس، ما تستخدموش في أي حتة تانية.
export const key = `-----BEGIN PRIVATE KEY-----
MIGHAgEAMBMGByqGSM49AgEGCCqGSM49AwEHBG0wawIBAQQgCpH60jaLTqcNwzKO
lVK84Miz+sASVaZXyvb7rztiTJShRANCAATsLzQJzxEuKJTo6yN1LJCkDoHzrHXg
maFuC19PNjyiw9xGjyHC1aH6fQItd2aOkoxRmJHYMhsesgGe6+B7xCOx
-----END PRIVATE KEY-----`;

export const cert = `-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----`;

// get.js: GET صغير بيرجّع الـ status والـ headers والـ body، ولـ https بيثق في شهادة المعمل بس
import http from "node:http";
import https from "node:https";
import tls from "node:tls";
import { cert } from "./lab-cert.js";

export const get = (url, headers = {}, options = {}) =>
  new Promise((ok, fail) => {
    const lib = url.startsWith("https:") ? https : http;
    lib
      .get(url, { ca: cert, headers, ...options }, (r) => {
        let body = "";
        r.on("data", (d) => (body += d));
        r.on("end", () => ok({ status: r.statusCode, h: r.headers, body }));
      })
      .on("error", fail);
  });

// بيحاول handshake بإصدار TLS معيّن، وبيرجّع الإصدار اللي اتفقوا عليه أو كود الـ error
export const tlsProbe = (options = {}) =>
  new Promise((ok) => {
    const s = tls.connect({ port: 3443, host: "localhost", ca: cert, ...options }, () => {
      ok(s.getProtocol());
      s.end();
    });
    s.on("error", (e) => ok(e.code));
  });