print-calculator/security_best_practices_report.md

Security Best Practices Report

Executive summary

Revisione sicurezza del progetto print-calculator (backend Spring Boot Java + frontend Angular/TypeScript) con focus su autenticazione/autorizzazione, esposizione dati, upload file, hardening e resilienza.

Risultato: 6 finding totali.

• Critical: 1
• High: 3
• Medium: 2

Rischio principale: API pubbliche basate su UUID senza controllo di ownership/token, che consentono lettura PII e azioni di business su ordini.

Scope e metodo

• Codice analizzato: backend (backend/src/main/java, backend/src/main/resources), frontend (frontend/src/app), config deploy (deploy/, docker-compose*.yml).
• Riferimenti skill usati: javascript-general-web-frontend-security.md.
• Nota: non è presente un riferimento specifico Java/Spring nel set dello skill; per il backend sono state applicate best practice consolidate Spring/security engineering.

Critical findings

SBP-001 - Broken access control su API ordine pubbliche (lettura PII + azioni stato)

• Severity: Critical
• Impatto: Chiunque ottenga un orderId può leggere dati personali ordine e invocare operazioni di business senza autenticazione.
• Evidenze:
  • backend/src/main/java/com/printcalculator/config/SecurityConfig.java:36 (.anyRequest().permitAll()).
  • backend/src/main/java/com/printcalculator/controller/OrderController.java:131 (GET /api/orders/{orderId}).
  • backend/src/main/java/com/printcalculator/controller/OrderController.java:141 (POST /api/orders/{orderId}/payments/report).
  • backend/src/main/java/com/printcalculator/controller/OrderController.java:93 (POST /api/orders/{orderId}/items/{orderItemId}/file).
  • backend/src/main/java/com/printcalculator/controller/OrderController.java:295-337 (PII completa nel DTO: email, telefono, indirizzi billing/shipping).
  • backend/src/main/java/com/printcalculator/service/PaymentService.java:53-75 (cambio stato pagamento a REPORTED).
• Rischio tecnico:
  • Assenza di autenticazione/authorization applicativa su endpoint ordine.
  • Modello “capability by UUID” senza token secondario, expiry o binding utente.
• Fix raccomandato:
  • Introdurre un order_access_token random ad alta entropia (>=128 bit), memorizzato hashato e richiesto sugli endpoint pubblici ordine.
  • Separare endpoint pubblici (minimo set dati) da endpoint interni/admin.
  • Rimuovere orderItemId e dettagli sensibili dal DTO pubblico, o usare URL firmate a scadenza per upload/download.
  • Valutare auth customer leggera (magic link OTP) per consultazione/modifica ordine.

High findings

SBP-002 - Esposizione PII su endpoint pubblico custom quote request

• Severity: High
• Evidenze:
  • backend/src/main/java/com/printcalculator/controller/CustomQuoteRequestController.java:188-193 (GET /api/custom-quote-requests/{id} senza auth).
  • backend/src/main/java/com/printcalculator/entity/CustomQuoteRequest.java:24-40 (campi PII e messaggio cliente).
  • backend/src/main/java/com/printcalculator/config/SecurityConfig.java:36 (.anyRequest().permitAll()).
• Rischio tecnico:
  • Endpoint “lookup by UUID” ritorna oggetto completo con dati personali.
• Fix raccomandato:
  • Proteggere endpoint con token di accesso separato per richiesta (non solo UUID).
  • Restituire una vista redatta/minimale per endpoint pubblici.
  • Se endpoint non usato dal frontend, rimuoverlo.

SBP-003 - Antivirus in fail-open + default scanner disattivato

• Severity: High
• Evidenze:
  • backend/src/main/resources/application.properties:27 (clamav.enabled=${CLAMAV_ENABLED:false}).
  • backend/src/main/java/com/printcalculator/service/ClamAVService.java:42-43 (scanner disabilitato => ritorna true).
  • backend/src/main/java/com/printcalculator/service/ClamAVService.java:54-61 (errori scanner => FAIL-OPEN).
  • backend/src/main/java/com/printcalculator/service/FileSystemStorageService.java:59-60 (eccezioni scanner ignorate, file mantenuto).
• Rischio tecnico:
  • File malevoli possono essere accettati quando scanner è down/non configurato.
• Fix raccomandato:
  • Policy fail-closed in ambienti non-dev (reject on scan error).
  • Rendere CLAMAV_ENABLED=true default in deploy runtime e bloccare startup se scanner richiesto ma non raggiungibile.
  • Telemetria/alerting su scan bypass e failure rate.

SBP-004 - Endpoint costosi esposti senza throttling/rate limit (DoS applicativo)

• Severity: High
• Evidenze:
  • backend/src/main/java/com/printcalculator/config/SecurityConfig.java:36 (endpoint pubblici permessi globalmente).
  • backend/src/main/java/com/printcalculator/controller/QuoteController.java:38-39 (POST /api/quote pubblico).
  • backend/src/main/java/com/printcalculator/controller/QuoteSessionController.java:114-120 (POST /api/quote-sessions/{id}/line-items pubblico).
  • backend/src/main/java/com/printcalculator/controller/QuoteSessionController.java:228-235 (invocazione slicing).
  • backend/src/main/java/com/printcalculator/service/SlicerService.java:156-163 (job fino a 5 minuti).
• Rischio tecnico:
  • Upload/slicing massivo può saturare CPU, I/O e worker thread.
• Fix raccomandato:
  • Rate limiting per IP/fingerprint/session (anche lato reverse proxy).
  • Coda asincrona con limiti di concorrenza e timeout più stretti.
  • Quote per utente/sessione e limite richieste per finestra temporale.
  • CAPTCHA o proof-of-work per endpoint anonimi ad alto costo.

Medium findings

SBP-005 - Secret/default credenziali deboli nel codice di configurazione

• Severity: Medium
• Evidenze:
  • backend/src/main/resources/application.properties:7 (DB_PASSWORD fallback printcalc_secret).
  • backend/src/main/resources/application-local.properties:7-8 (admin password/secret hardcoded per profilo local).
• Rischio tecnico:
  • In caso di misconfigurazione ambientale o uso improprio profilo, vengono usati valori prevedibili.
• Fix raccomandato:
  • Rimuovere fallback sensibili e rendere obbligatori i secret a startup.
  • Spostare credenziali locali in file non versionato (.env.local, .gitignore) con template placeholder.
  • Policy di secret rotation periodica.

SBP-006 - CSRF disabilitato globalmente con autenticazione admin basata su cookie

• Severity: Medium
• Evidenze:
  • backend/src/main/java/com/printcalculator/config/SecurityConfig.java:24 (CSRF disabilitato globalmente).
  • backend/src/main/java/com/printcalculator/security/AdminSessionService.java:129-136 (cookie sessione admin).
  • backend/src/main/java/com/printcalculator/security/AdminSessionService.java:133-134 (Secure + SameSite=Strict presenti, mitigazione parziale).
• Rischio tecnico:
  • Con auth cookie-based, la protezione CSRF andrebbe mantenuta sugli endpoint state-changing admin; SameSite=Strict riduce ma non elimina tutti i vettori.
• Fix raccomandato:
  • Riabilitare CSRF almeno su /api/admin/** e usare token CSRF (double-submit o synchronizer token).
  • Mantenere SameSite=Strict come difesa aggiuntiva.

Note e assunzioni

• Alcuni endpoint pubblici sembrano progettati come flusso anonimo customer; il finding resta valido perché manca una seconda prova di possesso oltre all’UUID.
• Non è stata eseguita una DAST esterna o pentest black-box; analisi effettuata su codice statico e configurazioni nel repository.