// 1. ログインエンドポイント（修正後）
import bcrypt from 'bcrypt';
import jwt from 'jsonwebtoken';

const JWT_SECRET = process.env.JWT_SECRET!;

app.post('/api/login', async (req, res) => {
  const loginSchema = z.object({
    email: z.string().email(),
    password: z.string().min(1),
  });

  const validation = loginSchema.safeParse(req.body);
  if (!validation.success) {
    return res.status(400).json({ error: 'Invalid input' });
  }

  const { email, password } = validation.data;

  try {
    const result = await pool.query(
      'SELECT id, email, password_hash, role FROM users WHERE email = $1',
      [email]
    );

    if (result.rows.length === 0) {
      return res.status(401).json({ error: 'Invalid credentials' });
    }

    const user = result.rows[0];
    const isValid = await bcrypt.compare(password, user.password_hash);

    if (!isValid) {
      return res.status(401).json({ error: 'Invalid credentials' });
    }

    const accessToken = jwt.sign(
      { sub: user.id, role: user.role },
      JWT_SECRET,
      { expiresIn: '15m' }
    );

    res.json({
      accessToken,
      user: { id: user.id, email: user.email, role: user.role }
    });
  } catch (error) {
    console.error('Login error:', error);
    res.status(500).json({ error: 'Internal server error' });
  }
});

// 2. 商品検索（修正後）
const ALLOWED_SORT = ['name', 'price', 'created_at'];

app.get('/api/products/search', async (req, res) => {
  const searchSchema = z.object({
    q: z.string().max(200).optional(),
    sort: z.string().optional(),
  });

  const validation = searchSchema.safeParse(req.query);
  if (!validation.success) {
    return res.status(400).json({ error: 'Invalid parameters' });
  }

  const { q, sort } = validation.data;

  try {
    let query = 'SELECT id, name, price, description FROM products';
    const params: string[] = [];

    if (q) {
      const safeQ = q.replace(/[%_\\]/g, '\\$&');
      query += " WHERE name LIKE $1 ESCAPE '\\'";
      params.push(`%${safeQ}%`);
    }

    const sortColumn = ALLOWED_SORT.includes(sort || '') ? sort : 'created_at';
    query += ` ORDER BY ${sortColumn} DESC`;

    const result = await pool.query(query, params);
    res.json(result.rows);
  } catch (error) {
    console.error('Search error:', error);
    res.status(500).json({ error: 'Internal server error' });
  }
});

// 3. コメント表示（修正後）
import escapeHtml from 'escape-html';

app.get('/api/posts/:id/comments', async (req, res) => {
  const id = parseInt(req.params.id, 10);
  if (isNaN(id) || id <= 0) {
    return res.status(400).json({ error: 'Invalid ID' });
  }

  try {
    const result = await pool.query(
      'SELECT id, body, created_at FROM comments WHERE post_id = $1 ORDER BY created_at ASC',
      [id]
    );

    let html = '<div>';
    for (const c of result.rows) {
      html += `<p>${escapeHtml(c.body)}</p>`;
    }
    html += '</div>';
    res.send(html);
  } catch (error) {
    console.error('Comments error:', error);
    res.status(500).send('<div>エラーが発生しました</div>');
  }
});

1. 最大の問題点:

• トークンが userId:timestamp の単純な連結で予測可能
• JWT秘密鍵がハードコードされている
• リフレッシュトークンの仕組みがない
• 管理者APIに認証チェックがない
• プロフィールAPIに認証も認可もない

2. 推奨される認証フロー:

• bcryptでパスワードをハッシュ化
• JWT（HS256以上）でアクセストークン（15分）を発行
• リフレッシュトークン（7日）をHttpOnly Cookieで管理
• 全APIエンドポイントに認証ミドルウェアを適用
• 管理者APIにはrequireRole(‘admin’)を適用
• プロフィールAPIにはリソースオーナーチェックを適用

import helmet from 'helmet';

app.use(helmet({
  contentSecurityPolicy: {
    directives: {
      defaultSrc: ["'self'"],
      scriptSrc: ["'self'"],
      styleSrc: ["'self'", "'unsafe-inline'"],
      imgSrc: ["'self'", "data:"],
      connectSrc: ["'self'"],
      frameSrc: ["'none'"],
      objectSrc: ["'none'"],
    }
  },
  hsts: { maxAge: 31536000, includeSubDomains: true },
}));

// CORS を特定のオリジンに制限
app.use(cors({
  origin: process.env.ALLOWED_ORIGINS?.split(','),
  credentials: true,
}));

// Cookieのセキュリティ設定
// HttpOnly, Secure, SameSite=Strict

必要なヘッダー:

• Content-Security-Policy
• Strict-Transport-Security
• X-Frame-Options (DENY)
• X-Content-Type-Options (nosniff)
• Referrer-Policy
• Permissions-Policy
• CORSの制限

==================================
セキュリティ監査レポート
対象: サンプルアプリケーション
日付: 2025-XX-XX
監査者: [あなたの名前]
==================================

■ 総合評価: 不合格（Critical脆弱性が複数存在）

■ 発見された脆弱性:
  CRITICAL: 7件（SQLインジェクション x5、ハードコード秘密鍵、認証なし管理API）
  HIGH:     4件（弱いハッシュ、予測可能トークン、XSS、パスワードハッシュ漏洩）
  MEDIUM:   3件（CORS不備、エラー情報漏洩、セキュリティヘッダー未設定）
  LOW:      1件（ユーザー列挙）

■ 最優先で対応すべき項目:
  1. 全SQLクエリをパラメータ化クエリに変更
  2. MD5をbcryptに変更
  3. JWT秘密鍵を環境変数に移動
  4. 全エンドポイントに認証・認可を実装
  5. helmet.jsでセキュリティヘッダーを設定

■ 推奨事項:
  - 入力バリデーション（Zod）の導入
  - CI/CDにセキュリティチェックを組み込み
  - Dependabotの有効化
  - 定期的なセキュリティレビューの実施