2. Threat modeling и attack surface

// Пример: архитектура сервиса пользователей с явным разделением зон ответственности
type UserService struct {
    // 🔒 Доверенные внутренние зависимости (Internal Trust Zone)
    db     *sql.DB        // PostgreSQL-соединение с правами наименьших привилегий
    cache  *redis.Client  // Изолированный Redis-кэш
    logger *slog.Logger   // Структурированный логгер с фильтрацией PII

    // ⚠️ Внешние зависимости (External Boundaries)
    httpClient *http.Client  // Сетевой клиент с жесткими таймаутами и проверкой TLS
    authClient *AuthClient   // gRPC-клиент сервиса единой авторизации (IdP)

    // 🎯 Граница доверия: публичный сетевой периметр
    router *http.ServeMux  // Маршрутизатор с цепочкой валидационных middleware
}

// Контракт хендлера: пошаговая верификация безопасности
func (s *UserService) GetUserHandler(w http.ResponseWriter, r *http.Request) {
    // 1. Извлечение и валидация контекста безопасности
    ctx := r.Context()
    auth, err := auth.FromContext(ctx)
    if err != nil {
        // 🔒 Fail secure: немедленный отказ без утечки деталей наружу
        s.logger.ErrorContext(ctx, "auth extraction failed", "err", err)
        http.Error(w, http.StatusText(http.StatusUnauthorized), http.StatusUnauthorized)
        return
    }

    // 2. Проверка прав ДО обращения к ресурсам базы данных
    userID := chi.URLParam(r, "id")
    if !s.authz.CanReadUser(auth.Subject, userID) {
        // 🔒 Запрет доступа при несовпадении полномочий
        http.Error(w, http.StatusText(http.StatusForbidden), http.StatusForbidden)
        return
    }

    // 3. Безопасное исполнение бизнес-логики через параметризованный запрос
    user, err := s.db.QueryRowContext(ctx, "SELECT id, email FROM users WHERE id = $1", userID)
    // ... дальнейшая сериализация ответа
}

// Пример комплексной эшелонированной защиты бизнес-операции смены email
func (s *UserService) UpdateEmail(ctx context.Context, userID, newEmail string) error {
    // 🔒 D (Denial of Service): Защита от исчерпания ресурсов через Rate Limiting
    if !s.rateLimiter.Allow(userID, "update_email") {
        return ErrRateLimitExceeded
    }

    // 🔒 T (Tampering): Валидация входных данных по белому списку (Allowlist)
    if !isValidEmail(newEmail) {
        return ErrInvalidEmail // 🔒 I: непрозрачная ошибка без раскрытия регулярного выражения
    }

    // 🔒 E (Elevation of Privilege): Проверка субъекта авторизации
    auth, ok := auth.FromContext(ctx)
    if !ok || auth.Subject != userID {
        return ErrForbidden
    }

    // 🔒 R (Repudiation): Неизгладимый след в журнале аудита
    s.auditLog(ctx, "email_changed", userID, map[string]any{
        "old": s.getCurrentUserEmail(userID),
        "new": maskEmail(newEmail), // 🔒 I: маскирование чувствительных данных
    })

    // 🔒 T (Tampering): Параметризованный SQL-запрос, исключающий инъекции
    _, err := s.db.ExecContext(ctx, 
        "UPDATE users SET email = $1 WHERE id = $2", 
        newEmail, userID)

    // 🔒 I (Information Disclosure): Санитаризация системных ошибок СУБД
    if err != nil {
        s.logger.ErrorContext(ctx, "db update failed", "err", sanitizeDBError(err))
        return ErrInternal // Клиент получает стандартную ошибку 500 без деталей SQL
    }

    return nil
}

// ❌ УЯЗВИМЫЙ КОД: проверка и чтение не атомарны!
func (s *FileService) ReadFile(ctx context.Context, path string) ([]byte, error) {
    // Шаг 1: Проверка прав доступа
    if !s.acl.CanRead(auth.FromContext(ctx), path) {
        return nil, ErrForbidden
    }

    // 🔴 ОКНО УЯЗВИМОСТИ (Race Window):
    // В этот микросекундный зазор другая горутина или внешний процесс
    // может подменить легитимный файл на символическую ссылку (symlink attack)
    // на /etc/shadow!
    return os.ReadFile(path) // 🔴 Path traversal и privilege escalation
}

// ✅ БЕЗОПАСНЫЙ ПОДХОД: канонизация пути и атомарная изоляция
func (s *FileService) ReadFile(ctx context.Context, path string) ([]byte, error) {
    // 1. Строгая нормализация пути (исключение ../)
    cleanPath, err := filepath.Abs(filepath.Join(s.rootDir, path))
    if err != nil || !strings.HasPrefix(cleanPath, s.rootDir) {
        return nil, ErrInvalidPath
    }

    // 2. Атомарное выполнение проверки и чтения в защищенной критической секции
    var data []byte
    err = s.fileMutex.Do(cleanPath, func() error {
        if !s.acl.CanRead(auth.FromContext(ctx), cleanPath) {
            return ErrForbidden
        }
        var readErr error
        data, readErr = os.ReadFile(cleanPath)
        return readErr
    })

    return data, err
}

// ❌ ОПАСНО: передача контекста с токенами в долгоживущую фоновую горутину
func (s *Handler) Process(w http.ResponseWriter, r *http.Request) {
    ctx := r.Context()
    auth := auth.FromContext(ctx) // 🔒 Содержит Bearer-токен, роли, скоупы

    // 🔴 Фоновая горутина переживет HTTP-запрос.
    // Если контекст отменится клиентом, фоновая задача внезапно оборвется,
    // либо токен пользователя будет использован для служебных операций спустя часы!
    go func() {
        s.backgroundJob(ctx, auth)
    }()
}

// ✅ БЕЗОПАСНО: явная изоляция и принцип наименьших привилегий
func (s *Handler) Process(w http.ResponseWriter, r *http.Request) {
    ctx := r.Context()
    auth := auth.FromContext(ctx)

    // Извлекаем только атомарный идентификатор, отсекая токены и секреты
    userID := auth.Subject

    go func() {
        // Создаем независимый корневой контекст для системной фоновой задачи
        bgCtx := context.WithValue(context.Background(), userIDKey, userID)
        s.backgroundJob(bgCtx, userID) // 🔒 Работает под системными сервисными правами
    }()
}

# Установка линтера безопасности
go install github.com/securego/gosec/v2/cmd/gosec@latest

# Запуск сканирования с выводом отчета в формате SARIF
gosec -exclude=G104,G115 -fmt=sarif -out=security-report.sarif ./...

# .github/workflows/security.yml
name: Security Scan
on: [push, pull_request]

jobs:
  gosec:
    name: Run Gosec AST Scanner
    runs-on: ubuntu-latest
    steps:
      - name: Checkout Source Code
        uses: actions/checkout@v4

      - name: Run Gosec Security Scanner
        uses: securego/gosec@master
        with:
          args: '-exclude=G104 -fmt=sarif -out=results.sarif ./...'

      - name: Publish Security Alerts to GitHub Security Tab
        uses: github/codeql-action/upload-sarif@v3
        with:
          sarif_file: results.sarif

// Security: Threat Model Reference
// - STRIDE: [T]ampering via SQL injection -> mitigated by parameterized queries ($1)
// - STRIDE: [I]nformation disclosure via error messages -> sanitized generic errors
// - STRIDE: [D]enial of service via body size -> limited by http.MaxBytesReader(1MB)
// - Last reviewed: 2024-03-20 by @security-guild
func (s *UserService) GetUser(ctx context.Context, id string) (*User, error) {
    // ... реализация ...
}

## Security Code Review Checklist
- [ ] Все пользовательские входные данные валидируются по белому списку (Allowlist, не Blocklist).
- [ ] Ошибки, возвращаемые наружу, не раскрывают внутренние структуры данных, стектрейсы или запросы БД.
- [ ] Конфиденциальные данные (пароли, ключи, токены) не пишутся в логи в открытом виде (маскируются).
- [ ] Контекст авторизации и права доступа проверяются перед каждой операцией с ресурсом.
- [ ] В коде полностью отсутствует захардкоженный секретный контент (ключи, пароли, токены).
- [ ] Для сравнения хэшей, токенов и паролей используется постоянное время `crypto/subtle.ConstantTimeCompare`.
- [ ] Настроены строгие сетевые таймауты (`context.WithTimeout`, HTTP Client Timeouts) для всех внешних вызовов.
- [ ] Для всех публичных эндпоинтов настроен Rate Limiting и ограничение размера входящего тела запроса.
- [ ] Сторонние зависимости проверены утилитами `govulncheck` и `osv-scanner`.
- [ ] Сервисные debug-эндпоинты (`/debug/pprof`) отключены на публичных портах или вынесены на localhost.