HTTP Client SSRF Mitigation with InetAddressFilter in Spring Boot

Bối cảnh: Khi ứng dụng Spring Boot thực hiện gọi HTTP client (RestTemplate/WebClient) tới URL do người dùng cung cấp, dễ bị tấn công SSRF nếu không kiểm soát địa chỉ đích. Nguyên nhân kỹ thuật: Mặc định Spring không áp dụng bất kỳ bộ lọc nào trên InetAddress, nên bất kỳ địa chỉ IP nội bộ (ví dụ 127.0.0.1, 10.0.0.0/8, 192.168.0.0/16) đều có thể được truy cập qua client HTTP. Hệ quả: Kẻ tấn công có thể truy cập vào dịch vụ nội bộ, lấy cấu hình metadata cloud, quét cổng hoặc gây ra rò rỉ dữ liệu nhạy cảm. Đáng học: Sử dụng lớp InetAddressFilter để tạo danh sách cho phép (allowlist) hoặc từ chối (blocklist) các dải IP, sau đó inject filter vào RestTemplateBuilder hoặc WebClient.Builder qua setInetAddressFilter. Ví dụ cụ thể: new InetAddressFilter().allow("10.0.0.0/8").block("169.254.0.0/16") và áp dụng qua builder.requestFactory(() -> new SimpleClientHttpRequestFactory()) để chỉ cho phép gọi tới các dịch vụ được whitelist, тем самым giảm thiểu nguy cơ SSRF.