ফুল-স্ট্যাক অ্যাপ সুরক্ষিত করা — CSRF, CORS ও XSS বেসিক

def html_escape(text: str) -> str:
    """HTML-এ বিশেষ অর্থ বহনকারী ৫টি ক্যারেক্টারকে entity-তে রূপান্তর করে,
    যাতে ব্রাউজার এগুলোকে মার্কআপ/স্ক্রিপ্ট হিসেবে না বুঝে সাধারণ টেক্সট হিসেবে দেখায়"""
    replacements = [
        ("&", "&"),   # সবার আগে -- নাহলে পরের entity-গুলোর '&' আবার এস্কেপ হয়ে যাবে
        ("<", "&lt;"),
        (">", "&gt;"),
        ('"', "&quot;"),
        ("'", "&#39;"),
    ]
    escaped = text
    for char, entity in replacements:
        escaped = escaped.replace(char, entity)
    return escaped

# ব্যবহারকারীর কমেন্ট বক্সে টাইপ করা একটি ক্ষতিকর ইনপুট
user_comment = "<script>alert(1)</script>"

print("র (raw) ইনপুট -- সরাসরি পেজে বসালে ব্রাউজার একে <script> ট্যাগ হিসেবে চালাত:")
print(user_comment)

safe_comment = html_escape(user_comment)
print("\nescape করা ইনপুট -- এখন নিরাপদে প্লেইন টেক্সট হিসেবে দেখানো যায়:")
print(safe_comment)

print("\nরাউ ইনপুট আসলেই <script> দিয়ে শুরু কি না:", user_comment.startswith("<script>"))
print("escape করার পর কোনো '<' অক্ষর অবশিষ্ট নেই:", "<" not in safe_comment)

allowed_origins = {
    "https://abcltech.com",
    "https://app.abcltech.com",
    "http://localhost:3000",   # ডেভেলপমেন্ট origin
}

def is_origin_allowed(origin_header: str) -> bool:
    """CORS: শুধুমাত্র allow-list-এ থাকা origin থেকে আসা রিকোয়েস্টকে
    ব্রাউজারকে ক্রস-অরিজিন রেসপন্স পড়ার অনুমতি দেওয়া হয়"""
    return origin_header in allowed_origins

test_origins = [
    "https://abcltech.com",
    "https://app.abcltech.com",
    "http://localhost:3000",
    "https://evil-attacker.com",
    "https://abcltech.com.evil-attacker.com",   # সাবডোমেইন-সদৃশ প্রতারণামূলক origin
]

print(f"{'Origin':40s} | সিদ্ধান্ত")
print("-" * 58)
for origin in test_origins:
    decision = "Allow" if is_origin_allowed(origin) else "Deny"
    print(f"{origin:40s} | {decision}")