# LCBP3-DMS — Task Breakdown สำหรับ Phase 2A–2C (v1.4.2)

เอกสารนี้เป็นรายละเอียด Task Breakdown เชิงลึกของ Phase 2A, 2B, 2C ที่ถูกแยกออกตามสถาปัตยกรรม v1.4.2

โครงสร้างประกอบด้วย:

- Objectives
- Deliverables
- Task Breakdown (ละเอียดเป็นลำดับงาน)
- Developer Checklist
- Test Coverage
- Dependencies & Risks

---

# 🟦 Phase 2A — Security Layer

**Objective:** วาง Security Foundation ให้ระบบทั้งหมดใช้ร่วมกัน: Validation Pipeline, Security Headers, Rate Limiting, Request Guards

## ✔ Deliverables

- Global ValidationPipe
- Sanitization Layer
- Rate Limit Rules (anonymous/authenticated)
- Security Headers (Helmet)
- XSS / SQL Injection safeguards
- Security Tests

## 🛠 Task Breakdown

### 2A.1 Validation Pipeline

- ตั้งค่า Global ValidationPipe
- เปิด whitelist, forbidNonWhitelisted
- เพิ่ม custom exception mapping → ErrorModel
- เชื่อม RequestIdInterceptor

### 2A.2 Input Sanitization Layer

- ติดตั้ง sanitize-html หรือ DOMPurify server-side
- เพิ่ม sanitization middleware สำหรับ:
  - query params
  - body JSON
  - form inputs

- เพิ่ม unit test: sanitized input → safe output

### 2A.3 Security Headers (Helmet)

- เปิดใช้งาน Helmet ทั้งระบบ
- ปรับ policy: `contentSecurityPolicy`, `xssFilter`, `noSniff`
- เพิ่ม config per environment

### 2A.4 Rate Limiting

- Rate limit แบบ 2 ชั้น:
  - anonymous (เช่น 30 req/min)
  - authenticated (100 req/min)

- สร้าง Redis key pattern: `ratelimit:{ip}`
- สร้าง RateLimitGuard + decorator
- ทดสอบ burst traffic (locust หรือ autocannon)

### 2A.5 SQL Injection / XSS Protection

- เปิด TypeORM parameterized queries
- Sanitizer ตรวจจับ script tags
- เขียน test ที่ inject payload จำลอง

### 2A.6 Logging + Error Model Integration

- ผูก SecurityException → Error Model
- เพิ่ม request_id logging

## ✔ Developer Checklist (Phase 2A)

- [ ] ทุก controller มี ValidationPipe ครอบ
- [ ] Sanitization ทำงานในทุก input source
- [ ] Error ทั้งหมดออกตาม Error Model กลาง
- [ ] RateLimitGuard ทำงานผ่าน Redis
- [ ] มี security test อย่างน้อย 10 ชุด

## ✔ Test Coverage (Phase 2A)

- Input injection tests
- Rate limit tests
- Validation rejects undefined fields
- ErrorModel mapping

---

# 🟪 Phase 2B — JSON Schema System

**Objective:** จัดการ JSON Schema แบบ versioned, ตรวจสอบ payload, บังคับใช้ format ก่อนเก็บ DB

## ✔ Deliverables

- Schema Registry
- Schema Versioning
- Schema Validation Service
- Compatibility Rules
- Schema Migration Tests

## 🛠 Task Breakdown

### 2B.1 Schema Registry

- Entity: `json_schemas`, `json_schema_versions`
- Endpoint: `POST /json-schemas`
- ฟิลด์สำคัญ: schema_id, version, schema_json
- สร้าง SchemaStore class

### 2B.2 Schema Versioning

- Version rule: semantic versioning (major.minor.patch)
- Migration notes per version
- นโยบาย: Breaking change → major bump
- API: `GET /json-schemas/:id?version=`

### 2B.3 Schema Validation Service

- ใช้ AJV หรือ Fastest-Validator
- preload schema เมื่อ boot server
- mapping validation error → Error Model
- เพิ่ม test: invalid schema / missing fields / wrong types

### 2B.4 Compatibility Rules

- ตรวจสอบ backward compatibility:
  - field removal → major version
  - enum shrink → major version

- เพิ่ม script ตรวจ schema diff

### 2B.5 Schema Migration Tests

- ทดสอบ schema upgrade (v1 → v2)
- ทดสอบ payload ที่ใช้ version เก่า

## ✔ Developer Checklist (Phase 2B)

- [ ] ทุก JSON field อ้างอิง schema version
- [ ] ทุก schema ผ่าน validation
- [ ] Schema diff pass
- [ ] Schema test ครอบครบทุก field

## ✔ Test Coverage (Phase 2B)

- Schema version switch tests
- Incompatible payload rejection
- Schema registry CRUD

---

# 🟧 Phase 2C — JSON Processing

**Objective:** จัดการ JSON payload: sanitization, compression, encryption, size limits

## ✔ Deliverables

- JSON size validator
- JSON sanitizer
- JSON compressor (gzip/deflate)
- Sensitive fields encryption
- JSON transformation layer

## 🛠 Task Breakdown

### 2C.1 JSON Size Controls

- ตั้ง global limit (เช่น 2MB ต่อฟิลด์)
- เพิ่ม JSONSizeGuard
- เขียน test: oversize JSON → error_code: `JSON.TOO_LARGE`

### 2C.2 JSON Sanitization (ลึกกว่า Phase 2A)

- ล้าง nested fields
- ล้าง `<script>`, `<iframe>`, inline JS
- รองรับ JSON array sanitization

### 2C.3 Compression Layer

- ใช้ gzip ด้วย `zlib`
- เก็บ compressed JSON ใน DB
- สร้าง helper: `compressJson()`, `decompressJson()`
- Test: compression ratio > 30%

### 2C.4 Sensitive Fields Encryption

- AES-256-GCM สำหรับฟิลด์ที่กำหนด เช่น:
  - personal fields
  - confidential fields

- สร้าง decorator: `@EncryptedField()`
- Test: decrypt → original JSON

### 2C.5 JSON Transformation Layer

- Map JSON fields → internal format
- ใช้กับ Correspondence / RFA
- รองรับ schema version migration (เชื่อมกับ Phase 2B)

## ✔ Developer Checklist (Phase 2C)

- [ ] JSON size guard ครอบทุก endpoint
- [ ] Compression + encryption ทำงานก่อน persist
- [ ] Sanitizer ผ่าน nested objects
- [ ] Transform layer มี test ครบ

## ✔ Test Coverage (Phase 2C)

- Oversize JSON tests
- Encryption/decryption tests
- Compression tests
- Schema-versioned transformation tests

---

# 🔗 Dependencies

- Phase 2A → จำเป็นก่อน 2B, 2C
- Phase 2B → ต้องเสร็จเพื่อให้ 2C ทำ transformation

---

# ⚠ Risks

- Schema versioning อาจกระทบ payload เดิม → ต้องมี migration plan
- Compression/encryption ทำให้ debug ยาก → ต้องพึ่ง request_id + audit logs
- Rate limiting ไม่เหมาะสมอาจ block ผู้ใช้จริง

---

เอกสารนี้พร้อมใช้วางแผน Sprint สำหรับทีมพัฒนา หรือสร้าง Gantt Chart ต่อได้ทันที