[sasagar]

変更

• lib/safeFetch.ts（新規）: isPrivateAddress / assertPublicUrl / safeFetch。http(s) のみ許可、DNS 解決後の全アドレスをプライベート/ループバック/リンクローカル等で検査、リダイレクトは手動で各ホップ再検証。開発用に ALLOW_PRIVATE_NETWORK_FETCH=true で無効化可能（本番では使わない）
• routes/proxy.ts: image/svg+xml を許可リストから削除（キャッシュヒット時も再検査）。全レスポンスに CSP: ...; sandbox・nosniff・Content-Disposition: inline。上流のステータスや Content-Type を返さない汎用エラーに。/proxy/avatar は自己 HTTP fetch をやめて内部関数呼び出しに
• middleware/securityHeaders.ts: ルートが CSP を設定済みなら上書きしない
• RemoteFetchService: safeFetch 経由にし、AP オブジェクト取得では activity+json / ld+json / json 以外の Content-Type を拒否
• 配送（inbox POST）、WebPush、絵文字インポート、instance-icon、nodeinfo、RemoteLikes も safeFetch 経由に

挙動の変化

• リモートの SVG（一部の絵文字・インスタンスアイコン）はプロキシ経由で表示されなくなる（後続でラスタライズを検討）
• AP オブジェクトを誤った Content-Type で返すサーバーからの取得は失敗する
• ローカル/クラスタ内のインスタンスと連合する開発・テスト環境では ALLOW_PRIVATE_NETWORK_FETCH=true が必要

確認

• typecheck / lint / format:check / ユニットテスト 1111 件 pass

https://claude.ai/code/session_01Y29fBeRP344FME6de48wUv

[coderabbitai]

Warning

Review limit reached

You've used all free OSS reviews for now. Wait for the free limit to reset to keep reviewing this public repository.

Next included review available in 26 minutes.

Check out review usage here.

View limit details

Limit details: You’ve used the included review currently available.

Learn how review limits work.

Review configuration:

⚙️ Run configuration

• Configuration used: Repository: Love-Rox/rox/.coderabbit.yaml
• Review profile: CHILL
• Plan: Advanced
• Run ID: eb9248d0-7ee4-4fc1-9a0e-d7123e8173fc

📥 Commits

Reviewing files that changed from the base of the PR and between 1f88657 and d5e3818.

📒 Files selected for processing: 15

• .env.example
• packages/backend/src/lib/instance-icon.ts
• packages/backend/src/lib/safeFetch.ts
• packages/backend/src/middleware/securityHeaders.ts
• packages/backend/src/routes/emojis.ts
• packages/backend/src/routes/proxy.ts
• packages/backend/src/services/RemoteInstanceRefreshService.ts
• packages/backend/src/services/RemoteInstanceService.ts
• packages/backend/src/services/WebPushService.ts
• packages/backend/src/services/ap/ActivityDeliveryService.ts
• packages/backend/src/services/ap/RemoteActorService.ts
• packages/backend/src/services/ap/RemoteFetchService.ts
• packages/backend/src/services/ap/RemoteLikesService.ts
• packages/backend/src/tests/unit/proxy.test.ts
• packages/backend/src/tests/unit/safeFetch.test.ts

• Autofix · Keep fixing CodeRabbit findings and required CI, and resolving merge conflicts

Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.

❤️ Share

• X
• Mastodon
• Reddit
• LinkedIn

_{Comment @coderabbitai help to get the list of available commands.}