[sasagar]

変更

• OAuthService
  • 既存アカウントへのメール一致による自動リンクを廃止（リンク行がある場合のみログイン）。メールが既存アカウントと一致する場合は email_exists で拒否
  • プロバイダーのメールは検証済みのみ使用（GitHub /user/emails の verified、Google verified_email/email_verified、Discord verified）。未検証時はプレースホルダー
  • 新規作成時に登録無効・招待制を適用、ブロック済みユーザー名を回避。user:beforeRegister / afterRegister フックを実行
  • OAuth のみのユーザーが最後のプロバイダーを解除できないよう hasUsablePassword() を追加
• lib/registrationPolicy.ts（新規）: 登録可否・招待制の判定を auth.ts から共通化
• routes/oauth.ts: requireAuth → requireAuth()（link / unlink / accounts が動作していなかった）。ログイン中セッションに紐付いた link フロー（POST /:provider/link/authorize、state + セッショントークンの httpOnly cookie）を追加
• routes/users.ts: 招待制等を迂回していた旧 POST /api/users を削除（フロントエンド未使用）
• フロントエンド: toSafeHttpUrl() を追加し、NoteCardMenu（新しいタブで開く / リンクコピー / 共有）と MfmRenderer のリンクで http(s) 以外を拒否

挙動の変化

• 未リンクの OAuth ログインで既存アカウントとメールが一致すると拒否（設定画面からのリンク UI は未実装）
• 招待制 / 登録停止中は OAuth による新規登録不可（リンク済みユーザーはログイン可）
• POST /api/users は 404。POST /api/auth/register を使用

確認

• typecheck / lint / format:check / backend ユニット 1065 件・frontend 42 件 pass

https://claude.ai/code/session_01Y29fBeRP344FME6de48wUv

[coderabbitai]

Warning

Review limit reached

You've used all free OSS reviews for now. Wait for the free limit to reset to keep reviewing this public repository.

Next included review available in 20 minutes.

Check out review usage here.

View limit details

Limit details: You’ve used the included review currently available.

Learn how review limits work.

Review configuration:

⚙️ Run configuration

• Configuration used: Repository: Love-Rox/rox/.coderabbit.yaml
• Review profile: CHILL
• Plan: Advanced
• Run ID: f102ef30-7fba-4746-b902-cd34cd9506d2

📥 Commits

Reviewing files that changed from the base of the PR and between 768c035 and 641e9db.

📒 Files selected for processing: 12

• packages/backend/src/lib/registrationPolicy.ts
• packages/backend/src/lib/validation.ts
• packages/backend/src/routes/auth.ts
• packages/backend/src/routes/oauth.ts
• packages/backend/src/routes/users.ts
• packages/backend/src/services/OAuthService.ts
• packages/backend/src/tests/unit/OAuthRoutesSecurity.test.ts
• packages/backend/src/tests/unit/OAuthService.test.ts
• packages/frontend/src/components/mfm/MfmRenderer.tsx
• packages/frontend/src/components/note/NoteCardMenu.tsx
• packages/frontend/src/lib/utils/safeUrl.ts
• packages/frontend/src/tests/safeUrl.test.ts

• Autofix · Keep fixing CodeRabbit findings and required CI, and resolving merge conflicts

Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.

❤️ Share

• X
• Mastodon
• Reddit
• LinkedIn

_{Comment @coderabbitai help to get the list of available commands.}