Widget→Receiver 取り込みのペア認証と受信データの安全な取り扱い

[kosako]

背景

POST /feedback は誰からでも・どこからでも受け付ける。公開デプロイすると spam / ゴミデータ / 悪意ある payload の投入が可能になり、受け取り側にもリスクがある（後述の SVG の件など）。widget と receiver の間に「ペア認証」的な仕組みが欲しい。

前提の整理

公開デモページに埋める widget はブラウザで動くため、埋め込んだキーは閲覧者全員に見える。したがってここでの ingest key は「秘密による認証」ではなく、(a) プロジェクト識別、(b) 無差別 spam の抑止、(c) キーのローテーションによる失効、を目的とした軽量な仕組みになる。本気のレビュアー認証はデモ側にログインがある前提で署名付き token を発行する形（将来スコープ）。

スコープ

ペア認証（ingest key）

• widget init に ingestKey（プロジェクトごとの公開キー）を追加し、payload またはヘッダーで送る
• receiver 側 config に許可キーのリストを持ち、不一致は 401/403 で拒否
• キーごとに projectId を紐付けてもよい（payload の projectId 詐称対策）

受信データの安全な取り扱い

• screenshot SVG の stored XSS 対策（重要）: 保存した SVG は <script> や onload を含み得る。inbox の <img> 表示では実行されないが、GET /screenshots/:file を直接開くと receiver オリジンで実行される。対策候補:
  • 配信時に Content-Security-Policy: sandbox / script-src 'none' を付ける（最小・推奨）
  • もしくは Content-Disposition: attachment
  • もしくは保存時に SVG をサニタイズ（script / イベント属性 / foreignObject 内の危険要素除去は難しいので CSP 推奨）
• Origin / Referer の allowlist チェック（CORS とは別にサーバー側でも検証）
• rate limit（IP ごと / キーごと）と保存件数・ディスク使用量の上限
• 既存の防御の維持: payload shape validation / MAX_BODY_BYTES / SCREENSHOT_MAX_BYTES / mime type 制限 / inbox の HTML escape

受け入れ条件

• ingest key を設定した receiver は、キーなし・不正キーの POST /feedback を拒否する
• ローカル開発（キーなし運用）は引き続き動く
• screenshot を直接開いても script が実行されない
• README に設定方法が記載されている

関連

• 管理面（inbox 閲覧・操作）の認証は別 issue（公開デプロイ時のハードニング）

[kosako]

全体監査(2026-06-20)による確定・追記

H-1（SVG stored XSS）と DoS を独立検証で実在確定（High / Medium）。本 issue の方針（CSP / Content-Disposition / SVG 受理停止）で正しい。追加の具体情報:

SVG stored XSS（確定 High）

• extensionForMimeType が image/svg+xml → svg を許可（server/receive.js:831-832）、saveScreenshot は中身を無害化せず fs.writeFileSync（L806）、handleGetScreenshot は image/svg+xml; charset=utf-8 で配信し CSP / Content-Disposition / nosniff いずれも付けない（L770-773）。
• 発火ベクタの特定: inbox は screenshot を <img> 表示に加えて <a href target=_blank rel=noopener> でも参照する（server/static/inbox.js:1410-1414 renderScreenshotPreview）。<img> 経由では SVG 内スクリプトは実行されないが、このリンクのトップレベル遷移、または URL 直開きで receiver オリジン上で実行される。inbox は管理画面なので管理者狙いの stored XSS。
• 注意: nosniff 単独では、明示的に image/svg+xml を返している現状の実行は止まらない（nosniff は型推測の抑止）。本質緩和は CSP（default-src 'none'; sandbox）/ Content-Disposition: attachment / SVG 受理停止 のいずれか。

DoS（確定 Medium）

• rate limit・保存件数・ディスク使用量・/import 配列長 いずれも上限が無い（normalizeImportedBundle は length===0 のみ拒否, L565）。saveScreenshot は同期 writeFileSync でループブロックも起こる。
• payload にネスト深さ／配列長／文字列長の検証が無い（receive.js:587-615）。