サーバーサイドリクエストフォージェリ

// 入力URLへ直接リクエストし、SSRFの危険を生む
const express = require("express");
const axios = require("axios");
const app = express();

app.get("/proxy", async (req, res) => {
  try {
    const url = req.query.url; // 例: http://127.0.0.1:8080/admin
    if (!url) return res.status(400).send("url required");

    // ユーザーが渡したURLをそのまま使用
    const resp = await axios.get(url, { timeout: 5000 });
    res.send(resp.data);
  } catch (e) {
    res.status(502).send("bad gateway");
  }
});

app.listen(3000);

// 識別子を固定URLへ対応付け、パスを制限
const express = require("express");
const axios = require("axios");
const app = express();

// 1) 許可したサービス識別子を固定の基準URLへ対応付け
const SERVICE_BASE = new Map([
  ["status", new URL("https://status.example.com")],
  ["api", new URL("https://api.example.com")],
]);

// 2) 先頭を1つの'/'とし、英数字・/・-・_だけを許可
//    '//evil.example'などのプロトコル相対URLや'..'のパスを拒否。
const SAFE_PATH = /^\/(?!\/)[A-Za-z0-9_\/-]*$/;

app.get("/proxy-safe", async (req, res) => {
  try {
    const { service, path = "/" } = req.query;

    // サービス識別子を許可リストで検証
    if (typeof service !== "string" || typeof path !== "string") {
      return res.status(400).send("invalid parameters");
    }
    const base = SERVICE_BASE.get(service);
    if (!base) return res.status(400).send("invalid service");

    // パスの検証と正規化
    if (!SAFE_PATH.test(path) || path.includes("..")) {
      return res.status(400).send("invalid path");
    }

    // 標準URLパーサーで宛先を組み立てる
    const target = new URL(path, base);
    if (target.origin !== base.origin) {
      return res.status(400).send("invalid target");
    }

    // リダイレクトを制限し、タイムアウトを設定
    const resp = await axios.get(target.toString(), {
      timeout: 4000,
      maxRedirects: 0, // リダイレクトによる宛先変更を防止
      responseType: "arraybuffer",
      maxContentLength: 1024 * 1024,
      validateStatus: (s) => s < 400,
    });

    // 外部コンテンツをこのアプリケーションのoriginでHTMLとして実行しない
    res.status(resp.status);
    res.set("Content-Type", "application/octet-stream");
    res.set("X-Content-Type-Options", "nosniff");
    res.send(Buffer.from(resp.data));
  } catch (e) {
    // リダイレクトや検証の失敗時に詳細を公開しない
    res.status(502).send("bad gateway");
  }
});

app.listen(3000);