CodeQL Code Scanningアラート対応 (critical 1件 + high 22件のコード修正)

[mt3hr]

概要

GitHub Security > Code Scanning の27件のオープンアラートのうち、コード修正で対応すべき23件を修正します。残り4件 (#153, #154, #138, #139) は仕様上の誤検知としてマージ後にdismissします。

修正内容

アラート	内容	対応
#140 (critical)	SSRF: URLog bookmarkletの image_url/favicon_url を無検証fetch	httpGetBase64Data にスキーム制限(http/https)・内部アドレス拒否(Dialer.ControlでDNSリバインディング対策込み)・30sタイムアウト・10MB上限を追加
#141	割り当てサイズ未制御	get_kyous_mcp のDTO割り当てcapを定数 maxLimit で明示
#159-#161	path-injection: pluginsDirの userID 未検証	単一パス要素検証を追加、不正時はプラグイン無効化
#142-#152	TraceSQLログへの機密値出力	GOOGLE_MAP_API_KEY・GKILL_NOTIFICATION_PRIVATE_KEY・PASSWORD_SHA256・PASSWORD_RESET_TOKEN を *** にマスク (sqlite3impl.MaskSensitiveValueForLog)
#155-#158, #162, #163	path-injection/zipslip (実質防御済みだがCodeQL未認識)	手書きガードを reps.SecureJoin に統一
#164	Wear OS: 全証明書信頼TrustManager	opt-in設定化。デフォルトは標準証明書検証、設定画面のチェックボックスで自己署名許可を明示的に有効化

検証

• go vet ./... / go test ./... 全パス (SSRFガードのユニットテスト utils_ssrf_test.go を追加)
• 検証用サーバー(:19999)で実機確認: 127.0.0.1 / 169.254.169.254 へのfetchがdial段階で拒否され、外部URLは正常取得できること
• get_kyous_mcp に limit: -1 / 999999 → 200
• Wear OS :phone_companion:assembleDebug ビルド成功
• MCPテストの既存失敗13件は変更前と同一(本PRと無関係)

🤖 Generated with Claude Code

[mt3hr]

フォローアップ課題: アカウントパスワードのサーバー側保存をsalted KDFに強化する

(リポジトリのIssueが無効のためPRコメントとして記録)

CodeQLアラート #138/#139 の調査で判明した根本課題。現状 /api/login はクライアントの password_sha256 を ACCOUNT.PASSWORD_SHA256 保存値と単純等値比較しており、保存値=送信値のためDB閲覧者はそのままログイン可能(パスワード同等物)。無塩SHA-256のためレインボーテーブルにも弱い。

提案: クライアント側プレハッシュは維持しつつ、サーバー側で受信sha256にsalted KDF (bcrypt等) を適用して保存・検証する。既存アカウントは初回ログイン成功時に透過的に再ハッシュ。影響: account_dao_sqlite3_impl.go / handle_login.go / handle_set_new_password.go / リセットフロー。MCP・Wear OS側は変更不要。

🤖 Generated with Claude Code