@webnumseoagent/next 0.5.0 → 0.7.0

package/dist/sanitize.js

@@ -0,0 +1,76 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.sanitizeDeliveryHtml = sanitizeDeliveryHtml;
+// Санитайзер HTML тела статьи (защита-в-глубину перед dangerouslySetInnerHTML) — ЗЕРКАЛО доставки
+// (src/lib/blog/blog-delivery.ts + Edge blog-autopilot). Тело уже санитайзено при доставке, но это
+// последний рубеж на рендере (общий для supabase- и файлового источников блога).
+const SANITIZE_ALLOWED_TAGS = new Set([
+    "h1", "h2", "h3", "h4", "h5", "h6", "p", "br", "hr", "strong", "b", "em", "i", "u", "s",
+    "ul", "ol", "li", "blockquote", "a", "img", "figure", "figcaption",
+    "table", "thead", "tbody", "tfoot", "tr", "th", "td", "caption", "code", "pre", "span", "div",
+]);
+const SANITIZE_ALLOWED_ATTRS = /^(href|src|alt|title|target|rel|width|height|loading|colspan|rowspan|scope|start|type)$/;
+const SANITIZE_VOID = new Set(["br", "hr", "img"]);
+function decodeSchemeEntities(v) {
+    return v
+        .replace(/&#x([0-9a-fA-F]+);?/g, (_m, h) => { try {
+        return String.fromCodePoint(parseInt(h, 16));
+    }
+    catch {
+        return "";
+    } })
+        .replace(/&#(\d+);?/g, (_m, d) => { try {
+        return String.fromCodePoint(parseInt(d, 10));
+    }
+    catch {
+        return "";
+    } })
+        .replace(/&(colon|tab|newline|lf|cr|sol|amp);?/gi, (m) => {
+        const k = m.replace(/[&;]/g, "").toLowerCase();
+        return { colon: ":", sol: "/", amp: "&", tab: " ", newline: " ", lf: " ", cr: " " }[k] ?? " ";
+    });
+}
+function safeUrl(val) {
+    const v = decodeSchemeEntities(val).toLowerCase().replace(/\s/g, "");
+    if (!/^[a-z][a-z0-9+.-]*:/.test(v))
+        return true;
+    return /^(https?:|mailto:|tel:)/.test(v);
+}
+function sanitizeAttrs(tag, attrsRaw) {
+    const out = [];
+    const re = /([a-zA-Z_:][-a-zA-Z0-9_:.]*)\s*=\s*("([^"]*)"|'([^']*)'|([^\s"'>]+))/g;
+    let m;
+    let href = "";
+    while ((m = re.exec(attrsRaw))) {
+        const name = m[1].toLowerCase();
+        const val = m[3] ?? m[4] ?? m[5] ?? "";
+        if (name.startsWith("on") || name === "style" || name === "srcset")
+            continue;
+        if ((name === "href" || name === "src") && !safeUrl(val))
+            continue;
+        if (!SANITIZE_ALLOWED_ATTRS.test(name))
+            continue;
+        if (name === "href")
+            href = val;
+        out.push(`${name}="${val.replace(/"/g, """)}"`);
+    }
+    if (tag === "a" && !out.some((a) => a.startsWith("rel="))) {
+        if (/^(https?:)?\/\//i.test(href.trim()))
+            out.push('rel="noopener nofollow"');
+    }
+    return out.length ? " " + out.join(" ") : "";
+}
+function sanitizeDeliveryHtml(html) {
+    let s = html || "";
+    s = s.replace(/<(script|style|iframe|object|embed|form|noscript|template|svg|math)\b[\s\S]*?<\/\1\s*>/gi, "");
+    s = s.replace(/<!--[\s\S]*?-->/g, "");
+    s = s.replace(/<(\/?)([a-zA-Z][a-zA-Z0-9]*)\b((?:"[^"]*"|'[^']*'|[^>])*)>/g, (_full, slash, tag, attrs) => {
+        const t = tag.toLowerCase();
+        if (!SANITIZE_ALLOWED_TAGS.has(t))
+            return "";
+        if (slash)
+            return `</${t}>`;
+        return `<${t}${sanitizeAttrs(t, attrs)}${SANITIZE_VOID.has(t) ? " /" : ""}>`;
+    });
+    return s.trim();
+}

package/dist/sitemap-build.js

@@ -1,4 +1,37 @@
 "use strict";
+var __createBinding = (this && this.__createBinding) || (Object.create ? (function(o, m, k, k2) {
+    if (k2 === undefined) k2 = k;
+    var desc = Object.getOwnPropertyDescriptor(m, k);
+    if (!desc || ("get" in desc ? !m.__esModule : desc.writable || desc.configurable)) {
+      desc = { enumerable: true, get: function() { return m[k]; } };
+    }
+    Object.defineProperty(o, k2, desc);
+}) : (function(o, m, k, k2) {
+    if (k2 === undefined) k2 = k;
+    o[k2] = m[k];
+}));
+var __setModuleDefault = (this && this.__setModuleDefault) || (Object.create ? (function(o, v) {
+    Object.defineProperty(o, "default", { enumerable: true, value: v });
+}) : function(o, v) {
+    o["default"] = v;
+});
+var __importStar = (this && this.__importStar) || (function () {
+    var ownKeys = function(o) {
+        ownKeys = Object.getOwnPropertyNames || function (o) {
+            var ar = [];
+            for (var k in o) if (Object.prototype.hasOwnProperty.call(o, k)) ar[ar.length] = k;
+            return ar;
+        };
+        return ownKeys(o);
+    };
+    return function (mod) {
+        if (mod && mod.__esModule) return mod;
+        var result = {};
+        if (mod != null) for (var k = ownKeys(mod), i = 0; i < k.length; i++) if (k[i] !== "default") __createBinding(result, mod, k[i]);
+        __setModuleDefault(result, mod);
+        return result;
+    };
+})();
 Object.defineProperty(exports, "__esModule", { value: true });
 exports.seoWrapSitemap = seoWrapSitemap;
 const API = process.env.SEOAGENT_API_BASE ?? "";
@@ -115,6 +148,8 @@ function groupOfUrl(loc) {
     const segs = path.split("/").filter(Boolean);
     return segs.length <= 1 ? "pages" : dec(segs[0]);
 }
+// Раздел записи: явный e.group (напр. блог) важнее эвристики по первому сегменту URL.
+const groupOf = (e) => e.group ?? groupOfUrl(e.loc);
 // Нормализованный путь записи (декодированный, без хвостового слэша) — для сравнения
 // с excludedRoutes (точное совпадение пути).
 function pathOf(loc) {
@@ -174,6 +209,16 @@ async function seoWrapSitemap(fn, kind, group) {
     const origin = originOf(entries);
     if (!origin || entries.length === 0)
         return EMPTY;
+    // Блог живёт файлами в репо (git-native) и в генераторе карты сайта его нет — добавляем его записи
+    // сами, на сборке из content/blog (раздел карты "blog"). node:fs грузим динамически; нет блога → пропуск.
+    try {
+        const bf = await Promise.resolve().then(() => __importStar(require("./blog-fs")));
+        if (bf.fsAvailable()) {
+            for (const b of bf.fsBlogSitemapEntries(origin))
+                entries.push({ loc: b.loc, lastmod: b.lastmod, group: "blog" });
+        }
+    }
+    catch { /* нет модуля/файлов → без блога */ }
     // Отдаём платформе ПОЛНЫЙ список страниц (до исключений) — только на индексном/плоском
     // вызове (у него все URL). Await + троттлинг: доставка надёжна, задержка редка (карта кэш 300с).
     if (kind === "index" || kind === "flat")
@@ -190,21 +235,21 @@ async function seoWrapSitemap(fn, kind, group) {
     const excluded = new Set(cfg.excludedGroups);
     // flat — одна карта со всеми URL (без под-карт); используется, когда под-карты недоступны.
     if (kind === "flat")
-        return urlsetXml(origin, entries.filter((e) => !excluded.has(groupOfUrl(e.loc))));
+        return urlsetXml(origin, entries.filter((e) => !excluded.has(groupOf(e))));
     if (kind === "child") {
         const g = (group ?? "").replace(/\.xml$/i, "");
         if (excluded.has(g))
             return EMPTY; // раздел выключен → пустая (валидная) карта
-        return urlsetXml(origin, entries.filter((e) => groupOfUrl(e.loc) === g));
+        return urlsetXml(origin, entries.filter((e) => groupOf(e) === g));
     }
     // index
-    const groups = [...new Set(entries.map((e) => groupOfUrl(e.loc)))].sort().filter((g) => !excluded.has(g));
+    const groups = [...new Set(entries.map((e) => groupOf(e)))].sort().filter((g) => !excluded.has(g));
     if (groups.length === 0)
         return EMPTY; // всё выключено → пустая карта (backstop)
     if (groups.length === 1) {
         // остался один раздел → отдаём его urlset (только его записи, не все!)
         const only = groups[0];
-        return urlsetXml(origin, entries.filter((e) => groupOfUrl(e.loc) === only));
+        return urlsetXml(origin, entries.filter((e) => groupOf(e) === only));
     }
     return indexXml(origin, groups);
 }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@webnumseoagent/next",
-  "version": "0.5.0",
+  "version": "0.7.0",
   "description": "Runtime SEO adapter + installer for Next.js App Router sites (SEO Agent platform)",
   "main": "dist/client.js",
   "types": "dist/client.d.ts",
@@ -35,6 +35,8 @@
     "jsonld.tsx",
     "analytics.tsx",
     "blog.tsx",
+    "blog-fs.ts",
+    "sanitize.ts",
     "sitemap-xsl.ts",
     "sitemap-build.ts",
     "redirects.ts",

package/sanitize.ts

@@ -0,0 +1,56 @@
+// Санитайзер HTML тела статьи (защита-в-глубину перед dangerouslySetInnerHTML) — ЗЕРКАЛО доставки
+// (src/lib/blog/blog-delivery.ts + Edge blog-autopilot). Тело уже санитайзено при доставке, но это
+// последний рубеж на рендере (общий для supabase- и файлового источников блога).
+const SANITIZE_ALLOWED_TAGS = new Set([
+  "h1", "h2", "h3", "h4", "h5", "h6", "p", "br", "hr", "strong", "b", "em", "i", "u", "s",
+  "ul", "ol", "li", "blockquote", "a", "img", "figure", "figcaption",
+  "table", "thead", "tbody", "tfoot", "tr", "th", "td", "caption", "code", "pre", "span", "div",
+]);
+const SANITIZE_ALLOWED_ATTRS = /^(href|src|alt|title|target|rel|width|height|loading|colspan|rowspan|scope|start|type)$/;
+const SANITIZE_VOID = new Set(["br", "hr", "img"]);
+
+function decodeSchemeEntities(v: string): string {
+  return v
+    .replace(/&#x([0-9a-fA-F]+);?/g, (_m, h) => { try { return String.fromCodePoint(parseInt(h, 16)); } catch { return ""; } })
+    .replace(/&#(\d+);?/g, (_m, d) => { try { return String.fromCodePoint(parseInt(d, 10)); } catch { return ""; } })
+    .replace(/&(colon|tab|newline|lf|cr|sol|amp);?/gi, (m) => {
+      const k = m.replace(/[&;]/g, "").toLowerCase();
+      return ({ colon: ":", sol: "/", amp: "&", tab: " ", newline: " ", lf: " ", cr: " " } as Record<string, string>)[k] ?? " ";
+    });
+}
+function safeUrl(val: string): boolean {
+  const v = decodeSchemeEntities(val).toLowerCase().replace(/\s/g, "");
+  if (!/^[a-z][a-z0-9+.-]*:/.test(v)) return true;
+  return /^(https?:|mailto:|tel:)/.test(v);
+}
+function sanitizeAttrs(tag: string, attrsRaw: string): string {
+  const out: string[] = [];
+  const re = /([a-zA-Z_:][-a-zA-Z0-9_:.]*)\s*=\s*("([^"]*)"|'([^']*)'|([^\s"'>]+))/g;
+  let m: RegExpExecArray | null;
+  let href = "";
+  while ((m = re.exec(attrsRaw))) {
+    const name = m[1].toLowerCase();
+    const val = m[3] ?? m[4] ?? m[5] ?? "";
+    if (name.startsWith("on") || name === "style" || name === "srcset") continue;
+    if ((name === "href" || name === "src") && !safeUrl(val)) continue;
+    if (!SANITIZE_ALLOWED_ATTRS.test(name)) continue;
+    if (name === "href") href = val;
+    out.push(`${name}="${val.replace(/"/g, "&quot;")}"`);
+  }
+  if (tag === "a" && !out.some((a) => a.startsWith("rel="))) {
+    if (/^(https?:)?\/\//i.test(href.trim())) out.push('rel="noopener nofollow"');
+  }
+  return out.length ? " " + out.join(" ") : "";
+}
+export function sanitizeDeliveryHtml(html: string): string {
+  let s = html || "";
+  s = s.replace(/<(script|style|iframe|object|embed|form|noscript|template|svg|math)\b[\s\S]*?<\/\1\s*>/gi, "");
+  s = s.replace(/<!--[\s\S]*?-->/g, "");
+  s = s.replace(/<(\/?)([a-zA-Z][a-zA-Z0-9]*)\b((?:"[^"]*"|'[^']*'|[^>])*)>/g, (_full, slash, tag, attrs) => {
+    const t = tag.toLowerCase();
+    if (!SANITIZE_ALLOWED_TAGS.has(t)) return "";
+    if (slash) return `</${t}>`;
+    return `<${t}${sanitizeAttrs(t, attrs)}${SANITIZE_VOID.has(t) ? " /" : ""}>`;
+  });
+  return s.trim();
+}

package/sitemap-build.ts

@@ -55,6 +55,7 @@ interface NEntry {
   priority?: number;
   images?: string[];
   title?: string; // имя записи (name/title из генератора) — для списка «SEO страниц» на платформе
+  group?: string; // явный раздел карты (напр. "blog") — переопределяет группировку по первому сегменту URL
 }
 
 // Авто-репорт списка страниц на платформу: у адаптера есть ВСЕ URL сайта (из генератора
@@ -144,6 +145,8 @@ function groupOfUrl(loc: string): string {
   const segs = path.split("/").filter(Boolean);
   return segs.length <= 1 ? "pages" : dec(segs[0]);
 }
+// Раздел записи: явный e.group (напр. блог) важнее эвристики по первому сегменту URL.
+const groupOf = (e: NEntry): string => e.group ?? groupOfUrl(e.loc);
 
 // Нормализованный путь записи (декодированный, без хвостового слэша) — для сравнения
 // с excludedRoutes (точное совпадение пути).
@@ -207,6 +210,15 @@ export async function seoWrapSitemap(
   const origin = originOf(entries);
   if (!origin || entries.length === 0) return EMPTY;
 
+  // Блог живёт файлами в репо (git-native) и в генераторе карты сайта его нет — добавляем его записи
+  // сами, на сборке из content/blog (раздел карты "blog"). node:fs грузим динамически; нет блога → пропуск.
+  try {
+    const bf = await import("./blog-fs");
+    if (bf.fsAvailable()) {
+      for (const b of bf.fsBlogSitemapEntries(origin)) entries.push({ loc: b.loc, lastmod: b.lastmod, group: "blog" });
+    }
+  } catch { /* нет модуля/файлов → без блога */ }
+
   // Отдаём платформе ПОЛНЫЙ список страниц (до исключений) — только на индексном/плоском
   // вызове (у него все URL). Await + троттлинг: доставка надёжна, задержка редка (карта кэш 300с).
   if (kind === "index" || kind === "flat") await reportPages(entries);
@@ -221,21 +233,21 @@ export async function seoWrapSitemap(
   const excluded = new Set(cfg.excludedGroups);
 
   // flat — одна карта со всеми URL (без под-карт); используется, когда под-карты недоступны.
-  if (kind === "flat") return urlsetXml(origin, entries.filter((e) => !excluded.has(groupOfUrl(e.loc))));
+  if (kind === "flat") return urlsetXml(origin, entries.filter((e) => !excluded.has(groupOf(e))));
 
   if (kind === "child") {
     const g = (group ?? "").replace(/\.xml$/i, "");
     if (excluded.has(g)) return EMPTY; // раздел выключен → пустая (валидная) карта
-    return urlsetXml(origin, entries.filter((e) => groupOfUrl(e.loc) === g));
+    return urlsetXml(origin, entries.filter((e) => groupOf(e) === g));
   }
 
   // index
-  const groups = [...new Set(entries.map((e) => groupOfUrl(e.loc)))].sort().filter((g) => !excluded.has(g));
+  const groups = [...new Set(entries.map((e) => groupOf(e)))].sort().filter((g) => !excluded.has(g));
   if (groups.length === 0) return EMPTY; // всё выключено → пустая карта (backstop)
   if (groups.length === 1) {
     // остался один раздел → отдаём его urlset (только его записи, не все!)
     const only = groups[0];
-    return urlsetXml(origin, entries.filter((e) => groupOfUrl(e.loc) === only));
+    return urlsetXml(origin, entries.filter((e) => groupOf(e) === only));
   }
   return indexXml(origin, groups);
 }