@zalkera/client 0.21.5 → 0.21.7

package/dist/index.d.cts

@@ -1158,18 +1158,6 @@ declare function asHandle(value: unknown): string | undefined;
  * (자기 카탈로그 안의 자기 handle — 정당하다)을 배열로 들고 다닐 때 여전히 쓰이기 때문이다.
  */
 declare function asHandleArray(value: unknown): string[];
-/**
- * 레포 `public/` 에이셋 경로. **루트 절대 경로만** 통과한다.
- *
- * 왜 `safeLinkUrl` 을 그대로 안 쓰는가: 링크는 외부로 나가는 것이 정당하지만(스킴 허용목록),
- * 이 값은 `<img src>` 로 들어가는 **레포 안 파일 참조**다. 원격 호스트를 허용하면 ⑴ 개시된 사이트가
- * 남의 서버에 의존해 조용히 깨지고 ⑵ 방문자 IP·리퍼러가 그 호스트로 새며 ⑶ `data:`·`javascript:`
- * 가 같은 구멍으로 들어온다. 원격 이미지가 필요한 레포는 계약 영역이 아니라 자유 영역에서 자기
- * 컴포넌트로 그린다 — 계약이 자유를 막지는 않되, 계약이 보증하는 범위는 좁게 잡는다.
- *
- * 막는 것: 스킴 있는 URL(`http:`·`data:`·`javascript:`) · 스킴 상대(`//host`) · 상대 경로 ·
- * 경로 탈출(`..`) · 역슬래시(윈도 경로·정규화 우회) · 널바이트. **절대 throw 하지 않는다.**
- */
 declare function assetPath(value: unknown): string | undefined;
 
 /**

package/dist/index.d.ts

@@ -1158,18 +1158,6 @@ declare function asHandle(value: unknown): string | undefined;
  * (자기 카탈로그 안의 자기 handle — 정당하다)을 배열로 들고 다닐 때 여전히 쓰이기 때문이다.
  */
 declare function asHandleArray(value: unknown): string[];
-/**
- * 레포 `public/` 에이셋 경로. **루트 절대 경로만** 통과한다.
- *
- * 왜 `safeLinkUrl` 을 그대로 안 쓰는가: 링크는 외부로 나가는 것이 정당하지만(스킴 허용목록),
- * 이 값은 `<img src>` 로 들어가는 **레포 안 파일 참조**다. 원격 호스트를 허용하면 ⑴ 개시된 사이트가
- * 남의 서버에 의존해 조용히 깨지고 ⑵ 방문자 IP·리퍼러가 그 호스트로 새며 ⑶ `data:`·`javascript:`
- * 가 같은 구멍으로 들어온다. 원격 이미지가 필요한 레포는 계약 영역이 아니라 자유 영역에서 자기
- * 컴포넌트로 그린다 — 계약이 자유를 막지는 않되, 계약이 보증하는 범위는 좁게 잡는다.
- *
- * 막는 것: 스킴 있는 URL(`http:`·`data:`·`javascript:`) · 스킴 상대(`//host`) · 상대 경로 ·
- * 경로 탈출(`..`) · 역슬래시(윈도 경로·정규화 우회) · 널바이트. **절대 throw 하지 않는다.**
- */
 declare function assetPath(value: unknown): string | undefined;
 
 /**

package/dist/index.js

@@ -327,15 +327,37 @@ function sectionsOfVertical(vertical) {
 
 // src/safeUrl.ts
 var ALLOWED_SCHEMES = /* @__PURE__ */ new Set(["http:", "https:", "mailto:", "tel:"]);
+var DUMMY_ORIGIN = "https://zalkera.invalid";
+function internalPath(raw) {
+  let out;
+  try {
+    const parsed = new URL(raw, DUMMY_ORIGIN);
+    if (parsed.origin !== DUMMY_ORIGIN) return null;
+    out = parsed.pathname + parsed.search + parsed.hash;
+  } catch {
+    return null;
+  }
+  try {
+    if (new URL(out, DUMMY_ORIGIN).origin !== DUMMY_ORIGIN) return null;
+  } catch {
+    return null;
+  }
+  return out;
+}
 function safeLinkUrl(raw) {
   if (!raw) return "#";
   const url = raw.trim();
-  if (url.startsWith("/") && !url.startsWith("//")) return url;
+  if (url.startsWith("#") || url.startsWith("?")) return url;
+  if (url.startsWith("/")) return internalPath(url) ?? "#";
   try {
     const parsed = new URL(url);
     return ALLOWED_SCHEMES.has(parsed.protocol) ? url : "#";
   } catch {
-    return url.startsWith("//") ? "#" : url;
+    try {
+      return internalPath(url) ?? "#";
+    } catch {
+      return "#";
+    }
   }
 }
 
@@ -407,13 +429,23 @@ function asHandleArray(value) {
   if (!Array.isArray(value)) return [];
   return value.map(asHandle).filter((h) => h !== void 0);
 }
+var ASSET_DUMMY_ORIGIN = "https://zalkera.invalid";
 function assetPath(value) {
   if (typeof value !== "string") return void 0;
   const path = value.trim();
   if (!path.startsWith("/") || path.startsWith("//")) return void 0;
   if (path.includes("\\") || path.includes("\0")) return void 0;
   if (path.split("/").includes("..")) return void 0;
-  return path;
+  let parsed;
+  try {
+    parsed = new URL(path, ASSET_DUMMY_ORIGIN);
+  } catch {
+    return void 0;
+  }
+  if (parsed.origin !== ASSET_DUMMY_ORIGIN) return void 0;
+  const out = parsed.pathname + parsed.search + parsed.hash;
+  if (!out.startsWith("/") || out.startsWith("//")) return void 0;
+  return out;
 }
 
 // src/theme.ts