explicai 0.0.0-stage → 0.2.0

package/dist/server/security.js

@@ -0,0 +1,17 @@
+import { HttpError } from "./http.js";
+const LOCAL_HOSTS = ["localhost", "127.0.0.1", "[::1]"];
+/**
+ * O Studio só atende o próprio computador. Checar Host e Origin (que deve ser igual ao Host) impede que um site aberto
+ * no navegador use o Studio (DNS rebinding e requisições de outra origem).
+ */
+export function assertLocalRequest(req) {
+    const fullHost = req.headers.host ?? "";
+    const host = fullHost.replace(/:\d+$/, "");
+    if (!LOCAL_HOSTS.includes(host))
+        throw new HttpError(403, "Acesso permitido só a partir deste computador.", "forbidden-host");
+    const origin = req.headers.origin;
+    // Mesma origem do Host, porta inclusa. O proxy do Vite não reescreve o Host (changeOrigin desligado), então 5173 bate com 5173.
+    if (origin && origin !== `http://${fullHost}`)
+        throw new HttpError(403, "Origem não permitida.", "forbidden-origin");
+}
+//# sourceMappingURL=security.js.map

package/dist/server/workspace.d.ts

@@ -0,0 +1,5 @@
+import type { RouteContext } from "./router.js";
+/** Pasta do manual `:slug` dentro do workspace. Recusa nomes que tentem sair da pasta. */
+export declare function manualDir({ opts, params }: RouteContext): string;
+export declare function optionalString(v: unknown): string | undefined;
+export declare function optionalNumber(v: unknown): number | undefined;

package/dist/server/workspace.js

@@ -0,0 +1,17 @@
+import { resolveInside } from "../core/index.js";
+import { HttpError } from "./http.js";
+/** Pasta do manual `:slug` dentro do workspace. Recusa nomes que tentem sair da pasta. */
+export function manualDir({ opts, params }) {
+    const slug = params.slug ?? "";
+    if (!slug || slug.includes("/") || slug.includes("\\") || slug.startsWith(".")) {
+        throw new HttpError(404, "Manual não encontrado.");
+    }
+    return resolveInside(opts.workspace, slug);
+}
+export function optionalString(v) {
+    return typeof v === "string" ? v : undefined;
+}
+export function optionalNumber(v) {
+    return typeof v === "number" ? v : undefined;
+}
+//# sourceMappingURL=workspace.js.map