panal-mcp 0.3.0 → 0.3.1

package/dist/fetch-result.d.ts

@@ -10,8 +10,18 @@
  * La URL sale del metadata on-chain, o sea que la escribe un desconocido: se
  * valida antes de pedirle nada, y la respuesta se lee con un tope de tamaño.
  */
-/** El mensaje que firma el cliente. Debe coincidir con el bot y el frontend. */
-export declare function resultSignMessage(taskId: bigint): string;
+/** Cuánto vale una firma de descarga: abre toda la entrega, así que poco. */
+export declare const VENTANA_FIRMA_S: number;
+/**
+ * El mensaje que firma el cliente. Debe coincidir con el bot y el frontend.
+ *
+ * Lleva la caducidad dentro: cambiarla invalida la firma. Antes no caducaba, y
+ * como además viajaba en la query acababa en el log del proxy — un pase de
+ * acceso permanente escrito en un archivo de texto.
+ */
+export declare function resultSignMessage(taskId: bigint, expira: number): string;
+/** El segundo en el que caduca una firma emitida ahora. */
+export declare function expiraEn(ventanaS?: number): number;
 /** El mensaje que firma el cliente para MANDAR el encargo. Mismo pacto. */
 export declare function briefSignMessage(taskId: bigint): string;
 /**
@@ -27,18 +37,5 @@ export declare function briefSignMessage(taskId: bigint): string;
  * pago YA está bloqueado, así que lo útil es contarlo, no romper.
  */
 export declare function pushBrief(botUrl: string, taskId: bigint, brief: string, client: string, signature: string): Promise<string | null>;
-/**
- * Rechaza una URL que apunte a algo que no sea internet pública.
- *
- * Sin esto, cualquiera puede registrar un agente cuyo endpoint sea
- * `http://169.254.169.254/latest/meta-data/` y usar este servidor para leer las
- * credenciales de la máquina donde corre.
- *
- * Queda una ventana de DNS rebinding: se resuelve aquí y `fetch` vuelve a
- * resolver por su cuenta. Cerrarla del todo exige un agente HTTP a medida; el
- * riesgo residual es aceptable porque la respuesta solo se compara contra un
- * hash y nunca se ejecuta.
- */
-export declare function assertPublicUrl(raw: string): Promise<URL>;
 /** Descarga acotada: se corta en cuanto se pasa del tope. */
-export declare function fetchResultText(botUrl: string, taskId: bigint, client: string, signature: string): Promise<string>;
+export declare function fetchResultText(botUrl: string, taskId: bigint, client: string, signature: string, expira: number): Promise<string>;

package/dist/fetch-result.js

@@ -10,14 +10,29 @@
  * La URL sale del metadata on-chain, o sea que la escribe un desconocido: se
  * valida antes de pedirle nada, y la respuesta se lee con un tope de tamaño.
  */
-import { lookup } from 'node:dns/promises';
-import { isIP } from 'node:net';
+// El guard de SSRF viene del SDK, no de una copia local. Había dos
+// implementaciones equivalentes de lo mismo —la del SDK y una aquí—, y dos
+// copias de un control de seguridad son una que se queda atrás sin que nadie
+// se entere el día que la otra mejora.
+import { assertPublicUrl } from '@panal/sdk';
 /** Tope de la respuesta. Sin esto, un endpoint hostil tumba el proceso. */
 const MAX_BYTES = 512 * 1024;
 const TIMEOUT_MS = 20_000;
-/** El mensaje que firma el cliente. Debe coincidir con el bot y el frontend. */
-export function resultSignMessage(taskId) {
-    return `Panal resultado #${taskId.toString()}`;
+/** Cuánto vale una firma de descarga: abre toda la entrega, así que poco. */
+export const VENTANA_FIRMA_S = 10 * 60;
+/**
+ * El mensaje que firma el cliente. Debe coincidir con el bot y el frontend.
+ *
+ * Lleva la caducidad dentro: cambiarla invalida la firma. Antes no caducaba, y
+ * como además viajaba en la query acababa en el log del proxy — un pase de
+ * acceso permanente escrito en un archivo de texto.
+ */
+export function resultSignMessage(taskId, expira) {
+    return `Panal resultado #${taskId.toString()} · ${expira}`;
+}
+/** El segundo en el que caduca una firma emitida ahora. */
+export function expiraEn(ventanaS = VENTANA_FIRMA_S) {
+    return Math.floor(Date.now() / 1000) + ventanaS;
 }
 /** El mensaje que firma el cliente para MANDAR el encargo. Mismo pacto. */
 export function briefSignMessage(taskId) {
@@ -72,77 +87,23 @@ export async function pushBrief(botUrl, taskId, brief, client, signature) {
         clearTimeout(timer);
     }
 }
-/** ¿Esta IP apunta dentro de nuestra propia red? */
-function isPrivateIp(ip) {
-    if (isIP(ip) === 6) {
-        const v6 = ip.toLowerCase();
-        if (v6 === '::1' || v6 === '::')
-            return true;
-        if (/^f[cd]/.test(v6) || v6.startsWith('fe80'))
-            return true;
-        // IPv4 mapeada: ::ffff:10.0.0.1
-        const mapped = /^::ffff:(\d+\.\d+\.\d+\.\d+)$/.exec(v6);
-        return mapped ? isPrivateIp(mapped[1]) : false;
-    }
-    const [a = 0, b = 0] = ip.split('.').map(Number);
-    return (a === 0 ||
-        a === 10 ||
-        a === 127 ||
-        (a === 169 && b === 254) || // metadatos de la nube: credenciales
-        (a === 172 && b >= 16 && b <= 31) ||
-        (a === 192 && b === 168) ||
-        (a === 100 && b >= 64 && b <= 127) || // CGNAT
-        a >= 224);
-}
-/**
- * Rechaza una URL que apunte a algo que no sea internet pública.
- *
- * Sin esto, cualquiera puede registrar un agente cuyo endpoint sea
- * `http://169.254.169.254/latest/meta-data/` y usar este servidor para leer las
- * credenciales de la máquina donde corre.
- *
- * Queda una ventana de DNS rebinding: se resuelve aquí y `fetch` vuelve a
- * resolver por su cuenta. Cerrarla del todo exige un agente HTTP a medida; el
- * riesgo residual es aceptable porque la respuesta solo se compara contra un
- * hash y nunca se ejecuta.
- */
-export async function assertPublicUrl(raw) {
-    let url;
-    try {
-        url = new URL(raw);
-    }
-    catch {
-        throw new Error(`The agent endpoint is not a valid URL: ${raw}`);
-    }
-    if (url.protocol !== 'https:') {
-        // La petición lleva una firma del cliente en la query: en claro la lee cualquiera.
-        throw new Error(`The agent endpoint must be https, and it is ${url.protocol}//`);
-    }
-    if (url.username || url.password)
-        throw new Error('The endpoint carries embedded credentials: rejected.');
-    const host = url.hostname.replace(/^\[|\]$/g, '');
-    if (/^(localhost|.*\.local|.*\.internal)$/i.test(host)) {
-        throw new Error(`The endpoint points at a local name (${host}): rejected.`);
-    }
-    const ips = isIP(host) ? [host] : (await lookup(host, { all: true })).map((r) => r.address);
-    if (!ips.length)
-        throw new Error(`Could not resolve ${host}.`);
-    for (const ip of ips) {
-        if (isPrivateIp(ip))
-            throw new Error(`The endpoint points at an internal address (${ip}): rejected.`);
-    }
-    return url;
-}
 /** Descarga acotada: se corta en cuanto se pasa del tope. */
-export async function fetchResultText(botUrl, taskId, client, signature) {
+export async function fetchResultText(botUrl, taskId, client, signature, expira) {
     const base = await assertPublicUrl(botUrl);
     const url = new URL(`/result/${taskId}`, base);
-    url.searchParams.set('address', client);
-    url.searchParams.set('signature', signature);
     const controller = new AbortController();
     const timer = setTimeout(() => controller.abort(), TIMEOUT_MS);
     try {
-        const res = await fetch(url, { signal: controller.signal, headers: { accept: 'application/json' } });
+        // En cabeceras, no en la query: por ahí acababan en el log del proxy.
+        const res = await fetch(url, {
+            signal: controller.signal,
+            headers: {
+                accept: 'application/json',
+                'x-panal-address': client,
+                'x-panal-signature': signature,
+                'x-panal-expira': String(expira),
+            },
+        });
         if (!res.ok) {
             throw new Error(`The agent endpoint replied ${res.status}. Is it still up, and is the signature the client's?`);
         }

package/dist/server.js

@@ -30,7 +30,7 @@ import { formatEther, isAddress, keccak256, parseEther, toBytes } from 'viem';
 import { privateKeyToAccount } from 'viem/accounts';
 import { NATIVE_CURRENCY, TaskStatus, createPanalClient, } from '@panal/sdk';
 import { QuoteBook, SpendLedger, limitsFromEnv } from './limits.js';
-import { briefSignMessage, fetchResultText, pushBrief, resultSignMessage } from './fetch-result.js';
+import { briefSignMessage, expiraEn, fetchResultText, pushBrief, resultSignMessage } from './fetch-result.js';
 const SERVER_NAME = 'panal';
 /**
  * Sale del package.json, no de una constante a mano: la copiada se quedó en
@@ -537,8 +537,10 @@ const WRITE_TOOLS = [
                     'hash matches.');
             }
             try {
-                const signature = await account.signMessage({ message: resultSignMessage(taskId) });
-                const text = await fetchResultText(agent.metadata.botUrl, taskId, account.address, signature);
+                // La firma caduca: abre el resultado y todos los archivos de la tarea.
+                const expira = expiraEn();
+                const signature = await account.signMessage({ message: resultSignMessage(taskId, expira) });
+                const text = await fetchResultText(agent.metadata.botUrl, taskId, account.address, signature, expira);
                 // Lo que importa de todo esto: que el texto sea EXACTAMENTE el que se
                 // ancló. Sin esta comprobación, el agente podría entregar una cosa
                 // on-chain y enseñarte otra distinta.

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "panal-mcp",
-  "version": "0.3.0",
+  "version": "0.3.1",
   "description": "Servidor MCP de Panal: busca y contrata agentes de IA on-chain desde Claude",
   "type": "module",
   "license": "MIT",
@@ -29,18 +29,19 @@
   "engines": {
     "node": ">=20"
   },
+  "scripts": {
+    "build": "tsc -p tsconfig.json",
+    "typecheck": "tsc -p tsconfig.json --noEmit",
+    "start": "tsx src/server.ts",
+    "test": "tsx test/mcp.test.ts",
+    "prepublishOnly": "npm run build"
+  },
   "dependencies": {
-    "@panal/sdk": "^0.6.1",
+    "@panal/sdk": "workspace:^0.7.0",
     "viem": "^2.21.0"
   },
   "devDependencies": {
     "typescript": "^5.6.0",
     "tsx": "^4.19.0"
-  },
-  "scripts": {
-    "build": "tsc -p tsconfig.json",
-    "typecheck": "tsc -p tsconfig.json --noEmit",
-    "start": "tsx src/server.ts",
-    "test": "tsx test/mcp.test.ts"
   }
-}
+}