From e0d75f1b4afd51161a7b7e2870eb78276522ef87 Mon Sep 17 00:00:00 2001
From: "github-actions[bot]"
 <41898282+github-actions[bot]@users.noreply.github.com>
Date: Tue, 12 May 2026 18:41:44 +0000
Subject: [PATCH 1/2] =?UTF-8?q?fix(feed):=20sanitizeMediaUrl=20=E8=87=AA?=
 =?UTF-8?q?=E5=8A=A8=E6=8A=8A=20http://=20=E5=8D=87=E7=BA=A7=E5=88=B0=20ht?=
 =?UTF-8?q?tps://?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

后端 OgFetchService 已在抓取阶段把 og:image 升到 https，这里是 defense-in-depth：
- 历史数据未回填的 http:// 封面仍能在 feed 卡片显示
- LLM 兜底回填或未来新 site adapter 漏 https 升级时前端兜一层
- HTTPS 页面加载 http:// 图片会被 mixed-content policy 拦掉显示成裂图，
  线上 /feed 上小红书两条卡片就是这个症状

不动相对路径（"/x.jpg"）和已是 https 的 URL；非 http(s) 协议在 sanitize 阶段
就被白名单拒了，走不到升级分支。
---
 lib/url-safety.ts | 13 ++++++++++++-
 1 file changed, 12 insertions(+), 1 deletion(-)

diff --git a/lib/url-safety.ts b/lib/url-safety.ts
index 1b8a20e7..9745d992 100644
--- a/lib/url-safety.ts
+++ b/lib/url-safety.ts
@@ -49,9 +49,20 @@ export function sanitizeExternalUrl(
  * 媒体（<img src> / <video src> / <iframe src>）场景：只允许 http(s)。
  * mailto 无意义；data: 虽然对 <img> 较常用但体积和审计风险高，默认不放；
  * 站内相对路径允许（/logo.png、/event/cover.webp 这些）。
+ *
+ * 自动 http -> https 升级：后端 OgFetchService 已在抓取阶段做一次升级，
+ * 这里是 defense-in-depth —— 万一某条历史数据漏网（或 LLM 兜底回填了
+ * http:// 的封面），前端再升一次。HTTPS 页面加载 http:// 图片会被
+ * mixed-content policy 拦掉，宁可不显示也别让浏览器报黄锁。
  */
 export function sanitizeMediaUrl(
   raw: string | undefined | null,
 ): string | null {
-  return sanitize(raw, SAFE_MEDIA_PROTOCOLS, true);
+  const safe = sanitize(raw, SAFE_MEDIA_PROTOCOLS, true);
+  if (!safe) return null;
+  // 显式判前缀避免误升级相对路径（"/x.jpg" 不会进这里，但保险）
+  if (safe.toLowerCase().startsWith("http://")) {
+    return "https://" + safe.substring(7);
+  }
+  return safe;
 }

From 0ae43f04ee8bd512c0fddf04ada1235b455b3607 Mon Sep 17 00:00:00 2001
From: "github-actions[bot]"
 <41898282+github-actions[bot]@users.noreply.github.com>
Date: Tue, 12 May 2026 18:56:54 +0000
Subject: [PATCH 2/2] =?UTF-8?q?fix(feed):=20sanitizeMediaUrl=20=E8=B5=B0?=
 =?UTF-8?q?=20URL=20=E5=AF=B9=E8=B1=A1=E9=87=8D=E5=86=99=20protocol=20+=20?=
 =?UTF-8?q?=E6=B8=85=20:80=20(CR=20PR#345)?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

Copilot CR 指出两个问题：
1. http:// → https:// 用字符串拼接会保留显式端口 ——
   "http://x.com:80/" 升成 "https://x.com:80/" 后浏览器拿 80 走 TLS 必失败
2. 升级逻辑没有单测

修复：
- 用 new URL(safe) 改 protocol = "https:"，并在 port === "80" 时清空
- 非 80 端口保留（用户跑 https on 8443 等场景）
- 相对路径不走 URL parser，原样返回
- 新增 tests/url-safety.test.ts，14 条 case 覆盖：https 原样 / http 升级 /
  大小写 / :80 清空 / :8080 保留 / path-query-hash 保留 / 相对路径 / 协议相对
  拒绝 / javascript: / data: / vbscript: / mailto: 在媒体场景拒 / 空值

49/49 vitest 通过。

Co-authored-by: copilot-pull-request-reviewer[bot] <copilot-pull-request-reviewer[bot]@users.noreply.github.com>
---
 lib/url-safety.ts        |  20 ++++++--
 tests/url-safety.test.ts | 100 +++++++++++++++++++++++++++++++++++++++
 2 files changed, 116 insertions(+), 4 deletions(-)
 create mode 100644 tests/url-safety.test.ts

diff --git a/lib/url-safety.ts b/lib/url-safety.ts
index 9745d992..a58c3aca 100644
--- a/lib/url-safety.ts
+++ b/lib/url-safety.ts
@@ -54,15 +54,27 @@ export function sanitizeExternalUrl(
  * 这里是 defense-in-depth —— 万一某条历史数据漏网（或 LLM 兜底回填了
  * http:// 的封面），前端再升一次。HTTPS 页面加载 http:// 图片会被
  * mixed-content policy 拦掉，宁可不显示也别让浏览器报黄锁。
+ *
+ * 实现历史：最初版本用字符串拼接 `"https://" + safe.substring(7)`，被 CR
+ * (#345) 指出会保留显式端口 —— `http://x.com:80/` 升成 `https://x.com:80/`
+ * 后浏览器拿 80 端口走 TLS 必失败。改成走 URL 对象重写 protocol，
+ * 并在 port === "80" 时清空端口（http 默认端口在 https 里没意义）。
  */
 export function sanitizeMediaUrl(
   raw: string | undefined | null,
 ): string | null {
   const safe = sanitize(raw, SAFE_MEDIA_PROTOCOLS, true);
   if (!safe) return null;
-  // 显式判前缀避免误升级相对路径（"/x.jpg" 不会进这里，但保险）
-  if (safe.toLowerCase().startsWith("http://")) {
-    return "https://" + safe.substring(7);
+  // 相对路径（"/x.jpg"）走不到协议升级，原样返回
+  if (!safe.toLowerCase().startsWith("http://")) return safe;
+  try {
+    const u = new URL(safe);
+    u.protocol = "https:";
+    // 显式 :80 在 https 下会让浏览器拿 80 端口握手 TLS，必挂；清空让它走默认 443
+    if (u.port === "80") u.port = "";
+    return u.toString();
+  } catch {
+    // 理论上 sanitize 已经保证 URL 合法可解析，走到这只是兜底
+    return safe;
   }
-  return safe;
 }
diff --git a/tests/url-safety.test.ts b/tests/url-safety.test.ts
new file mode 100644
index 00000000..4631daad
--- /dev/null
+++ b/tests/url-safety.test.ts
@@ -0,0 +1,100 @@
+/**
+ * url-safety 单元测试（CR PR#345 要求补的覆盖）。
+ *
+ * sanitizeMediaUrl 现在做两件事：
+ *   1. 协议白名单：只放 http/https + 站内相对路径，拒 javascript:/data:/协议相对
+ *   2. http -> https 自动升级，顺手清显式 :80（http 默认端口在 https 下会挂 TLS）
+ *
+ * sanitizeExternalUrl 走的是 link 白名单（多个 mailto:），不在本次 PR 改动范围，
+ * 但顺手补几条 smoke test 锁住边界。
+ */
+import { describe, expect, test } from "vitest";
+import { sanitizeMediaUrl, sanitizeExternalUrl } from "../lib/url-safety";
+
+describe("sanitizeMediaUrl", () => {
+  test("https 原样返回（normalizer 可能加 trailing slash，URL.toString 已稳定）", () => {
+    expect(sanitizeMediaUrl("https://example.com/x.jpg")).toBe(
+      "https://example.com/x.jpg",
+    );
+  });
+
+  test("http:// 自动升级到 https://", () => {
+    expect(sanitizeMediaUrl("http://example.com/x.jpg")).toBe(
+      "https://example.com/x.jpg",
+    );
+  });
+
+  test("HTTP:// 大小写不敏感升级", () => {
+    expect(sanitizeMediaUrl("HTTP://example.com/x.jpg")).toBe(
+      "https://example.com/x.jpg",
+    );
+  });
+
+  test("显式 :80 端口在升级时清空（防止 https 拿 80 走 TLS）", () => {
+    expect(sanitizeMediaUrl("http://example.com:80/x.jpg")).toBe(
+      "https://example.com/x.jpg",
+    );
+  });
+
+  test("非 80 的显式端口保留（用户可能跑了 https on 8443 这种）", () => {
+    expect(sanitizeMediaUrl("http://example.com:8080/x.jpg")).toBe(
+      "https://example.com:8080/x.jpg",
+    );
+  });
+
+  test("升级保留 path / query / hash", () => {
+    expect(
+      sanitizeMediaUrl(
+        "http://mmbiz.qpic.cn/sz_mmbiz_jpg/abc/0?wx_fmt=jpeg&tp=webp#x",
+      ),
+    ).toBe("https://mmbiz.qpic.cn/sz_mmbiz_jpg/abc/0?wx_fmt=jpeg&tp=webp#x");
+  });
+
+  test("站内相对路径原样返回，不走 URL parser", () => {
+    expect(sanitizeMediaUrl("/logo.png")).toBe("/logo.png");
+    expect(sanitizeMediaUrl("/event/cover.webp?v=1")).toBe(
+      "/event/cover.webp?v=1",
+    );
+  });
+
+  test("协议相对 URL 被拒（//evil.com 会继承当前页协议跳到攻击者域）", () => {
+    expect(sanitizeMediaUrl("//evil.com/x.jpg")).toBeNull();
+  });
+
+  test("javascript: / data: / vbscript: 被拒", () => {
+    expect(sanitizeMediaUrl("javascript:alert(1)")).toBeNull();
+    expect(sanitizeMediaUrl("data:image/png;base64,AAA")).toBeNull();
+    expect(sanitizeMediaUrl("vbscript:msgbox(1)")).toBeNull();
+  });
+
+  test("mailto: 在媒体场景被拒（不在 SAFE_MEDIA_PROTOCOLS）", () => {
+    expect(sanitizeMediaUrl("mailto:a@b.com")).toBeNull();
+  });
+
+  test("空 / null / undefined / 仅空白 → null", () => {
+    expect(sanitizeMediaUrl(null)).toBeNull();
+    expect(sanitizeMediaUrl(undefined)).toBeNull();
+    expect(sanitizeMediaUrl("")).toBeNull();
+    expect(sanitizeMediaUrl("   ")).toBeNull();
+  });
+
+  test("升级行为幂等：已是 https 不改", () => {
+    const out1 = sanitizeMediaUrl("https://example.com/x.jpg");
+    const out2 = sanitizeMediaUrl(out1!);
+    expect(out2).toBe(out1);
+  });
+});
+
+describe("sanitizeExternalUrl", () => {
+  test("mailto 允许（媒体场景拒、链接场景允许，区分两个白名单）", () => {
+    expect(sanitizeExternalUrl("mailto:a@b.com")).toBe("mailto:a@b.com");
+  });
+
+  test("协议相对 URL 被拒（同 media）", () => {
+    expect(sanitizeExternalUrl("//evil.com/x")).toBeNull();
+  });
+
+  test("站内相对路径原样返回", () => {
+    expect(sanitizeExternalUrl("/about")).toBe("/about");
+  });
+});