الأمان وحدود البيانات غير الموثوقة

<script setup>
const props = defineProps({ message: { type: String, required: true } })
</script>

<template>
  <p>{{ props.message }}</p>
</template>

تعرض Notes & references كنص وفق الهروب. لا يدخل المكوّن HTML غنياً أو يفوض أو يحفظ، ولم ينفذ العرض في متصفح.

function allowedNoteUrl(value) {
  if (typeof value !== "string") return null
  try {
    const base = new URL("https://notes.example.invalid/")
    const url = new URL(value, base)
    if (url.origin !== base.origin || url.protocol !== "https:" || url.username || url.password) return null
    return url.href
  } catch {
    return null
  }
}
if (allowedNoteUrl("/read/n1") !== "https://notes.example.invalid/read/n1") {
  throw new Error("URL_NORMALIZATION_MISMATCH")
}
if (allowedNoteUrl("https://other.example.invalid/read") !== null) {
  throw new Error("URL_ORIGIN_POLICY_MISMATCH")
}

يعمل بـ Node ومحلل URL ونطاقات .invalid المحجوزة دون DNS أو طلب. يفحص مساراً مقبولاً وأصلاً مرفوضاً لا كل رابط أو سياسة.