fix(shared): proof 由来の language を allowlist に落とし表示層へ生値を渡さない (#248)

[shinyaoguri]

目的

proof.json は攻撃者が自由に組み立てられる入力なのに、自己申告の language だけが無検証のまま表示層へ届いていた。#210 で mode に敷いた対処と同じ契約を language にも敷き、web の className と CLI の stdout に生値が入らないようにする。

Closes #248

#266 (CLI 出力境界の safe() — ZIP エントリ名や reflectionNote など language 以外の補間点) は本 PR の範囲外で、続く PR-B で扱う。

何が起きていたか (再現済み)

verify (web): ResultPanel.ts:705 が codeEl.className = \language-${language} hljs with-line-numbers`` を組み立てるので、空白区切りで既存の CSS ユーティリティクラスを足せる。実際の CSS を happy-dom に食わせて確認した:

proof.language	生成される className	getComputedStyle(code).display
ts hidden	language-ts hidden hljs with-line-numbers	none ← コードプレビューが消える
unknown (修正後)	language-unknown hljs with-line-numbers	block

_reset.css:122 の .hidden { display: none !important; } が _result-panel.css:369 の display: block (!important 無し) に勝つため。XSS ではない (SyntaxHighlighter.highlight が未登録言語を escapeHtml に落とす) が、採点者からはコードが空に見える。

verify-cli: Language: 行に生値が出る。実 CLI で before / after を取った:

# before (normalizer 無し)
Language:        c
--- Checks ---
Hash Chain:      PASS      ← proof が仕込んだ偽の行
--- Checks ---
Hash Chain:  FAIL          ← 本物

# after
Language:        unknown
--- Checks ---
Hash Chain:  FAIL

exit code は両方 1 のまま。壊れるのは stdout を grep する運用と端末表示 (verify-cli/CLAUDE.md 不変条件 4)。

変更点

allowlist の正本を shared に置いた — web と CLI が同じ値を扱うので、片方に置くと二重管理になる。

• 新規 packages/shared/src/fileProcessing/proofLanguage.ts

  • normalizeProofLanguage(value: unknown): string — 非文字列・allowlist 外は 'unknown'
  • allowlist = languageDetection.ts の LANGUAGE_MAP の値集合 (26 種) + 'unknown'。
    集合を別に書き起こすとドリフトするので KNOWN_LANGUAGES を export して唯一の元にした
  • 冪等 (取り込み口と表示境界の両方で通せる)

• 適用点

  場所	役割
  verify/src/ui/controllers/FileController.ts:401	取り込み口。汚染値をアプリ状態に入れない
  verify/src/services/ResultDataService.ts:151	表示境界。mode (:154) と同じ「入力を信用しない」契約。回帰テストの置き場
  verify-cli/src/verify.ts:261	CLI の結果組み立て
  verify/src/services/{Json,Zip}FileProcessor.ts	proof 経路では表示に効かない (dead) が、同型の書き方を残すと再発するので同時に潰す

• 触っていないもの: shared/src/exam/examBundle.ts:91-94 の starter.language は
  バンドル束縛ハッシュの canonical 形に入る。正規化すると既存 exam の束縛が壊れるので対象外。

未知値は 'unknown' に落とす方針を採った (生値を「自己申告」として別表示にはしない)。language は ADR-0020 上「保証導出に使わない参考表示」で、normalizeProofMode が未知値を捨てるのと揃う。

確認方法

npm run test:run --workspaces --if-present   # 802 passed / 3 skipped
npm run lint                                  # exit 0
npm run build                                 # 全パッケージ green

新規テスト (13 件追加):

• packages/shared/src/__tests__/proofLanguage.test.ts — allowlist の契約。KNOWN_LANGUAGES 全要素と editor の LanguageId 8 種が通ること (集合ドリフトの検知)、'ts hidden' / HTML payload / 改行 + ANSI / 非文字列が 'unknown' に落ちること、冪等性
• packages/verify/src/services/__tests__/ResultDataService.test.ts — buildResultData が className 用の language を正規化すること (既存の mode テストの隣)
• packages/verify-cli/src/__tests__/proofLanguage.test.ts — verifyProof の戻り値の language が正規化されること

いずれも normalizer を一時的に素通しへ戻して赤くなることを確認済み (shared 6 件 / verify 3 件 / CLI 3 件が失敗)。加えて上記の実 CLI と happy-dom による before / after も取得済み。

---

_{🤖 Assisted by Claude Code}

[github-actions]

🚀 Preview Deployment

Name	URL
Preview	https://1ac3b085.typedcode.pages.dev

Deployed from commit ac71ef1
API: staging Workers