[错误] Webhook/Scrape Handoffs 中的 SSRF/不安全的出站请求

文件: apps/api/src/index.ts 问题: 应用程序允许本地 Webhook 配置 (在测试/自主托管设置中 ALLOW_LOCAL_WEBHOOKS 为 true), 并基于用户提供的 URL 执行出站抓取/提取, 而没有对内部元数据服务或私有子网进行完整的 IP 黑名单验证, 从而存在服务器端请求伪造 (SSRF) 风险。 解决方案: 在发送 HTTP 请求或 Webhook 之前, 确保对所有用户提供的目标 URL 进行适当的验证和清洗, 以避免循环本地、链接本地和私有 RFC 1918 IP 范围, 除非通过安全认证的管理配置进行了明确覆盖。