الحماية من SSRF (تزوير الطلبات من الخادم)

// endpoint يجلب صورة من رابط يحدده المستخدم
app.post('/api/avatar', authenticate, async (req, res) => {
  const response = await fetch(req.body.imageUrl);
  const buffer = await response.buffer();
  res.set('Content-Type', 'image/png').send(buffer);
});

المهاجم يرسل عدة روابط ويقيس وقت/محتوى الاستجابة:
  imageUrl = http://localhost:6379   → منفذ Redis؟
  imageUrl = http://localhost:5432   → منفذ Postgres؟
  imageUrl = http://internal-admin.local/status

// المهاجم يرسل رابط Metadata Service بدل رابط صورة عادي
POST /api/avatar
{ "imageUrl": "http://169.254.169.254/latest/meta-data/iam/security-credentials/my-role" }

لو لم يتحقق الخادم من وجهة الرابط:
  1. الخادم يطلب العنوان الداخلي نيابة عن المهاجم
  2. الاستجابة تحتوي مفاتيح IAM مؤقتة صالحة
  3. الخادم يرجعها للمهاجم ظنًا أنها "صورة"
  4. المهاجم يملك الآن صلاحيات الخادم على كامل حساب السحابة

const { URL } = require('url');

const ALLOWED_HOSTS = ['images.trusted-cdn.com', 'avatars.trusted-partner.com'];

async function safeFetch(userUrl) {
  const url = new URL(userUrl);

  // 1. بروتوكول مسموح فقط
  if (!['http:', 'https:'].includes(url.protocol)) {
    throw new Error('بروتوكول غير مسموح');
  }

  // 2. مضيف ضمن allowlist صريح
  if (!ALLOWED_HOSTS.includes(url.hostname)) {
    throw new Error('مضيف غير مسموح');
  }

  // 3. بلا تتبع تحويلات تلقائي (redirect)
  const response = await fetch(url, { redirect: 'manual' });
  if (response.status >= 300 && response.status < 400) {
    throw new Error('تحويل غير متوقع — مرفوض');
  }

  return response;
}

const dns = require('dns').promises;
const net = require('net');

function isPrivateIp(ip) {
  return (
    ip.startsWith('127.') ||
    ip.startsWith('10.') ||
    ip.startsWith('192.168.') ||
    ip.startsWith('169.254.') || // يشمل Metadata Service
    /^172\.(1[6-9]|2\d|3[0-1])\./.test(ip)
  );
}

async function resolveAndValidate(hostname) {
  const { address } = await dns.lookup(hostname);
  if (isPrivateIp(address) || net.isIP(address) === 0) {
    throw new Error('عنوان داخلي أو غير صالح — مرفوض');
  }
  return address;
}

1. عزل خدمة الجلب: شغّل عملية "جلب الروابط الخارجية" في حاوية/شبكة منفصلة
   لا تصل أصلًا للشبكة الداخلية الحساسة — بحيث حتى لو نجحت SSRF، لا يوجد
   شيء داخلي تصل إليه.

2. مهلة قصيرة (Timeout): يمنع استغلال SSRF لهجمات حجب خدمة بطيئة.

3. لا ترجع الاستجابة الخام للعميل: مرّرها عبر معالجة (مثل إعادة تحجيم صورة)
   بدل تمريرها كما هي — يمنع تسريب معلومات داخلية حتى لو نجح الطلب.

4. راقب واحلل: سجّل كل رابط خارجي يُطلب من الخادم، وراقب الأنماط غير
   الطبيعية (محاولات متكررة لعناوين داخلية).