- SSRF: /api/queue aceitava qualquer URL, inclusive localhost, rede
privada e 169.254.169.254. Agora só http/https e, por padrão, nada de
endereço local/privado (checagem na fila e no conector do undici, que
cobre DNS rebinding e redirects). ALLOW_PRIVATE_NETWORK=true libera.
- O header x-session-id virava nome de diretório sem validação; com ".."
a expiração faria rmSync em server/. Agora só UUID é aceito.
- Respostas 3xx eram salvas como se fossem o arquivo; agora segue até 5
redirects e trata 3xx restante como erro.
- decodeURIComponent inválido no Content-Disposition derrubava o download.
- web: useCallback em refreshTasks (corrige o warning exhaustive-deps).
- Mostra no formulário o erro devolvido pela API ao enfileirar (antes só ia ao console) e desabilita o botão durante o envio.
- Adiciona aria-label no campo de URL, role=alert no erro e role=progressbar na barra.
- Clareia a cor destructive (contraste do texto de erro sobre o fundo escuro ~2:1 para ~4,5:1).
- Corrige o título da página (era 'web').
O Map de tasks em DownloadManager nunca removia entradas; em um servidor
de longa duração ele crescia sem limite, mesmo com os arquivos da sessão
já apagados. O SessionManager agora avisa quando destrói uma sessão e o
DownloadManager descarta as tasks dela.
O README descrevia um proxy de streaming com `GET /stream?url=&offset=` que não
existe mais (a rota responde 410 desde a reescrita do backend), falava em
"retomar downloads" e não mencionava sessão, storage temporário, polling de
tasks nem o endpoint de entrega do arquivo.
O novo texto segue o padrão da auditoria: one-liner, badges reais (sem licença
e sem CI, que não existem no repo), Sobre, Como funciona com diagrama, Stack,
Requisitos, Início rápido testado, Uso, API, Produção, Estrutura do projeto,
Verificação, Estado atual e limitações, Documentação e Licença.
O que está escrito corresponde ao que foi executado nesta auditoria: install,
build, lint, 13 checagens de API, download de 10 MB com sha256 idêntico ao da
origem e a interface rodando em Chrome headless.
Com `pnpm dev` e nenhuma configuração, o frontend chamava `/api` na própria
origem do Vite (5173), que devolvia o index.html da SPA em vez de JSON, e a
sessão nunca inicializava. Além disso os dois arquivos que falam com a API
usavam padrões diferentes: `SessionContext` usava URL relativa (correto em
produção, onde o Fastify serve a API e o build) e `DownloadItem` fixava
`http://localhost:3000`, o que quebra o botão "Save to Disk" quando o app roda
em outra máquina/VPS.
- `vite.config.ts`: proxy de `/api` para o backend em dev (alvo configurável por
`VITE_API_PROXY`, padrão `http://localhost:3000`).
- `DownloadItem.tsx`: mesma origem por padrão, igual ao SessionContext
(`VITE_API_URL` continua valendo para apontar para outro host).
Também deixa `pnpm --filter web lint` verde (4 erros do eslint): tipos de props
de Input/Textarea como type alias, `catch` sem binding e uma exceção
documentada para a regra de fast refresh no módulo do contexto.
Quatro defeitos verificados executando o servidor de produção:
1. `pnpm start` quebrava na primeira linha com ERR_MODULE_NOT_FOUND
(`server/dist/lib/SessionManager`): os imports relativos não tinham extensão
e o Node ESM não resolve `./lib/SessionManager`. Os imports agora terminam em
`.js` (funciona no tsx em dev e no build do tsc).
2. `GET /api/download/:taskId` devolvia o index.html da SPA (450 bytes) em vez
do arquivo baixado, porque o @fastify/static resolve o caminho a partir do
`root` do plugin (web/dist). Agora o root do diretório da sessão é passado
por requisição via `reply.sendFile(fileName, sessionPath)`.
3. O download podia sair truncado: o status virava "completed" logo depois de
`fileStream.end()`, antes do flush em disco. A gravação passou a usar
`stream/promises.pipeline` (respeita backpressure, espera o flush e propaga
erro de escrita), com um Transform no meio mantendo o cálculo de
progresso/velocidade.
4. A raiz de armazenamento era `resolve(process.cwd(), "server/storage")`; como
`pnpm start` executa dentro de `server/`, os arquivos iam para
`server/server/storage`. Agora a raiz é ancorada no diretório do módulo
(`server/storage`), com override por `STORAGE_ROOT`, e o diretório entrou no
.gitignore para os downloads não serem versionados.
Também usa `basename()` no nome de arquivo vindo do Content-Disposition e da
URL de origem, evitando escrever fora do diretório da sessão.
O arquivo server/dist/index.js estava versionado (apesar de `dist/` estar no
.gitignore) e continha o build de novembro/2025, anterior à reescrita do
backend: ainda tinha o proxy antigo de /stream. O build é regenerado por
`pnpm build` (o nixpacks roda `pnpm build` antes do start), então o artefato
não precisa ficar no repositório.
O pnpm 11/12 ignora `onlyBuiltDependencies` e falha o install com
ERR_PNPM_IGNORED_BUILDS (esbuild, usado pelo Vite, precisa rodar script de
build). Adiciona `allowBuilds: {esbuild: true}` mantendo
`onlyBuiltDependencies` para pnpm 9/10 e comenta que `overrides` só é lido
pelo pnpm 10+.
evandro
Evandro Fonseca Junior