SSRF

ユーザーが入力したURLをサーバーで取得する機能の作り方｜文字列チェックでは防げない理由

リンクのプレビュー、Webhook の宛先登録、監視対象の追加。どれも読者が指定したURLをサーバーが取りに行きます。ホスト名の文字列を見るだけの検証は通り抜けられ、リダイレクトの自動追従は入口の検証を無効にします。両方を手元で再現し、解決したアドレスで判定する実装の順番をOWASPの指針と合わせてまとめます。