feat: nodeinfo / OSV 脆弱性ウィジェットを追加

[hitalin]

Fediverse サーバー調査とパッケージ脆弱性照会のウィジェットを 2 つ追加します。どちらも認証不要の公開 API で、コミットは種別ごとに分けてあります。

nodeinfo (widgets/nodeinfo)

任意の Fediverse サーバーの nodeinfo を引いて、ソフトウェア・バージョン・規模・登録受付状態を表示します。既存の server-info が自サーバー固定なのに対し、こちらは相手サーバーを調べる用途です。

• 接続先: https://<入力ホスト>/.well-known/nodeinfo → そこが指す nodeinfo 本体 (2.1 優先、無ければ 2.0)
• なぜ 2 段: 本体パスは実装ごとに違う (Pleroma は /nodeinfo/2.1.json) ため discovery は省略できません
• href の扱い: discovery が返す href は相手が自由に決める値なので、調査対象ホスト自身の https:// URL 以外は捨てます (別ドメインへ取りに行かせない)
• 表示前のサニタイズ: nodeName も相手の自由入力なので $ [ ] * < > を全角へ。nodeDescription は HTML 混じりで無害化コストが高いため最初から表示しません
• 保存のタイミング: ホストの保存は取得成功後。名前が引けないホストで Nd:http が落ちたとき、その値が次回起動でも読まれてウィジェットが復旧不能になるのを避けています

OSV 脆弱性 (widgets/osv-vulns)

OSV.dev にパッケージ名を投げて既知脆弱性を新しい順に表示します。既定は Misskey 公式 JS SDK の npm:misskey-js。既存の cve ウィジェットが NVD の直近 N 日を眺める CVE 番号起点なのに対し、こちらはパッケージ起点で引きます。

• 接続先: POST https://api.osv.dev/v1/query (API キー不要)
• 本文の組み立て: Json:stringify で組みます。パッケージ名を文字列連結すると本文を捏造できるため。加えて validPkg で許可文字を制限し、" と \ を弾いた値だけをリンク生成にも通します
• 表示前のサニタイズ: summary も第三者テキストなので $ [ ] * < > を全角へ
• 性能: 並べ替えキーは 1 件 1 回だけ作ります。sort の比較関数から呼ぶと PyPI:Django (320 件) で 12 秒かかりました。桁の切り出しも 1 文字ずつのループをやめて to_num に任せ、同条件で 0.5 秒未満に収めています

共通

• Json:parse は失敗時に throw せず error 値を返すため、obj 以外は null に潰しています。Fediverse でないホストが HTML を返しても壊れません
• 応答サイズに上限を設け、桁違いのものはパースせず捨てます
• 自動更新はどちらも 6 時間おき (内容がほぼ静的なため)

動作確認

AiScript 1.2.1 のハーネスで純粋関数を検証 (nodeinfo 48 ケース / OSV 48 ケース、いずれも全パス) し、Nd:http を実 fetch に差し替えた通し実行で表示を確認しました。

• nodeinfo: misskey.io / misskey.design / mastodon.social / mstdn.jp / pleroma.soykaf.com / transfem.social (Sharkey)、および nodeinfo を持たないホスト (HTTP 404 表示)
• OSV: npm:misskey-js (2 件) / npm:misskey-reversi (0 件) / npm:next (64 件) / PyPI:Django (320 件)

pnpm registry:build と check-registry-integrity.mjs は緑です。

🤖 Generated with Claude Code