v2.59.0

改善

• 設定画面のフッター表記を ver. 2.59.0 に更新しました。

バグ修正

• デフォルトの AITUBERKIT_SERVER_SECRET_ACCESS_MODE=disabled で、ローカルVOICEVOXのボイステストが403になる問題を修正しました。
• Next.jsがローカル直アクセスにも補完する X-Forwarded-For / X-Forwarded-Host を、値がすべてループバックの場合のみ許可するようにしました。
• 転送ヘッダーの空要素、不正なIP・ホスト、127.attacker.exampleのようなループバック偽装値をfail-closedで拒否するようにしました。
• 外部IPや非ループバックホストを含むプロキシ経由の要求は、引き続き403で拒否します。

テスト

• Next.jsの自動付与ヘッダーを再現するVOICEVOX回帰テストを追加しました。
• 空・不正・偽装された転送ヘッダーと、IP接頭辞を持つ外部ホストに対する境界テストを追加しました。
• VOICEVOX音声合成、話者一覧更新、URLガード、共通アクセスポリシーの関連テスト69件が成功しています。
• 実際のNext.js開発サーバーとローカルVOICEVOXを使用し、デフォルト設定で 200 / audio/wav、偽装値を含む要求で 403 になることを確認しました。
• npm run build の成功を確認しました。

ドキュメント・翻訳

• ローカルループバック接続で許容する転送ヘッダーと、プロキシ経由として拒否する条件をアクセス制御設計へ追記しました。