Åtgärda gigantiska DoS-, cache- och säkerhetsbuggar

[theoandesson]

Sammanfattning

Hittade och åtgärdade flera allvarliga buggar i Sverige 3D-kartan: DoS via tile-proxy/refresh-stampede, fail-open perf-admin, permanent felaktig tile-cache i service workern, samt XSS-sinks.

Vad som var trasigt

1. Tile-proxy kunde OOM:a processen – upp till ~5 GB cache (512 × 10 MB), utan byte-budget och med osäker content-type.
2. Pressure/radar/weather refresh=true kunde starta parallella dyra upstream-hämtningar utan single-flight.
3. forceRefresh koalescerade fel med bakgrundswarmerns stale-only-batch → “full refresh” kunde bli partiell.
4. Perf-admin fail-open – öppet utanför produktion, och localhost-check via request.ip bröt bakom reverse proxy.
5. Self-hosted SW-tilecache var “immutable forever” – tiles:sync synkades aldrig till klienter.
6. XSS – felmeddelanden/hover-HTML injicerades utan escapeHtml.

Fixar

• Tile-proxy: 2 MB/tile, 64 MB total cache, streamad size-limit, endast säkra content-types
• Single-flight + min refresh-intervall för Open-Meteo-grid och radar
• Separata refresh-nycklar i city weather (force vs stale)
• Perf-admin kräver token eller direkt loopback (inte request.ip)
• Publik refresh=true på bootstrap/weather/cities kräver admin
• /weather/point begränsad till Sverige
• SW: daglig versionering + SWR för self-hosted tiles; legacy immutable-caches rensas
• Tiles: ingen immutable på synkbara vector/DEM-URL:er
• XSS-escape i place card + weather hover
• Basala security headers (nosniff, frame, referrer, CORP)

Tester

• npm run test:security (nya)
• npm run test:tiles
• npm run test:unit