feat: 取得ボディにサイズ上限とタイムアウトを設ける（#56）

[yk-lab]

概要

fetchText / fetchJson は許可ホストのレスポンスを上限なしで読み切り、per-request タイムアウトも無かった。許可ホストでも侵害時に巨大/無限ストリームでメモリ枯渇やハングを招き得るため、fetch 経路に上限を入れる（#56 / NFR-1）。

変更内容

• constants.ts: REQUEST_TIMEOUT_MS(30s) / MAX_RESPONSE_BYTES(16 MiB)
• github.ts
  • secureFetch: AbortSignal.timeout を全 hop + 最終 body 読込にかける（タイムアウトは transient で withRetry が再試行）
  • readCappedText: ストリームしながらバイト数を数え、上限超過は PermanentError。fetchJson/fetchText が resp.json()/resp.text() の代わりに使用
  • fetchJson: 先頭 BOM を除去（resp.json() の挙動を維持）
• download.ts: preflight の fall-through が timeout(DOMException) も許容するよう拡張。tool-cache のバイナリ転送が未制限な理由（proxy 維持・job/disk backstop・SHA256 検証）をコメント化

レビュー（push 前にローカル実施）

CodeRabbit / codex / opencode / comment-analyzer + /simplify 4エージェントで多面レビューし、以下を反映：

• Content-Length 事前チェック削除（body cancel 漏れ=ソケットリーク / gzip 不整合を一掃）
• reader.cancel() を catch（PermanentError の masking 防止）
• BOM 除去（resp.json() 退行の修正）
• preflight fall-through に DOMException 追加（[enhancement] HTTP(S) proxy 環境で全 fetch を proxy 経由にする #54 の挙動維持）
• コメント slim 化 + rot 解消

検証

• pnpm run all ✅（typecheck / lint / 79 tests / build）/ typos ✅ / actionlint ✅
• codex セカンドオピニオン：correctness 指摘ゼロ

参照

• Closes [security] 取得ボディにサイズ上限/タイムアウトを設ける #56
• 任意 follow-up: バイナリ DL（tool-cache）自体の bound 化（現状は SHA256 + job/disk backstop で scoping）

🤖 Generated with Claude Code

---

Summary by cubic

Add a per-request timeout and response body size cap to all GitHub fetches to prevent hangs and memory exhaustion from trusted hosts. Applies a 30s timeout and a 16 MiB cap; timeouts are retried, size overruns fail permanently. Closes #56.

• New Features

  • Added REQUEST_TIMEOUT_MS (30s) and MAX_RESPONSE_BYTES (16 MiB) in constants.ts.
  • secureFetch now uses a single AbortSignal.timeout across redirects and body read; retries on timeout via withRetry.
  • Introduced readCappedText to stream and cap bytes; used by fetchJson and fetchText.

• Bug Fixes

  • fetchJson strips a leading BOM before JSON.parse to match resp.json() behavior.
  • Redirect preflight in download.ts now falls through on DOMException timeouts/aborts (still blocks on untrusted hosts).

^{Written for commit e0988c9. Summary will update on new commits.}

[coderabbitai]

No actionable comments were generated in the recent review. 🎉

ℹ️ Recent review info

⚙️ Run configuration

Configuration used: Organization UI

Review profile: CHILL

Plan: Pro

Run ID: dd4d4e9b-7227-43f0-8cbd-6673816d6173

📥 Commits

Reviewing files that changed from the base of the PR and between 33f0ea3 and e0988c9.

📒 Files selected for processing (7)

• CLAUDE.md
• TODO.md
• src/constants.ts
• src/download.ts
• src/github.ts
• tests/download.test.ts
• tests/github.test.ts

---

📝 Walkthrough

Summary by CodeRabbit

• New Features

  • ダウンロードやGitHub API取得で、タイムアウトと取得サイズの上限が適用されるようになりました。
  • JSON/テキスト応答の読み取りが制限付きになり、過大なレスポンスで処理が止まりにくくなりました。

• Bug Fixes

  • レート制限ページや一時的な中断時でも、再試行や代替ダウンロードに正しく切り替わるようになりました。
  • JSON先頭のBOMを含むレスポンスも正しく読み取れるようになりました。

ウォークスルー

src/constants.ts に REQUEST_TIMEOUT_MS（30秒）と MAX_RESPONSE_BYTES（16MiB）を追加し、secureFetch に AbortSignal.timeout を導入。新関数 readCappedText でストリーミング上限付き読み取りを実装し、fetchJson/fetchText に適用。download.ts の preflight フォールスルー条件を DOMException まで拡張。

変更点

NFR-1: タイムアウトとボディサイズ上限の実装

Layer / File(s)	Summary
新定数 REQUEST_TIMEOUT_MS / MAX_RESPONSE_BYTES の追加 src/constants.ts, src/github.ts	NFR-1 制約として2つの定数を追加し、github.ts のインポートを複数行デストラクチャ形式へ変更。
secureFetch への AbortSignal.timeout 導入 src/github.ts, tests/github.test.ts	リダイレクト追跡ループ全体を覆う AbortSignal.timeout(REQUEST_TIMEOUT_MS) を生成し、各 fetch 呼び出しに signal を渡すよう変更。テストで AbortSignal が fetch に渡ることを検証。
readCappedText と fetchJson/fetchText の上限付き読み取り src/github.ts, tests/github.test.ts	readCappedText をストリームリーダーでバイト上限付き読み取りとして追加し、上限超過時は PermanentError。fetchJson は BOM除去付き JSON.parse、fetchText も readCappedText へ切り替え。テストでキャップ超過・BOM除去の挙動を検証。
download.ts preflight の DOMException フォールスルー拡張 src/download.ts, tests/download.test.ts	assertRedirectTrusted の catch でフォールスルーを許容するエラー種別を TypeError から DOMException（AbortError / TimeoutError）まで拡張。タイムアウト時も downloadTool へフォールスルーされることをテストで検証。
CLAUDE.md / TODO.md の更新 CLAUDE.md, TODO.md	Architecture セクションに readCappedText・AbortSignal.timeout の挙動説明を追記し、Issue #56 を Backlog から解決済みへ移動。

推定コードレビュー労力

🎯 3 (Moderate) | ⏱️ ~20 minutes

関連する可能性のある PR

• yk-lab/setup-task#26: fetchJson の content-type ガード（HTMLエラーページ判定）を tests/github.test.ts で検証しており、本 PR が改修する fetchJson の読み取りパスと同一機能を対象としている。
• yk-lab/setup-task#53: secureFetch のリダイレクト追跡実装と assertRedirectTrusted preflight を改修しており、本 PR が変更する同一領域を対象としている。

詩

🐇 ウサギの歌

でっかいボディを読みすぎないよ、
タイムアウトでハングも防ぐよ。
MAX_RESPONSE_BYTES でキャップを張って、
AbortSignal がコッソリ見張って、
安全・安心、バニーの番！ 🎉

🚥 Pre-merge checks | ✅ 5

✅ Passed checks (5 passed)

Check name	Status	Explanation
Title check	✅ Passed	タイトルはサイズ上限とタイムアウト追加という主変更を正しく要約しています。
Description check	✅ Passed	概要・関連 issue・検証が含まれており、テンプレートに対して大筋で十分です。
Linked Issues check	✅ Passed	#56 の要件どおり、ボディ上限・per-attempt タイムアウト・再試行可能な失敗扱いが実装されています。
Out of Scope Changes check	✅ Passed	docs、tests、download.ts の変更は本題の fetch 制限と整合しており、明確な逸脱は見当たりません。
Docstring Coverage	✅ Passed	Docstring coverage is 100.00% which is sufficient. The required threshold is 80.00%.

✨ Finishing Touches

📝 Generate docstrings

• Create stacked PR
• Commit on current branch

🧪 Generate unit tests (beta)

• Create PR with unit tests
• Commit unit tests in branch security/fetch-limits

---

Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.

❤️ Share

• X
• Mastodon
• Reddit
• LinkedIn

_{Comment @coderabbitai help to get the list of available commands.}

[codecov]

Codecov Report

❌ Patch coverage is 92.00000% with 2 lines in your changes missing coverage. Please review.
✅ Project coverage is 71.80%. Comparing base (33f0ea3) to head (e0988c9).
✅ All tests successful. No failed tests found.

Files with missing lines	Patch %	Lines
src/github.ts	90.00%	1 Missing and 1 partial ⚠️

Additional details and impacted files

@@            Coverage Diff             @@
##             main      #61      +/-   ##
==========================================
+ Coverage   70.32%   71.80%   +1.47%     
==========================================
  Files          13       13              
  Lines         246      266      +20     
  Branches       62       67       +5     
==========================================
+ Hits          173      191      +18     
- Misses         64       65       +1     
- Partials        9       10       +1     

Files with missing lines	Coverage Δ
src/constants.ts	100.00% <100.00%> (ø)
src/download.ts	90.00% <100.00%> (+0.34%)	⬆️
src/github.ts	91.56% <90.00%> (-0.86%)	⬇️

🚀 New features to boost your workflow:

• 📦 JS Bundle Analysis: Save yourself from yourself by tracking and limiting bundle sizes in JS merges.

[cubic-dev-ai]

No issues found across 7 files

_{Re-trigger cubic}