تحصين خادم QPS: فحص أصل صريح، سقف حجم/طابور، مهلة اتصال، تحقّق مدخلات، إخفاء أثر الاستثناء

اكتُشِفت في تدقيقٍ أمنيّ: النقطة كانت مفتوحةً بالكامل (CORS *، بلا فحص أصل، بلا سقف حجمٍ)
فيستطيع أيّ موقعٍ استهلاك رصيد GPU مباشرةً، وكانت رسائل الخطأ تُسرّب تتبّع استثناءٍ داخليّ.

app.py

@@ -9,6 +9,7 @@ from __future__ import annotations
 
 import json
 import os
+import re
 import socket
 import threading
 import time
@@ -16,6 +17,20 @@ from http.server import BaseHTTPRequestHandler, ThreadingHTTPServer
 
 import numpy as np
 
+# ── الحماية (أُضيفت بعد تدقيقٍ أمنيّ 2026-08-13): هذه النقطة كانت مفتوحةً بالكامل (CORS *، بلا
+#   فحص أصل، بلا سقف حجمٍ، بلا مهلة) — أيّ موقعٍ يقدر يستدعيها مباشرةً ويستهلك رصيد GPU، أو يفتح
+#   اتصالاتٍ بطيئة/ضخمة يُنهك الخيط الوحيد المُسلسَل بالقفل. نطابق نمط الحماية المُطبَّق فعلًا على
+#   دالّة Whisper الوسيطة (client/functions/api/transcribe.js) لكن كقائمة أصولٍ صريحة (لا يوجد
+#   "نفس الأصل" ذاتيّ هنا لأنّ هذا خادمٌ منفصلٌ على نطاق hf.space لا يخدم الصفحة نفسها).
+ALLOWED_ORIGIN_RE = re.compile(
+    r"^https://([a-z0-9-]+\.)?al-moratel\.pages\.dev$"   # الإنتاج + معاينات الفروع المُجزَّأة
+    r"|^capacitor://localhost$"                            # تطبيق iOS (Capacitor WKWebView)
+    r"|^ionic://localhost$"                                 # احتياطٌ لبعض إعدادات Capacitor القديمة
+    r"|^https?://(localhost|127\.0\.0\.1)(:\d+)?$"          # تطويرٌ محليّ (XAMPP)
+)
+MAX_BODY_BYTES = 8 * 1024 * 1024   # أطول آيةٍ واقعيّة (~٦٠ث صوتٍ خامّ base64) لا تقارب هذا الحدّ
+MAX_AYAHS = 50                     # سقف عدد الآيات في طلبٍ واحد (تحليل مقطعٍ متعدّد الآيات)
+
 try:
     import torch as _torch
     _torch.set_num_threads(os.cpu_count() or 4)
@@ -44,18 +59,31 @@ def _json_default(o):
 
 
 class Handler(BaseHTTPRequestHandler):
+    # مهلة قراءة الاتّصال (ث) — تمنع طلبًا بجسمٍ بطيءٍ/ناقصٍ عمدًا من حجز خيطٍ إلى الأبد
+    # (كلّ طلبٍ يُخدَم في خيطه الخاصّ عبر ThreadingHTTPServer، لكن الخيوط ليست بلا حدود).
+    timeout = 30
+
     def log_message(self, *a):
         pass
 
-    def _cors(self):
-        self.send_header("Access-Control-Allow-Origin", "*")
+    def _allowed_origin(self):
+        origin = self.headers.get("Origin") or self.headers.get("Referer") or ""
+        return origin if ALLOWED_ORIGIN_RE.match(origin) else None
+
+    def _cors(self, origin=None):
+        # نعكس الأصل المطابَق فقط (لا "*") — طلبٌ من أصلٍ غير مسموحٍ لا يحصل على ترويسة السماح
+        # فيرفضه المتصفّح تلقائيًّا حتى لو نجح المزيّف عبر أدواتٍ لا تحترم CORS (curl مثلًا)، حيث
+        # يبقى فحص do_POST الصريح أدناه هو خطّ الدفاع الحقيقيّ (CORS يحمي متصفّحًا لا نصًّا برمجيًّا).
+        if origin:
+            self.send_header("Access-Control-Allow-Origin", origin)
+            self.send_header("Vary", "Origin")
         self.send_header("Access-Control-Allow-Methods", "POST, GET, OPTIONS")
         self.send_header("Access-Control-Allow-Headers", "Content-Type")
 
-    def _send(self, code, obj):
+    def _send(self, code, obj, origin=None):
         body = json.dumps(obj, default=_json_default, ensure_ascii=False).encode("utf-8")
         self.send_response(code)
-        self._cors()
+        self._cors(origin)
         self.send_header("Content-Type", "application/json; charset=utf-8")
         self.send_header("Content-Length", str(len(body)))
         self.end_headers()
@@ -63,33 +91,82 @@ class Handler(BaseHTTPRequestHandler):
 
     def do_OPTIONS(self):
         self.send_response(204)
-        self._cors()
+        self._cors(self._allowed_origin())
         self.send_header("Content-Length", "0")
         self.end_headers()
 
     def do_GET(self):
-        self._send(200, {"ok": True, "service": "al-moratel-qps", "routes": ["/analyze"]})
+        self._send(200, {"ok": True, "service": "al-moratel-qps", "routes": ["/analyze"]}, self._allowed_origin())
 
     def do_POST(self):
+        origin = self._allowed_origin()
         if self.path not in ("/", "/analyze"):
-            self._send(404, {"error": "not_found"})
+            self._send(404, {"error": "not_found"}, origin)
+            return
+        if not origin:
+            self._send(403, {"error": "forbidden_origin"}, None)
             return
-        length = int(self.headers.get("Content-Length", "0") or 0)
-        raw = self.rfile.read(length) if length else b""
+        declared = int(self.headers.get("Content-Length", "0") or 0)
+        if declared <= 0:
+            self._send(400, {"error": "missing_body"}, origin)
+            return
+        if declared > MAX_BODY_BYTES:
+            self._send(413, {"error": "payload_too_large"}, origin)
+            return
+        raw = self.rfile.read(declared)
         try:
             data = json.loads(raw) if raw else {}
         except Exception:
-            self._send(400, {"error": "bad_json"})
+            self._send(400, {"error": "bad_json"}, origin)
             return
         pcm = data.get("pcm")
         if not pcm or not isinstance(pcm, str):
-            self._send(400, {"error": "missing_pcm"})
+            self._send(400, {"error": "missing_pcm"}, origin)
             return
-        inner = {"pcm": pcm, "surah": data.get("surah")}
-        if data.get("ayahs") is not None:
-            inner["ayahs"] = data["ayahs"]
-        if data.get("ayah") is not None:
-            inner["ayah"] = data["ayah"]
+
+        # تحقّق حدود surah/ayah/ayahs قبل استدعاء المحلّل — يمنع تسريب أثر استثناءٍ داخليّ على
+        # مدخلاتٍ خارج المدى (كان يحدث سابقًا)، ويمنع طلبًا بمصفوفة ayahs ضخمة يُنهك الخيط
+        # المُسلسَل الوحيد (GPU واحد) على حساب كلّ مستخدمٍ آخر ينتظر في الطابور.
+        try:
+            surah = int(data.get("surah"))
+        except (TypeError, ValueError):
+            self._send(400, {"error": "bad_surah"}, origin)
+            return
+        if not (1 <= surah <= 114):
+            self._send(400, {"error": "surah_out_of_range"}, origin)
+            return
+        ayahs_in = data.get("ayahs")
+        ayah_in = data.get("ayah")
+        if ayahs_in is not None:
+            if not isinstance(ayahs_in, list) or not ayahs_in or len(ayahs_in) > MAX_AYAHS:
+                self._send(400, {"error": "bad_ayahs"}, origin)
+                return
+            try:
+                ayahs_in = [int(a) for a in ayahs_in]
+            except (TypeError, ValueError):
+                self._send(400, {"error": "bad_ayahs"}, origin)
+                return
+            if any(not (1 <= a <= 300) for a in ayahs_in):
+                self._send(400, {"error": "ayah_out_of_range"}, origin)
+                return
+        elif ayah_in is not None:
+            try:
+                ayah_in = int(ayah_in)
+            except (TypeError, ValueError):
+                self._send(400, {"error": "bad_ayah"}, origin)
+                return
+            if not (1 <= ayah_in <= 300):
+                self._send(400, {"error": "ayah_out_of_range"}, origin)
+                return
+        else:
+            self._send(400, {"error": "missing_ayah_or_ayahs"}, origin)
+            return
+
+        inner = {"pcm": pcm, "surah": surah}
+        if ayahs_in is not None:
+            inner["ayahs"] = ayahs_in
+        if ayah_in is not None:
+            inner["ayah"] = ayah_in
         inner["sifat"] = bool(data.get("sifat", False))
         # عدد المستخدمين غير محدود: بدل رفض الطلب الثاني فورًا (503 busy) نُصفّه في طابورٍ وننتظر
         # دورَه — النموذج نفسه ما زال يعالج تحليلًا واحدًا في كلّ لحظة (GPU واحد)، لكن لا أحد يُرفَض أو
@@ -99,13 +176,14 @@ class Handler(BaseHTTPRequestHandler):
         try:
             res = _handler({"inputs": inner})
         except Exception as e:
-            self._send(500, {"error": str(e)[:300]})
+            print(f"[al-moratel-qps] استثناءٌ غير متوقَّع: {e}", flush=True)
+            self._send(500, {"error": "processing_failed"}, origin)
             return
         finally:
             _lock.release()
         print(f"[al-moratel-qps] /analyze surah={inner.get('surah')} "
               f"ayahs={inner.get('ayahs') or inner.get('ayah')} ({time.time() - t:.1f}ث)", flush=True)
-        self._send(200, res)
+        self._send(200, res, origin)
 
 
 class DualStackServer(ThreadingHTTPServer):

handler.py

@@ -281,4 +281,8 @@ class EndpointHandler:
             return out
         except Exception as e:
             import traceback
-            return {"error": str(e), "trace": traceback.format_exc()[-800:]}
+            # لا نُعيد أثر الاستثناء (مسارات ملفّاتٍ داخليّة) للمتصل — نطبعه في سجلّ الخادم فقط
+            # ونُرجع رسالة عامّة نظيفة. (اكتُشِف هذا في تدقيقٍ أمنيّ: طلبٌ فاسدٌ/خارج المدى كان
+            # يُرجع تتبّعًا كاملًا يكشف بنية الملفّات الداخليّة.)
+            print(f"[al-moratel-qps] خطأ: {e}\n{traceback.format_exc()}", flush=True)
+            return {"error": "processing_failed"}