特定のURL / ドメインのリンクカードが文字化けするバグを修正

app/models/link_card/card.rb

@@ -16,8 +16,6 @@ def metadata
     private
 
     def request
-      return unless LinkChecker::Checker.valid_url?(@url)
-
       @tweet ? fetch_tweet : Metadata.new(@url).fetch
     end
 

app/models/link_fetcher/fetcher.rb

@@ -0,0 +1,74 @@
+# frozen_string_literal: true
+
+require 'net/http'
+
+module LinkFetcher
+  module Fetcher
+    class TooManyRedirects < StandardError; end
+
+    FETCH_ERRORS = [
+      SocketError,
+      Errno::ECONNREFUSED,
+      Errno::EHOSTUNREACH,
+      Errno::ETIMEDOUT,
+      Net::OpenTimeout,
+      Net::ReadTimeout,
+      EOFError,
+      OpenSSL::SSL::SSLError
+    ].freeze
+
+    DEFAULT_TIMEOUT = 5
+    DEFAULT_REDIRECT_LIMIT = 5
+
+    module_function
+
+    def fetch(url, redirect_limit = DEFAULT_REDIRECT_LIMIT)
+      raise TooManyRedirects if redirect_limit.negative?
+      return nil unless LinkChecker::Checker.valid_url?(url)
+
+      uri = Addressable::URI.parse(url).normalize
+      safe_ips = SafeIpResolver.resolve_ips(uri)
+      return nil if safe_ips.nil?
+
+      http = build_http(uri, safe_ips)
+      response = http.request_get(uri.request_uri)
+
+      if response.is_a?(Net::HTTPRedirection)
+        redirect_url = build_redirect_url(url, response)
+        return nil unless redirect_url
+
+        fetch(redirect_url, redirect_limit - 1)
+      else
+        response
+      end
+    rescue TooManyRedirects
+      Rails.logger.info("[LinkFetcher] Too many redirects: #{url}")
+      nil
+    rescue *FETCH_ERRORS => e
+      Rails.logger.warn("[LinkFetcher] #{e.class}: #{e.message}")
+      nil
+    end
+
+    def build_http(uri, ips)
+      http = Net::HTTP.new(uri.host, uri.inferred_port)
+      if uri.scheme == 'https'
+        http.use_ssl = true
+        http.verify_mode = OpenSSL::SSL::VERIFY_PEER
+      end
+      http.open_timeout = DEFAULT_TIMEOUT
+      http.read_timeout = DEFAULT_TIMEOUT
+      http.response_body_encoding = true
+      http.ipaddr = ips.first
+      http
+    end
+
+    def build_redirect_url(url, response)
+      location = response['location']
+      return nil if location.blank?
+
+      URI.join(url, location).to_s
+    rescue URI::InvalidURIError
+      nil
+    end
+  end
+end

app/models/link_fetcher/safe_ip_resolver.rb

@@ -0,0 +1,76 @@
+# frozen_string_literal: true
+
+module LinkFetcher
+  module SafeIpResolver
+    BLOCKED_IP_RANGES = [
+      # ループバック（SSRFで内部サービスに到達可能なためブロック）
+      IPAddr.new('127.0.0.0/8'),
+      IPAddr.new('::1/128'),
+
+      # プライベートネットワーク（SSRFで社内/VPCリソースに到達可能なためブロック）
+      IPAddr.new('10.0.0.0/8'),
+      IPAddr.new('172.16.0.0/12'),
+      IPAddr.new('192.168.0.0/16'),
+
+      # リンクローカル（メタデータAPI等に到達可能なためブロック）
+      IPAddr.new('169.254.0.0/16'),
+      IPAddr.new('fe80::/10'),
+
+      # IPv6 ユニークローカルアドレス（内部ネットワークへのアクセスを防ぐためブロック）
+      IPAddr.new('fc00::/7'),
+
+      # 旧site-local（廃止済みだが内部ネットワーク扱いのため念の為ブロック）
+      IPAddr.new('fec0::/10'),
+
+      # 無効・未指定アドレス（接続先として無効、且つ挙動が不安定のためブロック）
+      IPAddr.new('0.0.0.0/8'),
+      IPAddr.new('::/128'),
+
+      # CGNAT（外部から到達すべきでない領域のためブロック）
+      IPAddr.new('100.64.0.0/10'),
+
+      # IPv4-mapped IPv6（IPv4アドレスをIPv6で表現してのフィルタ回避を防ぐためブロック）
+      IPAddr.new('::ffff:0:0/96')
+    ].freeze
+
+    class NonHttpUriError < StandardError; end
+    class AddressNotFoundError < StandardError; end
+    class UnsafeIpError < StandardError; end
+
+    module_function
+
+    def resolve_ips(uri)
+      raise NonHttpUriError unless valid_http_uri?(uri)
+
+      ips = Resolv.getaddresses(uri.host)
+      raise AddressNotFoundError if ips.empty?
+      raise UnsafeIpError unless all_ips_safe?(ips)
+
+      ips
+    rescue NonHttpUriError => e
+      Rails.logger.info("[SafeResolver] #{e.class}: scheme=#{uri.scheme} host=#{uri.host}")
+      nil
+    rescue AddressNotFoundError => e
+      Rails.logger.info("[SafeResolver] #{e.class}: host=#{uri.host}")
+      nil
+    rescue UnsafeIpError => e
+      Rails.logger.warn("[SafeResolver] #{e.class}: unsafe ip detected host=#{uri.host}")
+      nil
+    end
+
+    def valid_http_uri?(uri)
+      port = uri.port || uri.inferred_port
+
+      port.in?([80, 443]) && uri.scheme.downcase.in?(%w[http https])
+    end
+
+    def all_ips_safe?(ips)
+      ip_addrs = ips.map { |ip| IPAddr.new(ip) }
+      ip_addrs.all? { |ip| safe_ip?(ip) }
+    end
+
+    def safe_ip?(ip_addr)
+      BLOCKED_IP_RANGES.none? { |ip_range| ip_range.include?(ip_addr) }
+    end
+  end
+end

app/models/metadata.rb

@@ -3,12 +3,15 @@
 class Metadata
   def initialize(url)
     @url = url
-    @uri = Addressable::URI.parse(url).normalize
+  end
+
+  def uri
+    @uri ||= Addressable::URI.parse(@url).normalize
   end
 
   def fetch
-    response = Net::HTTP.get_response(@uri)
-    response.message == 'OK' ? parse(response.body) : nil
+    response = LinkFetcher::Fetcher.fetch(@url)
+    response.is_a?(Net::HTTPSuccess) ? parse(response.body) : nil
   end
 
   private
@@ -21,15 +24,15 @@ def parse(html)
       title: object.og.title,
       description: object.og.description,
       images: object.og.image&.url,
-      site_name: object.og.site_name || @uri.host,
+      site_name: object.og.site_name || uri.host,
       favicon: favicon(html),
       url: @url,
       site_url: site_url
     }
   end
 
   def site_url
-    "#{@uri.scheme}://#{@uri.host}"
+    "#{uri.scheme}://#{uri.host}"
   end
 
   def favicon(html)

db/fixtures/reports.yml

@@ -496,7 +496,7 @@ report89:
     ### detailsとmessage以外のマークダウンにネストしている場合
     * @[card](https://bootcamp.fjord.jp)
 
-  reported_on: <%= Time.now %>
+  reported_on: "2026-01-01 01:00:00"
 
 report90:
   user: machida
@@ -505,3 +505,68 @@ report90:
   description: |-
     たくさんのスタンプがつきました。
   reported_on: "2025-10-01 01:00:00"
+
+report91:
+  user: komagata
+  title: "リンクカードの動作確認 危険なIPが弾かれているかのテスト"
+  emotion: 2
+  description: |-
+    ## 正常系
+    @[card](https://www.youtube.com/watch?v=8LudKmk7yPM)
+
+    ## 異常形
+    ## ループバック
+    @[card](http://127.0.0.1)
+
+    @[card](http://127.0.0.1:80)
+
+    @[card](http://[::1])
+
+    @[card](http://localhost)
+
+    ## プライベートネットワーク
+    @[card](http://10.0.0.1)
+
+    @[card](http://172.16.0.1)
+
+    @[card](http://192.168.0.1)
+
+    ## リンクローカル
+    @[card](http://169.254.0.1)
+
+    @[card](http://169.254.169.254)
+
+    @[card](http://[fe80::1])
+
+    ## IPv6 ローカル
+    @[card](http://[fc00::1])
+
+    @[card](http://[fec0::1])
+
+    ## 未指定・ブロードキャスト
+    @[card](http://0.0.0.0)
+
+    @[card](http://255.255.255.255)
+
+    ## CGNAT
+    @[card](http://100.64.0.1)
+
+    ## ドキュメント用・ベンチマーク用
+    @[card](http://192.0.2.1)
+
+    @[card](http://198.51.100.1)
+
+    @[card](http://203.0.113.1)
+
+    @[card](http://198.18.0.1)
+
+    @[card](http://[2001:db8::1])
+
+    ## マルチキャスト
+    @[card](http://224.0.0.1)
+
+    @[card](http://[ff00::1])
+
+    ## IPv4-mapped IPv6
+    @[card](http://[::ffff:127.0.0.1])
+  reported_on: "2026-01-02 01:00:00"