nexarch/web/mail-search/app/mail/[messageId]/attachment-preview.security.test.ts

import { describe, expect, it } from "vitest";
import { readFileSync } from "node:fs";
import { dirname, join } from "node:path";
import { fileURLToPath } from "node:url";

const dir = dirname(fileURLToPath(import.meta.url));

// UX-03 Pflichtprüfung 2: Sicherheitsreview bestätigt automatisiert (statt
// nur behauptet): keine iframe-Einbindung von Anhangsinhalt, kein <object>,
// kein dangerouslySetInnerHTML -- über alle an der Anhang-Vorschau
// beteiligten Dateien. archivmail hatte testweise eine iframe-PDF-Vorschau,
// als unsicher verworfen; dieser Test verhindert ein Wiederauftreten.
const previewFiles = ["PdfCanvasPreview.tsx", "ImagePreview.tsx", "AttachmentPreview.tsx", "AttachmentList.tsx"];

const forbiddenPatterns = [/<iframe/i, /<object/i, /dangerouslysetinnerhtml/i];

// Kommentare erklären absichtlich, WARUM kein iframe/object verwendet wird
// (enthalten die Begriffe also selbst als Prosa) -- der Review prüft den
// tatsächlichen Code, daher werden Kommentare vor dem Abgleich entfernt.
function stripComments(source: string): string {
  return source.replace(/\/\*[\s\S]*?\*\//g, "").replace(/\/\/.*$/gm, "");
}

describe("Sicherheitsreview: Anhang-Vorschau rendert nie Fremdinhalt unkontrolliert", () => {
  for (const file of previewFiles) {
    it(`${file} enthält kein iframe/object/dangerouslySetInnerHTML im tatsächlichen Code`, () => {
      const code = stripComments(readFileSync(join(dir, file), "utf-8"));
      for (const pattern of forbiddenPatterns) {
        expect(code).not.toMatch(pattern);
      }
    });
  }
});