根因（从 checkpoints 取到的那一轮 tool_call 实际 ARGS 逐字节核实）： 模型交给工具的 image 参数是 "data:image/png;base64," —— 只有前缀、 载荷为空（全长 22 字符）。两个加载器早就会剥 data: 前缀，但把空载荷 解码成零字节后照样挂上合法 MIME 放行： image-crop → 零字节进 image.Decode ⇒ image: unknown format vision → DataURI("image/png", nil) 发给上游 ⇒ 400 unsupported image （模型复述不出入参里那条 58583 字符的 data: URI，只抄下了前缀。） - 新增 checkInlinePayload：data: URI 解码后做内容嗅探（复用既有裁决） - 空载荷 / 缺 ;base64 段 / 缺逗号 / 非法 base64 ⇒ 明确拒绝 - 报错含「不是图片」+ 嗅到的类型 + 支持格式 + 十六进制物证 + 可行动提示， 且不回显正文或 base64 - 裸 base64、http(s) URL、工具 schema、安全策略一律未动 - 测试：新增 16 个用例；全树 61 包 ok；4 个变异（含停用嗅探 ⇒ 5 用例红）
- SSRF 三层：① 字面主机判定（**链路本地** `169.254.0.0/16`/`fe80::/10`（先 Unmap ⇒ `::ffff:169.254.169.254` 绕不过）+ 云元数据 `100.100.100.200`、`fd00:ec2::/64`）；② 重定向逐跳校验 + 上限 5 跳； ③ **建连前校验解析结果并用校验过的 IP 直连**（防 DNS 重绑，拨号器不再二次解析） - **没打断同源自取**（两条独立证据）：`127.0.0.1:<port>/api/v1/files/<32hex>.png` 端到端取回成功、 私网地址**原样交给底层拨号器**；被拒地址则底层拨号器 0 次调用（无真实连接发出） - 失败文案**不含 URL/查询串签名**；非图片响应仍 `ErrNotImage` 且不泄漏响应体 - base64 路径长度预检（**先于 DecodeString 与 `data:` 短路**，零分配）：口径与网关同值同推导 （`((5MiB+2)/3)*4+64`），超限 `ErrImageTooLarge`、文案只含上限与本次长度 - 复核：vision 包 build/vet/测试绿（15 条新用例）；**4 条变异反证**（守卫整体短路 → 8 条被拒地址全中； 只短路链路本地分支 → 4 红且实测「无守卫时进程真的去连 169.254.169.254」；预检恒 nil → 3 红； 去掉重定向校验仍全绿 ⇒ 证明第三层独立兜住） - 登记：`CHAT_IMAGE_MAX_BYTES` 调大 > 默认时「网关照放、vision 拒」的配置耦合（待单一真源对齐）
AskaEth
AskaEth
AskaEth
AskaEth