server.js

/**
 * @fileoverview Express エントリポイント
 * 環境変数の読み込み・バリデーション、Expressアプリの初期化、
 * セキュリティヘッダー、静的ファイル配信、APIルートのマウントを行う。
 */

import express from 'express';
import { createRouter } from './src/routes.js';
import { createGiteaClient } from './src/gitea-client.js';
import { createCache } from './src/cache.js';

// ========================================
// 環境変数バリデーション
// ========================================

const GITEA_URL = process.env.GITEA_URL;
const GITEA_TOKEN = process.env.GITEA_TOKEN;
const ADMIN_TOKEN = process.env.ADMIN_TOKEN || '';

const missing = [];
if (!GITEA_URL) missing.push('GITEA_URL');
if (!GITEA_TOKEN) missing.push('GITEA_TOKEN');

if (missing.length > 0) {
  console.error(`エラー: 必須環境変数が未設定です: ${missing.join(', ')}`);
  process.exit(1);
}

const PORT = parseInt(process.env.PORT, 10) || 3100;
const CACHE_TTL = parseInt(process.env.CACHE_TTL, 10) || 300;

// ========================================
// アプリケーション初期化
// ========================================

const giteaClient = createGiteaClient(GITEA_URL, GITEA_TOKEN);
const cache = createCache(CACHE_TTL);
const app = express();

// ========================================
// セキュリティヘッダー
// ========================================

app.use((req, res, next) => {
  // XSS保護
  res.setHeader('X-Content-Type-Options', 'nosniff');
  res.setHeader('X-XSS-Protection', '1; mode=block');

  // クリックジャッキング防止
  res.setHeader('X-Frame-Options', 'SAMEORIGIN');

  // CSP — D3.js CDN + dagre CDN を許可
  res.setHeader('Content-Security-Policy', [
    "default-src 'self'",
    "script-src 'self' https://d3js.org https://unpkg.com",
    "style-src 'self' 'unsafe-inline'",
    "img-src 'self' data:",
    "connect-src 'self'",
    "font-src 'self'",
    "frame-ancestors 'self'",
  ].join('; '));

  // キャッシュ制御（APIはno-cache、静的ファイルはブラウザキャッシュ許可）
  if (req.path.startsWith('/api/')) {
    res.setHeader('Cache-Control', 'no-cache, no-store, must-revalidate');
  }

  // Giteaトークンがレスポンスに漏れないよう確認
  res.removeHeader('X-Powered-By');

  next();
});

// ========================================
// Rate Limiting（簡易実装）
// ========================================

const rateLimitMap = new Map();
const RATE_LIMIT_WINDOW = 60 * 1000; // 1分
const RATE_LIMIT_MAX = 120; // 1分あたり120リクエスト

app.use('/api/', (req, res, next) => {
  const ip = req.ip || req.socket.remoteAddress || 'unknown';
  const now = Date.now();
  const entry = rateLimitMap.get(ip);

  if (!entry || now - entry.start > RATE_LIMIT_WINDOW) {
    rateLimitMap.set(ip, { start: now, count: 1 });
    return next();
  }

  entry.count++;
  if (entry.count > RATE_LIMIT_MAX) {
    return res.status(429).json({ error: 'Too many requests. Try again later.' });
  }

  next();
});

// 定期的にrate limitマップをクリーンアップ
setInterval(() => {
  const now = Date.now();
  for (const [ip, entry] of rateLimitMap) {
    if (now - entry.start > RATE_LIMIT_WINDOW * 2) {
      rateLimitMap.delete(ip);
    }
  }
}, RATE_LIMIT_WINDOW);

// ========================================
// 静的ファイル配信
// ========================================

app.use(express.static('public', {
  maxAge: '1h',
  etag: true,
}));

// ========================================
// API ルート
// ========================================

const router = createRouter(giteaClient, cache);
app.use('/api', router);

// ========================================
// サーバー起動
// ========================================

app.listen(PORT, () => {
  console.log(`サーバー起動: http://localhost:${PORT}`);
  console.log(`Gitea URL: ${GITEA_URL}`);
  console.log(`キャッシュ TTL: ${CACHE_TTL}秒`);
  // トークンはログに出さない
});