fix url upload sec

[coltea]

No description provided.

[Copilot]

🟡 Changes recommended

Sitemap 中未转义的可配置 URL 会导致无效 XML 或 XML 注入。

1 open finding

• Escape BaseURL before writing it into sitemap XML · New

What changed in this PR

本 PR 调整字符串构建方式，并同步重新生成 Swagger 文档。

Changes:

• 使用 fmt.Fprintf 直接写入字符串构建器。
• 更新 Swagger 模型的全限定引用名称。
• 当前 sitemap URL 输出仍缺少 XML 转义。

File	Description
backend/​usecase/​sitemap.go	调整 sitemap 字符串构建。
backend/​usecase/​llm.go	调整图片 Markdown 拼接。
backend/​domain/​llm.go	调整文档上下文拼接。
backend/​docs/​swagger.yaml	更新 Swagger YAML。
backend/​docs/​swagger.json	更新 Swagger JSON。
backend/​docs/​docs.go	更新生成的 Swagger Go 文档。

Files not reviewed (2)

• backend/cmd/api/wire_gen.go: Generated file
• backend/docs/docs.go: Generated file

🧠 Review effort: Balanced

---

💡 Add a code-review agent skill or configure MCP servers for context-aware, tailored reviews. Learn more in the docs.

[Copilot]

🟡 Changes recommended

主后端新增了对 proprietary 子模块的直接依赖，导致未初始化子模块的常规 CI 和开源构建失败。

2 open findings

• 主后端依赖未检出的 pro 子模块，导致开源 API 构建失败 · New
• Escape BaseURL before writing it into sitemap XML

Files not reviewed (2)

• backend/cmd/api/wire_gen.go: Generated file
• backend/docs/docs.go: Generated file

🧠 Review effort: Balanced

[Copilot]

🟡 Changes recommended

SVG 清理会删除 Mermaid 流程图用于节点标签的 foreignObject，导致节点文字丢失。

3 open findings

• 主后端依赖未检出的 pro 子模块，导致开源 API 构建失败
• Escape BaseURL before writing it into sitemap XML
• Removing Mermaid foreignObject labels leaves flowchart nodes blank · New

Files not reviewed (2)

• backend/cmd/api/wire_gen.go: Generated file
• backend/docs/docs.go: Generated file

🧠 Review effort: Balanced

[Copilot]

🟡 Changes recommended

SVG 清理仍可通过根节点事件属性和大小写标签绕过，需先修复该安全缺口。

3 open findings

• SVG清理未遍历根节点且标签大小写可绕过黑名单 · New
• Escape BaseURL before writing it into sitemap XML
• Removing Mermaid foreignObject labels leaves flowchart nodes blank

1 resolved since last review

• 主后端依赖未检出的 pro 子模块，导致开源 API 构建失败

Files not reviewed (2)

• backend/cmd/api/wire_gen.go: Generated file
• backend/docs/docs.go: Generated file

🧠 Review effort: Balanced

[Copilot]

🟡 Changes recommended

SVG 根节点仍可绕过清理，且通用上传 API 和专业版构建存在回归风险。

3 open findings

• 专业版 wire 代码未同步更新导致 API 构建失败 · New
• SVG清理未遍历根节点且标签大小写可绕过黑名单
• 共享白名单误限制通用文件上传 API · New

2 resolved since last review

• Escape BaseURL before writing it into sitemap XML
• Removing Mermaid foreignObject labels leaves flowchart nodes blank

Files not reviewed (2)

• backend/cmd/api/wire_gen.go: Generated file
• backend/docs/docs.go: Generated file

🧠 Review effort: Balanced

[Copilot]

🟡 Changes recommended

远程上传的公共用例产生未声明的 API 破坏，同时 Swagger 与已提交的前端客户端类型不同步。

2 open findings

• Regenerate web clients after OpenAPI component renames · New
• 共享白名单误限制通用文件上传 API

2 resolved since last review

• 专业版 wire 代码未同步更新导致 API 构建失败
• SVG清理未遍历根节点且标签大小写可绕过黑名单

Files not reviewed (2)

• backend/cmd/api/wire_gen.go: Generated file
• backend/docs/docs.go: Generated file

🧠 Review effort: Balanced