#

起きたこと

Googleフォームから送った活動記録の一部が、署名の検証で弾かれました。

原因

切り分けのため、英数字だけの本文を、時刻を固定して送るテスト用の関数を作りました。これは通ります。日本語を入れると、通りません。署名の計算ではなく、日本語をバイト列にするところで食い違っていると分かりました。

署名は、文字列ではなくバイト列から計算します。サーバー側（Node.js）は UTF-8 を指定して計算していましたが、Google Apps Script 側は文字コードを指定していませんでした。

直し方

送る前に、本文の英数字以外の文字を、すべて \uXXXX 形式のエスケープに置き換えました。本文が英数字と記号だけになるので、どちらの環境でも同じバイト列になります。

JSON としての意味は変わらないので、受け取る側は何も直さずに済みました。

docs/gas-webhook-code-v2.js（581〜582行目）

let body = JSON.stringify(payload);
body = body.replace(/[^\x00-\x7F]/g, c => '\\u' + ('0000' + c.charCodeAt(0).toString(16)).slice(-4));

直したときのコミット：cc20e3a（2026年1月3日）

src/server/middleware/auth.middleware.js（35〜55行目）

const tol = parseInt(process.env.HMAC_TOLERANCE_SEC || '300', 10);
const now = Math.floor(Date.now() / 1000);
const ts = parseInt(String(timestamp || ''), 10);
if (!ts || Math.abs(now - ts) > tol) return false;
…
const expBuf = crypto.createHmac('sha256', secret).update(`${ts}.${bodyRaw}`, 'utf8').digest();
…
return gotBuf.length === expBuf.length && crypto.timingSafeEqual(gotBuf, expBuf);

Google Apps Script は、送る時刻と本文をまとめて署名します。受け取る側は、まず送信時刻が5分以内かを確かめ、それから同じ秘密の鍵で署名を作り直して比べます。

盗んだ要求をあとから送り直しても、5分を過ぎれば通りません。比べるときは timingSafeEqual を使い、比べ終わるまでの時間から正解を探られないようにしています。

起きたこと

URLが合っていないダウンロードまで、優先度がいちばん高いルールのフォルダへ入っていました。反対に、ファイルの種類を指定していないルールは、URLが合っても使われませんでした。

原因

ルールを優先度の順に調べるループで、URLが合ったときだけ、ファイルの種類を確かめていました。合わなかったときに次のルールへ進む処理がなく、そのまま振り分けの処理まで素通りしていました。

ファイルの種類の判定も、「指定なし」を「どれにも当たらない」と読んでいました。

直し方

URLが合わなければ、その場で次のルールへ進むようにしました。条件を入れ子にせず、合わない条件があれば先に抜けるガード節の形にしたので、外れたルールが下へ素通りすることはありません。ファイルの種類は、指定がなければ全部を対象にします。

background.js（335〜344行目）

// URLマッチしなければ次のルールへ
if (!isMatch) continue;

// ファイルタイプ指定がある場合のみ拡張子チェック
// 空配列 = 全ファイルタイプ対象なのでチェックをスキップ
if (rule.lowerCaseFileTypes.length > 0) {
    if (!ext || !rule.lowerCaseFileTypes.includes(ext)) {
        continue;
    }
}

直したときのコミット：813fa07（2026年2月19日）

background.js（143〜148行目）

const compiledRegex = (rule.matchType === 'regex' && rule.sitePattern)
    ? (() => {
        try { return new RegExp(rule.sitePattern, 'i'); }
        catch (e) { console.error(`[DownloaderExt] Invalid Regex: ${rule.sitePattern}`); return null; }
    })()
    : null;

ルールを読み込んだときに、正規表現を1回だけ組み立てておきます。書き方が間違っていれば、ここで null にして、そのルールだけを外します。

ダウンロードのたびに組み立て直さないので速く、間違ったルールがあっても、ほかのルールの振り分けは止まりません。