Source Review原始碼審閱
PASS 通過
我方寫的 quickstart-ui/index.html 與 quickstart-ui/nginx.conf 逐行讀過:樣式比對 eval 與 new Function 皆零命中;頁面沒有指向外部主機的 script、link、img 或 @import,樣式與 JavaScript 都內嵌在同一個檔;對外網路呼叫只找到一處,打的是同源 /pdf/ 代理。nginx.conf 只做靜態伺服與一段反向代理,proxy_pass 指的是 compose 裡的服務名 pdf-engine。買家的執行期是上游發布的官方映像檔、不由本快照建置,上游 Go 原始碼未逐檔審讀;compose 裡引擎不對主機開埠,只透過 ui 的代理進出。