dado-modelos/modelo-express
Template
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

Modelo do encurtador em Express

Browse Source 
Gerado a partir de deploy-templates/express (dado.cloud ab2f4c0).
This commit is contained in:
dado.cloud
2026-10-21 14:40:17 +00:00
parent 9047c10d9a
commit 63f06ccf26
4 changed files with 155 additions and 6 deletions
Download Patch File Download Diff File Expand all files Collapse all files
server.js
+33 -4
View File
@@ -2,7 +2,7 @@ import { readFileSync } from 'node:fs';
import express from 'express';
import { criarLink, ErroDeValidacao, FORMATO_CODIGO, listarLinks, registrarClique } from './links.js';
import { buscarLink, criarLink, ErroDeValidacao, FORMATO_CODIGO, listarLinks, registrarClique } from './links.js';
const PORTA = Number(process.env.PORT) || 3000;
// Variável de ambiente de exemplo: na Dado, ela se configura no painel do app.
@@ -31,6 +31,17 @@ const paginaInicial = lerPagina('index.html')
.replace('{{INICIO}}', () => escaparHtml(inicioFormatado))
.replace('{{MENSAGEM}}', () => escaparHtml(MENSAGEM));
const paginaNaoEncontrada = lerPagina('nao-encontrado.html');
// A página de aviso não roda script nenhum: o navegador só aceita o CSS dela.
const CSP_AVISO = "default-src 'none'; style-src 'unsafe-inline'; img-src data:; frame-ancestors 'none'; base-uri 'none'; form-action 'none'";
const modeloAviso = lerPagina('aviso.html');
// Página de aviso antes de sair: mostra para onde o link leva. Todo valor é
// escapado (o link foi digitado por alguém) e entra numa passada só, para um
// valor nunca ser lido como outro marcador.
function paginaAviso(link) {
const valores = { HOST: new URL(link.url).host, URL: link.url, CODIGO: link.codigo };
return modeloAviso.replace(/\{\{(HOST|URL|CODIGO)\}\}/g, (_, chave) => escaparHtml(valores[chave]));
}
// Freio simples contra abuso: no máximo 30 links novos a cada 10 minutos por IP.
const LIMITE_POR_IP = 30;
@@ -98,12 +109,30 @@ app.post('/api/links', (req, res) => {
}
});
// O redirecionamento é feito pelo servidor: GET /<código> → 302 para o link.
// GET /<código> não redireciona direto: mostra antes uma página de aviso com o
// destino. Sem ela, qualquer pessoa usaria o seu endereço para disfarçar um
// link de golpe. A página não conta clique — quem só olha não foi ao destino.
app.get('/:codigo', (req, res, next) => {
if (!FORMATO_CODIGO.test(req.params.codigo)) return next();
const link = registrarClique(req.params.codigo);
const link = buscarLink(req.params.codigo);
if (!link) return res.status(404).type('html').send(paginaNaoEncontrada);
res.set('Cache-Control', 'no-store');
res.set({
'Cache-Control': 'no-store',
'Referrer-Policy': 'no-referrer',
'X-Robots-Tag': 'noindex, nofollow',
'Content-Security-Policy': CSP_AVISO,
});
res.type('html').send(paginaAviso(link));
});
// O botão "Continuar" leva para GET /<código>/ir: aqui o servidor soma o
// clique e redireciona (302) para o link. HEAD (robôs que só conferem o
// endereço) responde igual, mas não conta clique.
app.get('/:codigo/ir', (req, res, next) => {
if (!FORMATO_CODIGO.test(req.params.codigo)) return next();
const link = req.method === 'HEAD' ? buscarLink(req.params.codigo) : registrarClique(req.params.codigo);
if (!link) return res.status(404).type('html').send(paginaNaoEncontrada);
res.set({ 'Cache-Control': 'no-store', 'Referrer-Policy': 'no-referrer' });
res.redirect(302, link.url);
});