fix(browse): restrict /api/browse to root; allow full access for file picker dialogs

Author: Taka-S-dev

README.md

@@ -6,6 +6,8 @@
 
 大きなコードベース（Linux カーネル、OpenSSL、curl など）を読む際に、検索結果をグラフに積み上げながら構造を把握していくことを想定しています。
 
+ビルドシステムが複雑で `compile_commands.json` を生成しにくいプロジェクトや、clangd のセットアップが難しい環境でも、インクルード依存グラフや定義ジャンプが動作します。
+
 > **ローカル専用ツールです**
 > 自分の PC で起動して、同じ PC のブラウザからアクセスして使います。
 > サーバーへのデプロイや、他の人が外部からアクセスできる環境での使用は想定していません。
@@ -128,6 +130,7 @@ static 変数・関数呼び出しはテキストパターンに基づくヒュ
 | [Go](https://golang.org/) 1.25 以上 | — | ソースからビルドする場合のみ。バイナリ配布版は不要 |
 | [ripgrep](https://github.com/BurntSushi/ripgrep) | ✅ | `rg` コマンドが PATH にあること |
 | [GNU Global](https://www.gnu.org/software/global/) | — | **なくても動作します。** `gtags` / `global` コマンドが PATH にあると定義ジャンプ・ホバー・Callers の精度が向上 |
+| [Universal Ctags](https://github.com/universal-ctags/ctags) | — | **なくても動作します。** `tags` ファイルを生成しておくと定義ジャンプの精度が向上し、定数・マクロのハイライトが有効になる |
 
 ---
 
@@ -223,6 +226,27 @@ grepnavi/
 
 ---
 
+## Universal Ctags（オプション）
+
+[Universal Ctags](https://github.com/universal-ctags/ctags) の `tags` ファイルを生成しておくと、定義ジャンプの精度が向上し、定数・マクロのハイライトが有効になります。
+
+### インストール（Windows）
+
+```bash
+scoop install universal-ctags
+```
+
+### 使い方
+
+1. grepnavi を起動し、プロジェクトルートを開く
+2. エディタのファイルヘッダ右端に表示される **定義ジャンプエンジン** ラベルをクリック
+3. ポップオーバーで「インデックス → 生成」を実行
+4. 以降、定義ジャンプ（Ctrl+クリック / F12）・定数マクロのハイライトが有効になる
+
+インデックスは `tags` ファイルとしてプロジェクトルートに保存されます。ファイルを追加・変更した後は「更新」で再生成してください。
+
+---
+
 ## 使い方
 
 ### 基本的な流れ
@@ -402,7 +426,7 @@ grepnavi/
     │   ├── search.js          # 検索・フィルタ・結果表示
     │   ├── graph.js           # グラフ/ツリー操作・D3.js・詳細パネル・D&D
     │   ├── editor.js          # Monaco エディタ・fzf・ナビ履歴・行メモ・#ifdef
-│   ├── memo-list.js       # メモリストパネル（行・範囲メモ一覧・グループ管理）
+    │   ├── memo-list.js       # メモリストパネル（行・範囲メモ一覧・グループ管理）
     │   ├── editor-c.js        # C/C++ 固有拡張（static変数・関数呼び出し・定数のハイライト、ローカル変数ホバー抑制）
     │   ├── gtags.js           # GNU Global UI（エンジン選択・インデックス管理）
     │   ├── include-graph.js   # C インクルード依存グラフ（D3.js）

api/handlers_fileops.go

@@ -245,6 +245,8 @@ func (h *Handler) handleBrowse(w http.ResponseWriter, r *http.Request) {
 	dir := q.Get("path")
 	ext := q.Get("ext") // e.g. ".json"
 
+	pick := q.Get("pick") == "1" // ルート選択ダイアログからの呼び出し
+	explicitPath := dir != ""
 	if dir == "" {
 		if exe, err := os.Executable(); err == nil {
 			dir = filepath.Dir(exe)
@@ -254,6 +256,16 @@ func (h *Handler) handleBrowse(w http.ResponseWriter, r *http.Request) {
 	}
 	dir = filepath.Clean(dir)
 
+	if explicitPath && !pick {
+		h.mu.RLock()
+		root := filepath.Clean(h.root)
+		h.mu.RUnlock()
+		if !strings.HasPrefix(dir+string(filepath.Separator), root+string(filepath.Separator)) {
+			jsonErr(w, "path outside root", http.StatusForbidden)
+			return
+		}
+	}
+
 	entries, err := os.ReadDir(dir)
 	if err != nil {
 		jsonErr(w, err.Error(), http.StatusBadRequest)

static/js/filebrowser.js

@@ -95,6 +95,7 @@ async function fbNavigate(dir, pushHistory = true, focusName = null) {
   const ext = (_fbMode === 'open-file') ? '' : '.json';
   const params = new URLSearchParams({ ext });
   if(dir) params.set('path', dir);
+  if(['dir', 'open', 'save', 'open-file'].includes(_fbMode)) params.set('pick', '1');
   const res = await fetch('/api/browse?' + params).catch(() => null);
   if(!res || !res.ok) { st('ディレクトリを開けませんでした'); return; }
   const data = await res.json();