fix(browse): restrict /api/browse to root; allow full access for file picker dialogs

Author: Taka-S-dev

README.md

@@ -6,6 +6,8 @@
 
 大きなコードベース（Linux カーネル、OpenSSL、curl など）を読む際に、検索結果をグラフに積み上げながら構造を把握していくことを想定しています。
 
+ビルドシステムが複雑で `compile_commands.json` を生成しにくいプロジェクトや、clangd のセットアップが難しい環境でも、インクルード依存グラフや定義ジャンプが動作します。
+
 > **ローカル専用ツールです**
 > 自分の PC で起動して、同じ PC のブラウザからアクセスして使います。
 > サーバーへのデプロイや、他の人が外部からアクセスできる環境での使用は想定していません。
@@ -402,7 +404,7 @@ grepnavi/
     │   ├── search.js          # 検索・フィルタ・結果表示
     │   ├── graph.js           # グラフ/ツリー操作・D3.js・詳細パネル・D&D
     │   ├── editor.js          # Monaco エディタ・fzf・ナビ履歴・行メモ・#ifdef
-│   ├── memo-list.js       # メモリストパネル（行・範囲メモ一覧・グループ管理）
+    │   ├── memo-list.js       # メモリストパネル（行・範囲メモ一覧・グループ管理）
     │   ├── editor-c.js        # C/C++ 固有拡張（static変数・関数呼び出し・定数のハイライト、ローカル変数ホバー抑制）
     │   ├── gtags.js           # GNU Global UI（エンジン選択・インデックス管理）
     │   ├── include-graph.js   # C インクルード依存グラフ（D3.js）

api/handlers_fileops.go

@@ -245,6 +245,8 @@ func (h *Handler) handleBrowse(w http.ResponseWriter, r *http.Request) {
 	dir := q.Get("path")
 	ext := q.Get("ext") // e.g. ".json"
 
+	pick := q.Get("pick") == "1" // ルート選択ダイアログからの呼び出し
+	explicitPath := dir != ""
 	if dir == "" {
 		if exe, err := os.Executable(); err == nil {
 			dir = filepath.Dir(exe)
@@ -254,6 +256,16 @@ func (h *Handler) handleBrowse(w http.ResponseWriter, r *http.Request) {
 	}
 	dir = filepath.Clean(dir)
 
+	if explicitPath && !pick {
+		h.mu.RLock()
+		root := filepath.Clean(h.root)
+		h.mu.RUnlock()
+		if !strings.HasPrefix(dir+string(filepath.Separator), root+string(filepath.Separator)) {
+			jsonErr(w, "path outside root", http.StatusForbidden)
+			return
+		}
+	}
+
 	entries, err := os.ReadDir(dir)
 	if err != nil {
 		jsonErr(w, err.Error(), http.StatusBadRequest)

static/js/filebrowser.js

@@ -95,6 +95,7 @@ async function fbNavigate(dir, pushHistory = true, focusName = null) {
   const ext = (_fbMode === 'open-file') ? '' : '.json';
   const params = new URLSearchParams({ ext });
   if(dir) params.set('path', dir);
+  if(['dir', 'open', 'save', 'open-file'].includes(_fbMode)) params.set('pick', '1');
   const res = await fetch('/api/browse?' + params).catch(() => null);
   if(!res || !res.ok) { st('ディレクトリを開けませんでした'); return; }
   const data = await res.json();