v1.0.1

2026-08-06リリース

PHP版で、2つの弱いところを直しました。SkyWay版のトークン発行を置いている人は、この版にしてください。

頼まれた範囲を超えるトークン

トークンを頼むときのchannelNameとpeerIdは、これまで型と長さしか確かめていませんでした。SkyWayは、名前の中の*を「どんな文字列にも当てはまる」と、\をその打ち消しと読みます。そのため、channelNameに*を渡すだけで、アプリの中のすべての部屋を読み書きできるトークンが出せていました。ロビーの名前（udonarium-lobby-で始まるもの）を渡すと、ロビーで書けないようにしている権限が付いたトークンも出せました。

次の値は、400で断るようにしました（→ トークン発行のAPI）。

• 空のchannelNameとpeerId
• *か\を含むchannelNameとpeerId
• udonarium-lobby-で始まるchannelName

Webから読めないもの

.gitのような、.で始まるフォルダの中のファイルが、Webから読めました。git pullで置いている環境では、ソースコードとコミットの履歴がすべて見えていました。.htaccessで、.で始まるフォルダを403で断るようにしました。証明書の確かめに使う.well-known/だけは、これまでどおり読めます。

この版にするとき

zipの中身を置き換えます。.htaccessも新しいものにしてください。

---

開発者向けのくわしい変更は、GitHub ReleasesとCHANGELOGを参照してください。