Firecrawl 合併 DNS 重綁定修補，Playwright 代理連線鎖定已驗證位址

Firecrawl 於 10 月 21 日將 PR #5261 合併至主分支，修補 Playwright 爬取服務的伺服器端請求偽造（SSRF）防護缺口。對使用瀏覽器取得網頁、再供代理或 RAG 使用的部署而言，這項變更涉及爬取服務能否被誘導存取內部網路。合併紀錄

問題出在檢查與連線分別解析網域：防護先確認目標位址，底層代理建立連線時卻再次解析，讓 DNS 回覆變動有機會把連線導向內網。新版將連線綁定至同一次解析中通過檢查的位址，縮小驗證結果與實際目的地之間的落差；修補也加入代理層重現測試。修補說明

保護範圍仍有配置邊界。設定 PROXY_SERVER 時，目標網域由上游代理解析，這次修改無法替該路徑固定目的位址，出口政策仍由上游負責；ALLOW_LOCAL_WEBHOOKS=true 的停用檢查行為也維持原狀。目前可確認的是程式碼已合併，尚不能據此認定所有發行套件或雲端服務都已更新。配置限制

自架團隊尤其需要核對實際執行的映像與來源版本。Firecrawl 官方文件說明，自架者須自行負責升級、安全與監控，爬取也會對外發出請求；快速入門配置限可信任網路，不能直接視為正式環境架構。自架文件

工程上的下一步，是確認瀏覽器工作程序實際經過哪個代理、由哪一層解析目標網域，以及修補是否已納入所用版本。對能接收任意網址的 AI 資料管線而言，這也凸顯出應用程式驗證與網路出口限制必須配合；OWASP 的 SSRF 防護指南同樣將兩者列為防禦層次。OWASP 指南