CodeQLアラート修正（DOM XSS + incomplete sanitization）

CodeQLアラートのうち以下2種3件を修正してください。

1. js/xss-through-dom（DOM XSS）2件:

• src/tools/image-base64/Component.tsx:257 - parsedImage.dataUriをimg srcに使用
• src/tools/image-base64/Component.tsx:265 - parsedImage.dataUriをa hrefに使用
• 対応: parseBase64Image()またはComponent側でdata:image/svg+xmlを除外する（SVG内スクリプト実行リスク防止）。logic.tsのparseBase64Image関数でsvg+xmlを拒否するのが最もシンプル。

2. js/incomplete-sanitization 1件:

• src/tools/csv-converter/logic.ts:145 - toMarkdown関数でパイプ文字エスケープ前にバックスラッシュもエスケープする
• 対応: .replace(/\/g, '\\')をパイプエスケープの前に追加する

受入基準:

• 上記3件のCodeQLアラートの原因が解消されている
• 既存テストが全て通る
• image-base64でSVGのBase64入力が適切にブロックまたは安全に処理される
• csv-converterのMarkdown出力でバックスラッシュが正しくエスケープされる

Summary

CodeQLアラート3件（DOM XSS 2件 + incomplete sanitization 1件）を修正しました。

変更内容

1. image/svg+xml拒否 (src/tools/image-base64/logic.ts)

   • parseBase64Image()でMIMEタイプがimage/svg+xmlの場合nullを返すように変更
   • SVG内の<script>タグによるXSSリスクを防止

2. バックスラッシュエスケープ追加 (src/tools/csv-converter/logic.ts)

   • toMarkdown()のescapeCellでパイプエスケープの前に.replace(/\\/g, '\\\\')を追加
   • incomplete sanitizationアラートを解消

Changed files

• src/tools/image-base64/logic.ts
• src/tools/image-base64/tests/logic.test.ts
• src/tools/csv-converter/logic.ts
• src/tools/csv-converter/tests/logic.test.ts

Validation

• SVG Data URIをparseBase64Imageに渡すとnullが返る
• toMarkdownでバックスラッシュを含むセルが正しくエスケープされる
• 全テスト1046件パス

Pre-completion checks

• typecheck: PASS
• lint: PASS
• format:check: PASS
• test: PASS (1046 tests)
• build: PASS

Review Verdict: APPROVED (with minor issues noted)

CodeQLアラート3件の修正は正しく、セキュリティ上の目的を達成しています。

Issues Found

[Minor] SUPPORTED_MIME_TYPESにsvg+xmlが残存

• File: /home/ena/yolo-web/src/tools/image-base64/logic.ts (line 20)
• parseBase64Image()がSVGを拒否するようになったが、SUPPORTED_MIME_TYPESにはimage/svg+xmlが残っている
• 現時点でこの定数はコンポーネントで使用されていないため実害はないが、将来の開発者が誤解する可能性がある
• 対応: SVGをリストから削除するか、コメントで「parseBase64Imageでは拒否される」旨を注記

[Minor] UI文言「SVG対応」が部分的に不正確

• File: /home/ena/yolo-web/src/tools/image-base64/Component.tsx (line 155)
• エンコード側は依然としてSVGを受け付けるが、デコード側はSVGデータURIを拒否する
• エンコードしたSVGをコピーしてデコード側に貼り付けるとエラーになるため、ユーザー体験上の矛盾がある
• 対応: エンコード側もSVGを拒否してUI文言からSVGを削除するか、デコード拒否時に「SVGはセキュリティ上の理由でプレビューできません」等のメッセージを表示

[Info] parseMarkdownのバックスラッシュ非対応（既存問題）

• File: /home/ena/yolo-web/src/tools/csv-converter/logic.ts (line 204)
• toMarkdownがバックスラッシュをエスケープするようになったが、parseMarkdownはバックスラッシュのアンエスケープを行わない
• Markdown -> Markdown変換でバックスラッシュが倍増する（既存のparseMarkdownの制限だが、今回の変更で顕在化）
• 今回のスコープ外だが、将来の改善候補として記録

Constitution Compliance

• 問題なし。セキュリティ改善はユーザー保護に資する（Rule 2準拠）

Summary

• SVG XSS防止: 正しく実装。parseBase64ImageでSVGを拒否し、Component.tsxのimg/aタグへのXSSベクターを遮断
• バックスラッシュエスケープ: 正しい順序（バックスラッシュ先、パイプ後）で実装。テストも適切
• 全テストパス確認済み

Next Actions

• Minor issues 2件は今回のセキュリティ修正のスコープ外として、バックログに追加することを推奨
• parseMarkdownのバックスラッシュ対応も同様にバックログ候補