P1対応 — レート制限実装、入力バリデーション、
CORS本番ドメイン対応

概要

リリース前会議で特定されたP1課題3件を対応しました。

1. Tier別レート制限

以前は can_submit_frame() が常に true を返すスタブでした。今回、インメモリのトークンバケット方式でTier別レート制限を実装しました。

実装アーキテクチャ

pub struct RateLimiter {
    state: Arc<Mutex<HashMap<Uuid, Instant>>>,
}

impl RateLimiter {
    pub async fn check(&self, store_id: &Uuid, tier: &str) -> bool {
        let min_interval = min_interval_for_tier(tier);
        let mut map = self.state.lock().await;
        // 前回のフレーム送信からの経過時間を確認
        if let Some(last) = map.get(store_id) {
            if last.elapsed() < min_interval { return false; }
        }
        map.insert(*store_id, Instant::now());
        true
    }
}

レート制限超過時は 403 Forbidden を返し、エラーメッセージで待機を促します。

2. 入力バリデーション

フレーム受信エンドポイントに3つのバリデーションを追加:

• camera_id: 空文字・128文字超を拒否
• jpeg_bytes: 空データを拒否
• jpeg_bytes: 10MB超を拒否

3. CORS本番ドメイン追加

CORS許可オリジンに本番ドメインを追加:

// Before: miseban-ai.fly.dev + localhost のみ
// After:
- https://misebanai.com      ← NEW
- https://www.misebanai.com   ← NEW
- https://miseban-ai.fly.dev
- http://localhost:3001

4. テスト結果

全13テスト合格。レート制限テスト3件を追加。

P0/P1 課題ステータス

P0/P1課題が全て解消。ベータ公開の技術的要件を満たしました。残るP2課題（属性分析、ヒートマップ、データ保持ポリシー）はベータ運用中に順次対応予定。