Sicherheitsluecken S1, S2 und S3 schliessen

Neues Testprojekt tests/ClawdDotNet.Tools.Tests. Die Angriffsfaelle aus der
Bestandsaufnahme bleiben darin dauerhaft als Testfaelle dokumentiert — zusammen
mit Gegenproben, damit die Fixes nicht zu streng werden und legitime Nutzung
blockieren.

S3 — DirectAPI gab die abgerufene URL als Quelle an das Modell zurueck, samt
API-Schluessel im Query-String. Der Schluessel landete damit im
Konversationskontext, wurde bei jedem Folgeschritt erneut gesendet, in
ChatContext.json geschrieben und in die Logs uebernommen. UrlSanitizer maskiert
sensible Query-Parameter; auch die Fehlermeldungen sind betroffen und werden
bereinigt.

S2 — Die Kanal-/Video-Angabe wurde ungeprueft in eine Argument-Zeichenkette fuer
yt-dlp interpoliert. UseShellExecute=false verhindert Shell-Metazeichen, nicht
aber Options-Injection: yt-dlp kennt die Option --exec, die beliebige Befehle
ausfuehrt. Kritisch, weil der Agent untrusted Inhalte verarbeitet — eine
Prompt-Injection darin konnte ihn dazu bringen, genau so einen Wert zu setzen.

YouTubeUrl validiert Handles und URLs gegen die zulaessigen YouTube-Hosts und
lehnt alles ab, was mit einem Bindestrich beginnt. Die Argumente gehen jetzt
einzeln ueber ProcessStartInfo.ArgumentList, die Adresse steht hinter dem
Optionsende-Trenner. Der ffmpeg-Aufruf wurde ebenso umgestellt.

S1 — Die Tabellen-Whitelist suchte den erlaubten Namen als Teilzeichenkette
irgendwo im Statement, auch in Kommentaren. Bei einer Freigabe fuer prices
genuegte deshalb ein DELETE auf users mit einem Kommentar, der prices enthielt,
um eine beliebige Tabelle zu loeschen. Umgekehrt galten harmlose Abfragen, die
ein Schluesselwort nur als Wert enthielten, faelschlich als Schreibzugriff.

SqlGuard entfernt zuerst Kommentare und String-Literale, lehnt mehrere Statements
ab, bestimmt die Operation am ersten Schluesselwort und extrahiert Tabellennamen
gezielt hinter FROM/JOIN/INTO/UPDATE/TABLE — inklusive kommagetrennter Listen mit
Aliassen. JEDE referenzierte Tabelle muss freigegeben sein, nicht irgendeine.
Ohne Whitelist wird nichts durchgelassen. Die MongoDB-Pruefung vergleicht den
Collection-Namen jetzt exakt statt per Teilzeichenkette.

178 Tests gruen (91 Core, 87 Tools).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

src/ClawdDotNet.Tools.DirectAPI/DirectAPITool.cs

@@ -293,6 +293,9 @@ public sealed class DirectApiTool : IAgentTool
     private static async Task<(JsonElement? json, ToolResult? error)> SafeGetJsonAsync(
         HttpClient http, string url, CancellationToken ct)
     {
+        // Auch Fehlermeldungen gehen an das Modell — der Schlüssel darf darin nicht auftauchen.
+        var safeUrl = UrlSanitizer.Sanitize(url);
+
         HttpResponseMessage response;
         try
         {
@@ -300,7 +303,7 @@ public sealed class DirectApiTool : IAgentTool
         }
         catch (HttpRequestException ex)
         {
-            return (null, ToolResult.Fail($"API nicht erreichbar: {url} → {ex.Message}"));
+            return (null, ToolResult.Fail($"API nicht erreichbar: {safeUrl} → {ex.Message}"));
         }
 
         var body = await response.Content.ReadAsStringAsync(ct);
@@ -309,7 +312,7 @@ public sealed class DirectApiTool : IAgentTool
         {
             var preview = body.Length > 300 ? body[..300] + "…" : body;
             return (null, ToolResult.Fail(
-                $"API Fehler: HTTP {(int)response.StatusCode} {response.ReasonPhrase} von {url}\nAntwort: {preview}"));
+                $"API Fehler: HTTP {(int)response.StatusCode} {response.ReasonPhrase} von {safeUrl}\nAntwort: {preview}"));
         }
 
         // Prüfen ob die Antwort überhaupt JSON ist
@@ -318,7 +321,7 @@ public sealed class DirectApiTool : IAgentTool
         {
             var preview = body.Length > 300 ? body[..300] + "…" : body;
             return (null, ToolResult.Fail(
-                $"API hat kein JSON zurückgegeben ({url}). Antwort: {preview}"));
+                $"API hat kein JSON zurückgegeben ({safeUrl}). Antwort: {preview}"));
         }
 
         try
@@ -330,7 +333,7 @@ public sealed class DirectApiTool : IAgentTool
         {
             var preview = body.Length > 300 ? body[..300] + "…" : body;
             return (null, ToolResult.Fail(
-                $"Ungültiges JSON von {url}: {ex.Message}\nAntwort: {preview}"));
+                $"Ungültiges JSON von {safeUrl}: {ex.Message}\nAntwort: {preview}"));
         }
     }
 
@@ -348,7 +351,9 @@ public sealed class DirectApiTool : IAgentTool
         {
             fetchedAt = fetchedAt,
             dataAsOf = dataAsOf,
-            source = source,
+            // Ohne Bereinigung ginge der API-Schlüssel im Query-String an das Modell,
+            // in den persistierten Kontext und in die Logs.
+            source = UrlSanitizer.Sanitize(source),
             data = data
         };
         return ToolResult.Ok(JsonSerializer.Serialize(result, new JsonSerializerOptions { WriteIndented = true }));