## 現状 - `network_security_config.xml` でグローバルに `cleartextTrafficPermitted="true"` - アプリ層の `OpenCodeUrl.normalize()` で LAN 帯域のみ HTTP 許可（実質的なゲート） ## 推奨 - `<domain-config>` で LAN 帯域（192.168.x, 10.x, 172.16-31.x, 100.64-127.x, localhost）のみ cleartext 許可 - 上記以外は HTTPS 必須をプラットフォーム層で強制（defense-in-depth） ## 根拠 - 現状はアプリ層チェックをバイパスする脆弱ライブラリが cleartext 通信可能 - Termux の 2022 年 world-readable 脆弱性の教訓：多層防御が重要 - Google Play のセキュリティガイドライン準拠
現状
network_security_config.xmlでグローバルにcleartextTrafficPermitted="true"OpenCodeUrl.normalize()で LAN 帯域のみ HTTP 許可（実質的なゲート）推奨
<domain-config>で LAN 帯域（192.168.x, 10.x, 172.16-31.x, 100.64-127.x, localhost）のみ cleartext 許可根拠