fix(security): outbound URL 내부주소·host 검증 전수 강화

서버가 외부 입력으로 목적지가 제어되는 outbound HTTP 요청을 보내는 지점을
전수 조사해, 내부망(사설 IP·루프백·링크로컬·메타데이터)과 host 위조를 차단한다.
KVE-2026-1546(이니시스 인증 URL 접두사 매칭 우회)과 동일 클래스의
지점(언어팩 URL 설치, 스케줄 URL 호출, 배송비 계산 API, GitHub URL 판정)을
코어 공용 유틸 App\Support\OutboundUrlValidator 로 수렴시켰다.

- 접두사 매칭을 host 완전일치로 교체 — userinfo(@) 위장과 접미사 확장 도메인
 우회 벡터 차단.
- 사내 서버 호출이 정당한 관리자 지점(스케줄·외부 API)은 신규 설정
 security.allow_internal_outbound_urls(기본 off)로 옵트인.
- 언어팩 URL 설치는 원격 코드 다운로드라 옵트인과 무관하게 내부 주소 항상 차단.
- 웹소켓 연결 테스트는 localhost·사설 IP 가 정상 구성이므로 구조적 위조만 차단.

각 지점에 red 재현 → 수정 → green 회귀 테스트 + 실브라우저 E2E 로 검증.
수기 API 문서가 자동 재생성으로 소실되는 사고를 막는 PreToolUse 훅을 함께 추가한다.

app/Http/Requests/Schedule/UpdateScheduleRequest.php

@@ -6,12 +6,18 @@ use App\Enums\ExtensionOwnerType;
 use App\Enums\ScheduleFrequency;
 use App\Enums\ScheduleType;
 use App\Extension\HookManager;
+use App\Models\Schedule;
+use App\Rules\PublicOutboundUrl;
+use Illuminate\Contracts\Validation\ValidationRule;
 use Illuminate\Foundation\Http\FormRequest;
+use Illuminate\Validation\Rule;
 
 class UpdateScheduleRequest extends FormRequest
 {
     /**
      * Determine if the user is authorized to make this request.
+     *
+     * @return bool 권한 검사는 라우트의 permission 미들웨어가 담당하므로 항상 true
      */
     public function authorize(): bool
     {
@@ -21,7 +27,7 @@ class UpdateScheduleRequest extends FormRequest
     /**
      * Get the validation rules that apply to the request.
      *
-     * @return array<string, \Illuminate\Contracts\Validation\ValidationRule|array<mixed>|string>
+     * @return array<string, ValidationRule|array<mixed>|string>
      */
     public function rules(): array
     {
@@ -32,7 +38,14 @@ class UpdateScheduleRequest extends FormRequest
             'name' => 'sometimes|required|string|max:255',
             'description' => 'nullable|string|max:1000',
             'type' => "sometimes|required|string|in:{$types}",
-            'command' => 'sometimes|required|string|max:2000',
+            // URL 호출 스케줄이면 command 가 곧 서버의 outbound 목적지가 되므로 내부망 주소를 차단한다
+            'command' => [
+                'sometimes',
+                'required',
+                'string',
+                'max:2000',
+                Rule::when($this->resolvesToUrlSchedule(), [new PublicOutboundUrl]),
+            ],
             'expression' => 'sometimes|required|string|max:100',
             'frequency' => "sometimes|required|string|in:{$frequencies}",
             'without_overlapping' => 'boolean',
@@ -47,6 +60,25 @@ class UpdateScheduleRequest extends FormRequest
         return HookManager::applyFilters('core.schedule.update_validation_rules', $rules, $this);
     }
 
+    /**
+     * 이번 수정 결과 URL 호출 스케줄이 되는지 판정합니다.
+     *
+     * PATCH 라 `type` 이 요청에 없을 수 있으므로, 없으면 저장된 스케줄의 타입을 기준으로
+     * 판정한다 — 그렇지 않으면 기존 url 스케줄의 command 만 바꾸는 요청이 검증을 비껴간다.
+     *
+     * @return bool URL 호출 스케줄이면 true
+     */
+    protected function resolvesToUrlSchedule(): bool
+    {
+        if ($this->has('type')) {
+            return $this->input('type') === ScheduleType::Url->value;
+        }
+
+        $schedule = $this->route('schedule');
+
+        return $schedule instanceof Schedule && $schedule->type === ScheduleType::Url;
+    }
+
     /**
      * Get custom messages for validator errors.
      *