SSRF: quando o servidor faz a requisição do atacante

Resposta esperada

SSRF: o atacante faz o SEU servidor emitir uma requisição pra um destino que ele escolhe. Se você tem 'informe a URL da sua foto de perfil e a gente baixa', o atacante põe `http://169.254.169.254/latest/meta-data/` (endpoint de metadados de cloud, que pode vazar credenciais IAM), ou `http://localhost:6379` (Redis interno), ou serviços da rede privada que não deveriam ser alcançáveis de fora. O servidor tem acesso de rede que o atacante não tem — é isso que ele empresta. Defesas: validar e resolver a URL contra uma allowlist de domínios; bloquear IPs privados/loopback/link-local (e cuidar de redirecionamentos e DNS rebinding que burlam a checagem); usar um proxy de saída dedicado; e desabilitar/proteger endpoints de metadados (IMDSv2).