@aiquants/daily-report 0.12.3 → 0.13.0

package/src/server/handlers.ts

@@ -9,13 +9,14 @@
 import { normalizeBusinessDateKey } from "../shared/business-date"
 import { type DailyReportIdsStreamChunkLine, type DailyReportIdsStreamCursor, findIdsStreamResumeIndex } from "../shared/ids-stream"
 import { createLogger, type DailyReportLogger, LogLevel } from "../shared/logger"
-import { dailyReportSseMessageSchema } from "../shared/sse-schema"
+import { type DailyReportSseMessage, dailyReportSseMessageSchema } from "../shared/sse-schema"
 import type { DailyReportItem } from "../shared/types"
-import type { DailyReportAttachmentFailure, DailyReportAuthenticate, DailyReportEncodeUserId, DailyReportIdCodec, DailyReportReadAttachment, DailyReportRedisProvider } from "./ports"
+import type { DailyReportAttachmentFailure, DailyReportAuthenticate, DailyReportEncodeUserId, DailyReportIdCodec, DailyReportReadAttachment, DailyReportRedisProvider, DailyReportResolveVisibleSourceTypes, DailyReportVisibilityResolveReason } from "./ports"
 import { jsonResponseWithETag } from "./response"
 import type { DailyReportService } from "./service"
 import type { DailyReportSseReader, StreamEntry } from "./sse-reader"
 import { isStreamIdLte } from "./sse-reader"
+import { isSourceTypeVisible, normalizeVisibleSourceTypes, type VisibleSourceTypeSet } from "./visibility"
 
 type LoaderArgs = { request: Request; params: Record<string, string | undefined> }
 
@@ -65,6 +66,15 @@ const IDS_STREAM_HEARTBEAT_MS = 15_000
 /** next() 待ちがハートビート間隔に負けたことを表す番兵。 */
 const IDS_STREAM_HEARTBEAT = Symbol("ids-stream-heartbeat")
 
+/**
+ * Keep-alive ticks between SSE visibility re-resolutions.
+ * SSE の可視集合を再解決する間隔 (keep-alive tick 数)。
+ *
+ * keep-alive は 5 秒間隔なので 12 tick = 約 60 秒。読み取り経路がリクエストごとに再解決するのに対し
+ * SSE は接続が長寿命なため、この間隔が権限失効の反映遅延の上限になる。
+ */
+const SSE_VISIBILITY_REFRESH_TICKS = 12
+
 /**
  * Parses and validates resume-cursor query params (fail-closed).
  * 再開カーソルのクエリパラメータを検証付きで解釈する処理 (不正は fail-closed)。
@@ -490,9 +500,53 @@ const streamAndRelease = (bytes: Uint8Array<ArrayBuffer>, release: () => void, t
     })
 }
 
+/**
+ * Decides whether an SSE message is visible under the viewer's source-type set.
+ * SSE メッセージが閲覧者の可視 sourceType 集合において可視かを判定する処理。
+ *
+ * - `connected` / `status-update`: 常に可視。前段で本人限定済みであり、区分も本文も載らない。
+ * - `report-create` / `report-update` / `report-publish`: 埋め込み `report.sourceType` で判定する。
+ *   値が欠落していれば `isSourceTypeVisible` の規則により制限閲覧者には不可視 (fail-close)。
+ * - `comment-add` / `comment-delete`: 新規コメントは `addComment` の Internal 限定ゲートを通るため
+ *   構造上 Internal のみ。明示 `sourceType` があればそれを使い、無い旧エントリは `"Internal"` として扱う。
+ * - `report-delete`: 明示 `sourceType` で判定し、値の無い旧エントリは fail-close で落とす
+ *   (削除の取りこぼしは次回取得で自己修復する良性の劣化)。
+ *
+ * @param parsed Validated SSE message. 検証済みの SSE メッセージ。
+ * @param raw Raw payload carrying server-only fields. サーバー専用フィールドを含む生ペイロード。
+ * @param visible Normalized visible source-type set. 正規化済みの可視 sourceType 集合。
+ * @returns True when the message may be delivered. 配信してよいなら true。
+ */
+const isSseMessageSourceTypeVisible = (parsed: DailyReportSseMessage, raw: Record<string, unknown>, visible: VisibleSourceTypeSet): boolean => {
+    // 無制限なら種別を問わず配信する (現行互換の高速経路)
+    if (visible === null) {
+        return true
+    }
+    const rawSourceType = typeof raw.sourceType === "string" ? raw.sourceType : undefined
+    switch (parsed.type) {
+        case "connected":
+        case "status-update":
+            return true
+        case "report-create":
+        case "report-update":
+        case "report-publish":
+            return isSourceTypeVisible(visible, parsed.report.sourceType)
+        case "comment-add":
+        case "comment-delete":
+            return isSourceTypeVisible(visible, rawSourceType ?? "Internal")
+        case "report-delete":
+            return isSourceTypeVisible(visible, rawSourceType)
+    }
+}
+
 export type DailyReportHandlersConfig = {
     /** リクエスト認証ポート。 */
     authenticate: DailyReportAuthenticate
+    /**
+     * 可視 sourceType リゾルバ。未注入なら全件 (現行互換)。
+     * 全データ経路 (一覧 / 詳細 / コメント / 添付 / SSE) に一貫して効き、例外は全拒否として扱う。
+     */
+    resolveVisibleSourceTypes?: DailyReportResolveVisibleSourceTypes
     /** データアクセスサービス。 */
     service: DailyReportService
     /** 内部数値 ID の難読化ポート。 */
@@ -537,6 +591,7 @@ export function createDailyReportHandlers(config: DailyReportHandlersConfig) {
     const { authenticate, service, encodeUserId, redis, sseReader, streamKey } = config
     const loginRedirectPath = config.loginRedirectPath ?? "/auth/login"
     const apiLogger = config.logger ?? createLogger(LogLevel.ERROR, "[DailyReportAPI]")
+    const visibilityLogger = config.logger ?? createLogger(LogLevel.ERROR, "[DailyReportVisibility]")
     const sseLogger = config.logger ?? createLogger(LogLevel.INFO, "[DailyReportSSE]")
     const attachmentLogger = config.logger ?? createLogger(LogLevel.INFO, "[DailyReportAttachment]")
 
@@ -545,6 +600,30 @@ export function createDailyReportHandlers(config: DailyReportHandlersConfig) {
     const consumeAttachmentRateToken = createRateLimiter(config.attachmentRateLimitPerMinute ?? DEFAULT_ATTACHMENT_RATE_LIMIT_PER_MINUTE)
     const attachmentGate = createConcurrencyGate(config.attachmentConcurrency ?? DEFAULT_ATTACHMENT_CONCURRENCY)
 
+    /**
+     * Resolves and normalizes the visible source-type set once per request (fail-closed).
+     * リクエストごとに可視 sourceType 集合を 1 回だけ解決・正規化する処理 (fail-close)。
+     *
+     * ポート未注入なら `null` (無制限・現行互換)。ポートが例外を投げたら**空集合 (全拒否)**へ倒す。
+     * 認可ストアの障害時に無制限へ倒れないための唯一の防波堤であり、ここを緩めてはならない。
+     *
+     * @param request Incoming request. 受信したリクエスト。
+     * @param reason Why it is being resolved. 解決理由 (SSE の定期再解決は "refresh")。
+     * @returns Normalized visible set. 正規化済みの可視集合。
+     */
+    const resolveVisibleSet = async (request: Request, reason: DailyReportVisibilityResolveReason = "initial"): Promise<VisibleSourceTypeSet> => {
+        const port = config.resolveVisibleSourceTypes
+        if (!port) {
+            return null
+        }
+        try {
+            return normalizeVisibleSourceTypes(await port(request, { reason }))
+        } catch (e) {
+            visibilityLogger.error("resolveVisibleSourceTypes threw; failing closed (deny all)", e)
+            return new Set<string>()
+        }
+    }
+
     // ---------------- index (画面ルート) ----------------
 
     /**
@@ -571,7 +650,7 @@ export function createDailyReportHandlers(config: DailyReportHandlersConfig) {
     // ---------------- api (:endpoint ルーター) ----------------
 
     type User = { id: string }
-    type EndpointHandler = (url: URL, cookie: string | null, request: Request, user: User) => Promise<Response>
+    type EndpointHandler = (url: URL, cookie: string | null, request: Request, user: User, visible: VisibleSourceTypeSet) => Promise<Response>
 
     /**
      * Handlers for each API endpoint.
@@ -582,14 +661,14 @@ export function createDailyReportHandlers(config: DailyReportHandlersConfig) {
          * Retrieves daily reports for a specific business date.
          * 指定された営業日の日報一覧を取得する。
          */
-        "business-date": async (url, cookie, request, user) => {
+        "business-date": async (url, cookie, request, user, visible) => {
             const normalizedBusinessDate = normalizeBusinessDateKey(url.searchParams.get("businessDate"))
             const forceRefresh = url.searchParams.get("forceRefresh") === "true"
 
             if (!normalizedBusinessDate) {
                 return jsonResponseWithETag(request, cookie, { error: { message: "Invalid business date" } }, 400)
             }
-            const reports = await service.getDailyReportsByBusinessDateByExternalId(normalizedBusinessDate, user.id, { forceRefresh })
+            const reports = await service.getDailyReportsByBusinessDateByExternalId(normalizedBusinessDate, user.id, { forceRefresh }, visible)
             return jsonResponseWithETag(request, cookie, { businessDate: normalizedBusinessDate, reports }, 200)
         },
         /**
@@ -604,7 +683,7 @@ export function createDailyReportHandlers(config: DailyReportHandlersConfig) {
          * 全体データ量に依存しない)。キャッシュヒット時は全量が即勝ちし、従来どおり
          * 確定済み配列のメモリスライス送出になる。
          */
-        "ids-stream": async (url, cookie, request, user) => {
+        "ids-stream": async (url, cookie, request, user, visible) => {
             const parsed = parseIdsStreamCursor(url)
             if ("invalid" in parsed) {
                 return jsonResponseWithETag(request, cookie, { error: { message: "Invalid cursor" } }, 400)
@@ -612,7 +691,7 @@ export function createDailyReportHandlers(config: DailyReportHandlersConfig) {
             const forceRefresh = url.searchParams.get("forceRefresh") === "true"
 
             // 全量 (SqlResultCache / epoch / コアレッシング維持) は常に即時に走らせ始める
-            const fullArrayPromise = service.getDailyReportIdsByExternalId(user.id, { forceRefresh })
+            const fullArrayPromise = service.getDailyReportIdsByExternalId(user.id, { forceRefresh }, visible)
             // 拒否はイテレーターの await 側で扱う (ここで未処理拒否警告を出さない)
             fullArrayPromise.catch(() => {})
 
@@ -632,7 +711,7 @@ export function createDailyReportHandlers(config: DailyReportHandlersConfig) {
             // キャッシュヒット時もこの TOP 200 クエリは走って結果が捨てられる (二重クエリ)。
             // インデックス順の部分走査で ms 級と実測見積もりされており、ヒット判定のための
             // キャッシュ同期 peek API を足す複雑さに見合わないため意図的に許容する
-            const firstPagePromise = service.getDailyReportIdsFirstPageByExternalId(user.id, IDS_STREAM_FIRST_CHUNK_SIZE)
+            const firstPagePromise = service.getDailyReportIdsFirstPageByExternalId(user.id, IDS_STREAM_FIRST_CHUNK_SIZE, visible)
             firstPagePromise.catch(() => {})
 
             const lineIterator = (async function* (): AsyncGenerator<DailyReportIdsStreamChunkLine> {
@@ -680,7 +759,7 @@ export function createDailyReportHandlers(config: DailyReportHandlersConfig) {
          * Retrieves details for a specific daily report.
          * 指定された日報の詳細情報を取得する。
          */
-        report: async (url, cookie, request, user) => {
+        report: async (url, cookie, request, user, visible) => {
             const param = url.searchParams.get("reportHubId")
             const forceRefresh = url.searchParams.get("forceRefresh") === "true"
             const parsedId = param ? Number.parseInt(param, 10) : NaN
@@ -688,7 +767,7 @@ export function createDailyReportHandlers(config: DailyReportHandlersConfig) {
             if (!Number.isFinite(parsedId) || parsedId <= 0) {
                 return jsonResponseWithETag(request, cookie, { error: { message: "Invalid reportHubId" } }, 400)
             }
-            const detail = await service.getDailyReportDetailByIdByExternalId(parsedId, user.id, { snapshot: true, forceRefresh })
+            const detail = await service.getDailyReportDetailByIdByExternalId(parsedId, user.id, { snapshot: true, forceRefresh }, visible)
             if (!detail) {
                 return jsonResponseWithETag(request, cookie, { error: { message: "Report not found" } }, 404)
             }
@@ -719,7 +798,9 @@ export function createDailyReportHandlers(config: DailyReportHandlersConfig) {
         const startTime = Date.now()
         try {
             const url = new URL(request.url)
-            return await handler(url, sanitizedCookie, request, user)
+            // 可視集合はリクエストごとに 1 回だけ解決する (キャッシュキーが戻り値に依存する)
+            const visible = await resolveVisibleSet(request)
+            return await handler(url, sanitizedCookie, request, user, visible)
         } catch (error) {
             const elapsed = Date.now() - startTime
             const err = error instanceof Error ? error : new Error(String(error))
@@ -749,6 +830,10 @@ export function createDailyReportHandlers(config: DailyReportHandlersConfig) {
             return jsonData({ error: "User not found" }, { status: 404 })
         }
 
+        // 可視集合はリクエストごとに 1 回だけ解決し、他者の日報に作用する 4 種へ渡す
+        // (create / update / publish / delete / clearCache は所有者・開発者ゲートで別管理)
+        const visible = await resolveVisibleSet(request)
+
         const formData = await request.formData()
         const intent = formData.get("intent")
         const reportHubIdRaw = formData.get("reportHubId")
@@ -775,6 +860,37 @@ export function createDailyReportHandlers(config: DailyReportHandlersConfig) {
             return jsonData({ error: "Invalid reportHubId" }, { status: 400 })
         }
 
+        /**
+         * Runs a boolean user-status toggle and maps its outcome onto a response.
+         * 真偽値のユーザー状態トグルを実行し、結果をレスポンスへ写像する処理。
+         *
+         * `toggleStar` と `toggleRead` は必須フィールド名と呼び出すサービスだけが異なるため、
+         * 検証・応答整形・エラー写像をここへ集約する。
+         *
+         * @param intentName Intent echoed back to the client. クライアントへ返す intent 名。
+         * @param fieldName Required boolean form field. 必須の真偽値フォームフィールド名。
+         * @param apply Service call performing the toggle. トグルを実行するサービス呼び出し。
+         * @returns The HTTP response. HTTP レスポンス。
+         */
+        const runStatusToggle = async (intentName: "toggleStar" | "toggleRead", fieldName: "isStarred" | "isRead", apply: (value: boolean) => Promise<{ isStarred: boolean; isRead: boolean }>): Promise<Response> => {
+            const raw = formData.get(fieldName)
+            if (raw === null) {
+                return jsonData({ error: `${fieldName} required` }, { status: 400 })
+            }
+            try {
+                const updatedStatus = await apply(raw === "true")
+                // クライアントは isStarred/isRead のみ参照する。生内部 ID (userId/created_by/updated_by) を
+                // 含む行全体は返さず、必要なフラグだけに絞る (内部 ID の自己開示防止)。
+                return jsonData({ status: "OK", intent: intentName, updatedStatus: { isStarred: updatedStatus.isStarred, isRead: updatedStatus.isRead }, operationTimestamp, reportHubId: String(reportHubId), clientTempId })
+            } catch (e: unknown) {
+                // 不可視区分・不存在・削除済みは 404 へ写像する (未捕捉だと 500 になる)
+                if (e instanceof Error && e.message === "Not Found") {
+                    return jsonData({ error: "Report not found" }, { status: 404 })
+                }
+                throw e
+            }
+        }
+
         switch (intent) {
             case "create": {
                 if (!businessDate) {
@@ -844,34 +960,17 @@ export function createDailyReportHandlers(config: DailyReportHandlersConfig) {
                     throw e
                 }
             }
-            case "toggleStar": {
-                const isStarredRaw = formData.get("isStarred")
-                if (isStarredRaw === null) {
-                    return jsonData({ error: "isStarred required" }, { status: 400 })
-                }
-                const isStarred = isStarredRaw === "true"
-                const updatedStatus = await service.setStarStatus(userId, reportHubId, businessDate, isStarred, clientTempId)
-                // クライアントは isStarred/isRead のみ参照する。生内部 ID (userId/created_by/updated_by) を
-                // 含む行全体は返さず、必要なフラグだけに絞る (内部 ID の自己開示防止)。
-                return jsonData({ status: "OK", intent: "toggleStar", updatedStatus: { isStarred: updatedStatus.isStarred, isRead: updatedStatus.isRead }, operationTimestamp, reportHubId: String(reportHubId), clientTempId })
-            }
-            case "toggleRead": {
-                const isReadRaw = formData.get("isRead")
-                if (isReadRaw === null) {
-                    return jsonData({ error: "isRead required" }, { status: 400 })
-                }
-                const isRead = isReadRaw === "true"
-                const updatedStatus = await service.setReadStatus(userId, reportHubId, businessDate, isRead, clientTempId)
-                // クライアントは isStarred/isRead のみ参照する (内部 ID の自己開示防止)。
-                return jsonData({ status: "OK", intent: "toggleRead", updatedStatus: { isStarred: updatedStatus.isStarred, isRead: updatedStatus.isRead }, operationTimestamp, reportHubId: String(reportHubId), clientTempId })
-            }
+            case "toggleStar":
+                return await runStatusToggle("toggleStar", "isStarred", (value) => service.setStarStatus(userId, reportHubId, businessDate, value, clientTempId, visible))
+            case "toggleRead":
+                return await runStatusToggle("toggleRead", "isRead", (value) => service.setReadStatus(userId, reportHubId, businessDate, value, clientTempId, visible))
             case "addComment": {
                 const content = formData.get("content") as string
                 if (!content) {
                     return jsonData({ error: "Content required" }, { status: 400 })
                 }
                 try {
-                    const newComment = await service.addComment(userId, reportHubId, content, businessDate, clientTempId)
+                    const newComment = await service.addComment(userId, reportHubId, content, businessDate, clientTempId, visible)
                     const safeComment = { ...newComment, userId: newComment.userId }
                     return jsonData({ status: "OK", intent: "addComment", newComment: safeComment, reportHubId: String(reportHubId), clientTempId })
                 } catch (e: unknown) {
@@ -893,7 +992,7 @@ export function createDailyReportHandlers(config: DailyReportHandlersConfig) {
                     return jsonData({ error: "Invalid commentId" }, { status: 400 })
                 }
                 try {
-                    await service.deleteComment(userId, reportHubId, commentId, businessDate, clientTempId)
+                    await service.deleteComment(userId, reportHubId, commentId, businessDate, clientTempId, visible)
                     return jsonData({ status: "OK", reportHubId: String(reportHubId), deletedCommentId: String(commentId), clientTempId })
                 } catch (e: unknown) {
                     if (e instanceof Error) {
@@ -936,6 +1035,12 @@ export function createDailyReportHandlers(config: DailyReportHandlersConfig) {
             return new Response("Not Found", { status: 404 })
         }
 
+        // 可視集合は接続時に解決し、以降 keep-alive tick に相乗りして再解決する (D6)。
+        // 接続生存期間で固定すると、権限失効後も本文付きイベントが届き続けてしまう
+        let visible = await resolveVisibleSet(request)
+        let keepAliveTick = 0
+        let resolveGeneration = 0
+
         // URL から lastEventId を取得 (再接続時の catch-up 用)
         // クエリパラメータ優先、EventSource 自動再接続時の Last-Event-ID ヘッダーにフォールバック
         const url = new URL(request.url)
@@ -984,6 +1089,22 @@ export function createDailyReportHandlers(config: DailyReportHandlersConfig) {
          * Processes a single Redis Stream entry and sends it to the SSE client.
          * Redis Stream のエントリを処理し、SSE クライアントに送信する。
          */
+        /**
+         * Emits a content-free frame that only advances the client's resume anchor.
+         * 内容を伴わず、クライアントの再開アンカーだけを前進させるフレームを送出する処理。
+         *
+         * 種別は `connected` を使う。クライアントは既にこの種別を無視しつつ `lastEventId` を
+         * 更新するため、フィルタで落としたエントリの ID を安全に伝播できる。
+         *
+         * @param entryId Redis Stream entry id. Redis Stream のエントリ ID。
+         * @returns Nothing. なし。
+         */
+        const emitAnchorOnly = (entryId: string): void => {
+            if (controllerRef && controllerRef.desiredSize !== null) {
+                controllerRef.enqueue(encoder.encode(`id: ${entryId}\ndata: ${JSON.stringify({ type: "connected" })}\n\n`))
+            }
+        }
+
         const processEntry = (entryId: string, fields: Record<string, string>) => {
             // data フィールドの存在チェック
             if (!fields.data) return
@@ -1008,6 +1129,17 @@ export function createDailyReportHandlers(config: DailyReportHandlersConfig) {
                     return
                 }
 
+                // 区分の可視性フィルタ (宛先フィルタを通過した後に適用する)
+                if (!isSseMessageSourceTypeVisible(parsed, raw, visible)) {
+                    // ❗ 内容は送らないが、再開アンカーだけは前へ進める。クライアントの
+                    //    `lastEventId` は配信されたイベントでしか更新されないため、落とし続けると
+                    //    アンカーが古いまま固定され、再接続のたびに同じ範囲を読み直す
+                    //    (かつ catch-up の COUNT 上限を超えた分を取りこぼしうる)。
+                    //    `connected` はクライアントが既に無視する種別なので、内容は漏れない
+                    emitAnchorOnly(entryId)
+                    return
+                }
+
                 // recipientRawUserId をクライアントに送信しない (内部 ID 漏洩防止)
                 let sanitizedMessage: string
                 if ("recipientRawUserId" in raw) {
@@ -1036,6 +1168,18 @@ export function createDailyReportHandlers(config: DailyReportHandlersConfig) {
                     try {
                         if (controllerRef && controllerRef.desiredSize !== null) {
                             controllerRef.enqueue(encoder.encode(": keep-alive\n\n"))
+                            // 約 60 秒ごと (12 tick) に可視集合を再解決し、権限失効を有界化する。
+                            // 世代ガード: 順序が逆転した古い解決結果で最新を上書きしない
+                            // (上書きすると広い集合へ戻り fail-open 方向に倒れる)。
+                            // resolveVisibleSet 自身が fail-close なので catch は不要
+                            if (++keepAliveTick % SSE_VISIBILITY_REFRESH_TICKS === 0) {
+                                const generation = ++resolveGeneration
+                                resolveVisibleSet(request, "refresh").then((next) => {
+                                    if (generation === resolveGeneration) {
+                                        visible = next
+                                    }
+                                })
+                            }
                         } else {
                             cleanup()
                         }
@@ -1185,7 +1329,9 @@ export function createDailyReportHandlers(config: DailyReportHandlersConfig) {
             }
 
             // 認可判定 (SQL 側で完結)。null は「存在しない」「認可されない」「親が論理削除済み」の合流
-            const attachment = await service.getAttachmentForUser(attachmentId, internalUserId)
+            // 可視集合はこの try の内側で解決する (例外封じ込め規約の維持)
+            const visible = await resolveVisibleSet(request)
+            const attachment = await service.getAttachmentForUser(attachmentId, internalUserId, visible)
             if (!attachment) {
                 attachmentLogger.error(`404 attachment=${attachmentId} viewer=${internalUserId} reason=not_visible`)
                 return fail(404, "Attachment not found")