@aiquants/daily-report 0.18.0 → 0.18.2

package/src/server/handlers.ts

@@ -20,12 +20,15 @@ import { DailyReportViewerScope, isSourceTypeVisible, type VisibleSourceTypeSet
 
 type LoaderArgs = { request: Request; params: Record<string, string | undefined> }
 
-/** `data()` 相当の JSON レスポンス生成 (react-router 非依存)。 */
-const jsonData = (payload: unknown, init?: { status?: number }): Response =>
-    new Response(JSON.stringify(payload), {
-        status: init?.status ?? 200,
-        headers: { "Content-Type": "application/json" },
-    })
+/** `data()` 相当の JSON レスポンス生成 (react-router 非依存)。`setCookie` 指定時は Set-Cookie を付与する。 */
+const jsonData = (payload: unknown, init?: { status?: number; setCookie?: string }): Response => {
+    const headers = new Headers({ "Content-Type": "application/json" })
+    // セッション破棄の Set-Cookie は未認証応答にも載せる (捨てると無効セッションがブラウザに残る)
+    if (init?.setCookie) {
+        headers.append("Set-Cookie", init.setCookie)
+    }
+    return new Response(JSON.stringify(payload), { status: init?.status ?? 200, headers })
+}
 
 // ---------------- ids NDJSON ストリームの定数とヘルパー (純粋・モジュールスコープ) ----------------
 
@@ -719,10 +722,10 @@ export function createDailyReportHandlers(config: DailyReportHandlersConfig) {
             headers.append("Set-Cookie", cookie)
         }
 
-        let userId: number | null = null
-        if (user) {
-            userId = await service.getUserIdByExternalId(user.id)
-        }
+        // 文字列モード (`failureRedirect: loginRedirectPath`) では認証失敗が redirect として
+        // throw されるため `user` は必ず存在する (`DailyReportAuthenticate` のオーバーロードも
+        // そう宣言している)。`if (user)` は到達しないので置かない
+        const userId: number | null = await service.getUserIdByExternalId(user.id)
 
         const hashedUserId = userId ? encodeUserId(userId) : null
 
@@ -943,199 +946,229 @@ export function createDailyReportHandlers(config: DailyReportHandlersConfig) {
      * 日報データの変更操作を処理するアクション。
      */
     const apiAction = async ({ request, params }: LoaderArgs) => {
-        const { user } = await authenticate(request, { failureRedirect: null })
-        if (!user) {
-            return jsonData({ error: "Unauthorized" }, { status: 401 })
-        }
+        const { user, cookie } = await authenticate(request, { failureRedirect: null })
 
-        const endpoint = params.endpoint
-        if (endpoint !== "action") {
-            return jsonData({ error: "Unknown endpoint" }, { status: 404 })
-        }
+        /**
+         * Builds a JSON response that always carries the session cookie for this request.
+         * 本リクエストのセッション cookie を必ず載せた JSON レスポンスの生成。
+         *
+         * 全分岐 (成功・4xx・未認証) で転送する必要がある。トークン更新の cookie を落とすとブラウザは
+         * 期限切れトークンを持ち続け、以後のリクエストが毎回リフレッシュを試みて収束しない。
+         * 破棄 cookie を落とせば無効セッションがブラウザに残り続ける。個別の `jsonData` へ付け回すと
+         * 必ず取りこぼすため、この関数以外を本ハンドラ内で使わない。
+         *
+         * @param payload Response payload / レスポンス本文
+         * @param init Status override / ステータス指定
+         * @returns JSON response carrying the session cookie / セッション cookie を載せた JSON レスポンス
+         */
+        const respond = (payload: unknown, init?: { status?: number }): Response => jsonData(payload, { ...init, setCookie: cookie })
 
-        const userId = await service.getUserIdByExternalId(user.id)
-        if (!userId) {
-            return jsonData({ error: "User not found" }, { status: 404 })
+        if (!user) {
+            return respond({ error: "Unauthorized" }, { status: 401 })
         }
 
-        // 可視集合はリクエストごとに 1 回だけ解決し、他者の日報に作用する 4 種へ渡す
-        // (create / update / publish / delete / clearCache は所有者・開発者ゲートで別管理)
-        const scope = await resolveViewerScope(request)
-
-        const formData = await request.formData()
-        const intent = formData.get("intent")
-        const reportHubIdRaw = formData.get("reportHubId")
-        const reportHubId = reportHubIdRaw ? Number(reportHubIdRaw) : NaN
-        const businessDate = formData.get("businessDate") as string | null
-        const operationTimestamp = Number(formData.get("operationTimestamp"))
-        const clientTempId = formData.get("clientTempId") as string | null
-
-        if (intent === "clearCache") {
-            // 開発専用アフォーダンス。既定は封鎖 (認証済みなら誰でも全ワーカーの
-            // キャッシュを無制限破棄できてしまうため、注入で明示的に開けた環境のみ許可)
-            if (!config.enableDevCacheClear) {
-                return jsonData({ error: "Invalid intent" }, { status: 400 })
+        // apiAction には外側 try/catch が無く、`respond` を通らない例外 (service / DB / Redis の
+        // 失敗) がハンドラの外へ抜けていた。抜けるとセッション cookie が載らないまま 500 になり、
+        // トークン更新がブラウザへ届かない。apiLoader (:930) と同じ形で包む
+        const actionStartTime = Date.now()
+        try {
+            const endpoint = params.endpoint
+            if (endpoint !== "action") {
+                return respond({ error: "Unknown endpoint" }, { status: 404 })
             }
-            await service.clearCache()
-            return jsonData({ status: "OK", intent: "clearCache" })
-        }
 
-        if (!clientTempId) {
-            return jsonData({ error: "clientTempId required" }, { status: 400 })
-        }
+            const userId = await service.getUserIdByExternalId(user.id)
+            if (!userId) {
+                return respond({ error: "User not found" }, { status: 404 })
+            }
 
-        if (intent !== "create" && (!reportHubId || Number.isNaN(reportHubId))) {
-            return jsonData({ error: "Invalid reportHubId" }, { status: 400 })
-        }
+            // 可視集合はリクエストごとに 1 回だけ解決し、他者の日報に作用する 4 種へ渡す
+            // (create / update / publish / delete / clearCache は所有者・開発者ゲートで別管理)
+            const scope = await resolveViewerScope(request)
 
-        /**
-         * Runs a boolean user-status toggle and maps its outcome onto a response.
-         * 真偽値のユーザー状態トグルを実行し、結果をレスポンスへ写像する処理。
-         *
-         * `toggleStar` と `toggleRead` は必須フィールド名と呼び出すサービスだけが異なるため、
-         * 検証・応答整形・エラー写像をここへ集約する。
-         *
-         * @param intentName Intent echoed back to the client. クライアントへ返す intent 名。
-         * @param fieldName Required boolean form field. 必須の真偽値フォームフィールド名。
-         * @param apply Service call performing the toggle. トグルを実行するサービス呼び出し。
-         * @returns The HTTP response. HTTP レスポンス。
-         */
-        const runStatusToggle = async (intentName: "toggleStar" | "toggleRead", fieldName: "isStarred" | "isRead", apply: (value: boolean) => Promise<{ isStarred: boolean; isRead: boolean }>): Promise<Response> => {
-            const raw = formData.get(fieldName)
-            if (raw === null) {
-                return jsonData({ error: `${fieldName} required` }, { status: 400 })
-            }
-            try {
-                const updatedStatus = await apply(raw === "true")
-                // クライアントは isStarred/isRead のみ参照する。生内部 ID (userId/created_by/updated_by) を
-                // 含む行全体は返さず、必要なフラグだけに絞る (内部 ID の自己開示防止)。
-                return jsonData({ status: "OK", intent: intentName, updatedStatus: { isStarred: updatedStatus.isStarred, isRead: updatedStatus.isRead }, operationTimestamp, reportHubId: String(reportHubId), clientTempId })
-            } catch (e: unknown) {
-                // 不可視区分・不存在・削除済みは 404 へ写像する (未捕捉だと 500 になる)
-                if (e instanceof Error && e.message === "Not Found") {
-                    return jsonData({ error: "Report not found" }, { status: 404 })
+            const formData = await request.formData()
+            const intent = formData.get("intent")
+            const reportHubIdRaw = formData.get("reportHubId")
+            const reportHubId = reportHubIdRaw ? Number(reportHubIdRaw) : NaN
+            const businessDate = formData.get("businessDate") as string | null
+            const operationTimestamp = Number(formData.get("operationTimestamp"))
+            const clientTempId = formData.get("clientTempId") as string | null
+
+            if (intent === "clearCache") {
+                // 開発専用アフォーダンス。既定は封鎖 (認証済みなら誰でも全ワーカーの
+                // キャッシュを無制限破棄できてしまうため、注入で明示的に開けた環境のみ許可)
+                if (!config.enableDevCacheClear) {
+                    return respond({ error: "Invalid intent" }, { status: 400 })
                 }
-                throw e
+                await service.clearCache()
+                return respond({ status: "OK", intent: "clearCache" })
             }
-        }
 
-        switch (intent) {
-            case "create": {
-                if (!businessDate) {
-                    return jsonData({ error: "businessDate required" }, { status: 400 })
-                }
-                const newReport = await service.createDailyReport(userId, businessDate, clientTempId)
-                return jsonData({
-                    status: "OK",
-                    intent: "create",
-                    report: newReport,
-                    reportHubId: String(newReport.reportHubId),
-                    clientTempId, // Echo back for validation
-                })
+            if (!clientTempId) {
+                return respond({ error: "clientTempId required" }, { status: 400 })
             }
-            case "update": {
-                const title = formData.get("title") as string | undefined
-                const content = formData.get("content") as string | undefined
-                try {
-                    await service.updateDailyReport(reportHubId, userId, { title, content }, clientTempId)
-                    return jsonData({ status: "OK", intent: "update", reportHubId: String(reportHubId), clientTempId })
-                } catch (e: unknown) {
-                    if (e instanceof Error) {
-                        if (e.message === "Unauthorized") {
-                            return jsonData({ error: "Unauthorized" }, { status: 403 })
-                        }
-                        if (e.message === "Not Found") {
-                            return jsonData({ error: "Report not found" }, { status: 404 })
-                        }
-                    }
-                    throw e
-                }
+
+            if (intent !== "create" && (!reportHubId || Number.isNaN(reportHubId))) {
+                return respond({ error: "Invalid reportHubId" }, { status: 400 })
             }
-            case "publish": {
+
+            /**
+             * Runs a boolean user-status toggle and maps its outcome onto a response.
+             * 真偽値のユーザー状態トグルを実行し、結果をレスポンスへ写像する処理。
+             *
+             * `toggleStar` と `toggleRead` は必須フィールド名と呼び出すサービスだけが異なるため、
+             * 検証・応答整形・エラー写像をここへ集約する。
+             *
+             * @param intentName Intent echoed back to the client. クライアントへ返す intent 名。
+             * @param fieldName Required boolean form field. 必須の真偽値フォームフィールド名。
+             * @param apply Service call performing the toggle. トグルを実行するサービス呼び出し。
+             * @returns The HTTP response. HTTP レスポンス。
+             */
+            const runStatusToggle = async (intentName: "toggleStar" | "toggleRead", fieldName: "isStarred" | "isRead", apply: (value: boolean) => Promise<{ isStarred: boolean; isRead: boolean }>): Promise<Response> => {
+                const raw = formData.get(fieldName)
+                if (raw === null) {
+                    return respond({ error: `${fieldName} required` }, { status: 400 })
+                }
                 try {
-                    const publishedReport = await service.publishDailyReport(reportHubId, userId, clientTempId)
-                    return jsonData({ status: "OK", intent: "publish", reportHubId: String(reportHubId), clientTempId, report: publishedReport })
+                    const updatedStatus = await apply(raw === "true")
+                    // クライアントは isStarred/isRead のみ参照する。生内部 ID (userId/created_by/updated_by) を
+                    // 含む行全体は返さず、必要なフラグだけに絞る (内部 ID の自己開示防止)。
+                    return respond({ status: "OK", intent: intentName, updatedStatus: { isStarred: updatedStatus.isStarred, isRead: updatedStatus.isRead }, operationTimestamp, reportHubId: String(reportHubId), clientTempId })
                 } catch (e: unknown) {
-                    if (e instanceof Error) {
-                        if (e.message === "Unauthorized") {
-                            return jsonData({ error: "Unauthorized" }, { status: 403 })
-                        }
-                        if (e.message === "Not Found") {
-                            return jsonData({ error: "Report not found" }, { status: 404 })
-                        }
+                    // 不可視区分・不存在・削除済みは 404 へ写像する (未捕捉だと 500 になる)
+                    if (e instanceof Error && e.message === "Not Found") {
+                        return respond({ error: "Report not found" }, { status: 404 })
                     }
                     throw e
                 }
             }
-            case "delete": {
-                try {
-                    await service.deleteDailyReport(reportHubId, userId, clientTempId)
-                    return jsonData({
+
+            switch (intent) {
+                case "create": {
+                    if (!businessDate) {
+                        return respond({ error: "businessDate required" }, { status: 400 })
+                    }
+                    const newReport = await service.createDailyReport(userId, businessDate, clientTempId)
+                    return respond({
                         status: "OK",
-                        intent: "delete",
-                        reportHubId: String(reportHubId),
-                        clientTempId, // Echo back for validation even on delete
+                        intent: "create",
+                        report: newReport,
+                        reportHubId: String(newReport.reportHubId),
+                        clientTempId, // Echo back for validation
                     })
-                } catch (e: unknown) {
-                    if (e instanceof Error) {
-                        if (e.message === "Unauthorized") {
-                            return jsonData({ error: "Unauthorized" }, { status: 403 })
-                        }
-                        if (e.message === "Not Found") {
-                            return jsonData({ error: "Report not found" }, { status: 404 })
+                }
+                case "update": {
+                    const title = formData.get("title") as string | undefined
+                    const content = formData.get("content") as string | undefined
+                    try {
+                        await service.updateDailyReport(reportHubId, userId, { title, content }, clientTempId)
+                        return respond({ status: "OK", intent: "update", reportHubId: String(reportHubId), clientTempId })
+                    } catch (e: unknown) {
+                        if (e instanceof Error) {
+                            if (e.message === "Unauthorized") {
+                                return respond({ error: "Unauthorized" }, { status: 403 })
+                            }
+                            if (e.message === "Not Found") {
+                                return respond({ error: "Report not found" }, { status: 404 })
+                            }
                         }
+                        throw e
                     }
-                    throw e
                 }
-            }
-            case "toggleStar":
-                return await runStatusToggle("toggleStar", "isStarred", (value) => service.setStarStatus(scope, userId, reportHubId, businessDate, value, clientTempId))
-            case "toggleRead":
-                return await runStatusToggle("toggleRead", "isRead", (value) => service.setReadStatus(scope, userId, reportHubId, businessDate, value, clientTempId))
-            case "addComment": {
-                const content = formData.get("content") as string
-                if (!content) {
-                    return jsonData({ error: "Content required" }, { status: 400 })
-                }
-                try {
-                    const newComment = await service.addComment(scope, userId, reportHubId, content, businessDate, clientTempId)
-                    const safeComment = { ...newComment, userId: newComment.userId }
-                    return jsonData({ status: "OK", intent: "addComment", newComment: safeComment, reportHubId: String(reportHubId), clientTempId })
-                } catch (e: unknown) {
-                    if (e instanceof Error) {
-                        // 削除直後の日報への投稿レース等。500 ではなく意味のある状態コードへ写像する
-                        if (e.message === "Not Found") {
-                            return jsonData({ error: "Report not found" }, { status: 404 })
-                        }
-                        if (e.message.startsWith("Comments are restricted")) {
-                            return jsonData({ error: "Comments are restricted for this report" }, { status: 403 })
+                case "publish": {
+                    try {
+                        const publishedReport = await service.publishDailyReport(reportHubId, userId, clientTempId)
+                        return respond({ status: "OK", intent: "publish", reportHubId: String(reportHubId), clientTempId, report: publishedReport })
+                    } catch (e: unknown) {
+                        if (e instanceof Error) {
+                            if (e.message === "Unauthorized") {
+                                return respond({ error: "Unauthorized" }, { status: 403 })
+                            }
+                            if (e.message === "Not Found") {
+                                return respond({ error: "Report not found" }, { status: 404 })
+                            }
                         }
+                        throw e
                     }
-                    throw e
                 }
-            }
-            case "deleteComment": {
-                const commentId = Number(formData.get("commentId"))
-                if (!commentId || Number.isNaN(commentId)) {
-                    return jsonData({ error: "Invalid commentId" }, { status: 400 })
+                case "delete": {
+                    try {
+                        await service.deleteDailyReport(reportHubId, userId, clientTempId)
+                        return respond({
+                            status: "OK",
+                            intent: "delete",
+                            reportHubId: String(reportHubId),
+                            clientTempId, // Echo back for validation even on delete
+                        })
+                    } catch (e: unknown) {
+                        if (e instanceof Error) {
+                            if (e.message === "Unauthorized") {
+                                return respond({ error: "Unauthorized" }, { status: 403 })
+                            }
+                            if (e.message === "Not Found") {
+                                return respond({ error: "Report not found" }, { status: 404 })
+                            }
+                        }
+                        throw e
+                    }
                 }
-                try {
-                    await service.deleteComment(scope, userId, reportHubId, commentId, businessDate, clientTempId)
-                    return jsonData({ status: "OK", reportHubId: String(reportHubId), deletedCommentId: String(commentId), clientTempId })
-                } catch (e: unknown) {
-                    if (e instanceof Error) {
-                        if (e.message === "Unauthorized") {
-                            return jsonData({ error: "Unauthorized" }, { status: 403 })
+                case "toggleStar":
+                    return await runStatusToggle("toggleStar", "isStarred", (value) => service.setStarStatus(scope, userId, reportHubId, businessDate, value, clientTempId))
+                case "toggleRead":
+                    return await runStatusToggle("toggleRead", "isRead", (value) => service.setReadStatus(scope, userId, reportHubId, businessDate, value, clientTempId))
+                case "addComment": {
+                    const content = formData.get("content") as string
+                    if (!content) {
+                        return respond({ error: "Content required" }, { status: 400 })
+                    }
+                    try {
+                        const newComment = await service.addComment(scope, userId, reportHubId, content, businessDate, clientTempId)
+                        const safeComment = { ...newComment, userId: newComment.userId }
+                        return respond({ status: "OK", intent: "addComment", newComment: safeComment, reportHubId: String(reportHubId), clientTempId })
+                    } catch (e: unknown) {
+                        if (e instanceof Error) {
+                            // 削除直後の日報への投稿レース等。500 ではなく意味のある状態コードへ写像する
+                            if (e.message === "Not Found") {
+                                return respond({ error: "Report not found" }, { status: 404 })
+                            }
+                            if (e.message.startsWith("Comments are restricted")) {
+                                return respond({ error: "Comments are restricted for this report" }, { status: 403 })
+                            }
                         }
-                        if (e.message === "Not Found") {
-                            return jsonData({ error: "Comment not found" }, { status: 404 })
+                        throw e
+                    }
+                }
+                case "deleteComment": {
+                    const commentId = Number(formData.get("commentId"))
+                    if (!commentId || Number.isNaN(commentId)) {
+                        return respond({ error: "Invalid commentId" }, { status: 400 })
+                    }
+                    try {
+                        await service.deleteComment(scope, userId, reportHubId, commentId, businessDate, clientTempId)
+                        return respond({ status: "OK", reportHubId: String(reportHubId), deletedCommentId: String(commentId), clientTempId })
+                    } catch (e: unknown) {
+                        if (e instanceof Error) {
+                            if (e.message === "Unauthorized") {
+                                return respond({ error: "Unauthorized" }, { status: 403 })
+                            }
+                            if (e.message === "Not Found") {
+                                return respond({ error: "Comment not found" }, { status: 404 })
+                            }
                         }
+                        throw e
                     }
-                    throw e
                 }
+                default:
+                    return respond({ error: "Invalid intent" }, { status: 400 })
             }
-            default:
-                return jsonData({ error: "Invalid intent" }, { status: 400 })
+        } catch (error) {
+            // React Router のリダイレクト等は握り潰さず素通しする
+            if (error instanceof Response) throw error
+            const elapsed = Date.now() - actionStartTime
+            const err = error instanceof Error ? error : new Error(String(error))
+            apiLogger.error(`500 action elapsed=${elapsed}ms name=${err.name} message=${err.message}`)
+            apiLogger.error("Stack:", err.stack)
+            return respond({ error: "Internal Server Error" }, { status: 500 })
         }
     }
 
@@ -1147,20 +1180,29 @@ export function createDailyReportHandlers(config: DailyReportHandlersConfig) {
      */
     const sseLoader = async ({ request, params }: LoaderArgs) => {
         // 認証チェック
-        const { user } = await authenticate(request, { failureRedirect: null })
+        const { user, cookie } = await authenticate(request, { failureRedirect: null })
+        // セッション cookie は**この応答がどれになろうと**転送する。トークンが更新された
+        // リクエストがたまたま SSE 接続だった場合、ここで落とすと更新後のトークンがブラウザへ
+        // 届かず、以降のリクエストが毎回リフレッシュをやり直すことになる。破棄 cookie を
+        // 落とした場合はさらに悪く、無効セッションがブラウザに残り続ける (apiAction と同じ理由)。
+        // SSE は接続が長命なぶん、更新を担うリクエストになりやすい
+        const sessionHeaders = (extra?: Record<string, string>): Record<string, string> | undefined => {
+            if (cookie === undefined) return extra
+            return { ...(extra ?? {}), "Set-Cookie": cookie }
+        }
         if (!user) {
-            return new Response("Unauthorized", { status: 401 })
+            return new Response("Unauthorized", { status: 401, headers: sessionHeaders() })
         }
 
         // 内部ユーザー ID の解決
         const internalUserId = await service.getUserIdByExternalId(user.id)
         if (!internalUserId) {
-            return new Response("Forbidden", { status: 403 })
+            return new Response("Forbidden", { status: 403, headers: sessionHeaders() })
         }
 
         // エンドポイントの検証
         if (params.endpoint !== "updates") {
-            return new Response("Not Found", { status: 404 })
+            return new Response("Not Found", { status: 404, headers: sessionHeaders() })
         }
 
         // 可視集合は接続時に解決し、以降 keep-alive tick に相乗りして再解決する (D6)。
@@ -1422,11 +1464,11 @@ export function createDailyReportHandlers(config: DailyReportHandlersConfig) {
         })
 
         return new Response(stream, {
-            headers: {
+            headers: sessionHeaders({
                 "Content-Type": "text/event-stream",
                 "Cache-Control": "no-cache, no-transform",
                 Connection: "keep-alive",
-            },
+            }),
         })
     }