@aiquants/daily-report 0.18.0 → 0.18.2

package/src/server/handlers.unauthorized-cookie.spec.ts

@@ -0,0 +1,187 @@
+/**
+ * Unauthorized responses must carry the session-destroy Set-Cookie.
+ * 未認証応答はセッション破棄の Set-Cookie を必ず載せること。
+ *
+ * このファイルが存在する理由: `@aiquants/auth-react-router` v0.8.0 で `failureRedirect: null` の
+ * 契約が変わり、期限切れ + リフレッシュ失敗の経路が「リダイレクトを throw する」から
+ * 「`{ cookie }` を返す」になった。呼び出し側がこの `cookie` を捨てると、**サーバーは破棄した
+ * つもりでブラウザには無効なセッションが残り続ける**。以後のリクエストは毎回リフレッシュを
+ * 試みて失敗し、ユーザーはログインし直すまで壊れた状態から抜けられない。
+ *
+ * 落とすのは 1 行の削除で足り、応答コード (401) は変わらないため、ステータスだけを見る
+ * テストでは検出できない。ここで各エンドポイントの Set-Cookie を明示的に固定する。
+ */
+
+import { readFile } from "node:fs/promises"
+import path from "node:path"
+import { fileURLToPath } from "node:url"
+import { describe, expect, it } from "vitest"
+import { createDailyReportHandlers } from "./handlers"
+import { makeHandlersFixture } from "./test-helpers/handlers-config"
+
+/** 期限切れセッションの破棄で返る Set-Cookie を模した値。 */
+const DESTROY_COOKIE = "__session=; Path=/; Expires=Thu, 01 Jan 1970 00:00:00 GMT"
+
+/**
+ * 封印テストが走査する実装ファイル。
+ * このテスト自身の位置から解決する (cwd 依存にすると、パッケージルート以外から
+ * 実行した瞬間に走査対象を見失って封印が静かに空振りする)。
+ */
+const HANDLERS_SOURCE_PATH = path.join(path.dirname(fileURLToPath(import.meta.url)), "handlers.ts")
+
+/** トークン更新で再発行される Set-Cookie を模した値 (破棄ではなく更新)。 */
+const REFRESH_COOKIE = "__session=refreshed; Path=/; HttpOnly"
+
+/** 未認証かつ破棄 cookie 有りのハンドラ群を組む。 */
+const unauthenticatedHandlers = () => createDailyReportHandlers(makeHandlersFixture({ user: null, cookie: DESTROY_COOKIE }).config)
+
+/** 未認証だがセッション破棄を伴わない (cookie 無し) ハンドラ群を組む。 */
+const unauthenticatedWithoutCookie = () => createDailyReportHandlers(makeHandlersFixture({ user: null }).config)
+
+const args = (url: string, endpoint: string, method = "GET") => ({
+    request: new Request(url, { method }),
+    params: { endpoint },
+})
+
+describe("未認証 401 応答の Set-Cookie 転送", () => {
+    it("apiAction は破棄 cookie を 401 に載せる", async () => {
+        const res = await unauthenticatedHandlers().api.action(args("http://localhost/daily_report/api/action", "action", "POST"))
+        expect(res.status).toBe(401)
+        expect(res.headers.get("Set-Cookie")).toBe(DESTROY_COOKIE)
+        // 既存の契約 (JSON 応答) は維持する
+        expect(res.headers.get("Content-Type")).toBe("application/json")
+    })
+
+    it("sseLoader は破棄 cookie を 401 に載せる", async () => {
+        const res = await unauthenticatedHandlers().sse.loader(args("http://localhost/daily_report/sse/report", "report"))
+        expect(res.status).toBe(401)
+        expect(res.headers.get("Set-Cookie")).toBe(DESTROY_COOKIE)
+    })
+
+    it("破棄が発生していない未認証では Set-Cookie を付けない (無い cookie を捏造しない)", async () => {
+        const handlers = unauthenticatedWithoutCookie()
+        const action = await handlers.api.action(args("http://localhost/daily_report/api/action", "action", "POST"))
+        const sse = await handlers.sse.loader(args("http://localhost/daily_report/sse/report", "report"))
+        expect(action.status).toBe(401)
+        expect(sse.status).toBe(401)
+        expect(action.headers.get("Set-Cookie")).toBeNull()
+        expect(sse.headers.get("Set-Cookie")).toBeNull()
+    })
+})
+describe("認証済み応答の Set-Cookie 転送", () => {
+    /** 認証済み + トークン更新 cookie 有りのハンドラ群を組む。 */
+    const refreshedHandlers = () => createDailyReportHandlers(makeHandlersFixture({ cookie: DESTROY_COOKIE }).config)
+
+    it("apiAction は成功系でない分岐でも更新 cookie を載せる", async () => {
+        // 30 箇所ある return のうち 1 つでも付け忘れると、ブラウザは期限切れトークンを持ち続け、
+        // 以後のリクエストが毎回リフレッシュを試みて収束しない。出口 1 箇所で付けることで担保する
+        const res = await refreshedHandlers().api.action({
+            request: new Request("http://localhost/daily_report/api/unknown", { method: "POST" }),
+            params: { endpoint: "unknown" },
+        })
+        expect(res.status).toBe(404)
+        expect(res.headers.get("Set-Cookie")).toBe(DESTROY_COOKIE)
+    })
+
+    it("更新が無ければ Set-Cookie を付けない", async () => {
+        const res = await createDailyReportHandlers(makeHandlersFixture({}).config).api.action({
+            request: new Request("http://localhost/daily_report/api/unknown", { method: "POST" }),
+            params: { endpoint: "unknown" },
+        })
+        expect(res.status).toBe(404)
+        expect(res.headers.get("Set-Cookie")).toBeNull()
+    })
+
+    // #2356 は apiAction の全応答へ cookie を載せたが、sseLoader は 401 だけで止まっていた。
+    // トークンが更新されたリクエストがたまたま SSE 接続だと、更新後のトークンがブラウザへ
+    // 届かず以降のリクエストが毎回リフレッシュをやり直す。SSE は長命なぶん更新を担いやすい
+    describe("sseLoader は 401 以外の応答でもセッション cookie を運ぶ", () => {
+        /** 認証済み + トークン更新 cookie 有りのハンドラ群を組む。 */
+        const refreshedHandlers = (overrides: Parameters<typeof makeHandlersFixture>[0] = {}) => createDailyReportHandlers(makeHandlersFixture({ cookie: REFRESH_COOKIE, ...overrides }).config)
+
+        it("内部ユーザー ID を解決できない 403 でも運ぶ", async () => {
+            const res = await refreshedHandlers({ internalUserId: null }).sse.loader(args("http://localhost/daily_report/sse/updates", "updates"))
+            expect(res.status).toBe(403)
+            expect(res.headers.get("Set-Cookie")).toBe(REFRESH_COOKIE)
+        })
+
+        it("未知エンドポイントの 404 でも運ぶ", async () => {
+            const res = await refreshedHandlers().sse.loader(args("http://localhost/daily_report/sse/unknown", "unknown"))
+            expect(res.status).toBe(404)
+            expect(res.headers.get("Set-Cookie")).toBe(REFRESH_COOKIE)
+        })
+
+        it("ストリーム開始の 200 でも運ぶ (SSE 本来のヘッダーは維持する)", async () => {
+            const res = await refreshedHandlers().sse.loader(args("http://localhost/daily_report/sse/updates", "updates"))
+            expect(res.status).toBe(200)
+            expect(res.headers.get("Set-Cookie")).toBe(REFRESH_COOKIE)
+            expect(res.headers.get("Content-Type")).toBe("text/event-stream")
+            expect(res.headers.get("Cache-Control")).toBe("no-cache, no-transform")
+            await res.body?.cancel()
+        })
+
+        it("更新が無ければ Set-Cookie を付けない (無い cookie を捏造しない)", async () => {
+            const res = await createDailyReportHandlers(makeHandlersFixture({}).config).sse.loader(args("http://localhost/daily_report/sse/updates", "updates"))
+            expect(res.headers.get("Set-Cookie")).toBeNull()
+            await res.body?.cancel()
+        })
+    })
+
+    // apiAction の 30 箇所の応答はすべて単一の `respond` ヘルパーを通る。個別に 30 本の
+    // テストを置くより、**ヘルパーを迂回する応答が無いこと**を構造で封印する方が確実である
+    // (1 箇所だけ直接 `jsonData(...)` を返す変更が入っても、状態を作れるエンドポイントの
+    // テストしか無ければ気づけない)。ソースを AST ではなく素直に走査するのは、対象が
+    // 「この関数の中で return されている呼び出しの名前」という単純な性質だからである。
+    describe("apiAction の応答経路の封印", () => {
+        it("apiAction 内に respond を迂回する応答が存在しない", async () => {
+            const source = await readFile(HANDLERS_SOURCE_PATH, "utf-8")
+            const start = source.indexOf("const respond = (payload: unknown")
+            expect(start).toBeGreaterThan(0)
+            // apiAction の本体は respond 定義から次のトップレベル関数宣言まで
+            const rest = source.slice(start + 10)
+            const nextDecl = rest.search(/\n {4}const \w+ = async \(/)
+            const apiActionBody = source.slice(start, nextDecl >= 0 ? start + 10 + nextDecl : source.length)
+
+            // 応答を作る**あらゆる形**を拾う。`jsonData` / `data` だけを見ていると
+            // `new Response(...)` や `jsonResponseWithETag(...)` での迂回を見逃す
+            // (どちらも同ファイル内で実際に使われている構文である)
+            const bypasses = [...apiActionBody.matchAll(/return\s+(new\s+Response|jsonData|jsonResponseWithETag|data)\s*\(/g)].map((m) => m[0].replace(/\s+/g, " "))
+            expect(bypasses, `respond を通さない応答が ${bypasses.length} 件ある。cookie が落ちるので respond を使うこと`).toEqual([])
+            // 走査が空振りしていないことも確かめる (対象を取り違えたら封印は無意味)
+            expect(apiActionBody.match(/respond\(/g)?.length ?? 0).toBeGreaterThan(20)
+        })
+
+        it("respond は setCookie を必ず渡す", async () => {
+            const source = await readFile(HANDLERS_SOURCE_PATH, "utf-8")
+            // 完全一致で固定すると無害な整形で落ちる。「respond の定義が setCookie を
+            // 渡していること」だけを見る (空白や改行の入り方には依存しない)
+            // 定義の開始から `setCookie` を含む呼び出しの閉じ括弧までを、改行の入り方に依存せず取る
+            const declaration = source.match(/const respond = \([\s\S]{0,400}?jsonData\([\s\S]{0,200}?\)/)?.[0] ?? ""
+            expect(declaration, "respond の定義が見つからない (封印が空振りしている)").toContain("jsonData")
+            expect(declaration, "respond が setCookie を渡していない").toContain("setCookie: cookie")
+        })
+    })
+
+    // apiAction には外側 try/catch が無く、`respond` を通らない例外 (service / DB / Redis の失敗) が
+    // ハンドラの外へ抜けていた。抜けると 500 にセッション cookie が載らず、トークン更新が
+    // ブラウザへ届かない。apiLoader は元から同じ形で包んでいた
+    describe("apiAction は例外経路でもセッション cookie を運ぶ", () => {
+        it("service の例外は 500 の JSON になり、更新 cookie を載せる", async () => {
+            const handlers = createDailyReportHandlers(makeHandlersFixture({ cookie: REFRESH_COOKIE, userIdLookupError: new Error("db pool exhausted (injected)") }).config)
+            const res = await handlers.api.action(args("http://localhost/daily_report/api/action", "action", "POST"))
+
+            expect(res.status).toBe(500)
+            expect(res.headers.get("Set-Cookie")).toBe(REFRESH_COOKIE)
+            expect(res.headers.get("Content-Type")).toBe("application/json")
+        })
+
+        it("未認証で例外が起きても破棄 cookie を落とさない", async () => {
+            // 未認証は例外より前に返るが、cookie の転送経路が同じであることを固定する
+            const handlers = createDailyReportHandlers(makeHandlersFixture({ user: null, cookie: DESTROY_COOKIE, userIdLookupError: new Error("db pool exhausted (injected)") }).config)
+            const res = await handlers.api.action(args("http://localhost/daily_report/api/action", "action", "POST"))
+
+            expect(res.status).toBe(401)
+            expect(res.headers.get("Set-Cookie")).toBe(DESTROY_COOKIE)
+        })
+    })
+})

package/src/server/ports.ts

@@ -53,7 +53,12 @@ export type DailyReportAuthResult = {
  * `failureRedirect` が文字列の場合、未認証時は実装側で redirect を throw すること。
  * null の場合は throw せず `user` 無しで解決する。
  */
-export type DailyReportAuthenticate = (request: Request, options: { failureRedirect: string } | { failureRedirect: null }) => Promise<DailyReportAuthResult>
+export interface DailyReportAuthenticate {
+    /** 失敗時は必ずリダイレクトを throw するため、正常復帰時の `user` は常に存在する。 */
+    (request: Request, options: { failureRedirect: string }): Promise<{ user: { id: string }; cookie?: string }>
+    /** リダイレクトを発生させないモード。未認証では `user` を持たない結果が返る。 */
+    (request: Request, options: { failureRedirect: null }): Promise<DailyReportAuthResult>
+}
 
 /**
  * Per-dimension visible source types (report body vs. comments).

package/src/server/service.spec.ts

@@ -1,6 +1,6 @@
 import type { SQL } from "drizzle-orm"
 import { bigint, MsSqlDialect, mssqlSchema, nvarchar, primaryKey } from "drizzle-orm/mssql-core"
-import { describe, expect, it } from "vitest"
+import { describe, expect, it, vi } from "vitest"
 import { createEpochStore, SqlResultCache } from "./cache"
 import { defineDailyReportSchema } from "./schema"
 import { createDailyReportService, type DailyReportDb, type DailyReportHubRow, formatDateValue } from "./service"

package/src/server/test-helpers/handlers-config.ts

@@ -8,7 +8,7 @@
  * 本番コードからは import されない (テスト専用)。
  */
 import type { DailyReportHandlersConfig } from "../handlers"
-import type { DailyReportAttachmentBytes, DailyReportAttachmentError, DailyReportIdCodec, DailyReportRedisProvider, DailyReportResolveVisibleSourceTypes, DailyReportVisibilityResolveContext, DailyReportVisibilityResolveReason } from "../ports"
+import type { DailyReportAttachmentBytes, DailyReportAttachmentError, DailyReportAuthenticate, DailyReportIdCodec, DailyReportRedisProvider, DailyReportResolveVisibleSourceTypes, DailyReportVisibilityResolveContext, DailyReportVisibilityResolveReason } from "../ports"
 import type { DailyReportService } from "../service"
 import type { DailyReportSseReader, StreamEntry } from "../sse-reader"
 import type { DailyReportViewerScope, VisibleSourceTypeSet } from "../visibility"
@@ -40,6 +40,8 @@ export type HandlersFixtureOptions = {
     cookie?: string
     /** 外部 ID → 内部 ID の解決結果。 */
     internalUserId?: number | null
+    /** `getUserIdByExternalId` を失敗させる (ハンドラ外側の例外処理を踏むため)。 */
+    userIdLookupError?: Error
     /** 認可判定の結果。null なら不可視 (404 相当)。 */
     attachment?: TestAttachmentRow | null
     /** 読み取りポートの応答。 */
@@ -140,7 +142,10 @@ export const makeHandlersFixture = (options: HandlersFixtureOptions = {}): { con
     const readResult: DailyReportAttachmentBytes | DailyReportAttachmentError = options.readResult ?? { ok: true, bytes: new Uint8Array(new ArrayBuffer(3)), contentType: null }
 
     const service = {
-        getUserIdByExternalId: async () => internalUserId,
+        getUserIdByExternalId: async () => {
+            if (options.userIdLookupError) throw options.userIdLookupError
+            return internalUserId
+        },
         clearCache: async () => {
             calls.clearCache += 1
         },
@@ -214,7 +219,15 @@ export const makeHandlersFixture = (options: HandlersFixtureOptions = {}): { con
     }
 
     const base: DailyReportHandlersConfig = {
-        authenticate: async () => ({ user: user ?? undefined, cookie: options.cookie }),
+        // ポート契約に忠実に振る舞わせる: failureRedirect が文字列のとき未認証は redirect を throw し、
+        // null のときだけ user 無しで解決する。単に `user: undefined` を返すと、実装が決して
+        // 返さない形をフェイクだけが作り出し、呼び出し側の到達不能な分岐を温存してしまう
+        authenticate: (async (_request: Request, authOptions: { failureRedirect: string } | { failureRedirect: null }) => {
+            if (!user && authOptions.failureRedirect !== null) {
+                throw new Response(null, { status: 302, headers: { Location: authOptions.failureRedirect } })
+            }
+            return { user: user ?? undefined, cookie: options.cookie }
+        }) as DailyReportAuthenticate,
         resolveVisibleSourceTypes: options.resolveVisibleSourceTypes
             ? async (request: Request, context: DailyReportVisibilityResolveContext) => {
                   calls.resolveVisibleSourceTypes += 1

package/src/server.spec.ts

@@ -21,7 +21,7 @@ const clearCacheArgs = () => {
 }
 
 /** redis 未注入警告をテスト出力へ撒かない静音ロガー。 */
-const silentLogger = { info: () => {}, warn: () => {}, error: () => {} }
+const silentLogger = { debug: () => {}, info: () => {}, warn: () => {}, error: () => {} }
 
 const makeServer = (enableDevCacheClear?: boolean) =>
     createDailyReportServer({
@@ -30,7 +30,7 @@ const makeServer = (enableDevCacheClear?: boolean) =>
         userTable: testUsers,
         resolveUserId: async () => 8,
         encodeUserId: (id) => `ENC${id}`,
-        authenticate: async () => ({ user: { id: "ext-8" }, cookie: null }),
+        authenticate: async () => ({ user: { id: "ext-8" }, cookie: undefined }),
         draftLabelName: "draft",
         enableDevCacheClear,
         logger: silentLogger,
@@ -61,7 +61,7 @@ describe("createDailyReportServer: resolveVisibleSourceTypes の結線", () => {
             userTable: testUsers,
             resolveUserId: async () => 8,
             encodeUserId: (id) => `ENC${id}`,
-            authenticate: async () => ({ user: { id: "ext-8" }, cookie: null }),
+            authenticate: async () => ({ user: { id: "ext-8" }, cookie: undefined }),
             draftLabelName: "draft",
             resolveVisibleSourceTypes,
             logger: silentLogger,
@@ -99,7 +99,7 @@ describe("createDailyReportServer: knownSourceTypes", () => {
             userTable: testUsers,
             resolveUserId: async () => 8,
             encodeUserId: (id) => `ENC${id}`,
-            authenticate: async () => ({ user: { id: "ext-8" }, cookie: null }),
+            authenticate: async () => ({ user: { id: "ext-8" }, cookie: undefined }),
             draftLabelName: "draft",
             externalSources: [
                 { sourceType: "NI", table: {}, idColumn: tables.hub.id, mapRow: () => ({}) },
@@ -117,7 +117,7 @@ describe("createDailyReportServer: knownSourceTypes", () => {
             userTable: testUsers,
             resolveUserId: async () => 8,
             encodeUserId: (id) => `ENC${id}`,
-            authenticate: async () => ({ user: { id: "ext-8" }, cookie: null }),
+            authenticate: async () => ({ user: { id: "ext-8" }, cookie: undefined }),
             draftLabelName: "draft",
         })
 
@@ -130,7 +130,7 @@ describe("redis 未注入の起動警告", () => {
     const makeRecordingLogger = () => {
         const warns: unknown[][] = []
         return {
-            logger: { info: () => {}, warn: (...args: unknown[]) => void warns.push(args), error: () => {} },
+            logger: { debug: () => {}, info: () => {}, warn: (...args: unknown[]) => void warns.push(args), error: () => {} },
             warns,
         }
     }
@@ -141,7 +141,7 @@ describe("redis 未注入の起動警告", () => {
         userTable: testUsers,
         resolveUserId: async () => 8,
         encodeUserId: (id: number) => `ENC${id}`,
-        authenticate: async () => ({ user: { id: "ext-8" }, cookie: null }),
+        authenticate: async () => ({ user: { id: "ext-8" }, cookie: undefined }),
         draftLabelName: "draft",
     })