@aiquants/daily-report 0.20.0 → 0.20.1

package/src/server/handlers.unauthorized-cookie.spec.ts

@@ -1,187 +0,0 @@
-/**
- * Unauthorized responses must carry the session-destroy Set-Cookie.
- * 未認証応答はセッション破棄の Set-Cookie を必ず載せること。
- *
- * このファイルが存在する理由: `@aiquants/auth-react-router` v0.8.0 で `failureRedirect: null` の
- * 契約が変わり、期限切れ + リフレッシュ失敗の経路が「リダイレクトを throw する」から
- * 「`{ cookie }` を返す」になった。呼び出し側がこの `cookie` を捨てると、**サーバーは破棄した
- * つもりでブラウザには無効なセッションが残り続ける**。以後のリクエストは毎回リフレッシュを
- * 試みて失敗し、ユーザーはログインし直すまで壊れた状態から抜けられない。
- *
- * 落とすのは 1 行の削除で足り、応答コード (401) は変わらないため、ステータスだけを見る
- * テストでは検出できない。ここで各エンドポイントの Set-Cookie を明示的に固定する。
- */
-
-import { readFile } from "node:fs/promises"
-import path from "node:path"
-import { fileURLToPath } from "node:url"
-import { describe, expect, it } from "vitest"
-import { createDailyReportHandlers } from "./handlers"
-import { makeHandlersFixture } from "./test-helpers/handlers-config"
-
-/** 期限切れセッションの破棄で返る Set-Cookie を模した値。 */
-const DESTROY_COOKIE = "__session=; Path=/; Expires=Thu, 01 Jan 1970 00:00:00 GMT"
-
-/**
- * 封印テストが走査する実装ファイル。
- * このテスト自身の位置から解決する (cwd 依存にすると、パッケージルート以外から
- * 実行した瞬間に走査対象を見失って封印が静かに空振りする)。
- */
-const HANDLERS_SOURCE_PATH = path.join(path.dirname(fileURLToPath(import.meta.url)), "handlers.ts")
-
-/** トークン更新で再発行される Set-Cookie を模した値 (破棄ではなく更新)。 */
-const REFRESH_COOKIE = "__session=refreshed; Path=/; HttpOnly"
-
-/** 未認証かつ破棄 cookie 有りのハンドラ群を組む。 */
-const unauthenticatedHandlers = () => createDailyReportHandlers(makeHandlersFixture({ user: null, cookie: DESTROY_COOKIE }).config)
-
-/** 未認証だがセッション破棄を伴わない (cookie 無し) ハンドラ群を組む。 */
-const unauthenticatedWithoutCookie = () => createDailyReportHandlers(makeHandlersFixture({ user: null }).config)
-
-const args = (url: string, endpoint: string, method = "GET") => ({
-    request: new Request(url, { method }),
-    params: { endpoint },
-})
-
-describe("未認証 401 応答の Set-Cookie 転送", () => {
-    it("apiAction は破棄 cookie を 401 に載せる", async () => {
-        const res = await unauthenticatedHandlers().api.action(args("http://localhost/daily_report/api/action", "action", "POST"))
-        expect(res.status).toBe(401)
-        expect(res.headers.get("Set-Cookie")).toBe(DESTROY_COOKIE)
-        // 既存の契約 (JSON 応答) は維持する
-        expect(res.headers.get("Content-Type")).toBe("application/json")
-    })
-
-    it("sseLoader は破棄 cookie を 401 に載せる", async () => {
-        const res = await unauthenticatedHandlers().sse.loader(args("http://localhost/daily_report/sse/report", "report"))
-        expect(res.status).toBe(401)
-        expect(res.headers.get("Set-Cookie")).toBe(DESTROY_COOKIE)
-    })
-
-    it("破棄が発生していない未認証では Set-Cookie を付けない (無い cookie を捏造しない)", async () => {
-        const handlers = unauthenticatedWithoutCookie()
-        const action = await handlers.api.action(args("http://localhost/daily_report/api/action", "action", "POST"))
-        const sse = await handlers.sse.loader(args("http://localhost/daily_report/sse/report", "report"))
-        expect(action.status).toBe(401)
-        expect(sse.status).toBe(401)
-        expect(action.headers.get("Set-Cookie")).toBeNull()
-        expect(sse.headers.get("Set-Cookie")).toBeNull()
-    })
-})
-describe("認証済み応答の Set-Cookie 転送", () => {
-    /** 認証済み + トークン更新 cookie 有りのハンドラ群を組む。 */
-    const refreshedHandlers = () => createDailyReportHandlers(makeHandlersFixture({ cookie: DESTROY_COOKIE }).config)
-
-    it("apiAction は成功系でない分岐でも更新 cookie を載せる", async () => {
-        // 30 箇所ある return のうち 1 つでも付け忘れると、ブラウザは期限切れトークンを持ち続け、
-        // 以後のリクエストが毎回リフレッシュを試みて収束しない。出口 1 箇所で付けることで担保する
-        const res = await refreshedHandlers().api.action({
-            request: new Request("http://localhost/daily_report/api/unknown", { method: "POST" }),
-            params: { endpoint: "unknown" },
-        })
-        expect(res.status).toBe(404)
-        expect(res.headers.get("Set-Cookie")).toBe(DESTROY_COOKIE)
-    })
-
-    it("更新が無ければ Set-Cookie を付けない", async () => {
-        const res = await createDailyReportHandlers(makeHandlersFixture({}).config).api.action({
-            request: new Request("http://localhost/daily_report/api/unknown", { method: "POST" }),
-            params: { endpoint: "unknown" },
-        })
-        expect(res.status).toBe(404)
-        expect(res.headers.get("Set-Cookie")).toBeNull()
-    })
-
-    // #2356 は apiAction の全応答へ cookie を載せたが、sseLoader は 401 だけで止まっていた。
-    // トークンが更新されたリクエストがたまたま SSE 接続だと、更新後のトークンがブラウザへ
-    // 届かず以降のリクエストが毎回リフレッシュをやり直す。SSE は長命なぶん更新を担いやすい
-    describe("sseLoader は 401 以外の応答でもセッション cookie を運ぶ", () => {
-        /** 認証済み + トークン更新 cookie 有りのハンドラ群を組む。 */
-        const refreshedHandlers = (overrides: Parameters<typeof makeHandlersFixture>[0] = {}) => createDailyReportHandlers(makeHandlersFixture({ cookie: REFRESH_COOKIE, ...overrides }).config)
-
-        it("内部ユーザー ID を解決できない 403 でも運ぶ", async () => {
-            const res = await refreshedHandlers({ internalUserId: null }).sse.loader(args("http://localhost/daily_report/sse/updates", "updates"))
-            expect(res.status).toBe(403)
-            expect(res.headers.get("Set-Cookie")).toBe(REFRESH_COOKIE)
-        })
-
-        it("未知エンドポイントの 404 でも運ぶ", async () => {
-            const res = await refreshedHandlers().sse.loader(args("http://localhost/daily_report/sse/unknown", "unknown"))
-            expect(res.status).toBe(404)
-            expect(res.headers.get("Set-Cookie")).toBe(REFRESH_COOKIE)
-        })
-
-        it("ストリーム開始の 200 でも運ぶ (SSE 本来のヘッダーは維持する)", async () => {
-            const res = await refreshedHandlers().sse.loader(args("http://localhost/daily_report/sse/updates", "updates"))
-            expect(res.status).toBe(200)
-            expect(res.headers.get("Set-Cookie")).toBe(REFRESH_COOKIE)
-            expect(res.headers.get("Content-Type")).toBe("text/event-stream")
-            expect(res.headers.get("Cache-Control")).toBe("no-cache, no-transform")
-            await res.body?.cancel()
-        })
-
-        it("更新が無ければ Set-Cookie を付けない (無い cookie を捏造しない)", async () => {
-            const res = await createDailyReportHandlers(makeHandlersFixture({}).config).sse.loader(args("http://localhost/daily_report/sse/updates", "updates"))
-            expect(res.headers.get("Set-Cookie")).toBeNull()
-            await res.body?.cancel()
-        })
-    })
-
-    // apiAction の 30 箇所の応答はすべて単一の `respond` ヘルパーを通る。個別に 30 本の
-    // テストを置くより、**ヘルパーを迂回する応答が無いこと**を構造で封印する方が確実である
-    // (1 箇所だけ直接 `jsonData(...)` を返す変更が入っても、状態を作れるエンドポイントの
-    // テストしか無ければ気づけない)。ソースを AST ではなく素直に走査するのは、対象が
-    // 「この関数の中で return されている呼び出しの名前」という単純な性質だからである。
-    describe("apiAction の応答経路の封印", () => {
-        it("apiAction 内に respond を迂回する応答が存在しない", async () => {
-            const source = await readFile(HANDLERS_SOURCE_PATH, "utf-8")
-            const start = source.indexOf("const respond = (payload: unknown")
-            expect(start).toBeGreaterThan(0)
-            // apiAction の本体は respond 定義から次のトップレベル関数宣言まで
-            const rest = source.slice(start + 10)
-            const nextDecl = rest.search(/\n {4}const \w+ = async \(/)
-            const apiActionBody = source.slice(start, nextDecl >= 0 ? start + 10 + nextDecl : source.length)
-
-            // 応答を作る**あらゆる形**を拾う。`jsonData` / `data` だけを見ていると
-            // `new Response(...)` や `jsonResponseWithETag(...)` での迂回を見逃す
-            // (どちらも同ファイル内で実際に使われている構文である)
-            const bypasses = [...apiActionBody.matchAll(/return\s+(new\s+Response|jsonData|jsonResponseWithETag|data)\s*\(/g)].map((m) => m[0].replace(/\s+/g, " "))
-            expect(bypasses, `respond を通さない応答が ${bypasses.length} 件ある。cookie が落ちるので respond を使うこと`).toEqual([])
-            // 走査が空振りしていないことも確かめる (対象を取り違えたら封印は無意味)
-            expect(apiActionBody.match(/respond\(/g)?.length ?? 0).toBeGreaterThan(20)
-        })
-
-        it("respond は setCookie を必ず渡す", async () => {
-            const source = await readFile(HANDLERS_SOURCE_PATH, "utf-8")
-            // 完全一致で固定すると無害な整形で落ちる。「respond の定義が setCookie を
-            // 渡していること」だけを見る (空白や改行の入り方には依存しない)
-            // 定義の開始から `setCookie` を含む呼び出しの閉じ括弧までを、改行の入り方に依存せず取る
-            const declaration = source.match(/const respond = \([\s\S]{0,400}?jsonData\([\s\S]{0,200}?\)/)?.[0] ?? ""
-            expect(declaration, "respond の定義が見つからない (封印が空振りしている)").toContain("jsonData")
-            expect(declaration, "respond が setCookie を渡していない").toContain("setCookie: cookie")
-        })
-    })
-
-    // apiAction には外側 try/catch が無く、`respond` を通らない例外 (service / DB / Redis の失敗) が
-    // ハンドラの外へ抜けていた。抜けると 500 にセッション cookie が載らず、トークン更新が
-    // ブラウザへ届かない。apiLoader は元から同じ形で包んでいた
-    describe("apiAction は例外経路でもセッション cookie を運ぶ", () => {
-        it("service の例外は 500 の JSON になり、更新 cookie を載せる", async () => {
-            const handlers = createDailyReportHandlers(makeHandlersFixture({ cookie: REFRESH_COOKIE, userIdLookupError: new Error("db pool exhausted (injected)") }).config)
-            const res = await handlers.api.action(args("http://localhost/daily_report/api/action", "action", "POST"))
-
-            expect(res.status).toBe(500)
-            expect(res.headers.get("Set-Cookie")).toBe(REFRESH_COOKIE)
-            expect(res.headers.get("Content-Type")).toBe("application/json")
-        })
-
-        it("未認証で例外が起きても破棄 cookie を落とさない", async () => {
-            // 未認証は例外より前に返るが、cookie の転送経路が同じであることを固定する
-            const handlers = createDailyReportHandlers(makeHandlersFixture({ user: null, cookie: DESTROY_COOKIE, userIdLookupError: new Error("db pool exhausted (injected)") }).config)
-            const res = await handlers.api.action(args("http://localhost/daily_report/api/action", "action", "POST"))
-
-            expect(res.status).toBe(401)
-            expect(res.headers.get("Set-Cookie")).toBe(DESTROY_COOKIE)
-        })
-    })
-})