@aiquants/daily-report 0.46.0 → 0.46.1

package/CHANGELOG.md

@@ -2,6 +2,22 @@
 
 All notable changes to `@aiquants/daily-report` are documented here.
 
+## 0.46.1 (2026-10-16)
+
+版番号は 0.46.1 (patch) とする: 公開の型は変えず、外部ソースの日報へ誤って書き込む経路を閉じる。
+
+### Fixed
+
+- **外部ソースの日報は、持ち主でも変えられない**: 編集と削除の入口 (DetailList のカードと List の側面ペインのボタン、ダブルクリック) と下書きの
+  自動の編集は、閲覧者が持ち主かどうかだけで出ていた。そのため外部ソースの日報 (ホストの `externalSources` のアダプタが外部の表から読む日報) の
+  持ち主にも出ていた。保存すると件名だけが hub に書かれて外部の表と食い違い、本文は内部の表に行が無いので何も書かれないまま成功を答えた
+  (画面は保存の直後だけ新しい本文を見せ、読み直すと元の本文に戻る)。削除と公開も hub に書けた。
+  今は、入口と下書きの自動の編集を、パッケージ自身の区分 (`Internal`。字面のまま比べる) の持ち主の日報にだけ出す。サーバーの更新・公開・削除は、
+  外部ソースの日報を持ち主を比べる前に断り (action は 403 `{"error":"Reports from this source are read-only"}`、サービスは `Forbidden`)、
+  何も書かず知らせない。区分の判定は 1 つの関数 (`isMutableDailyReportSource`) にあり、サーバーの関門とクライアントの入口が同じものを読む。
+  ホストへの影響: サービスの `updateDailyReport`・`publishDailyReport`・`deleteDailyReport` を外部ソースの日報で呼んでいた所は `Forbidden` を受ける
+  (どれも書き込みが外部の表と食い違う経路だった)。
+
 ## 0.46.0 (2026-10-16)
 
 版番号は 0.46.0 (minor) とする: 設定の `streamKey` と公開の `buildDailyReportSseStreamKey` を置き換える (下の Breaking)。

package/README.md

@@ -526,7 +526,10 @@ its payload — with one strict parser each, after authentication and before any
     `{"error":"Report visibility is unavailable"}` with `Retry-After: 5` and `Cache-Control: no-store`, before the internal user lookup and any intent.
     Then the internal user (`User not found`, 404). A `create` whose scope does not show the package's own source type (`Internal`) is 403
     `{"error":"Creating reports is restricted"}` before any query; the other intents answer a report the scope hides as 404 (**Where it applies** in
-    [Source-type visibility](#source-type-visibility)).
+    [Source-type visibility](#source-type-visibility)). An `update`, `publish` or `delete` of a report the scope shows but of an external source (any
+    source type other than the package's own `Internal`, compared exactly) is 403 `{"error":"Reports from this source are read-only"}` before the owner
+    is compared and before any write: the package writes only the reports it stores itself, and its client draws the edit and delete entrances and a
+    draft's automatic editor only for the viewer's own `Internal` reports.
 - **One wire contract for the action and the JSON endpoints**, which the server, the package's client and a host that calls the routes itself all read
   from the shared entry (`@aiquants/daily-report`; neither side restates a name):
   - the intents (`DAILY_REPORT_ACTION_INTENTS` and their type `DailyReportActionIntent`, from which the server's form reading and the client's