@arcote.tech/arc-files 0.7.27 → 0.7.28

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "@arcote.tech/arc-files",
   "type": "module",
-  "version": "0.7.27",
+  "version": "0.7.28",
   "private": false,
   "description": "Generic file upload fragment for Arc framework — S3 presigned upload + provider file_id binding",
   "main": "./src/index.ts",
@@ -10,9 +10,9 @@
     "type-check": "tsc --noEmit"
   },
   "peerDependencies": {
-    "@arcote.tech/arc": "^0.7.27",
-    "@arcote.tech/arc-ds": "^0.7.27",
-    "@arcote.tech/platform": "^0.7.27",
+    "@arcote.tech/arc": "^0.7.28",
+    "@arcote.tech/arc-ds": "^0.7.28",
+    "@arcote.tech/platform": "^0.7.28",
     "@aws-sdk/client-s3": "^3.658.0",
     "@aws-sdk/s3-request-presigner": "^3.658.0",
     "lucide-react": ">=0.400.0",

package/src/aggregates/file.ts

@@ -8,6 +8,7 @@ import {
   string,
   type ArcAggregateElement,
   type ArcId,
+  type ArcRawShape,
 } from "@arcote.tech/arc";
 import type { S3Bridge } from "../s3/s3-client";
 import type { FileProviderName } from "../types";
@@ -51,9 +52,20 @@ export function createFileTypeAggregate<const Data extends FileTypeData>(
   const metadataShape = data.metadata;
   const fullShape = mergeUnsafe(builtInFields, metadataShape);
 
-  // `requestUpload` params zawiera built-in (name, mime, size) + WSZYSTKIE
-  // custom metadata fields — consumer dostarcza je przy uploadzie (np.
-  // accountId, opcjonalnie workspaceId).
+  // `requestUpload` params = built-in (name, mime, size) + custom metadata,
+  // ale metadata są OPCJONALNE. Pola scope (accountId itd.) są wyprowadzane
+  // autorytatywnie z aktywnego tokena server-side (patrz handler niżej), więc
+  // klient nie musi — i nie powinien — ich wysyłać. Consumer może pominąć
+  // wartość pochodzącą z tokena; serwer i tak ją nadpisze wartością z tokena.
+  const optionalMetadata: ArcRawShape = {};
+  for (const [key, element] of Object.entries(metadataShape)) {
+    // `validate(undefined) === false` → element już jest opcjonalny
+    // (ArcOptional), nie owijaj ponownie (ArcOptional nie ma `.optional()`).
+    const alreadyOptional = (element as any).validate?.(undefined) === false;
+    optionalMetadata[key] = alreadyOptional
+      ? element
+      : (element as any).optional();
+  }
   const requestUploadParams = mergeUnsafe(
     {
       _id: fileId,
@@ -61,7 +73,7 @@ export function createFileTypeAggregate<const Data extends FileTypeData>(
       mime: string(),
       size: number(),
     },
-    metadataShape,
+    optionalMetadata,
   );
 
   // `fileRequested` event payload = `requestUploadParams` + s3 fields
@@ -142,6 +154,27 @@ export function createFileTypeAggregate<const Data extends FileTypeData>(
               const s3Key = `${data.name}/${p._id}/${p.name}`;
               const uploadUrl = await s3.presignUpload(s3Key, p.name && p.mime);
 
+              // Pola scope (accountId itd.) bierzemy AUTORYTATYWNIE z aktywnego
+              // tokena — nigdy z params klienta. `protection.check(tokenPayload)`
+              // zwraca dokładnie mapowanie token→metadata (`{accountId: p.accountId}`),
+              // to samo, którego arc-core używa do restrykcji scope. Zapobiega
+              // podszyciu pod cudze accountId i znosi wymóg wysyłania go przez
+              // klienta (który przed załadowaniem `me` słał undefined → padała
+              // walidacja wejścia).
+              const auth = (ctx as any).$auth as
+                | { params: any; tokenName: string }
+                | undefined;
+              const derived: Record<string, any> = {};
+              if (auth?.tokenName) {
+                for (const protection of data.protections) {
+                  if ((protection.token as any).name !== auth.tokenName) continue;
+                  const restriction = protection.check(auth.params);
+                  if (restriction && typeof restriction === "object") {
+                    Object.assign(derived, restriction);
+                  }
+                }
+              }
+
               const payload: Record<string, any> = {
                 _id: p._id,
                 name: p.name,
@@ -151,7 +184,7 @@ export function createFileTypeAggregate<const Data extends FileTypeData>(
                 s3Key,
               };
               for (const key of Object.keys(metadataShape)) {
-                payload[key] = p[key];
+                payload[key] = key in derived ? derived[key] : p[key];
               }
               await (ctx as any).fileRequested.emit(payload);