@bluelamp/secret-exec 0.1.0 → 0.2.0

package/README.md

@@ -5,7 +5,8 @@
 > 値を標準出力・標準エラー・戻り値・ファイル・コマンドの引数に出す口は、このパッケージには**ありません**。今後も作りません。
 > 値を見たい用途（表示・コピー・ファイルへの書き出し）には使えません。それは設計上の意図です。
 
-金庫（password-manager）に置いた値を、**子プロセスの環境変数にだけ**入れてコマンドを実行します。終了コードは子のものをそのまま返します。
+金庫（password-manager）に置いた値を、**子プロセスの環境変数にだけ**入れてコマンドを実行します（`exec`）。終了コードは子のものをそのまま返します。
+値を会話に出さずに金庫へ**入れる**口（`put`）も同梱しています（下の「値を金庫へ入れる」）。
 
 ## 使い方
 
@@ -31,7 +32,34 @@ bluelamp-secret exec X=my-db -- sh -c 'test -n "$X"'
 - 引いたことは金庫の監査に残ります（誰が・どの秘密を）。
 - ⚠️ 子のコマンドが自分で値を印字すれば、それは出ます（`echo "$PGURL"` のように書かない）。
 
-## 終了コード
+## 値を金庫へ入れる（put）
+
+値を**標準入力**（か `--file` のファイル）から読んで金庫へ入れます。値はコマンドの引数に書かないので、プロセス一覧・会話の転写・シェルの履歴に残りません（`password-manager` の `store_secret` は値を道具の引数で渡すため、転写に残ります）。
+
+```bash
+<値を出すコマンド> | bluelamp-secret put <金庫の名前> [--note 文] [--username 名] [--url URL] [--file パス] [--force]
+
+# 例: 別の道具が出した鍵をそのまま入れる（値は画面に出ない）
+some-cli issue-key | bluelamp-secret put some-api --note "some-api の本番鍵"
+
+# 例: ファイルから入れる（入れた後はファイルを消す）
+bluelamp-secret put my-db --file ./db-url.txt --url https://db.example.com
+```
+
+- 末尾の改行 1 つ（`\n` か `\r\n`）は落とします。空の値は受けません。
+- 自分の金庫に**既に在る名前は `--force` が無ければ止まります**（金庫は同じ名前を黙って上書きするため）。
+- **標準入力が端末なら受けません**（打ち込んだ値が画面と端末の記録に残るため）。パイプか `--file` で渡してください。
+- 保存の後に**読み戻して一致を確かめ**、`保存しました（N 文字・読み戻して一致）` だけを標準エラーへ出します。値と金庫の応答本文はどこにも出しません。
+- `--url` はログイン先のメモです（`https://host` に畳んで保存。scheme を省くと https を補います）。
+
+| コード | 意味（put） |
+|---|---|
+| 0 | 保存して、読み戻した値が一致した |
+| 1 | 未ログイン・保存できない・読み戻せない／一致しない・ファイルを読めない |
+| 2 | 引数の形が違う・標準入力が端末・値が空 |
+| 3 | 既に在る名前で `--force` が無い（何も保存していない） |
+
+## 終了コード（exec）
 
 | コード | 意味 |
 |---|---|

package/bin/bluelamp-secret.mjs

@@ -2,36 +2,61 @@
 /**
  * bluelamp-secret — 金庫の値を子プロセスの環境変数にだけ入れてコマンドを走らせる（箱 n=2018 設計④′）。
  *   bluelamp-secret exec <ENV名>=<金庫の名前> [...] -- <コマンド> [引数…]
+ *   <値を出すコマンド> | bluelamp-secret put <金庫の名前> [--note 文] [--username 名] [--url URL] [--file パス] [--force]（箱 n=2498）
  * 🔒 値を返さない口: 値は stdout・stderr・戻り値・ファイルに出ない（README の冒頭・src/index.ts の頭注）。
  * 判定と組み立ては dist/index.js（unit テスト済み）。ここは実物の網・トークン・子プロセス・シグナルを繋ぐだけ。
  */
 import { spawn } from 'node:child_process';
+import { readFile } from 'node:fs/promises';
 import { constants as osConstants } from 'node:os';
 import { tryReadCliToken } from '@bluelamp/cli-token';
-import { runSecretExec } from '../dist/index.js';
+import { runSecretExec, runSecretPut } from '../dist/index.js';
 
 // 端末の Ctrl-C は同じプロセスグループの子にも届く＝親は受け流して子の終了を待つ。
 // SIGTERM / SIGHUP は親だけに来うるので子へ回す。
 const FORWARDED = ['SIGINT', 'SIGTERM', 'SIGHUP'];
 
-runSecretExec(process.argv.slice(2), {
-  env: process.env,
-  loadToken: () => tryReadCliToken(),
-  fetch: (url, init) => globalThis.fetch(url, init),
-  spawn: (command, args, options) => spawn(command, args, options),
-  stderr: (text) => process.stderr.write(text),
-  signalNumbers: osConstants.signals,
-  onParentSignal: (forward) => {
-    const handlers = FORWARDED.map((sig) => {
-      const h = () => {
-        if (sig !== 'SIGINT') forward(sig);
-      };
-      process.on(sig, h);
-      return [sig, h];
-    });
-    return () => handlers.forEach(([sig, h]) => process.off(sig, h));
-  },
-}).then(
+const argv = process.argv.slice(2);
+
+const run =
+  argv[0] === 'put'
+    ? runSecretPut(argv, {
+        env: process.env,
+        loadToken: () => tryReadCliToken(),
+        fetch: (url, init) => globalThis.fetch(url, init),
+        stdinIsTTY: () => process.stdin.isTTY === true,
+        readStdin: async () => {
+          const chunks = [];
+          for await (const c of process.stdin) chunks.push(c);
+          return Buffer.concat(chunks).toString('utf8');
+        },
+        readFile: (p) => readFile(p, 'utf8'),
+        stderr: (text) => process.stderr.write(text),
+      })
+    : runExec();
+
+function runExec() {
+  return runSecretExec(argv, {
+    env: process.env,
+    loadToken: () => tryReadCliToken(),
+    fetch: (url, init) => globalThis.fetch(url, init),
+    spawn: (command, args, options) => spawn(command, args, options),
+    stderr: (text) => process.stderr.write(text),
+    signalNumbers: osConstants.signals,
+    onParentSignal: (forward) => {
+      const handlers = FORWARDED.map((sig) => {
+        const h = () => {
+          if (sig !== 'SIGINT') forward(sig);
+        };
+        process.on(sig, h);
+        return [sig, h];
+      });
+      return () => handlers.forEach(([sig, h]) => process.off(sig, h));
+    },
+  });
+}
+
+run.then(
   (code) => process.exit(code),
   () => {
     // ⛔ 例外の文言は出さない（値や要求を引用しうる）

package/dist/index.js

@@ -1,5 +1,5 @@
 /**
- * @bluelamp/secret-exec — `bluelamp-secret exec`（箱 n=2018 設計④′）
+ * @bluelamp/secret-exec — `bluelamp-secret exec`（箱 n=2018 設計④′）と `bluelamp-secret put`（箱 n=2498・下の put の節）
  *
  * 🔒 これは「値を返さない口」である（実装より先に書いた線・README の冒頭と同じ）。
  *   取れるのは「金庫にその名前が在るか無いか」と「値を使えるか（子プロセスが env で受けて走れたか＝終了コード）」だけ。
@@ -25,14 +25,21 @@ export const ENV_NAME_PATTERN = /^[A-Z_][A-Z0-9_]*$/;
 export const DEFAULT_PORTAL_API_BASE_URL = 'https://api.motohi.jp/api/bluelamp';
 export const USAGE = '使い方: bluelamp-secret exec <ENV名>=<金庫の名前> [<ENV名>=<金庫の名前> …] -- <コマンド> [引数…]\n' +
     '  金庫の値を子プロセスの環境変数にだけ入れて <コマンド> を実行し、その終了コードで終わります。\n' +
-    '  値は画面・引数・ログに出ません。シェルの展開が要るときは -- sh -c \'psql "$PGURL" -c "select 1"\' のように渡します。\n';
+    '  値は画面・引数・ログに出ません。シェルの展開が要るときは -- sh -c \'psql "$PGURL" -c "select 1"\' のように渡します。\n' +
+    '使い方: <値を出すコマンド> | bluelamp-secret put <金庫の名前> [--note 文] [--username 名] [--url URL] [--file パス] [--force]\n' +
+    '  値を標準入力（または --file のファイル）から読んで金庫へ入れ、読み戻して一致を確かめます。末尾の改行 1 つは落とします。\n' +
+    '  既に在る名前は --force が無ければ止まります。標準入力が端末なら受けません（打ち込んだ値が画面に残るため）。\n';
+/** `.`／`..` は URL の区間として解決され、金庫の外の経路を指してしまう（%2E も URL 側で同じに扱われる） */
+function isUsableVaultName(name) {
+    return name !== '' && name !== '.' && name !== '..';
+}
 /** 引数を解析する（`process.argv.slice(2)` を受ける）。値はここに来ない＝金庫の名前だけ */
 export function parseExecArgs(argv) {
     if (argv.length === 0 || argv[0] === '-h' || argv[0] === '--help' || argv[0] === 'help') {
         return { ok: false, help: true, error: '' };
     }
     if (argv[0] !== 'exec') {
-        return { ok: false, help: false, error: `不明な操作です（受けるのは exec だけ）` };
+        return { ok: false, help: false, error: `不明な操作です（受けるのは exec と put だけ）` };
     }
     const sep = argv.indexOf('--');
     if (sep === -1) {
@@ -62,8 +69,7 @@ export function parseExecArgs(argv) {
         if (name === '') {
             return { ok: false, help: false, error: `${env}: 金庫の名前が空です` };
         }
-        // `.`／`..` は URL の区間として解決され、金庫の外の経路を指してしまう（%2E も URL 側で同じに扱われる）
-        if (name === '.' || name === '..') {
+        if (!isUsableVaultName(name)) {
             return { ok: false, help: false, error: `${env}: 金庫の名前に . / .. は使えません` };
         }
         if (seen.has(env)) {
@@ -127,6 +133,33 @@ export function exitCodeOf(code, signal, signalNumbers) {
     return 1;
 }
 const PREFIX = 'bluelamp-secret: ';
+/** 金庫の 1 件を引いて値を取り出す（⛔ 値はこのファイルの中だけで使う・export しない） */
+async function fetchSecretValue(fetchImpl, baseUrl, token, name) {
+    let res;
+    try {
+        res = await fetchImpl(buildVaultUrl(baseUrl, name), { method: 'GET', headers: cliHeaders(token) });
+    }
+    catch {
+        // ⛔ 例外の文言は出さない（要求 URL・ヘッダを引用する実装がある）
+        return { ok: false, reason: 'ポータルに届きませんでした' };
+    }
+    if (!res.ok)
+        return { ok: false, reason: describeVaultStatus(res.status) };
+    let body;
+    try {
+        body = await res.json();
+    }
+    catch {
+        return { ok: false, reason: '金庫の応答を読めませんでした' };
+    }
+    const value = extractSecretValue(body);
+    if (value === null)
+        return { ok: false, reason: '金庫の応答に値がありませんでした' };
+    return { ok: true, value };
+}
+function cliHeaders(token) {
+    return { 'X-CLI-Token': token, Accept: 'application/json', 'User-Agent': 'bluelamp-secret/1' };
+}
 /** 実行する。戻り値は終了コード */
 export async function runSecretExec(argv, deps) {
     const parsed = parseExecArgs(argv);
@@ -147,36 +180,12 @@ export async function runSecretExec(argv, deps) {
     const values = {};
     // 🔑 全部そろってから子を起こす（一部だけ入った env で走らせない）
     for (const { env, name } of parsed.bindings) {
-        let res;
-        try {
-            res = await deps.fetch(buildVaultUrl(baseUrl, name), {
-                method: 'GET',
-                headers: { 'X-CLI-Token': token, Accept: 'application/json', 'User-Agent': 'bluelamp-secret/1' },
-            });
-        }
-        catch {
-            // ⛔ 例外の文言は出さない（要求 URL・ヘッダを引用する実装がある）
-            deps.stderr(`${PREFIX}${env}=${name}: ポータルに届きませんでした\n`);
-            return 1;
-        }
-        if (!res.ok) {
-            deps.stderr(`${PREFIX}${env}=${name}: ${describeVaultStatus(res.status)}\n`);
-            return 1;
-        }
-        let body;
-        try {
-            body = await res.json();
-        }
-        catch {
-            deps.stderr(`${PREFIX}${env}=${name}: 金庫の応答を読めませんでした\n`);
-            return 1;
-        }
-        const value = extractSecretValue(body);
-        if (value === null) {
-            deps.stderr(`${PREFIX}${env}=${name}: 金庫の応答に値がありませんでした\n`);
+        const got = await fetchSecretValue(deps.fetch, baseUrl, token, name);
+        if (!got.ok) {
+            deps.stderr(`${PREFIX}${env}=${name}: ${got.reason}\n`);
             return 1;
         }
-        values[env] = value;
+        values[env] = got.value;
     }
     const childEnv = composeChildEnv(deps.env, values);
     return new Promise((resolve) => {
@@ -216,3 +225,200 @@ export async function runSecretExec(argv, deps) {
         child.on('exit', (code, signal) => finish(exitCodeOf(code, signal, deps.signalNumbers)));
     });
 }
+/** 裸のホスト（scheme 省略）。backend の deriveOrigin と同じく https を補う */
+const BARE_HOST = /^[A-Za-z0-9.-]+(:\d+)?$/;
+/** --url を origin に畳む（http/https だけ受ける）。畳めなければ null */
+export function deriveOrigin(raw) {
+    const trimmed = raw.trim();
+    const tryParse = (s) => {
+        try {
+            const u = new URL(s);
+            return u.protocol === 'https:' || u.protocol === 'http:' ? u.origin : null;
+        }
+        catch {
+            return null;
+        }
+    };
+    if (/^[A-Za-z][A-Za-z0-9+.-]*:\/\//.test(trimmed))
+        return tryParse(trimmed);
+    return BARE_HOST.test(trimmed) && trimmed.includes('.') ? tryParse(`https://${trimmed}`) : null;
+}
+const PUT_VALUE_OPTIONS = ['--note', '--username', '--url', '--file'];
+/**
+ * put の引数を解析する（`process.argv.slice(2)` を受ける）。
+ * ⛔ 失敗の文言に、知らない引数や余分な位置引数の中身を引用しない（値を引数に書き間違えた場合に値が出るため）。
+ */
+export function parsePutArgs(argv) {
+    if (argv[0] !== 'put')
+        return { ok: false, help: false, error: '不明な操作です（受けるのは exec と put だけ）' };
+    const rest = argv.slice(1);
+    if (rest.length === 0 || rest.includes('-h') || rest.includes('--help'))
+        return { ok: false, help: true, error: '' };
+    const given = {};
+    const positional = [];
+    let force = false;
+    for (let i = 0; i < rest.length; i++) {
+        const a = rest[i];
+        if (a === '--force') {
+            force = true;
+            continue;
+        }
+        const eq = a.indexOf('=');
+        const flag = (eq > 0 ? a.slice(0, eq) : a);
+        if (a.startsWith('--') && PUT_VALUE_OPTIONS.includes(flag)) {
+            if (given[flag] !== undefined)
+                return { ok: false, help: false, error: `${flag} が 2 回あります` };
+            const v = eq > 0 ? a.slice(eq + 1) : rest[++i];
+            if (v === undefined)
+                return { ok: false, help: false, error: `${flag} の後に中身がありません` };
+            given[flag] = v;
+            continue;
+        }
+        if (a.startsWith('-'))
+            return { ok: false, help: false, error: `知らないオプションがあります（${i + 2} 番目の引数）` };
+        positional.push(a);
+    }
+    if (positional.length !== 1) {
+        return {
+            ok: false,
+            help: false,
+            error: positional.length === 0
+                ? '金庫の名前を書いてください'
+                : '金庫の名前の後に余分な引数があります（値は引数でなく標準入力で渡してください）',
+        };
+    }
+    const name = positional[0];
+    if (!isUsableVaultName(name))
+        return { ok: false, help: false, error: '金庫の名前に . / .. は使えません' };
+    let origin;
+    if (given['--url'] !== undefined) {
+        const o = deriveOrigin(given['--url']);
+        if (o === null)
+            return { ok: false, help: false, error: '--url を解釈できません（https://host の形で書いてください）' };
+        origin = o;
+    }
+    if (given['--file'] === '')
+        return { ok: false, help: false, error: '--file のパスが空です' };
+    return {
+        ok: true,
+        options: {
+            name,
+            note: given['--note'],
+            username: given['--username'],
+            origin,
+            file: given['--file'],
+            force,
+        },
+    };
+}
+/** 末尾の改行 1 つ（\n か \r\n）だけを落とす（⛔ 値を返すので export しない） */
+function dropOneTrailingNewline(raw) {
+    if (raw.endsWith('\r\n'))
+        return raw.slice(0, -2);
+    if (raw.endsWith('\n'))
+        return raw.slice(0, -1);
+    return raw;
+}
+/** 一覧の応答に「自分の金庫の同じ名前」が在るか。形が違えば null（⛔ 一覧の中身は出さない） */
+function ownEntryExists(body, name) {
+    if (!body || typeof body !== 'object')
+        return null;
+    const b = body;
+    if (b.success !== true || !Array.isArray(b.data))
+        return null;
+    return b.data.some((e) => !!e && typeof e === 'object' && e.service === name && e.shared !== true);
+}
+/** put を実行する。戻り値は終了コード（0 保存して一致／1 失敗／2 引数・入力の形／3 既に在る） */
+export async function runSecretPut(argv, deps) {
+    const parsed = parsePutArgs(argv);
+    if (!parsed.ok) {
+        if (parsed.help) {
+            deps.stderr(USAGE);
+            return argv.length <= 1 ? 2 : 0;
+        }
+        deps.stderr(`${PREFIX}${parsed.error}\n${USAGE}`);
+        return 2;
+    }
+    const { name, note, username, origin, file, force } = parsed.options;
+    // 🔑 端末の打ち込みは画面と端末の記録に残る＝受けない（--file のときは標準入力を読まない）
+    if (file === undefined && deps.stdinIsTTY()) {
+        deps.stderr(`${PREFIX}標準入力が端末です。値はパイプか --file で渡してください（例: <値を出すコマンド> | bluelamp-secret put ${name}）\n`);
+        return 2;
+    }
+    const token = deps.loadToken();
+    if (!token) {
+        deps.stderr(`${PREFIX}未ログインです（bluelamp1 などでログインしてから撃ってください）\n`);
+        return 1;
+    }
+    let raw;
+    try {
+        raw = file === undefined ? await deps.readStdin() : await deps.readFile(file);
+    }
+    catch (e) {
+        const code = e?.code;
+        deps.stderr(`${PREFIX}${file === undefined ? '標準入力' : '--file のファイル'}を読めませんでした${code ? `（${code}）` : ''}\n`);
+        return 1;
+    }
+    const value = dropOneTrailingNewline(raw);
+    if (value === '') {
+        deps.stderr(`${PREFIX}値が空です（何も保存していません）\n`);
+        return 2;
+    }
+    const baseUrl = resolvePortalApiBaseUrl(deps.env);
+    if (!force) {
+        let exists = null;
+        try {
+            const res = await deps.fetch(`${baseUrl}/vault/list`, { method: 'GET', headers: cliHeaders(token) });
+            if (!res.ok) {
+                deps.stderr(`${PREFIX}${name}: 既に在るかを確かめられませんでした（${describeVaultStatus(res.status)}）\n`);
+                return 1;
+            }
+            exists = ownEntryExists(await res.json(), name);
+        }
+        catch {
+            exists = null;
+        }
+        if (exists === null) {
+            deps.stderr(`${PREFIX}${name}: 既に在るかを確かめられませんでした（何も保存していません）\n`);
+            return 1;
+        }
+        if (exists) {
+            deps.stderr(`${PREFIX}${name}: 金庫に既に在ります。上書きするなら --force を付けてください（何も保存していません）\n`);
+            return 3;
+        }
+    }
+    const payload = { service: name, secret: value };
+    if (note !== undefined)
+        payload.note = note;
+    if (username !== undefined)
+        payload.username = username;
+    if (origin !== undefined)
+        payload.bound_origins = [origin];
+    try {
+        const res = await deps.fetch(`${baseUrl}/vault`, {
+            method: 'POST',
+            headers: { ...cliHeaders(token), 'Content-Type': 'application/json' },
+            body: JSON.stringify(payload),
+        });
+        // ⛔ 本文は読まない・出さない
+        if (!res.ok) {
+            deps.stderr(`${PREFIX}${name}: 保存できませんでした（${describeVaultStatus(res.status)}）\n`);
+            return 1;
+        }
+    }
+    catch {
+        deps.stderr(`${PREFIX}${name}: ポータルに届きませんでした（保存されたかは不明です。もう一度撃つときは --force を付けてください）\n`);
+        return 1;
+    }
+    const back = await fetchSecretValue(deps.fetch, baseUrl, token, name);
+    if (!back.ok) {
+        deps.stderr(`${PREFIX}${name}: 保存の後に読み戻せませんでした（${back.reason}）\n`);
+        return 1;
+    }
+    if (back.value !== value) {
+        deps.stderr(`${PREFIX}${name}: 読み戻した値が入れた値と一致しません\n`);
+        return 1;
+    }
+    deps.stderr(`${PREFIX}${name}: 保存しました（${value.length} 文字・読み戻して一致）\n`);
+    return 0;
+}

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "@bluelamp/secret-exec",
-  "version": "0.1.0",
-  "description": "金庫の値を子プロセスの環境変数にだけ入れてコマンドを実行する（値を返さない口）",
+  "version": "0.2.0",
+  "description": "金庫の値を子プロセスの環境変数にだけ入れてコマンドを実行し（exec）、標準入力から金庫へ入れる（put）。値を画面・引数・ログに出さない口",
   "keywords": [
     "bluelamp",
     "cli",