@exabugs/dynamodb-client 1.13.0 → 1.14.0

package/CHANGELOG.md

@@ -7,6 +7,33 @@ and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0
 
 ## [Unreleased]
 
+## [1.14.0] - 2026-10-18
+
+### Added
+
+- **`dynamodb-access-check` CLI**: DynamoDB への直接アクセスの検査。ソースの import（`@aws-sdk/client-dynamodb` / `lib-dynamodb` / `util-dynamodb`、aws-sdk v2 の DynamoDB クライアント、このライブラリの内部で DynamoDB に触れる `server` / `server/handler` / `server/media-handler` / `server/media-process-handler` / `server/media-process-handler-dlq`）と、Terraform の `dynamodb:*` の権限（`resource` / `data` ブロック、AWS 管理ポリシー `AmazonDynamoDB*`）を走査し、許可リスト（JSON）と照合する。許可リストに無い違反は終了コード 1、許可リストにあるのに検出されないエントリと行番号のずれは警告。引数: `--allowlist <path>`（必須）、`--root <dir>`、`--src <dir>...`、`--tf <dir>...`、`--ignore <glob>...`。許可リストの形式（`file` / `terraform` / `kind` / `reason` / `todo` / `exclude` / `line` / `eslintOnly` / `notes`）と使い方は [docs/DYNAMODB_ACCESS.md](docs/DYNAMODB_ACCESS.md)
+- **`@exabugs/dynamodb-client/eslint`**: `createDynamoDbGuardConfig({ allowlistPath, files?, message?, patterns? })`。同じ許可リストから、ESLint の flat config（`no-restricted-imports` と、許可するファイルの overrides）を返す。ESLint 自体は import しない
+
+### Removed
+
+- **MCP を削除した**: `dynamodb-mcp`（`bin`）、`@exabugs/dynamodb-client/mcp`（`exports`）、`generate-mcp-tools`、`@modelcontextprotocol/sdk`（依存）。利用者はいないと確認済み。破壊的変更だが、利用者がいないため minor とする
+
+### 利用側（asanowa・astro・asaichi）の移行手順
+
+3 リポジトリでコピーしていた検査スクリプト（`check-dynamodb-access.mjs`）と ESLint の生成（`eslint.dynamodb-guard.cjs`）を、このライブラリのものに置き換える。
+
+1. `@exabugs/dynamodb-client` を 1.14.0 に上げる
+2. 許可リストの JSON を、共通の形式にする: コードのエントリは `{ "file": "<パス>", "kind", "reason", "todo" }`（asanowa の `type: "code"` の `path` は `file` に）。Terraform のエントリは `{ "file": "<.tf のパス>", "terraform": "<resource 名>", ... }`（asanowa の `type: "iam"` の `path` / `resource`）。astro の `source` / `terraform`（ファイルごと・`imports` / `actions` の配列）は、ファイルごとに 1 エントリにする（import・アクション単位の許可はなくなる）
+3. スクリプトの呼び出しを CLI にする。例（asanowa）: `npx dynamodb-access-check --allowlist infra/scripts/dynamodb-access-allowlist.json --src . --tf . --ignore <旧スクリプトがあれば、そのパス>`。例（astro）: `--src apps functions packages scripts --tf infra --ignore '**/__tests__/**' '**/generated/**' '**/*.test.*' '**/*.spec.*'`（テストを検査から外していた場合）
+4. ESLint は `eslint.dynamodb-guard.cjs` を、`createDynamoDbGuardConfig({ allowlistPath })` に置き換える
+5. 旧スクリプトと `eslint.dynamodb-guard.cjs` を削除する。旧スクリプトの結果と同じ（違反ゼロ、同じ警告）になることを確かめる
+
+## [1.13.1] - 2026-10-16
+
+### Fixed
+
+- **sharp レイヤーの zip を再現可能にした**（`dist/sharp-layer.zip`）: 同じ入力から常に同じバイト列を作る（mtime・エントリの順序・パーミッション・uid/gid などの追加フィールドを固定）。これまでは、中身が同じでも、ビルドのたびに zip のバイト列が変わり、Terraform の `aws_lambda_layer_version`（`source_code_hash = filebase64sha256(...)`）が、ライブラリの版を上げるたびに差分になっていた。`scripts/verify-reproducible-layer.sh` と CI で、2 回ビルドして一致することを確かめる。ランタイムの挙動は変わらない。**利用側への影響: 1.13.1 に最初に上げるときだけ、バイト列が 1.11.x / 1.13.0 と違うため、レイヤーが 1 回置き換わる（レイヤーに依存する Lambda、CloudFront 公開鍵、Lambda 権限なども連鎖して置き換わる）。それ以降は、版を上げてもレイヤーは置き換わらない**（sharp の版や、推移依存の中身が変わらない限り）
+
 ## [1.13.0] - 2026-10-16
 
 ### Added

package/README.md

@@ -570,7 +570,7 @@ We welcome contributions!
 
 ### OpenAPI-Driven Development
 
-This project uses OpenAPI specification as the Single Source of Truth (SSOT) for MCP tool definitions.
+This project uses OpenAPI specification as the Single Source of Truth (SSOT) for TypeScript type definitions.
 
 #### Workflow
 
@@ -581,11 +581,11 @@ This project uses OpenAPI specification as the Single Source of Truth (SSOT) for
    vim docs/specs/openapi.yaml
    ```
 
-2. **Generate MCP Tools**
+2. **Generate Types**
 
    ```bash
-   # Regenerate MCP tool definitions from OpenAPI spec
-   npm run generate-mcp-tools
+   # Regenerate TypeScript types from OpenAPI spec
+   npm run generate-types
    ```
 
 3. **Verify Changes**
@@ -599,17 +599,7 @@ This project uses OpenAPI specification as the Single Source of Truth (SSOT) for
 
 - **Location**: `docs/specs/openapi.yaml`
 - **Components**: `docs/specs/components/schemas/`
-- **Generator**: `scripts/generate-mcp-tools-v2.ts`
-- **Output**: `src/mcp/tools/generated.ts` (auto-generated, do not edit manually)
-
-#### Key Design Principles
-
-- **OpenAPI as SSOT**: All MCP tool definitions are derived from OpenAPI spec
-- **Minimal Inference**: Generator extracts information directly from OpenAPI, avoiding complex inference logic
-- **Type Safety**: Generated TypeScript code maintains full type safety
-- **Consistency**: All tools follow the same structure and naming conventions
-
-For more details, see the [OpenAPI to MCP Generator Spec](.kiro/specs/openapi-to-mcp-generator/design.md).
+- **Output**: `src/__generated__/` (auto-generated, do not edit manually)
 
 ---
 

package/bin/dynamodb-access-check.js

@@ -0,0 +1,6 @@
+#!/usr/bin/env node
+
+/**
+ * DynamoDB への直接アクセスの検査（docs/DYNAMODB_ACCESS.md）
+ */
+import '../dist/tools/dynamodb-access-check/run.js';

package/dist/server/handler.cjs

@@ -1,5 +1,5 @@
-// @exabugs/dynamodb-client v1.13.0
-// Built: 2026-10-16T09:59:05.142Z
+// @exabugs/dynamodb-client v1.14.0
+// Built: 2026-10-18T05:26:53.693Z
 "use strict";
 var __create = Object.create;
 var __defProp = Object.defineProperty;
@@ -38980,7 +38980,7 @@ async function handler(event) {
       return createCorsResponse(HTTP_STATUS.OK);
     }
     if (event.requestContext.http.method === "GET" && event.requestContext.http.path === "/version") {
-      const version = "1.13.0";
+      const version = "1.14.0";
       return createSuccessResponse({ version, timestamp: (/* @__PURE__ */ new Date()).toISOString() }, requestId);
     }
     if (event.requestContext.http.method !== "POST") {