@exabugs/dynamodb-client 1.13.1 → 1.14.0

package/dist/tools/dynamodb-access-check/scan.js

@@ -0,0 +1,151 @@
+import { readFileSync, readdirSync, statSync } from 'node:fs';
+import { join, relative, resolve, sep } from 'node:path';
+import { AWS_V2_DYNAMODB_LABEL, isForbiddenSpecifier } from './forbidden.js';
+import { matchesAny } from './glob.js';
+/** 常に走査しないディレクトリ */
+export const DEFAULT_IGNORED_DIRS = new Set([
+    'node_modules',
+    'dist',
+    'build',
+    'coverage',
+    '.git',
+    '.terraform',
+    '.expo',
+    '.next',
+    'cdk.out',
+]);
+const toPosix = (p) => p.split(sep).join('/');
+/** dir 配下のファイルを集める（root からの相対パスを返す）。`ignore` の glob に一致するものは除く */
+export function walkFiles(root, dirs, accept, ignore) {
+    const out = [];
+    const visit = (abs) => {
+        let names;
+        try {
+            names = readdirSync(abs);
+        }
+        catch {
+            return;
+        }
+        for (const name of names) {
+            if (DEFAULT_IGNORED_DIRS.has(name))
+                continue;
+            const p = join(abs, name);
+            const rel = toPosix(relative(root, p));
+            if (matchesAny(ignore, rel))
+                continue;
+            if (statSync(p).isDirectory())
+                visit(p);
+            else if (accept(name))
+                out.push(rel);
+        }
+    };
+    for (const d of dirs)
+        visit(resolve(root, d));
+    return [...new Set(out)].sort();
+}
+const lineOf = (text, index) => text.slice(0, index).split('\n').length;
+const SOURCE_FILE = /\.(?:ts|tsx|js|jsx|mjs|cjs)$/;
+const IMPORT_RE = /(?:\bfrom\s*|\bimport\s*\(\s*|\bimport\s+|\brequire\s*\(\s*)(['"])([^'"\n]+)\1/g;
+const AWS_V2_RE = /\bAWS\.DynamoDB\b/g;
+/** ソースから、禁止された import（と aws-sdk v2 の DynamoDB クライアント）を検出する */
+export function scanSources(root, dirs, ignore) {
+    const findings = [];
+    const files = walkFiles(root, dirs, (n) => SOURCE_FILE.test(n) && !n.endsWith('.d.ts'), ignore);
+    for (const file of files) {
+        const text = readFileSync(join(root, file), 'utf8');
+        const seen = new Set();
+        const add = (detail, index) => {
+            if (seen.has(detail))
+                return; // 同じファイルの同じ違反は最初の行だけ
+            seen.add(detail);
+            findings.push({ file, line: lineOf(text, index), detail });
+        };
+        for (const m of text.matchAll(IMPORT_RE)) {
+            if (isForbiddenSpecifier(m[2]))
+                add(m[2], m.index ?? 0);
+        }
+        for (const m of text.matchAll(AWS_V2_RE))
+            add(AWS_V2_DYNAMODB_LABEL, m.index ?? 0);
+    }
+    return { findings, scanned: files.length };
+}
+/** 行頭のコメント行を、行数を保ったまま空にする */
+const stripCommentLines = (text) => text.replace(/^[ \t]*(?:#|\/\/).*$/gm, '');
+/** `resource|data "T" "N" {` ブロックの範囲を、波括弧の対応（文字列内は無視）で切り出す */
+function tfBlocks(text) {
+    const blocks = [];
+    const re = /^(resource|data)\s+"([^"]+)"\s+"([^"]+)"\s*\{/gm;
+    let m;
+    while ((m = re.exec(text))) {
+        let depth = 1;
+        let inStr = false;
+        let i = re.lastIndex;
+        for (; i < text.length && depth > 0; i++) {
+            const c = text[i];
+            if (inStr) {
+                if (c === '\\')
+                    i++;
+                else if (c === '"')
+                    inStr = false;
+            }
+            else if (c === '"')
+                inStr = true;
+            else if (c === '{')
+                depth++;
+            else if (c === '}')
+                depth--;
+        }
+        blocks.push({
+            name: `${m[1] === 'data' ? 'data.' : ''}${m[2]}.${m[3]}`,
+            start: m.index,
+            end: i,
+        });
+        re.lastIndex = i;
+    }
+    return blocks;
+}
+/** ARN の `aws:dynamodb:` を除くため、直前が識別子・`:` でないものだけ */
+const TF_ACTION_RE = /(?<![A-Za-z0-9:_-])dynamodb:[A-Za-z*]+|\bAmazonDynamoDB[A-Za-z]*/g;
+/** 名前のないブロック（locals・module など）の検出に使う名前 */
+export const TF_TOP_LEVEL = '(top-level)';
+/** Terraform から、DynamoDB の権限（`dynamodb:*`、AWS 管理ポリシー）を持つブロックを検出する */
+export function scanTerraform(root, dirs, ignore) {
+    const findings = [];
+    const files = walkFiles(root, dirs, (n) => n.endsWith('.tf'), ignore);
+    for (const file of files) {
+        const text = stripCommentLines(readFileSync(join(root, file), 'utf8'));
+        const blocks = tfBlocks(text);
+        for (const b of blocks) {
+            const actions = [...new Set(text.slice(b.start, b.end).match(TF_ACTION_RE) ?? [])];
+            if (actions.length > 0) {
+                findings.push({
+                    file,
+                    line: lineOf(text, b.start),
+                    detail: actions.join(', '),
+                    terraform: b.name,
+                });
+            }
+        }
+        // resource / data 以外（locals・module など）に書かれた権限
+        let rest = text;
+        for (const b of [...blocks].reverse()) {
+            rest =
+                rest.slice(0, b.start) +
+                    rest.slice(b.start, b.end).replace(/[^\n]/g, ' ') +
+                    rest.slice(b.end);
+        }
+        const first = TF_ACTION_RE.exec(rest);
+        TF_ACTION_RE.lastIndex = 0;
+        if (first) {
+            const actions = [...new Set(rest.match(TF_ACTION_RE) ?? [])];
+            findings.push({
+                file,
+                line: lineOf(rest, first.index),
+                detail: actions.join(', '),
+                terraform: TF_TOP_LEVEL,
+            });
+        }
+    }
+    return { findings, scanned: files.length };
+}
+//# sourceMappingURL=scan.js.map

package/dist/tools/dynamodb-access-check/scan.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"scan.js","sourceRoot":"","sources":["../../../src/tools/dynamodb-access-check/scan.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,YAAY,EAAE,WAAW,EAAE,QAAQ,EAAE,MAAM,SAAS,CAAC;AAC9D,OAAO,EAAE,IAAI,EAAE,QAAQ,EAAE,OAAO,EAAE,GAAG,EAAE,MAAM,WAAW,CAAC;AAEzD,OAAO,EAAE,qBAAqB,EAAE,oBAAoB,EAAE,MAAM,gBAAgB,CAAC;AAC7E,OAAO,EAAE,UAAU,EAAE,MAAM,WAAW,CAAC;AAWvC,oBAAoB;AACpB,MAAM,CAAC,MAAM,oBAAoB,GAAG,IAAI,GAAG,CAAC;IAC1C,cAAc;IACd,MAAM;IACN,OAAO;IACP,UAAU;IACV,MAAM;IACN,YAAY;IACZ,OAAO;IACP,OAAO;IACP,SAAS;CACV,CAAC,CAAC;AAEH,MAAM,OAAO,GAAG,CAAC,CAAS,EAAU,EAAE,CAAC,CAAC,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC,IAAI,CAAC,GAAG,CAAC,CAAC;AAE9D,kEAAkE;AAClE,MAAM,UAAU,SAAS,CACvB,IAAY,EACZ,IAAuB,EACvB,MAAiC,EACjC,MAAyB;IAEzB,MAAM,GAAG,GAAa,EAAE,CAAC;IACzB,MAAM,KAAK,GAAG,CAAC,GAAW,EAAQ,EAAE;QAClC,IAAI,KAAe,CAAC;QACpB,IAAI,CAAC;YACH,KAAK,GAAG,WAAW,CAAC,GAAG,CAAC,CAAC;QAC3B,CAAC;QAAC,MAAM,CAAC;YACP,OAAO;QACT,CAAC;QACD,KAAK,MAAM,IAAI,IAAI,KAAK,EAAE,CAAC;YACzB,IAAI,oBAAoB,CAAC,GAAG,CAAC,IAAI,CAAC;gBAAE,SAAS;YAC7C,MAAM,CAAC,GAAG,IAAI,CAAC,GAAG,EAAE,IAAI,CAAC,CAAC;YAC1B,MAAM,GAAG,GAAG,OAAO,CAAC,QAAQ,CAAC,IAAI,EAAE,CAAC,CAAC,CAAC,CAAC;YACvC,IAAI,UAAU,CAAC,MAAM,EAAE,GAAG,CAAC;gBAAE,SAAS;YACtC,IAAI,QAAQ,CAAC,CAAC,CAAC,CAAC,WAAW,EAAE;gBAAE,KAAK,CAAC,CAAC,CAAC,CAAC;iBACnC,IAAI,MAAM,CAAC,IAAI,CAAC;gBAAE,GAAG,CAAC,IAAI,CAAC,GAAG,CAAC,CAAC;QACvC,CAAC;IACH,CAAC,CAAC;IACF,KAAK,MAAM,CAAC,IAAI,IAAI;QAAE,KAAK,CAAC,OAAO,CAAC,IAAI,EAAE,CAAC,CAAC,CAAC,CAAC;IAC9C,OAAO,CAAC,GAAG,IAAI,GAAG,CAAC,GAAG,CAAC,CAAC,CAAC,IAAI,EAAE,CAAC;AAClC,CAAC;AAED,MAAM,MAAM,GAAG,CAAC,IAAY,EAAE,KAAa,EAAU,EAAE,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,EAAE,KAAK,CAAC,CAAC,KAAK,CAAC,IAAI,CAAC,CAAC,MAAM,CAAC;AAEhG,MAAM,WAAW,GAAG,8BAA8B,CAAC;AACnD,MAAM,SAAS,GAAG,iFAAiF,CAAC;AACpG,MAAM,SAAS,GAAG,oBAAoB,CAAC;AAEvC,8DAA8D;AAC9D,MAAM,UAAU,WAAW,CAAC,IAAY,EAAE,IAAuB,EAAE,MAAyB;IAC1F,MAAM,QAAQ,GAAc,EAAE,CAAC;IAC/B,MAAM,KAAK,GAAG,SAAS,CAAC,IAAI,EAAE,IAAI,EAAE,CAAC,CAAC,EAAE,EAAE,CAAC,WAAW,CAAC,IAAI,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,QAAQ,CAAC,OAAO,CAAC,EAAE,MAAM,CAAC,CAAC;IAChG,KAAK,MAAM,IAAI,IAAI,KAAK,EAAE,CAAC;QACzB,MAAM,IAAI,GAAG,YAAY,CAAC,IAAI,CAAC,IAAI,EAAE,IAAI,CAAC,EAAE,MAAM,CAAC,CAAC;QACpD,MAAM,IAAI,GAAG,IAAI,GAAG,EAAU,CAAC;QAC/B,MAAM,GAAG,GAAG,CAAC,MAAc,EAAE,KAAa,EAAQ,EAAE;YAClD,IAAI,IAAI,CAAC,GAAG,CAAC,MAAM,CAAC;gBAAE,OAAO,CAAC,qBAAqB;YACnD,IAAI,CAAC,GAAG,CAAC,MAAM,CAAC,CAAC;YACjB,QAAQ,CAAC,IAAI,CAAC,EAAE,IAAI,EAAE,IAAI,EAAE,MAAM,CAAC,IAAI,EAAE,KAAK,CAAC,EAAE,MAAM,EAAE,CAAC,CAAC;QAC7D,CAAC,CAAC;QACF,KAAK,MAAM,CAAC,IAAI,IAAI,CAAC,QAAQ,CAAC,SAAS,CAAC,EAAE,CAAC;YACzC,IAAI,oBAAoB,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC;gBAAE,GAAG,CAAC,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC,KAAK,IAAI,CAAC,CAAC,CAAC;QAC1D,CAAC;QACD,KAAK,MAAM,CAAC,IAAI,IAAI,CAAC,QAAQ,CAAC,SAAS,CAAC;YAAE,GAAG,CAAC,qBAAqB,EAAE,CAAC,CAAC,KAAK,IAAI,CAAC,CAAC,CAAC;IACrF,CAAC;IACD,OAAO,EAAE,QAAQ,EAAE,OAAO,EAAE,KAAK,CAAC,MAAM,EAAE,CAAC;AAC7C,CAAC;AAED,6BAA6B;AAC7B,MAAM,iBAAiB,GAAG,CAAC,IAAY,EAAU,EAAE,CAAC,IAAI,CAAC,OAAO,CAAC,wBAAwB,EAAE,EAAE,CAAC,CAAC;AAE/F,8DAA8D;AAC9D,SAAS,QAAQ,CAAC,IAAY;IAC5B,MAAM,MAAM,GAAmD,EAAE,CAAC;IAClE,MAAM,EAAE,GAAG,iDAAiD,CAAC;IAC7D,IAAI,CAAyB,CAAC;IAC9B,OAAO,CAAC,CAAC,GAAG,EAAE,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC,EAAE,CAAC;QAC3B,IAAI,KAAK,GAAG,CAAC,CAAC;QACd,IAAI,KAAK,GAAG,KAAK,CAAC;QAClB,IAAI,CAAC,GAAG,EAAE,CAAC,SAAS,CAAC;QACrB,OAAO,CAAC,GAAG,IAAI,CAAC,MAAM,IAAI,KAAK,GAAG,CAAC,EAAE,CAAC,EAAE,EAAE,CAAC;YACzC,MAAM,CAAC,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;YAClB,IAAI,KAAK,EAAE,CAAC;gBACV,IAAI,CAAC,KAAK,IAAI;oBAAE,CAAC,EAAE,CAAC;qBACf,IAAI,CAAC,KAAK,GAAG;oBAAE,KAAK,GAAG,KAAK,CAAC;YACpC,CAAC;iBAAM,IAAI,CAAC,KAAK,GAAG;gBAAE,KAAK,GAAG,IAAI,CAAC;iBAC9B,IAAI,CAAC,KAAK,GAAG;gBAAE,KAAK,EAAE,CAAC;iBACvB,IAAI,CAAC,KAAK,GAAG;gBAAE,KAAK,EAAE,CAAC;QAC9B,CAAC;QACD,MAAM,CAAC,IAAI,CAAC;YACV,IAAI,EAAE,GAAG,CAAC,CAAC,CAAC,CAAC,KAAK,MAAM,CAAC,CAAC,CAAC,OAAO,CAAC,CAAC,CAAC,EAAE,GAAG,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,EAAE;YACxD,KAAK,EAAE,CAAC,CAAC,KAAK;YACd,GAAG,EAAE,CAAC;SACP,CAAC,CAAC;QACH,EAAE,CAAC,SAAS,GAAG,CAAC,CAAC;IACnB,CAAC;IACD,OAAO,MAAM,CAAC;AAChB,CAAC;AAED,qDAAqD;AACrD,MAAM,YAAY,GAAG,mEAAmE,CAAC;AAEzF,0CAA0C;AAC1C,MAAM,CAAC,MAAM,YAAY,GAAG,aAAa,CAAC;AAE1C,qEAAqE;AACrE,MAAM,UAAU,aAAa,CAAC,IAAY,EAAE,IAAuB,EAAE,MAAyB;IAC5F,MAAM,QAAQ,GAAc,EAAE,CAAC;IAC/B,MAAM,KAAK,GAAG,SAAS,CAAC,IAAI,EAAE,IAAI,EAAE,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,QAAQ,CAAC,KAAK,CAAC,EAAE,MAAM,CAAC,CAAC;IACtE,KAAK,MAAM,IAAI,IAAI,KAAK,EAAE,CAAC;QACzB,MAAM,IAAI,GAAG,iBAAiB,CAAC,YAAY,CAAC,IAAI,CAAC,IAAI,EAAE,IAAI,CAAC,EAAE,MAAM,CAAC,CAAC,CAAC;QACvE,MAAM,MAAM,GAAG,QAAQ,CAAC,IAAI,CAAC,CAAC;QAC9B,KAAK,MAAM,CAAC,IAAI,MAAM,EAAE,CAAC;YACvB,MAAM,OAAO,GAAG,CAAC,GAAG,IAAI,GAAG,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,CAAC,KAAK,EAAE,CAAC,CAAC,GAAG,CAAC,CAAC,KAAK,CAAC,YAAY,CAAC,IAAI,EAAE,CAAC,CAAC,CAAC;YACnF,IAAI,OAAO,CAAC,MAAM,GAAG,CAAC,EAAE,CAAC;gBACvB,QAAQ,CAAC,IAAI,CAAC;oBACZ,IAAI;oBACJ,IAAI,EAAE,MAAM,CAAC,IAAI,EAAE,CAAC,CAAC,KAAK,CAAC;oBAC3B,MAAM,EAAE,OAAO,CAAC,IAAI,CAAC,IAAI,CAAC;oBAC1B,SAAS,EAAE,CAAC,CAAC,IAAI;iBAClB,CAAC,CAAC;YACL,CAAC;QACH,CAAC;QACD,8CAA8C;QAC9C,IAAI,IAAI,GAAG,IAAI,CAAC;QAChB,KAAK,MAAM,CAAC,IAAI,CAAC,GAAG,MAAM,CAAC,CAAC,OAAO,EAAE,EAAE,CAAC;YACtC,IAAI;gBACF,IAAI,CAAC,KAAK,CAAC,CAAC,EAAE,CAAC,CAAC,KAAK,CAAC;oBACtB,IAAI,CAAC,KAAK,CAAC,CAAC,CAAC,KAAK,EAAE,CAAC,CAAC,GAAG,CAAC,CAAC,OAAO,CAAC,QAAQ,EAAE,GAAG,CAAC;oBACjD,IAAI,CAAC,KAAK,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC;QACtB,CAAC;QACD,MAAM,KAAK,GAAG,YAAY,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC;QACtC,YAAY,CAAC,SAAS,GAAG,CAAC,CAAC;QAC3B,IAAI,KAAK,EAAE,CAAC;YACV,MAAM,OAAO,GAAG,CAAC,GAAG,IAAI,GAAG,CAAC,IAAI,CAAC,KAAK,CAAC,YAAY,CAAC,IAAI,EAAE,CAAC,CAAC,CAAC;YAC7D,QAAQ,CAAC,IAAI,CAAC;gBACZ,IAAI;gBACJ,IAAI,EAAE,MAAM,CAAC,IAAI,EAAE,KAAK,CAAC,KAAK,CAAC;gBAC/B,MAAM,EAAE,OAAO,CAAC,IAAI,CAAC,IAAI,CAAC;gBAC1B,SAAS,EAAE,YAAY;aACxB,CAAC,CAAC;QACL,CAAC;IACH,CAAC;IACD,OAAO,EAAE,QAAQ,EAAE,OAAO,EAAE,KAAK,CAAC,MAAM,EAAE,CAAC;AAC7C,CAAC"}

package/dist/tools/eslint/index.d.ts

@@ -0,0 +1,28 @@
+export interface DynamoDbGuardOptions {
+    /** 許可リストの JSON（CLI `dynamodb-access-check` と同じもの。相対パスはカレントディレクトリから） */
+    allowlistPath: string;
+    /** 禁止を適用するファイル（既定: すべての JS / TS） */
+    files?: string[];
+    /** エラーメッセージ（既定の文言を差し替える） */
+    message?: string;
+    /** 利用側固有の禁止パターン（`no-restricted-imports` の `patterns`。同じルールに合流させる） */
+    patterns?: {
+        group: string[];
+        message?: string;
+    }[];
+}
+/** ESLint の flat config のオブジェクト（ESLint の型に依存しないため、必要な形だけ） */
+export interface FlatConfigObject {
+    files?: string[];
+    ignores?: string[];
+    rules: Record<string, unknown>;
+}
+/**
+ * DynamoDB への直接アクセスを禁止する flat config を返す。
+ * 許可リストの JSON から、許可するファイルの overrides を生成する（二重管理にしない）。
+ * ESLint 自体は import しない（設定オブジェクトを返すだけ）。
+ *
+ * 許可リストの `file` は、ESLint を実行するディレクトリ（設定ファイルのあるディレクトリ）からの相対パス。
+ */
+export declare function createDynamoDbGuardConfig(options: DynamoDbGuardOptions): FlatConfigObject[];
+//# sourceMappingURL=index.d.ts.map

package/dist/tools/eslint/index.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"index.d.ts","sourceRoot":"","sources":["../../../src/tools/eslint/index.ts"],"names":[],"mappings":"AAMA,MAAM,WAAW,oBAAoB;IACnC,uEAAuE;IACvE,aAAa,EAAE,MAAM,CAAC;IACtB,oCAAoC;IACpC,KAAK,CAAC,EAAE,MAAM,EAAE,CAAC;IACjB,4BAA4B;IAC5B,OAAO,CAAC,EAAE,MAAM,CAAC;IACjB,qEAAqE;IACrE,QAAQ,CAAC,EAAE;QAAE,KAAK,EAAE,MAAM,EAAE,CAAC;QAAC,OAAO,CAAC,EAAE,MAAM,CAAA;KAAE,EAAE,CAAC;CACpD;AAED,6DAA6D;AAC7D,MAAM,WAAW,gBAAgB;IAC/B,KAAK,CAAC,EAAE,MAAM,EAAE,CAAC;IACjB,OAAO,CAAC,EAAE,MAAM,EAAE,CAAC;IACnB,KAAK,EAAE,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,CAAC;CAChC;AAMD;;;;;;GAMG;AACH,wBAAgB,yBAAyB,CAAC,OAAO,EAAE,oBAAoB,GAAG,gBAAgB,EAAE,CAuB3F"}

package/dist/tools/eslint/index.js

@@ -0,0 +1,34 @@
+import { readFileSync } from 'node:fs';
+import { resolve } from 'node:path';
+import { FORBIDDEN_IMPORT_NAMES } from '../dynamodb-access-check/forbidden.js';
+const DEFAULT_FILES = ['**/*.{ts,tsx,js,jsx,mjs,cjs}'];
+const DEFAULT_MESSAGE = 'DynamoDB への直接アクセスは禁止（Records 経由に限る）。DynamoClient を使う。例外は許可リストに理由つきで足す。';
+/**
+ * DynamoDB への直接アクセスを禁止する flat config を返す。
+ * 許可リストの JSON から、許可するファイルの overrides を生成する（二重管理にしない）。
+ * ESLint 自体は import しない（設定オブジェクトを返すだけ）。
+ *
+ * 許可リストの `file` は、ESLint を実行するディレクトリ（設定ファイルのあるディレクトリ）からの相対パス。
+ */
+export function createDynamoDbGuardConfig(options) {
+    const message = options.message ?? DEFAULT_MESSAGE;
+    const raw = JSON.parse(readFileSync(resolve(options.allowlistPath), 'utf8'));
+    const codeEntries = (raw.entries ?? []).filter((e) => e.terraform === undefined);
+    const restriction = {
+        paths: FORBIDDEN_IMPORT_NAMES.map((name) => ({ name, message })),
+    };
+    if (options.patterns && options.patterns.length > 0)
+        restriction.patterns = options.patterns;
+    const files = options.files ?? DEFAULT_FILES;
+    const off = { 'no-restricted-imports': 'off' };
+    // exclude のないエントリは 1 つにまとめ、あるものは個別に（ignores を付ける）
+    const plain = codeEntries.filter((e) => !e.exclude?.length).map((e) => e.file);
+    return [
+        { files, rules: { 'no-restricted-imports': ['error', restriction] } },
+        ...(plain.length > 0 ? [{ files: plain, rules: off }] : []),
+        ...codeEntries
+            .filter((e) => e.exclude?.length)
+            .map((e) => ({ files: [e.file], ignores: e.exclude, rules: off })),
+    ];
+}
+//# sourceMappingURL=index.js.map

package/dist/tools/eslint/index.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"index.js","sourceRoot":"","sources":["../../../src/tools/eslint/index.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,YAAY,EAAE,MAAM,SAAS,CAAC;AACvC,OAAO,EAAE,OAAO,EAAE,MAAM,WAAW,CAAC;AAGpC,OAAO,EAAE,sBAAsB,EAAE,MAAM,uCAAuC,CAAC;AAoB/E,MAAM,aAAa,GAAG,CAAC,8BAA8B,CAAC,CAAC;AACvD,MAAM,eAAe,GACnB,wEAAwE,CAAC;AAE3E;;;;;;GAMG;AACH,MAAM,UAAU,yBAAyB,CAAC,OAA6B;IACrE,MAAM,OAAO,GAAG,OAAO,CAAC,OAAO,IAAI,eAAe,CAAC;IACnD,MAAM,GAAG,GAAG,IAAI,CAAC,KAAK,CAAC,YAAY,CAAC,OAAO,CAAC,OAAO,CAAC,aAAa,CAAC,EAAE,MAAM,CAAC,CAE1E,CAAC;IACF,MAAM,WAAW,GAAG,CAAC,GAAG,CAAC,OAAO,IAAI,EAAE,CAAC,CAAC,MAAM,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,SAAS,KAAK,SAAS,CAAC,CAAC;IAEjF,MAAM,WAAW,GAA4B;QAC3C,KAAK,EAAE,sBAAsB,CAAC,GAAG,CAAC,CAAC,IAAI,EAAE,EAAE,CAAC,CAAC,EAAE,IAAI,EAAE,OAAO,EAAE,CAAC,CAAC;KACjE,CAAC;IACF,IAAI,OAAO,CAAC,QAAQ,IAAI,OAAO,CAAC,QAAQ,CAAC,MAAM,GAAG,CAAC;QAAE,WAAW,CAAC,QAAQ,GAAG,OAAO,CAAC,QAAQ,CAAC;IAE7F,MAAM,KAAK,GAAG,OAAO,CAAC,KAAK,IAAI,aAAa,CAAC;IAC7C,MAAM,GAAG,GAAG,EAAE,uBAAuB,EAAE,KAAK,EAAE,CAAC;IAC/C,kDAAkD;IAClD,MAAM,KAAK,GAAG,WAAW,CAAC,MAAM,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,CAAC,OAAO,EAAE,MAAM,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC;IAC/E,OAAO;QACL,EAAE,KAAK,EAAE,KAAK,EAAE,EAAE,uBAAuB,EAAE,CAAC,OAAO,EAAE,WAAW,CAAC,EAAE,EAAE;QACrE,GAAG,CAAC,KAAK,CAAC,MAAM,GAAG,CAAC,CAAC,CAAC,CAAC,CAAC,EAAE,KAAK,EAAE,KAAK,EAAE,KAAK,EAAE,GAAG,EAAE,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC;QAC3D,GAAG,WAAW;aACX,MAAM,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,OAAO,EAAE,MAAM,CAAC;aAChC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,EAAE,KAAK,EAAE,CAAC,CAAC,CAAC,IAAI,CAAC,EAAE,OAAO,EAAE,CAAC,CAAC,OAAO,EAAE,KAAK,EAAE,GAAG,EAAE,CAAC,CAAC;KACrE,CAAC;AACJ,CAAC"}

package/docs/DYNAMODB_ACCESS.md

@@ -0,0 +1,152 @@
+# DynamoDB へのアクセスのガードレール
+
+## 原則
+
+dynamodb-client を使った DynamoDB の操作は、**Records（サーバー）の 1 か所**で行う。クライアントは、通常の操作の API（`DynamoClient`）を呼ぶだけ。**例外を作らない。**
+例外（Lambda が本体テーブルを直接読み書きするなど）は、監査ログ（ADR 0004）のような横断機能の穴になる。
+
+## 検査
+
+1 つの許可リスト（JSON）を、2 つの仕組みが読む。**検査の実装はこのライブラリが提供する**。利用側（asanowa・astro など）は、スクリプトをコピーしない。
+
+| 対象                   | 仕組み                                                                         | 実行                     |
+| ---------------------- | ------------------------------------------------------------------------------ | ------------------------ |
+| コード・IAM            | CLI `dynamodb-access-check`（ソースの import と Terraform を走査）             | CI・`npm run` / `make`   |
+| コード（エディタ・CI） | ESLint の共有設定 `@exabugs/dynamodb-client/eslint`（`no-restricted-imports`） | `eslint`（CI・エディタ） |
+
+禁止するもの:
+
+- `@aws-sdk/client-dynamodb`、`@aws-sdk/lib-dynamodb`、`@aws-sdk/util-dynamodb` の import（サブパスも）
+- aws-sdk v2 の DynamoDB クライアント（`aws-sdk/clients/dynamodb` の import、`AWS` 名前空間の DynamoDB の利用）
+- このライブラリの内部のうち DynamoDB に触れるもの: `@exabugs/dynamodb-client/server`、`/server/handler`、`/server/media-handler`、`/server/media-process-handler`、`/server/media-process-handler-dlq`（`server/media/*`、`server/media-sign` は DynamoDB に触れないので許可）
+- Terraform の `dynamodb:*` の権限（`resource` / `data` ブロック、`locals` など。AWS 管理ポリシー `AmazonDynamoDB*` も）
+
+このライブラリ自身は、Records の中身（`src/server/operations/**`）を `src/server/**` の外から import することも、ESLint の `patterns` で禁止している（利用側は不要）。
+
+## 利用側の手順
+
+### 1. インストール
+
+```bash
+npm install --save-dev @exabugs/dynamodb-client   # 既に依存していれば、版を上げるだけ
+```
+
+`bin` に `dynamodb-access-check` が入る（`npx dynamodb-access-check`）。
+
+### 2. 許可リストを書く
+
+任意の場所に JSON を置く（例: `dynamodb-access-allowlist.json`）。**3 リポジトリ共通の形式**:
+
+```json
+{
+  "entries": [
+    {
+      "file": "functions/pre-token-gen/src/index.ts",
+      "kind": "permanent",
+      "reason": "Cognito のトリガー。admins レコードの GetItem だけ"
+    },
+    {
+      "file": "infra/modules/device-cleanup/main.tf",
+      "terraform": "aws_iam_role_policy.device_cleanup_dynamodb",
+      "kind": "debt",
+      "reason": "本体テーブルへの Query / Update",
+      "todo": "DynamoClient 経由にして、この権限を削除する"
+    }
+  ],
+  "notes": ["任意のメモ"]
+}
+```
+
+| フィールド   | 必須           | 内容                                                                                                                                                           |
+| ------------ | -------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------- |
+| `file`       | 必須           | `--root` からの相対パス。コードは glob 可（`**`・`*`・`?`）。Terraform は `.tf` のパス                                                                         |
+| `terraform`  | Terraform のみ | resource / data の名前。`aws_iam_role_policy.x`、data は `data.aws_iam_policy_document.y`、`resource` / `data` 以外のブロック（`locals` など）は `(top-level)` |
+| `kind`       | 必須           | `permanent`（構造上必要な恒久の例外）または `debt`（期限つきの負債）                                                                                           |
+| `reason`     | 必須           | 理由                                                                                                                                                           |
+| `todo`       | debt で必須    | 解消の道筋                                                                                                                                                     |
+| `exclude`    | 任意           | `file` の glob から除くもの（ESLint でも同じ除外になる）                                                                                                       |
+| `line`       | 任意           | 検出した行。ずれていても警告だけ                                                                                                                               |
+| `eslintOnly` | 任意           | ESLint の独自の `patterns` だけが検出する例外。CLI の「検出されない」警告を出さない                                                                            |
+| `notes`      | 任意           | メモ（検査には使わない）                                                                                                                                       |
+
+粒度は**ファイル単位**（import の指定子や IAM のアクション単位の許可はない）。
+
+### 3. CLI
+
+```bash
+npx dynamodb-access-check --allowlist dynamodb-access-allowlist.json \
+  --src apps functions packages scripts --tf infra \
+  --ignore '**/__tests__/**' '**/*.test.*'
+```
+
+| 引数                 | 内容                                                                                                                                                    |
+| -------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------- |
+| `--allowlist <path>` | 許可リストの JSON（必須）                                                                                                                               |
+| `--root <dir>`       | 許可リストの `file`・`--src`・`--tf`・`--ignore` の基準（既定: カレントディレクトリ）                                                                   |
+| `--src <dir>...`     | 走査するソース（`.ts` `.tsx` `.js` `.jsx` `.mjs` `.cjs`。`.d.ts` は除く）。既定: `.`                                                                    |
+| `--tf <dir>...`      | 走査する Terraform（`.tf`）。既定: `.`                                                                                                                  |
+| `--ignore <glob>...` | 走査から除く glob（`--root` からの相対パス）。`node_modules`・`dist`・`build`・`coverage`・`.git`・`.terraform`・`.expo`・`.next`・`cdk.out` は常に除く |
+
+設定ファイルはない（引数だけ）。値は複数並べられる（次の `--` まで）。
+
+動作と終了コード:
+
+- 許可リストに無い違反 → 失敗（終了コード 1。`NG:` にファイル・行・リソースを表示）。許可リストの書式の不正（`reason` なし、debt に `todo` なし）も失敗
+- 許可リストにあるのに検出されない → 警告（`WARN:`。負債が消えたら、リストからも消す）。行番号のずれも警告だけ
+- 引数・読み込みの誤り → 終了コード 2
+- 負債は、毎回一覧に表示する
+
+### 4. ESLint の設定に組み込む
+
+`eslint.config.js`（flat config）で、同じ許可リストから設定を作る。ESLint 自体は import されない（設定オブジェクトを返すだけ）。
+
+```js
+import { createDynamoDbGuardConfig } from '@exabugs/dynamodb-client/eslint';
+
+export default [
+  // ...
+  ...createDynamoDbGuardConfig({
+    allowlistPath: 'dynamodb-access-allowlist.json', // ESLint を実行するディレクトリからの相対パス
+    // files: ['src/**/*.ts'],        // 禁止を適用するファイル（既定: すべての JS / TS）
+    // message: '...',                // エラーメッセージ
+    // patterns: [{ group: ['../ops/**'], message: '...' }], // 固有の禁止（同じルールに合流する）
+  }),
+];
+```
+
+返る設定: ① `no-restricted-imports: error`（禁止の import）、② 許可リストのコードのエントリ（`file`）で、ルールを `off` にする overrides（`exclude` は `ignores`）。Terraform のエントリは使わない。`file` は ESLint を実行するディレクトリからの相対パス。このライブラリ自身の `eslint.config.js` が使用例（`patterns` で固有の禁止を足している）。
+
+### 5. CI に組み込む
+
+```yaml
+- run: npx eslint . --max-warnings 0
+- name: Check DynamoDB access guardrail
+  run: npx dynamodb-access-check --allowlist dynamodb-access-allowlist.json --src apps functions --tf infra
+```
+
+ESLint は、エディタでも違反をその場で示す。CLI は ESLint の対象外のファイル（運用スクリプトなど）と Terraform まで見る。
+
+## 許可リストの種別と約束
+
+- **恒久（permanent）**: 構造上必要な例外。このライブラリでは、Records の本体、Records が使う共有部品、別テーブル `notices`（`src/notify/store.ts`。内部用で、本体テーブルではない。理由は ADR 0005〔提案中〕）
+- **負債（debt）**: 期限つき。消す作業が決まっている
+
+運用の約束:
+
+- **許可リストは減る一方。増やすには理由が要る。**
+- 負債が消えたら、許可リストのエントリも消す。CLI は、リストにあるのに存在しないエントリを警告する
+- 違反を直さずにこのガードレールを外さない
+
+## このライブラリ自身
+
+- 許可リスト: `scripts/dynamodb-access-allowlist.json`
+- CLI: `npm run check:dynamodb-access`（CI のステップ）
+- ESLint: `eslint.config.js` が `createDynamoDbGuardConfig` を使う（ビルド済みの `dist/` を読むため、`npm run lint` は先に `tsc` を実行する）
+
+## 現状の負債
+
+| 場所                                                                                    | 内容                                                         | 消す作業                                                              |
+| --------------------------------------------------------------------------------------- | ------------------------------------------------------------ | --------------------------------------------------------------------- |
+| `src/server/media/process-handler.ts`、`process-handler-dlq.ts`                         | Records の `handle*` を直接呼ぶ                              | media の Lambda を Records のクライアントにする（ADR 0005〔提案中〕） |
+| `terraform/media/main.tf` の `process_handler_dynamodb`、`process_handler_dlq_dynamodb` | media の Lambda に本体テーブルの権限                         | 同上                                                                  |
+| `src/dynamodb.ts`                                                                       | 本体と重複した未使用のクライアント生成（テストからのみ参照） | `src/dynamodb.ts` と `__tests__/dynamodb.test.ts` の削除              |

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@exabugs/dynamodb-client",
-  "version": "1.13.1",
+  "version": "1.14.0",
   "description": "DynamoDB Single-Table Client SDK with MongoDB-like API, Shadow Records, and Lambda implementation for serverless applications",
   "author": "exabugs",
   "license": "MIT",
@@ -8,7 +8,7 @@
   "main": "./dist/index.js",
   "types": "./dist/index.d.ts",
   "bin": {
-    "dynamodb-mcp": "./bin/dynamodb-mcp.js"
+    "dynamodb-access-check": "./bin/dynamodb-access-check.js"
   },
   "keywords": [
     "dynamodb",
@@ -42,7 +42,8 @@
     "README.md",
     "LICENSE",
     "CHANGELOG.md",
-    "docs/NOTIFY.md"
+    "docs/NOTIFY.md",
+    "docs/DYNAMODB_ACCESS.md"
   ],
   "exports": {
     ".": {
@@ -85,10 +86,6 @@
       "import": "./dist/integrations/react-admin/index.js",
       "types": "./dist/integrations/react-admin/index.d.ts"
     },
-    "./mcp": {
-      "import": "./dist/mcp/index.js",
-      "types": "./dist/mcp/index.d.ts"
-    },
     "./server/media/presign": {
       "import": "./dist/server/media/presign.js",
       "types": "./dist/server/media/presign.d.ts"
@@ -119,6 +116,10 @@
     },
     "./terraform": "./terraform/main.tf",
     "./terraform/media": "./terraform/media/main.tf",
+    "./eslint": {
+      "import": "./dist/tools/eslint/index.js",
+      "types": "./dist/tools/eslint/index.d.ts"
+    },
     "./notify": {
       "import": "./dist/notify/index.js",
       "types": "./dist/notify/index.d.ts"
@@ -139,7 +140,9 @@
     "build:lambda": "node esbuild.config.js",
     "build:sharp-layer": "bash scripts/build-sharp-layer.sh",
     "clean": "rm -rf dist",
+    "prelint": "npm run build:client",
     "lint": "eslint src --ext ts --max-warnings 0",
+    "check:dynamodb-access": "npm run build:client && node bin/dynamodb-access-check.js --allowlist scripts/dynamodb-access-allowlist.json --src src --tf terraform",
     "format": "prettier --write .",
     "format:check": "prettier --check .",
     "test": "vitest run",
@@ -148,7 +151,6 @@
     "test:watch": "vitest",
     "test:unit": "vitest run --exclude='**/*integration*.test.ts'",
     "analyze-functions": "node scripts/find-large-functions.js",
-    "generate-mcp-tools": "tsx scripts/generate-mcp-tools.ts",
     "generate-types": "orval",
     "prepublishOnly": "npm run build && npm run test:unit"
   },
@@ -161,7 +163,6 @@
     "@aws-sdk/credential-provider-node": "3.946.0",
     "@aws-sdk/lib-dynamodb": "3.946.0",
     "@aws-sdk/s3-presigned-post": "3.946.0",
-    "@modelcontextprotocol/sdk": "^1.26.0",
     "@smithy/protocol-http": "5.3.5",
     "@smithy/signature-v4": "5.3.5",
     "@smithy/util-utf8": "4.2.0",
@@ -189,8 +190,7 @@
     "sharp": "^0.35.5",
     "tsx": "^4.21.0",
     "typescript": "^5.3.0",
-    "vitest": "^2.0.0",
-    "yaml": "^2.8.2"
+    "vitest": "^2.0.0"
   },
   "engines": {
     "node": ">=18.0.0"

package/bin/dynamodb-mcp.js

@@ -1,12 +0,0 @@
-#!/usr/bin/env node
-
-/**
- * DynamoDB Client MCP Server
- * 実行可能スクリプト
- */
-
-// ES Modulesのインポート
-import('../dist/mcp/cli.js').catch((error) => {
-  console.error('Failed to start MCP server:', error);
-  process.exit(1);
-});

package/dist/mcp/adapter.d.ts

@@ -1,36 +0,0 @@
-import { type MCPServerConfig } from './types.js';
-/**
- * MCPアダプター
- * MCPツール呼び出しをLambda操作に変換する
- */
-export declare class MCPAdapter {
-    constructor(config: MCPServerConfig);
-    /**
-     * MCPツールを実行
-     * @param toolName ツール名
-     * @param args ツール引数
-     * @returns 実行結果
-     */
-    executeTool(toolName: string, args: Record<string, unknown>): Promise<unknown>;
-    /**
-     * エラーを処理してMCPErrorに変換
-     * @param error 元のエラー
-     * @param toolName ツール名
-     * @param requestId リクエストID
-     * @returns MCPError
-     */
-    private handleError;
-    /**
-     * MCPツール名をAPIリクエストに変換
-     * @param toolName ツール名
-     * @param args ツール引数
-     * @returns APIリクエスト
-     */
-    private convertToolToApiRequest;
-    /**
-     * リクエストIDを生成
-     * @returns リクエストID
-     */
-    private generateRequestId;
-}
-//# sourceMappingURL=adapter.d.ts.map

package/dist/mcp/adapter.d.ts.map

@@ -1 +0,0 @@
-{"version":3,"file":"adapter.d.ts","sourceRoot":"","sources":["../../src/mcp/adapter.ts"],"names":[],"mappings":"AASA,OAAO,EAA0B,KAAK,eAAe,EAAE,MAAM,YAAY,CAAC;AAU1E;;;GAGG;AACH,qBAAa,UAAU;gBACT,MAAM,EAAE,eAAe;IAyBnC;;;;;OAKG;IACG,WAAW,CAAC,QAAQ,EAAE,MAAM,EAAE,IAAI,EAAE,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,GAAG,OAAO,CAAC,OAAO,CAAC;IAsCpF;;;;;;OAMG;IACH,OAAO,CAAC,WAAW;IAgFnB;;;;;OAKG;IACH,OAAO,CAAC,uBAAuB;IAsE/B;;;OAGG;IACH,OAAO,CAAC,iBAAiB;CAG1B"}