@exabugs/dynamodb-client 1.13.1 → 1.14.1

package/CHANGELOG.md

@@ -7,6 +7,33 @@ and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0
 
 ## [Unreleased]
 
+## [1.14.1] - 2026-10-18
+
+### Fixed
+
+- **terraform/media**: media の sharp レイヤー（`aws_lambda_layer_version.sharp`）が、ライブラリの版を上げるたびに置き換わる問題を直した。pnpm では `filename` のパスにライブラリの版が入る（`node_modules/.pnpm/@exabugs+dynamodb-client@<版>_…`）ため、版を上げるだけで `filename`（ForceNew）が変わり、zip の中身が同じでもレイヤーが置き換わっていた。`lifecycle.ignore_changes = [filename]` を足した。中身（`source_code_hash`）が変わったときだけ置き換わる
+
+## [1.14.0] - 2026-10-18
+
+### Added
+
+- **`dynamodb-access-check` CLI**: DynamoDB への直接アクセスの検査。ソースの import（`@aws-sdk/client-dynamodb` / `lib-dynamodb` / `util-dynamodb`、aws-sdk v2 の DynamoDB クライアント、このライブラリの内部で DynamoDB に触れる `server` / `server/handler` / `server/media-handler` / `server/media-process-handler` / `server/media-process-handler-dlq`）と、Terraform の `dynamodb:*` の権限（`resource` / `data` ブロック、AWS 管理ポリシー `AmazonDynamoDB*`）を走査し、許可リスト（JSON）と照合する。許可リストに無い違反は終了コード 1、許可リストにあるのに検出されないエントリと行番号のずれは警告。引数: `--allowlist <path>`（必須）、`--root <dir>`、`--src <dir>...`、`--tf <dir>...`、`--ignore <glob>...`。許可リストの形式（`file` / `terraform` / `kind` / `reason` / `todo` / `exclude` / `line` / `eslintOnly` / `notes`）と使い方は [docs/DYNAMODB_ACCESS.md](docs/DYNAMODB_ACCESS.md)
+- **`@exabugs/dynamodb-client/eslint`**: `createDynamoDbGuardConfig({ allowlistPath, files?, message?, patterns? })`。同じ許可リストから、ESLint の flat config（`no-restricted-imports` と、許可するファイルの overrides）を返す。ESLint 自体は import しない
+
+### Removed
+
+- **MCP を削除した**: `dynamodb-mcp`（`bin`）、`@exabugs/dynamodb-client/mcp`（`exports`）、`generate-mcp-tools`、`@modelcontextprotocol/sdk`（依存）。利用者はいないと確認済み。破壊的変更だが、利用者がいないため minor とする
+
+### 利用側（asanowa・astro・asaichi）の移行手順
+
+3 リポジトリでコピーしていた検査スクリプト（`check-dynamodb-access.mjs`）と ESLint の生成（`eslint.dynamodb-guard.cjs`）を、このライブラリのものに置き換える。
+
+1. `@exabugs/dynamodb-client` を 1.14.0 に上げる
+2. 許可リストの JSON を、共通の形式にする: コードのエントリは `{ "file": "<パス>", "kind", "reason", "todo" }`（asanowa の `type: "code"` の `path` は `file` に）。Terraform のエントリは `{ "file": "<.tf のパス>", "terraform": "<resource 名>", ... }`（asanowa の `type: "iam"` の `path` / `resource`）。astro の `source` / `terraform`（ファイルごと・`imports` / `actions` の配列）は、ファイルごとに 1 エントリにする（import・アクション単位の許可はなくなる）
+3. スクリプトの呼び出しを CLI にする。例（asanowa）: `npx dynamodb-access-check --allowlist infra/scripts/dynamodb-access-allowlist.json --src . --tf . --ignore <旧スクリプトがあれば、そのパス>`。例（astro）: `--src apps functions packages scripts --tf infra --ignore '**/__tests__/**' '**/generated/**' '**/*.test.*' '**/*.spec.*'`（テストを検査から外していた場合）
+4. ESLint は `eslint.dynamodb-guard.cjs` を、`createDynamoDbGuardConfig({ allowlistPath })` に置き換える
+5. 旧スクリプトと `eslint.dynamodb-guard.cjs` を削除する。旧スクリプトの結果と同じ（違反ゼロ、同じ警告）になることを確かめる
+
 ## [1.13.1] - 2026-10-16
 
 ### Fixed

package/README.md

@@ -570,7 +570,7 @@ We welcome contributions!
 
 ### OpenAPI-Driven Development
 
-This project uses OpenAPI specification as the Single Source of Truth (SSOT) for MCP tool definitions.
+This project uses OpenAPI specification as the Single Source of Truth (SSOT) for TypeScript type definitions.
 
 #### Workflow
 
@@ -581,11 +581,11 @@ This project uses OpenAPI specification as the Single Source of Truth (SSOT) for
    vim docs/specs/openapi.yaml
    ```
 
-2. **Generate MCP Tools**
+2. **Generate Types**
 
    ```bash
-   # Regenerate MCP tool definitions from OpenAPI spec
-   npm run generate-mcp-tools
+   # Regenerate TypeScript types from OpenAPI spec
+   npm run generate-types
    ```
 
 3. **Verify Changes**
@@ -599,17 +599,7 @@ This project uses OpenAPI specification as the Single Source of Truth (SSOT) for
 
 - **Location**: `docs/specs/openapi.yaml`
 - **Components**: `docs/specs/components/schemas/`
-- **Generator**: `scripts/generate-mcp-tools-v2.ts`
-- **Output**: `src/mcp/tools/generated.ts` (auto-generated, do not edit manually)
-
-#### Key Design Principles
-
-- **OpenAPI as SSOT**: All MCP tool definitions are derived from OpenAPI spec
-- **Minimal Inference**: Generator extracts information directly from OpenAPI, avoiding complex inference logic
-- **Type Safety**: Generated TypeScript code maintains full type safety
-- **Consistency**: All tools follow the same structure and naming conventions
-
-For more details, see the [OpenAPI to MCP Generator Spec](.kiro/specs/openapi-to-mcp-generator/design.md).
+- **Output**: `src/__generated__/` (auto-generated, do not edit manually)
 
 ---
 

package/bin/dynamodb-access-check.js

@@ -0,0 +1,6 @@
+#!/usr/bin/env node
+
+/**
+ * DynamoDB への直接アクセスの検査（docs/DYNAMODB_ACCESS.md）
+ */
+import '../dist/tools/dynamodb-access-check/run.js';

package/dist/server/handler.cjs

@@ -1,5 +1,5 @@
-// @exabugs/dynamodb-client v1.13.1
-// Built: 2026-10-16T12:17:45.971Z
+// @exabugs/dynamodb-client v1.14.1
+// Built: 2026-10-18T06:44:22.491Z
 "use strict";
 var __create = Object.create;
 var __defProp = Object.defineProperty;
@@ -38980,7 +38980,7 @@ async function handler(event) {
       return createCorsResponse(HTTP_STATUS.OK);
     }
     if (event.requestContext.http.method === "GET" && event.requestContext.http.path === "/version") {
-      const version = "1.13.1";
+      const version = "1.14.1";
       return createSuccessResponse({ version, timestamp: (/* @__PURE__ */ new Date()).toISOString() }, requestId);
     }
     if (event.requestContext.http.method !== "POST") {