@exabugs/dynamodb-client 1.3.36 → 1.3.37

package/CHANGELOG.md

@@ -7,6 +7,29 @@ and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0
 
 ## [Unreleased]
 
+## [1.3.37] - 2026-01-09
+
+### Security
+
+- **updateOne情報漏洩の修正**: ADR 001に基づきセキュリティ脆弱性を修正
+  - update権限のみでread権限がない場合の情報漏洩を防止
+  - `findOne`呼び出しを削除し、`{ id, ...更新したフィールドのみ }` を返却
+  - UpdateOperators形式（`$set`）にも対応
+  - パフォーマンス向上: 不要な`findOne`クエリを削減
+
+### Added
+
+- **ADR 001**: 最小限のレスポンスデータ（セキュリティ重視）を文書化
+  - セキュリティ最優先の設計決定
+  - 全操作で最小限の情報のみ返す統一ポリシー
+
+### Changed
+
+- **破壊的変更**: `updateOne`のレスポンス形式が変更
+  - 従来: 完全なレコードを返却
+  - 新仕様: `{ id, ...更新したフィールドのみ }` を返却
+  - 完全なデータが必要な場合は追加の`findOne`呼び出しが必要
+
 ## [1.3.36] - 2026-01-09
 
 ### Refactored

package/dist/server/handler.cjs

@@ -1,5 +1,5 @@
-// @exabugs/dynamodb-client v1.3.36
-// Built: 2026-01-09T00:36:32.014Z
+// @exabugs/dynamodb-client v1.3.37
+// Built: 2026-01-09T01:52:07.662Z
 "use strict";
 var __create = Object.create;
 var __defProp = Object.defineProperty;
@@ -32248,9 +32248,11 @@ async function handleUpdateOne(resource, params, requestId) {
         throw new Error(`Failed to update record: ${targetId}`);
       }
     }
-    const { handleFindOne: handleFindOne2 } = await Promise.resolve().then(() => (init_findOne(), findOne_exports));
-    const updatedRecord = await handleFindOne2(resource, { id: targetId }, requestId);
-    return updatedRecord;
+    const actualPatchData = patchData.$set ? patchData.$set : patchData;
+    return {
+      id: targetId,
+      ...actualPatchData
+    };
   } else {
     logger19.debug("Executing updateOne with filter", {
       requestId,
@@ -32278,9 +32280,11 @@ async function handleUpdateOne(resource, params, requestId) {
     if (!updatedId) {
       throw new Error("Failed to get updated record ID");
     }
-    const { handleFindOne: handleFindOne2 } = await Promise.resolve().then(() => (init_findOne(), findOne_exports));
-    const updatedRecord = await handleFindOne2(resource, { id: updatedId }, requestId);
-    return updatedRecord;
+    const actualPatchData = patchData.$set ? patchData.$set : patchData;
+    return {
+      id: updatedId,
+      ...actualPatchData
+    };
   }
 }
 __name(handleUpdateOne, "handleUpdateOne");
@@ -33905,7 +33909,7 @@ async function handler(event) {
       return createCorsResponse(HTTP_STATUS.OK);
     }
     if (event.requestContext.http.method === "GET" && event.requestContext.http.path === "/version") {
-      const version = "1.3.36";
+      const version = "1.3.37";
       return createSuccessResponse({ version, timestamp: (/* @__PURE__ */ new Date()).toISOString() }, requestId);
     }
     if (event.requestContext.http.method !== "POST") {