@exabugs/dynamodb-client 1.5.1 → 1.5.2

package/dist/server/utils/authHandler.d.ts

@@ -2,8 +2,46 @@
  * 認証ハンドラー
  *
  * IAM認証とCognito JWT認証を処理する
+ *
+ * このLambdaは2本のFunction URLから呼ばれる:
+ * - NONE認証のURL（ブラウザ・Admin UI向け）: Cognito JWTのみを受け付ける
+ * - AWS_IAM認証のURL（サーバー間呼び出し向け）: AWSが署名検証済みのリクエストのみ到達する
+ *
+ * 旧実装はAuthorization/x-amz-date等のヘッダーの「見た目」でIAM認証とみなしていたが、
+ * これらはクライアントが自由に送れる値であり、NONE認証のURL上では一切検証されない
+ * （署名検証はAWS_IAM認証のURL上でAWS自身が行うものであり、NONEのURLには存在しない）。
+ * そのため誰でも `x-amz-date` 等のヘッダーを送るだけでIAM認証を騙り、全リソースへの
+ * 認証なしアクセスが可能になっていた。
+ *
+ * 修正後は `event.requestContext.authorizer.iam` の有無で判定する。この値はAWS_IAM認証の
+ * Function URLが実際に署名検証に成功した場合にのみAWS側が付与するものであり、
+ * クライアントが送るヘッダーからは偽装できない。
  */
 import type { APIGatewayProxyEventV2 } from 'aws-lambda';
+/**
+ * AWS_IAM認証のFunction URLがリクエストに付与するコンテキスト
+ * （AWS Lambda公式の型定義 APIGatewayEventRequestContextIAMAuthorizer と同じ形）
+ */
+interface IAMAuthorizerContext {
+    accessKey: string;
+    accountId: string;
+    callerId: string;
+    cognitoIdentity: null;
+    principalOrgId: string;
+    userArn: string;
+    userId: string;
+}
+/**
+ * NONE/AWS_IAM両方のFunction URLから届き得るイベント
+ * （同一のLambdaコードが両方のURLから呼ばれるため、authorizerはオプショナル）
+ */
+type RecordsEvent = APIGatewayProxyEventV2 & {
+    requestContext: {
+        authorizer?: {
+            iam?: IAMAuthorizerContext;
+        };
+    };
+};
 /**
  * 認証を処理する
  *
@@ -12,5 +50,6 @@ import type { APIGatewayProxyEventV2 } from 'aws-lambda';
  * @returns 認証が成功した場合はvoid、失敗した場合は例外をスロー
  * @throws {Error} 認証に失敗した場合
  */
-export declare function handleAuthentication(event: APIGatewayProxyEventV2, requestId: string): Promise<void>;
+export declare function handleAuthentication(event: RecordsEvent, requestId: string): Promise<void>;
+export {};
 //# sourceMappingURL=authHandler.d.ts.map

package/dist/server/utils/authHandler.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"authHandler.d.ts","sourceRoot":"","sources":["../../../src/server/utils/authHandler.ts"],"names":[],"mappings":"AAAA;;;;GAIG;AACH,OAAO,KAAK,EAAE,sBAAsB,EAAE,MAAM,YAAY,CAAC;AAazD;;;;;;;GAOG;AACH,wBAAsB,oBAAoB,CACxC,KAAK,EAAE,sBAAsB,EAC7B,SAAS,EAAE,MAAM,GAChB,OAAO,CAAC,IAAI,CAAC,CAgCf"}
+{"version":3,"file":"authHandler.d.ts","sourceRoot":"","sources":["../../../src/server/utils/authHandler.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;GAkBG;AACH,OAAO,KAAK,EAAE,sBAAsB,EAAE,MAAM,YAAY,CAAC;AAazD;;;GAGG;AACH,UAAU,oBAAoB;IAC5B,SAAS,EAAE,MAAM,CAAC;IAClB,SAAS,EAAE,MAAM,CAAC;IAClB,QAAQ,EAAE,MAAM,CAAC;IACjB,eAAe,EAAE,IAAI,CAAC;IACtB,cAAc,EAAE,MAAM,CAAC;IACvB,OAAO,EAAE,MAAM,CAAC;IAChB,MAAM,EAAE,MAAM,CAAC;CAChB;AAED;;;GAGG;AACH,KAAK,YAAY,GAAG,sBAAsB,GAAG;IAC3C,cAAc,EAAE;QACd,UAAU,CAAC,EAAE;YACX,GAAG,CAAC,EAAE,oBAAoB,CAAC;SAC5B,CAAC;KACH,CAAC;CACH,CAAC;AAEF;;;;;;;GAOG;AACH,wBAAsB,oBAAoB,CACxC,KAAK,EAAE,YAAY,EACnB,SAAS,EAAE,MAAM,GAChB,OAAO,CAAC,IAAI,CAAC,CAYf"}

package/dist/server/utils/authHandler.js

@@ -16,47 +16,28 @@ const logger = createLogger({
  * @throws {Error} 認証に失敗した場合
  */
 export async function handleAuthentication(event, requestId) {
-    // 認証チェック: IAMまたはCognito JWT
-    // Lambda Function URLがNONEの場合、両方の認証方式をサポート
-    const authHeader = event.headers.authorization || event.headers.Authorization;
-    // AWS SigV4署名の検出（複数のヘッダーで判定）
-    const hasAmzDate = event.headers['x-amz-date'] || event.headers['X-Amz-Date'];
-    const hasAmzContentSha = event.headers['x-amz-content-sha256'] || event.headers['X-Amz-Content-Sha256'];
-    const hasAwsSigV4Auth = authHeader?.startsWith('AWS4-HMAC-SHA256');
-    // デバッグ: ヘッダーをログ出力
-    logger.debug('Authentication check', {
-        requestId,
-        hasAuthHeader: !!authHeader,
-        hasAmzDate: !!hasAmzDate,
-        hasAmzContentSha: !!hasAmzContentSha,
-        hasAwsSigV4Auth: !!hasAwsSigV4Auth,
-        authHeaderPrefix: authHeader?.substring(0, 20),
-    });
-    // IAM認証チェック（AWS SigV4署名の特徴的なヘッダーで判定）
-    // 以下のいずれかの条件を満たす場合、IAM認証とみなす:
-    // 1. AuthorizationヘッダーがAWS4-HMAC-SHA256で始まる
-    // 2. x-amz-dateとx-amz-content-sha256の両方が存在する
-    const isIAMAuth = hasAwsSigV4Auth || !!(hasAmzDate && hasAmzContentSha);
-    if (isIAMAuth) {
-        await handleIAMAuthentication(event, requestId);
-    }
-    else {
-        await handleCognitoAuthentication(authHeader, requestId);
+    const iam = event.requestContext.authorizer?.iam;
+    if (iam) {
+        // AWS_IAM認証のFunction URL経由。AWSが署名検証済みであり、この値はクライアントから偽装できない
+        handleIAMAuthentication(iam, requestId);
+        return;
     }
+    // NONE認証のFunction URL経由。Cognito JWTのみを受け付ける
+    const authHeader = event.headers.authorization || event.headers.Authorization;
+    await handleCognitoAuthentication(authHeader, requestId);
 }
 /**
- * IAM認証を処理する
+ * IAM認証済みリクエストを処理する
  *
- * @param event - Lambda Function URLイベント
+ * @param iam - AWSが検証済みのIAM認証コンテキスト（偽装不可）
  * @param requestId - リクエストID
  */
-async function handleIAMAuthentication(event, requestId) {
-    // IAM認証（スクリプトからのアクセス）
-    // Lambda Function URLがNONEの場合、署名検証は行われないため、
-    // ここではIAM認証として扱うが、実際の検証はAWS側で行われる
+function handleIAMAuthentication(iam, requestId) {
     logger.info('IAM authenticated request', {
         requestId,
-        sourceIp: event.requestContext.http.sourceIp,
+        userArn: iam.userArn,
+        accountId: iam.accountId,
+        callerId: iam.callerId,
     });
 }
 /**

package/dist/server/utils/authHandler.js.map

@@ -1 +1 @@
-{"version":3,"file":"authHandler.js","sourceRoot":"","sources":["../../../src/server/utils/authHandler.ts"],"names":[],"mappings":"AAOA,OAAO,EAAE,YAAY,EAAE,MAAM,uBAAuB,CAAC;AACrD,OAAO,EAAE,gBAAgB,EAAE,MAAM,WAAW,CAAC;AAE7C;;GAEG;AACH,MAAM,MAAM,GAAG,YAAY,CAAC;IAC1B,OAAO,EAAE,cAAc;IACvB,KAAK,EAAG,OAAO,CAAC,GAAG,CAAC,SAAiD,IAAI,MAAM;CAChF,CAAC,CAAC;AAEH;;;;;;;GAOG;AACH,MAAM,CAAC,KAAK,UAAU,oBAAoB,CACxC,KAA6B,EAC7B,SAAiB;IAEjB,4BAA4B;IAC5B,2CAA2C;IAC3C,MAAM,UAAU,GAAG,KAAK,CAAC,OAAO,CAAC,aAAa,IAAI,KAAK,CAAC,OAAO,CAAC,aAAa,CAAC;IAE9E,6BAA6B;IAC7B,MAAM,UAAU,GAAG,KAAK,CAAC,OAAO,CAAC,YAAY,CAAC,IAAI,KAAK,CAAC,OAAO,CAAC,YAAY,CAAC,CAAC;IAC9E,MAAM,gBAAgB,GACpB,KAAK,CAAC,OAAO,CAAC,sBAAsB,CAAC,IAAI,KAAK,CAAC,OAAO,CAAC,sBAAsB,CAAC,CAAC;IACjF,MAAM,eAAe,GAAG,UAAU,EAAE,UAAU,CAAC,kBAAkB,CAAC,CAAC;IAEnE,kBAAkB;IAClB,MAAM,CAAC,KAAK,CAAC,sBAAsB,EAAE;QACnC,SAAS;QACT,aAAa,EAAE,CAAC,CAAC,UAAU;QAC3B,UAAU,EAAE,CAAC,CAAC,UAAU;QACxB,gBAAgB,EAAE,CAAC,CAAC,gBAAgB;QACpC,eAAe,EAAE,CAAC,CAAC,eAAe;QAClC,gBAAgB,EAAE,UAAU,EAAE,SAAS,CAAC,CAAC,EAAE,EAAE,CAAC;KAC/C,CAAC,CAAC;IAEH,qCAAqC;IACrC,8BAA8B;IAC9B,4CAA4C;IAC5C,6CAA6C;IAC7C,MAAM,SAAS,GAAG,eAAe,IAAI,CAAC,CAAC,CAAC,UAAU,IAAI,gBAAgB,CAAC,CAAC;IAExE,IAAI,SAAS,EAAE,CAAC;QACd,MAAM,uBAAuB,CAAC,KAAK,EAAE,SAAS,CAAC,CAAC;IAClD,CAAC;SAAM,CAAC;QACN,MAAM,2BAA2B,CAAC,UAAU,EAAE,SAAS,CAAC,CAAC;IAC3D,CAAC;AACH,CAAC;AAED;;;;;GAKG;AACH,KAAK,UAAU,uBAAuB,CACpC,KAA6B,EAC7B,SAAiB;IAEjB,sBAAsB;IACtB,4CAA4C;IAC5C,kCAAkC;IAClC,MAAM,CAAC,IAAI,CAAC,2BAA2B,EAAE;QACvC,SAAS;QACT,QAAQ,EAAE,KAAK,CAAC,cAAc,CAAC,IAAI,CAAC,QAAQ;KAC7C,CAAC,CAAC;AACL,CAAC;AAED;;;;;;GAMG;AACH,KAAK,UAAU,2BAA2B,CACxC,UAA8B,EAC9B,SAAiB;IAEjB,6BAA6B;IAC7B,MAAM,UAAU,GAAG,OAAO,CAAC,GAAG,CAAC,oBAAoB,CAAC;IACpD,MAAM,QAAQ,GAAG,OAAO,CAAC,GAAG,CAAC,iBAAiB,CAAC,CAAC,QAAQ;IAExD,IAAI,CAAC,UAAU,EAAE,CAAC;QAChB,MAAM,IAAI,KAAK,CAAC,uDAAuD,CAAC,CAAC;IAC3E,CAAC;IAED,MAAM,UAAU,GAAG,MAAM,gBAAgB,CAAC,UAAU,EAAE,UAAU,EAAE,QAAQ,CAAC,CAAC;IAE5E,MAAM,CAAC,KAAK,CAAC,sBAAsB,EAAE;QACnC,SAAS;QACT,GAAG,EAAE,UAAU,CAAC,GAAG;QACnB,KAAK,EAAE,UAAU,CAAC,KAAK;KACxB,CAAC,CAAC;IAEH,kBAAkB;IAClB,uCAAuC;AACzC,CAAC"}
+{"version":3,"file":"authHandler.js","sourceRoot":"","sources":["../../../src/server/utils/authHandler.ts"],"names":[],"mappings":"AAqBA,OAAO,EAAE,YAAY,EAAE,MAAM,uBAAuB,CAAC;AACrD,OAAO,EAAE,gBAAgB,EAAE,MAAM,WAAW,CAAC;AAE7C;;GAEG;AACH,MAAM,MAAM,GAAG,YAAY,CAAC;IAC1B,OAAO,EAAE,cAAc;IACvB,KAAK,EAAG,OAAO,CAAC,GAAG,CAAC,SAAiD,IAAI,MAAM;CAChF,CAAC,CAAC;AA4BH;;;;;;;GAOG;AACH,MAAM,CAAC,KAAK,UAAU,oBAAoB,CACxC,KAAmB,EACnB,SAAiB;IAEjB,MAAM,GAAG,GAAG,KAAK,CAAC,cAAc,CAAC,UAAU,EAAE,GAAG,CAAC;IAEjD,IAAI,GAAG,EAAE,CAAC;QACR,4DAA4D;QAC5D,uBAAuB,CAAC,GAAG,EAAE,SAAS,CAAC,CAAC;QACxC,OAAO;IACT,CAAC;IAED,4CAA4C;IAC5C,MAAM,UAAU,GAAG,KAAK,CAAC,OAAO,CAAC,aAAa,IAAI,KAAK,CAAC,OAAO,CAAC,aAAa,CAAC;IAC9E,MAAM,2BAA2B,CAAC,UAAU,EAAE,SAAS,CAAC,CAAC;AAC3D,CAAC;AAED;;;;;GAKG;AACH,SAAS,uBAAuB,CAAC,GAAyB,EAAE,SAAiB;IAC3E,MAAM,CAAC,IAAI,CAAC,2BAA2B,EAAE;QACvC,SAAS;QACT,OAAO,EAAE,GAAG,CAAC,OAAO;QACpB,SAAS,EAAE,GAAG,CAAC,SAAS;QACxB,QAAQ,EAAE,GAAG,CAAC,QAAQ;KACvB,CAAC,CAAC;AACL,CAAC;AAED;;;;;;GAMG;AACH,KAAK,UAAU,2BAA2B,CACxC,UAA8B,EAC9B,SAAiB;IAEjB,6BAA6B;IAC7B,MAAM,UAAU,GAAG,OAAO,CAAC,GAAG,CAAC,oBAAoB,CAAC;IACpD,MAAM,QAAQ,GAAG,OAAO,CAAC,GAAG,CAAC,iBAAiB,CAAC,CAAC,QAAQ;IAExD,IAAI,CAAC,UAAU,EAAE,CAAC;QAChB,MAAM,IAAI,KAAK,CAAC,uDAAuD,CAAC,CAAC;IAC3E,CAAC;IAED,MAAM,UAAU,GAAG,MAAM,gBAAgB,CAAC,UAAU,EAAE,UAAU,EAAE,QAAQ,CAAC,CAAC;IAE5E,MAAM,CAAC,KAAK,CAAC,sBAAsB,EAAE;QACnC,SAAS;QACT,GAAG,EAAE,UAAU,CAAC,GAAG;QACnB,KAAK,EAAE,UAAU,CAAC,KAAK;KACxB,CAAC,CAAC;IAEH,kBAAkB;IAClB,uCAAuC;AACzC,CAAC"}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@exabugs/dynamodb-client",
-  "version": "1.5.1",
+  "version": "1.5.2",
   "description": "DynamoDB Single-Table Client SDK with MongoDB-like API, Shadow Records, and Lambda implementation for serverless applications",
   "author": "exabugs",
   "license": "MIT",

package/terraform/main.tf

@@ -116,6 +116,7 @@ resource "aws_lambda_function" "records" {
       REGION               = var.region
       TABLE_NAME           = var.dynamodb_table_name
       COGNITO_USER_POOL_ID = var.cognito_user_pool_id
+      COGNITO_CLIENT_ID    = var.cognito_client_id
       LOG_LEVEL            = var.log_level
       # シャドウ設定（環境変数ベース）
       SHADOW_CREATED_AT_FIELD = var.shadow_created_at_field
@@ -168,6 +169,38 @@ resource "aws_lambda_permission" "function_url" {
   principal              = "*"
   function_url_auth_type = "NONE"
 }
+
+# サーバー間（Lambda-to-Lambda）呼び出し専用のエイリアス
+# NONE認証のFunction URL（上記）とは別に、AWS_IAM認証のFunction URLをこのエイリアス経由で公開する。
+# 同一のLambda関数コード（$LATEST）を指すが、Function URLは修飾子（エイリアス）ごとに1本しか
+# 設定できないため、2本目のURLを持つにはエイリアスが必要。
+resource "aws_lambda_alias" "iam" {
+  name             = "iam"
+  description      = "サーバー間呼び出し用（AWS_IAM認証のFunction URL向け）"
+  function_name    = aws_lambda_function.records.function_name
+  function_version = "$LATEST"
+}
+
+# AWS_IAM認証のLambda Function URL
+# サーバー間呼び出し元（モバイルBFF・weather Lambda・運用スクリプト等）はこちらを使う。
+# NONE認証URLと異なり、呼び出し元のIAMロールにlambda:InvokeFunctionUrl権限が必要で、
+# AWSが実際にSigV4署名を検証する（NONE側のような「なんちゃってIAM認証」ではない）。
+resource "aws_lambda_function_url" "records_iam" {
+  function_name      = aws_lambda_function.records.function_name
+  qualifier          = aws_lambda_alias.iam.name
+  authorization_type = "AWS_IAM"
+
+  cors {
+    allow_origins     = ["*"]
+    allow_methods     = ["GET", "POST", "PUT", "DELETE"]
+    allow_headers     = ["content-type", "authorization", "x-amz-date", "x-api-key", "x-amz-security-token"]
+    expose_headers    = ["content-type", "x-amzn-requestid"]
+    allow_credentials = false
+    max_age           = 86400 # 24時間
+  }
+
+  depends_on = [aws_lambda_alias.iam]
+}
 # Parameter Store モジュール
 module "parameter_store" {
   source = "./modules/parameter-store"

package/terraform/outputs.tf

@@ -49,3 +49,13 @@ output "function_url_id" {
   description = "Lambda Function URL ID"
   value       = aws_lambda_function_url.records.url_id
 }
+
+output "iam_function_url" {
+  description = "AWS_IAM認証のLambda Function URL（サーバー間呼び出し専用）"
+  value       = aws_lambda_function_url.records_iam.function_url
+}
+
+output "iam_alias_arn" {
+  description = "AWS_IAM認証用エイリアスのARN。呼び出し元IAMロールのlambda:InvokeFunctionUrl権限のResourceに指定する"
+  value       = aws_lambda_alias.iam.arn
+}

package/terraform/variables.tf

@@ -30,6 +30,12 @@ variable "cognito_user_pool_id" {
   type        = string
 }
 
+variable "cognito_client_id" {
+  description = "Cognito App Client ID（JWTのaud検証に使用。未指定の場合はaud検証をスキップする）"
+  type        = string
+  default     = null
+}
+
 
 
 variable "log_retention_days" {