@exabugs/dynamodb-client 1.5.2 → 1.6.0

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@exabugs/dynamodb-client",
-  "version": "1.5.2",
+  "version": "1.6.0",
   "description": "DynamoDB Single-Table Client SDK with MongoDB-like API, Shadow Records, and Lambda implementation for serverless applications",
   "author": "exabugs",
   "license": "MIT",
@@ -87,7 +87,36 @@
       "import": "./dist/mcp/index.js",
       "types": "./dist/mcp/index.d.ts"
     },
-    "./terraform": "./terraform/main.tf"
+    "./server/media/presign": {
+      "import": "./dist/server/media/presign.js",
+      "types": "./dist/server/media/presign.d.ts"
+    },
+    "./server/media/upload-handler": {
+      "import": "./dist/server/media/upload-handler.js",
+      "types": "./dist/server/media/upload-handler.d.ts"
+    },
+    "./server/media-process-handler": {
+      "import": "./dist/server/media-process-handler.cjs",
+      "types": "./dist/server/media/process-handler.d.ts"
+    },
+    "./server/media-process-handler-dlq": {
+      "import": "./dist/server/media-process-handler-dlq.cjs",
+      "types": "./dist/server/media/process-handler-dlq.d.ts"
+    },
+    "./server/media-handler": {
+      "import": "./dist/server/media-handler.cjs",
+      "types": "./dist/server/media/media-handler.d.ts"
+    },
+    "./server/media-sign": {
+      "import": "./dist/server/media/sign.js",
+      "types": "./dist/server/media/sign.d.ts"
+    },
+    "./types/media": {
+      "import": "./dist/server/media/types.js",
+      "types": "./dist/server/media/types.d.ts"
+    },
+    "./terraform": "./terraform/main.tf",
+    "./terraform/media": "./terraform/media/main.tf"
   },
   "peerDependencies": {
     "react-admin": "^5.0.0"
@@ -99,9 +128,10 @@
   },
   "scripts": {
     "prebuild": "npm run generate-types",
-    "build": "tsc && node esbuild.config.js",
+    "build": "tsc && node esbuild.config.js && npm run build:sharp-layer",
     "build:client": "tsc",
     "build:lambda": "node esbuild.config.js",
+    "build:sharp-layer": "bash scripts/build-sharp-layer.sh",
     "clean": "rm -rf dist",
     "lint": "eslint src --ext ts --max-warnings 0",
     "format": "prettier --write .",
@@ -119,8 +149,12 @@
   "dependencies": {
     "@aws-crypto/sha256-js": "5.2.0",
     "@aws-sdk/client-dynamodb": "3.946.0",
+    "@aws-sdk/client-s3": "3.946.0",
+    "@aws-sdk/client-ssm": "3.946.0",
+    "@aws-sdk/cloudfront-signer": "3.946.0",
     "@aws-sdk/credential-provider-node": "3.946.0",
     "@aws-sdk/lib-dynamodb": "3.946.0",
+    "@aws-sdk/s3-presigned-post": "3.946.0",
     "@modelcontextprotocol/sdk": "^1.26.0",
     "@smithy/protocol-http": "5.3.5",
     "@smithy/signature-v4": "5.3.5",
@@ -146,6 +180,7 @@
     "orval": "^8.2.0",
     "prettier": "^3.0.0",
     "react-admin": "^5.0.0",
+    "sharp": "^0.35.5",
     "tsx": "^4.21.0",
     "typescript": "^5.3.0",
     "vitest": "^2.0.0",

package/terraform/main.tf

@@ -211,8 +211,9 @@ module "parameter_store" {
   region       = var.region
 
   # Records Lambda設定
-  records_function_url = aws_lambda_function_url.records.function_url
-  records_function_arn = aws_lambda_function.records.arn
+  records_function_url     = aws_lambda_function_url.records.function_url
+  records_iam_function_url = aws_lambda_function_url.records_iam.function_url
+  records_function_arn     = aws_lambda_function.records.arn
 
   # Cognito設定
   cognito_user_pool_id = var.cognito_user_pool_id

package/terraform/media/README.md

@@ -0,0 +1,67 @@
+# メディア機能 Terraformモジュール
+
+ファイルアップロード・処理（EXIF除去・リサイズ）・配信機能をデプロイするTerraformモジュールです。
+
+詳細設計: [../../docs/media-design.md](../../docs/media-design.md)
+決定事項・トレードオフ: [../../docs/adr/0002-media-design.md](../../docs/adr/0002-media-design.md)
+
+## 概要
+
+このモジュールは、以下のリソースをデプロイします：
+
+- S3バケット（raw/master/cache の3プレフィックス、完全非公開）
+- sharp Lambda Layer（`scripts/build-sharp-layer.sh`で事前ビルドが必要）
+- process-handler Lambda（S3 ObjectCreatedトリガー、EXIF除去・リサイズ・master配置）
+- process-handler-dlq Lambda（SQS DLQトリガー、処理失敗時のfailedレコード書き込み）
+- media-handler Lambda（CloudFront `/resize/*` 専用オリジン、オンデマンドリサイズ）
+- CloudFront Distribution（`/master/*`はS3直接配信、`/resize/*`はmedia-handler経由、両方とも署名付きURL必須）
+- CloudFront Public Key / Key Group（署名鍵は呼び出し側がSSM Parameter Storeに別途登録する）
+
+**含まないもの**: presign/署名URL発行用のLambdaリソース。「誰にpresign/署名URLを発行してよいか」の認可判断はアプリごとに、かつ同一アプリ内でもクライアント（モバイル/管理画面等）ごとに異なるため、Terraformでは画一的なリソースとして定義できません。呼び出し側は次のいずれかの方法で自前にデプロイしてください:
+
+- 既存のHTTP APIレイヤー（認証・権限チェック済み）から `../../src/server/media/presign.ts`・`sign.ts` を直接呼び出す
+- 対応する既存HTTPレイヤーが無いクライアント向けには `../../src/server/media/upload-handler.ts` の `createUploadHandler()` を使い、専用の小さなLambdaとして自前でバンドル・デプロイする
+
+## 前提条件
+
+1. `npm run build`（`scripts/build-sharp-layer.sh`を含む。Dockerが必要）を実行し、`dist/`配下にLambda成果物を生成しておくこと
+2. 署名鍵（RSA 2048bit）を生成し、公開鍵を`signing_public_key_param`で指定するSSM Parameterに登録しておくこと（秘密鍵は呼び出し側のpresign/署名URL発行処理が別途SSM経由で取得する）
+3. image policy（`masterMaxDimension`・`allowedContentTypes`・`maxUploadSize`）のJSONを`image_policy_param`で指定するSSM Parameterに登録しておくこと
+
+## 使用方法
+
+```hcl
+module "media" {
+  source = "github.com/exabugs/dynamodb-client//terraform/media"
+
+  project_name = "my-project"
+  environment  = "dev"
+  region       = "ap-northeast-1"
+
+  table_name = module.dynamodb.table_name
+  table_arn  = module.dynamodb.table_arn
+
+  signing_public_key_param = "/my-project/dev/media/signing-public-key"
+  image_policy_param       = "/my-project/dev/media/image-policy"
+
+  # カスタムドメイン使用時のみ（省略時はCloudFrontのデフォルトドメインを使う）
+  domain_name         = "media.dev.example.com"
+  acm_certificate_arn = module.cloudfront.certificate_arn # us-east-1リージョンの証明書
+  route53_zone_id     = var.route53_zone_id
+}
+```
+
+`module.media`のoutput（`key_pair_id`・`base_url`）を、presign/署名URL発行を行う呼び出し側のLambdaへ変数として渡してください。
+
+## 依存関係の向き
+
+本モジュールは呼び出し側の既存CloudFront・テーブルARNに依存しません（片方向）。循環依存を避けるため、呼び出し側のLambdaが`module.media`のoutputに依存する向きで配線してください。
+
+## 検証
+
+```bash
+terraform init -backend=false
+terraform validate
+```
+
+実際の`terraform plan`/`apply`にはAWS認証情報とダミーでない変数値が必要です。