@exabugs/dynamodb-client 1.6.0 → 1.6.2

package/CHANGELOG.md

@@ -7,6 +7,28 @@ and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0
 
 ## [Unreleased]
 
+## [1.6.2] - 2026-10-11
+
+### Security
+
+- `COGNITO_CLIENT_ID` 未設定のとき、JWT の `aud` 検証が無効であることを示す**警告ログ**を出す（コールドスタートごとに1回）。挙動は変えない。未設定だと同じユーザープールの別アプリクライアントのトークンも通る
+- デバッグログ（`Cognito JWT verified`）から `email` を除いた（個人情報。追跡は `sub`）
+
+### CI
+
+- リポジトリを非公開にしたため、`npm publish` から `--provenance` を外した（provenance は公開リポジトリでのみ生成できる）。公開リポジトリに戻す場合は復活させる
+
+### Docs
+
+- `docs/AUTHORIZATION.md` を新設: 認可モデル（JWT の有効性しか検証しない）、管理者専用ユーザープール、フェデレーションログインの許可制（Pre Token Generation の例）、`aud` 検証、MFA の限界、チェックリスト
+- `terraform/README.md`: pnpm 利用時、版を上げた後は `.terraform/modules` を削除して `terraform init` する注意を追加。`terraform/variables.tf` の `cognito_client_id` の説明を明確化
+
+## [1.6.1] - 2026-10-11
+
+### Fixed
+
+- `terraform/modules/parameter-store`: **新規環境への初回デプロイで `terraform plan` が `Invalid count argument` で失敗する不具合を修正**（1.5.3〜1.6.0 が対象）。IAM認証URLのパラメータの個数を、同じ apply で作成する Function URL の属性（初回は未確定）の有無で決めていたため。確定している真偽値の変数 `create_records_iam_url_parameter` を追加し、トップの `terraform/main.tf` は `true` を渡す。変数を渡さない既存の呼び出し元は従来どおりの動作
+
 ## [1.5.3] - 2026-10-04
 
 ### Fixed

package/README.md

@@ -194,6 +194,7 @@ const article = await articles.findOne({ title: 'Hello DynamoDB' });
 - **[Architecture](docs/ARCHITECTURE.md)** - System architecture and design
 - **[Client Usage](docs/CLIENT_USAGE.md)** - Client-side API guide
 - **[React Admin Integration](docs/react-admin-integration.md)** - Admin UI setup and many-to-many relationships
+- **[Authorization & Secure Setup](docs/AUTHORIZATION.md)** - 認可モデルと安全な構成（必読。JWT の有効性しか検証しない／管理者専用ユーザープール／`aud` 検証）
 - **[Deployment](docs/DEPLOYMENT.md)** - Production deployment guide
 - **[Terraform Modules](terraform/README.md)** - Infrastructure as Code
 

package/dist/server/handler.cjs

@@ -1,5 +1,5 @@
-// @exabugs/dynamodb-client v1.6.0
-// Built: 2026-10-04T23:59:48.659Z
+// @exabugs/dynamodb-client v1.6.2
+// Built: 2026-10-11T14:15:49.129Z
 "use strict";
 var __create = Object.create;
 var __defProp = Object.defineProperty;
@@ -38417,6 +38417,12 @@ var verifierInstance = null;
 function getVerifier(userPoolId, clientId) {
   if (!verifierInstance) {
     logger21.debug("Creating JWT verifier instance", { userPoolId, clientId });
+    if (!clientId) {
+      logger21.warn(
+        "COGNITO_CLIENT_ID is not set: JWT audience (aud) verification is DISABLED. Tokens issued to ANY app client of this user pool are accepted. Set cognito_client_id (Terraform) / COGNITO_CLIENT_ID in production. See docs/AUTHORIZATION.md",
+        { userPoolId }
+      );
+    }
     verifierInstance = CognitoJwtVerifier.create({
       userPoolId,
       tokenUse: "id",
@@ -38513,8 +38519,7 @@ async function handleCognitoAuthentication(authHeader, requestId) {
   const jwtPayload = await verifyAuthHeader(authHeader, userPoolId, clientId);
   logger22.debug("Cognito JWT verified", {
     requestId,
-    sub: jwtPayload.sub,
-    email: jwtPayload.email
+    sub: jwtPayload.sub
   });
 }
 __name(handleCognitoAuthentication, "handleCognitoAuthentication");
@@ -38701,7 +38706,7 @@ async function handler(event) {
       return createCorsResponse(HTTP_STATUS.OK);
     }
     if (event.requestContext.http.method === "GET" && event.requestContext.http.path === "/version") {
-      const version = "1.6.0";
+      const version = "1.6.2";
       return createSuccessResponse({ version, timestamp: (/* @__PURE__ */ new Date()).toISOString() }, requestId);
     }
     if (event.requestContext.http.method !== "POST") {