@feelflow/ffid-sdk 2.19.0 → 2.20.0

package/README.md

@@ -487,6 +487,88 @@ SDK の `package.json` で `react` / `react-dom` は `optional: true` に設定
 }
 ```
 
+## E2E テストモード（`@feelflow/ffid-sdk/server/test`）
+
+> **⚠️ SECURITY NOTICE** — テストモードは Bearer トークン検証を **意図的にバイパス** する仕組みです。本番環境で誤って有効化すると、登録されたバイパストークンを持つ任意のリクエストが認証通過します。
+
+各サービスで E2E テストを書く際、`verifyAccessToken` の introspect 呼び出しをモックする実装を独自に持つ必要がなくなります。SDK 側で **多重 production guard 付き** の bypass クライアントを提供します。
+
+```ts
+import { createFFIDClient } from '@feelflow/ffid-sdk/server'
+import { createTestFFIDClient } from '@feelflow/ffid-sdk/server/test'
+
+const isE2E =
+  process.env.NODE_ENV !== 'production' &&
+  process.env.FFID_TEST_MODE === 'true'
+
+const client = isE2E
+  ? createTestFFIDClient({
+      users: [
+        {
+          bypassToken: process.env.E2E_TEST_BYPASS_SECRET!,
+          userInfo: {
+            sub: 'e2e-test-sub',
+            email: 'e2e@example.com',
+            name: 'E2E Test User',
+            picture: null,
+          },
+        },
+      ],
+    })
+  : createFFIDClient({ /* normal production options */ })
+
+const result = await client.verifyAccessToken(bearerToken)
+```
+
+### Built-in production guards (defense-in-depth)
+
+- `NODE_ENV` を **trim + lowercase** 後に比較。`"production "`（改行混入）や `"Production"` も production として扱う（Vercel 環境変数の copy/paste 事故対策）
+- `process.env` を露出しない runtime（Edge / Cloudflare Workers / browser）では **fail-close** で構築拒否
+- `bypassToken` の重複検知 / 空チェック / `userInfo.sub` 必須チェック（構築時 throw）
+- 未登録 token は **fail-close**（実 introspect への暗黙 fallthrough は行わない）
+- 構築時点で `users` のスナップショットを取り、入力配列の post-construction mutation は無視
+- 各 `verifyAccessToken` 呼び出しは新しいオブジェクトを返却（caller mutation が後続呼び出しを汚染しない）
+
+### `allowInProduction` escape hatch
+
+staging が `NODE_ENV=production` をミラーするケース等のみ、明示的な ack 文字列で有効化できます：
+
+```ts
+import {
+  createTestFFIDClient,
+  TEST_CLIENT_ALLOW_IN_PRODUCTION_ACK,
+} from '@feelflow/ffid-sdk/server/test'
+
+createTestFFIDClient({
+  users: [...],
+  allowInProduction: TEST_CLIENT_ALLOW_IN_PRODUCTION_ACK,
+})
+// → process.emitWarning(..., 'FFIDTestModeInProduction') を毎構築時に発火
+```
+
+`boolean` ではなく **literal string ack** を要求する型なので、`allowInProduction: someBooleanFlag` のような誤代入はコンパイルエラーになります。ack 文字列は grep 可能で監査も容易です。
+
+### サブパス分離
+
+`createTestFFIDClient` は **`@feelflow/ffid-sdk/server/test` からのみ** import 可能です（`@feelflow/ffid-sdk/server` にも main entry にも含まれない）。本番コードからの誤 import は ESLint の `no-restricted-imports` 等で検知することを推奨します：
+
+```js
+// eslint.config.mjs (flat config)
+import { defineConfig } from 'eslint/config'
+
+export default defineConfig([
+  {
+    files: ['src/**/*.{ts,tsx}'],          // production code only
+    ignores: ['**/__tests__/**', 'tests/e2e/**'],
+    rules: {
+      'no-restricted-imports': ['error', {
+        patterns: ['@feelflow/ffid-sdk/server/test'],
+      }],
+    },
+  },
+])
+```
+
 ## 環境変数
 
 オプションで環境変数を使用してデフォルト設定を上書きできます：

package/dist/{chunk-SXYB5QM3.js → chunk-GCUVFSB2.js}

@@ -805,7 +805,7 @@ function createProfileMethods(deps) {
 }
 
 // src/client/version-check.ts
-var SDK_VERSION = "2.19.0";
+var SDK_VERSION = "2.20.0";
 var SDK_USER_AGENT = `FFID-SDK/${SDK_VERSION} (TypeScript)`;
 var SDK_VERSION_HEADER = "X-FFID-SDK-Version";
 function sdkHeaders() {

package/dist/{chunk-BBXUZS4U.cjs → chunk-KNEZ5OUQ.cjs}

@@ -807,7 +807,7 @@ function createProfileMethods(deps) {
 }
 
 // src/client/version-check.ts
-var SDK_VERSION = "2.19.0";
+var SDK_VERSION = "2.20.0";
 var SDK_USER_AGENT = `FFID-SDK/${SDK_VERSION} (TypeScript)`;
 var SDK_VERSION_HEADER = "X-FFID-SDK-Version";
 function sdkHeaders() {

package/dist/components/index.cjs

@@ -1,34 +1,34 @@
 'use strict';
 
-var chunkBBXUZS4U_cjs = require('../chunk-BBXUZS4U.cjs');
+var chunkKNEZ5OUQ_cjs = require('../chunk-KNEZ5OUQ.cjs');
 
 
 
 Object.defineProperty(exports, "FFIDAnnouncementBadge", {
   enumerable: true,
-  get: function () { return chunkBBXUZS4U_cjs.FFIDAnnouncementBadge; }
+  get: function () { return chunkKNEZ5OUQ_cjs.FFIDAnnouncementBadge; }
 });
 Object.defineProperty(exports, "FFIDAnnouncementList", {
   enumerable: true,
-  get: function () { return chunkBBXUZS4U_cjs.FFIDAnnouncementList; }
+  get: function () { return chunkKNEZ5OUQ_cjs.FFIDAnnouncementList; }
 });
 Object.defineProperty(exports, "FFIDInquiryForm", {
   enumerable: true,
-  get: function () { return chunkBBXUZS4U_cjs.FFIDInquiryForm; }
+  get: function () { return chunkKNEZ5OUQ_cjs.FFIDInquiryForm; }
 });
 Object.defineProperty(exports, "FFIDLoginButton", {
   enumerable: true,
-  get: function () { return chunkBBXUZS4U_cjs.FFIDLoginButton; }
+  get: function () { return chunkKNEZ5OUQ_cjs.FFIDLoginButton; }
 });
 Object.defineProperty(exports, "FFIDOrganizationSwitcher", {
   enumerable: true,
-  get: function () { return chunkBBXUZS4U_cjs.FFIDOrganizationSwitcher; }
+  get: function () { return chunkKNEZ5OUQ_cjs.FFIDOrganizationSwitcher; }
 });
 Object.defineProperty(exports, "FFIDSubscriptionBadge", {
   enumerable: true,
-  get: function () { return chunkBBXUZS4U_cjs.FFIDSubscriptionBadge; }
+  get: function () { return chunkKNEZ5OUQ_cjs.FFIDSubscriptionBadge; }
 });
 Object.defineProperty(exports, "FFIDUserMenu", {
   enumerable: true,
-  get: function () { return chunkBBXUZS4U_cjs.FFIDUserMenu; }
+  get: function () { return chunkKNEZ5OUQ_cjs.FFIDUserMenu; }
 });

package/dist/components/index.js

@@ -1 +1 @@
-export { FFIDAnnouncementBadge, FFIDAnnouncementList, FFIDInquiryForm, FFIDLoginButton, FFIDOrganizationSwitcher, FFIDSubscriptionBadge, FFIDUserMenu } from '../chunk-SXYB5QM3.js';
+export { FFIDAnnouncementBadge, FFIDAnnouncementList, FFIDInquiryForm, FFIDLoginButton, FFIDOrganizationSwitcher, FFIDSubscriptionBadge, FFIDUserMenu } from '../chunk-GCUVFSB2.js';