@nitra/cursor 12.8.9 → 12.10.0

package/rules/js-bun-db/js/safety.mjs

@@ -9,10 +9,12 @@ import {
   findBunSqlPgLeftoverCallInText,
   findBunSqlUnsafeUseWithoutAllowMarkerInText,
   findBunSqlUnsafeWithInterpolatedTemplateInText,
+  findJsonStringifyBeforeJsonbInText,
   findPgFormatLikeQueryWrapperInText,
   findPgFormatShimDefinitionInText,
   findPgLibImportInText,
   findPgListenNotifyUsageInText,
+  findSqlArrayWithoutTypeArgInText,
   findUnsafeBunSqlDynamicSqlListInText,
   findUnsafeBunSqlInListMissingEmptyGuardInText,
   isBunSqlScanSourceFile,
@@ -83,7 +85,9 @@ async function scanSourcesForBunSqlPatterns(sourcePaths, repoRoot, reporter) {
     inListGuard: 0,
     pgLeftover: 0,
     pgFormatShim: 0,
-    queryWrapper: 0
+    queryWrapper: 0,
+    jsonStringifyJsonb: 0,
+    sqlArrayNoType: 0
   }
   let hasBunSqlImport = false
   /** @type {{ rel: string, imports: { line: number, snippet: string }[], listenNotify: { line: number, snippet: string, kind: string }[] }[]} */
@@ -127,7 +131,7 @@ function collectPgUsageForFile(content, rel, pgUsage) {
  * @param {string} content вміст файлу
  * @param {string} rel posix-шлях відносно `repoRoot`
  * @param {(msg: string) => void} fail callback при помилці
- * @param {{ perRequest: number, unsafeCall: number, dynamicList: number, inListGuard: number, pgLeftover: number, pgFormatShim: number, queryWrapper: number }} counts акумулятори
+ * @param {{ perRequest: number, unsafeCall: number, unsafeTemplateInterp: number, dynamicList: number, inListGuard: number, pgLeftover: number, pgFormatShim: number, queryWrapper: number, jsonStringifyJsonb: number, sqlArrayNoType: number }} counts акумулятори
  * @returns {void}
  */
 function scanFileForBunSqlPatterns(content, rel, fail, counts) {
@@ -202,6 +206,22 @@ function scanFileForBunSqlPatterns(content, rel, fail, counts) {
         `sql\`...\${value}...\` (js-bun-db.mdc): ${v.snippet}`
     )
   }
+  for (const v of findJsonStringifyBeforeJsonbInText(content, rel)) {
+    counts.jsonStringifyJsonb++
+    fail(
+      `js-bun-db: ${rel}:${v.line} — JSON.stringify(...) перед ::jsonb зайвий: Bun SQL серіалізує ` +
+        `об'єкти/масиви у JSON автоматично, явний stringify призводить до подвійної серіалізації ` +
+        `(js-bun-db.mdc query-safety): ${v.snippet}`
+    )
+  }
+  for (const v of findSqlArrayWithoutTypeArgInText(content, rel)) {
+    counts.sqlArrayNoType++
+    fail(
+      `js-bun-db: ${rel}:${v.line} — sql.array(arr) без другого аргументу типу — ` +
+        `вкажи явний pg-тип: sql.array(arr, 'int8') / sql.array(arr, 'uuid') тощо ` +
+        `(js-bun-db.mdc sql-array): ${v.snippet}`
+    )
+  }
 }
 
 /**
@@ -338,7 +358,9 @@ export async function check(cwd = process.cwd()) {
     inListGuard,
     pgLeftover,
     pgFormatShim,
-    queryWrapper
+    queryWrapper,
+    jsonStringifyJsonb,
+    sqlArrayNoType
   } = await scanSourcesForBunSqlPatterns(sourcePaths, repoRoot, reporter)
 
   const { pgDepFails, pgImportFails, pgDepsFound, listenNotifyEvidence } = await checkPgDependencyAndUsage(
@@ -396,6 +418,12 @@ export async function check(cwd = process.cwd()) {
   if (queryWrapper === 0) {
     pass('js-bun-db: немає query(text, params)-обгорток над unsafe(...) у файлах з Bun SQL')
   }
+  if (jsonStringifyJsonb === 0) {
+    pass('js-bun-db: немає JSON.stringify(...) перед ::jsonb — Bun SQL серіалізує автоматично')
+  }
+  if (sqlArrayNoType === 0) {
+    pass('js-bun-db: усі sql.array() мають явний аргумент типу')
+  }
 
   return reporter.getExitCode()
 }

package/rules/js-bun-db/lib/bun-sql-scan.mjs

@@ -927,3 +927,126 @@ function kindFromListenNotifyMatch(text) {
 export function isBunSqlScanSourceFile(relativePathPosix) {
   return SOURCE_FILE_RE.test(relativePathPosix) && !relativePathPosix.endsWith('.d.ts')
 }
+
+// Імена відомих SQL-інстансів, для яких перевіряємо .array() без типу.
+const SQL_INSTANCE_NAMES = new Set(['sql', 'pgWrite', 'pgRead'])
+
+/**
+ * Чи це виклик `JSON.stringify(...)` (JSON.stringify через MemberExpression).
+ * @param {unknown} node AST node
+ * @returns {boolean}
+ */
+function isJsonStringifyCall(node) {
+  if (!node || typeof node !== 'object' || node.type !== 'CallExpression') return false
+  const callee = node.callee
+  if (!callee || callee.type !== 'MemberExpression' || callee.computed) return false
+  const obj = callee.object
+  const prop = callee.property
+  return (
+    !!obj &&
+    obj.type === 'Identifier' &&
+    obj.name === 'JSON' &&
+    !!prop &&
+    prop.type === 'Identifier' &&
+    prop.name === 'stringify'
+  )
+}
+
+/**
+ * Знаходить виклики `JSON.stringify(...)::jsonb` всередині SQL template literal-ів.
+ * Bun SQL серіалізує об'єкти/масиви у JSON автоматично — явний `JSON.stringify`
+ * перед `::jsonb` призводить до подвійної серіалізації (js-bun-db.mdc).
+ * @param {string} content вихідний код
+ * @param {string} [virtualPath] шлях для вибору lang
+ * @returns {{ line: number, snippet: string }[]} список порушень
+ */
+export function findJsonStringifyBeforeJsonbInText(content, virtualPath = 'scan.ts') {
+  const program = parseProgramOrNull(content, virtualPath)
+  if (!program) return []
+
+  /** @type {{ line: number, snippet: string }[]} */
+  const out = []
+
+  walkAstWithAncestors(program, [], node => {
+    let template = null
+    if (node.type === 'TemplateLiteral') template = node
+    else if (node.type === 'TaggedTemplateExpression') template = node.quasi
+    if (!template || typeof template !== 'object' || template.type !== 'TemplateLiteral') return
+
+    const expressions = template.expressions
+    const quasis = template.quasis
+    if (!Array.isArray(expressions) || !Array.isArray(quasis)) return
+
+    for (const [i, expr] of expressions.entries()) {
+      // Перевіряємо прямий JSON.stringify(...) і JSON.stringify всередині sql.array(...)
+      const isDirectStringify = isJsonStringifyCall(expr)
+      // sql.array(batch.map(r => JSON.stringify(...)), 'jsonb')
+      const hasSqlArrayStringify =
+        !isDirectStringify &&
+        expr.type === 'CallExpression' &&
+        Array.isArray(expr.arguments) &&
+        expr.arguments.some(arg => {
+          if (isJsonStringifyCall(arg)) return true
+          // .map(r => JSON.stringify(...))
+          if (arg.type === 'CallExpression' && Array.isArray(arg.arguments)) {
+            const cb = arg.arguments[0]
+            if (!cb) return false
+            const body = cb.type === 'ArrowFunctionExpression' || cb.type === 'FunctionExpression' ? cb.body : null
+            if (body && isJsonStringifyCall(body)) return true
+          }
+          return false
+        })
+
+      if (!isDirectStringify && !hasSqlArrayStringify) continue
+
+      // Quasi після expr (quasi[i+1]) — текст одразу після закриваючого }
+      const nextQuasi = quasis[i + 1]
+      const rawAfter =
+        nextQuasi && typeof nextQuasi === 'object' && nextQuasi.value && typeof nextQuasi.value.raw === 'string'
+          ? nextQuasi.value.raw
+          : ''
+
+      if (/^\s*::jsonb/u.test(rawAfter) || hasSqlArrayStringify) {
+        out.push({
+          line: offsetToLine(content, expr.start),
+          snippet: normalizeSnippet(content.slice(expr.start, expr.end))
+        })
+      }
+    }
+  })
+  return out
+}
+
+/**
+ * Знаходить виклики `sql.array(arr)` / `pgWrite.array(arr)` / `pgRead.array(arr)` без
+ * обов'язкового другого аргументу (типу pg-елемента). Без типу Bun не може вивести
+ * pg-тип, що призводить до mismatch (js-bun-db.mdc).
+ * @param {string} content вихідний код
+ * @param {string} [virtualPath] шлях для вибору lang
+ * @returns {{ line: number, snippet: string }[]} список порушень
+ */
+export function findSqlArrayWithoutTypeArgInText(content, virtualPath = 'scan.ts') {
+  const program = parseProgramOrNull(content, virtualPath)
+  if (!program) return []
+
+  /** @type {{ line: number, snippet: string }[]} */
+  const out = []
+
+  walkAstWithAncestors(program, [], node => {
+    if (!node || node.type !== 'CallExpression') return
+    const callee = node.callee
+    if (!callee || callee.type !== 'MemberExpression' || callee.computed) return
+    const prop = callee.property
+    if (!prop || prop.type !== 'Identifier' || prop.name !== 'array') return
+    const obj = callee.object
+    if (!obj || obj.type !== 'Identifier' || !SQL_INSTANCE_NAMES.has(obj.name)) return
+    const args = node.arguments
+    if (!Array.isArray(args) || args.length !== 1) return
+
+    out.push({
+      line: offsetToLine(content, node.start),
+      snippet: normalizeSnippet(content.slice(node.start, node.end))
+    })
+  })
+  return out
+}