@rdlabo/workers-hono-kit 0.3.4 → 0.3.6

package/dist/db/index.d.ts

@@ -17,5 +17,7 @@ export type { DzWriteResult } from './write-result.js';
 export { hyperdriveConnectionOptions, withMysqlConnections } from './connection.js';
 export type { HyperdriveLike, ExecutionContextLike } from './connection.js';
 export { toJstDate, jstTimestampParams, jstDatetimeParams, jstDateParams } from './jst.js';
-export { DRIZZLE_ORM_OPTIONS, honoDrizzleConfig } from './orm-config.js';
-export type { HonoDrizzleConfigOptions } from './orm-config.js';
+export { DRIZZLE_ORM_OPTIONS, honoDrizzleConfig, resolveDbSecret } from './orm-config.js';
+export type { HonoDrizzleConfigOptions, ResolvedDbSecret } from './orm-config.js';
+export { baselineMigrations, readBaselineEntry } from './migrate.js';
+export type { BaselineMigrationsOptions, BaselineResult, BaselineEntry } from './migrate.js';

package/dist/db/index.js

@@ -14,4 +14,5 @@ export { createMysqlDatabase, createHyperdriveDatabase, databaseFrom } from './d
 export { insertIdOf, affectedRowsOf, insertedIdsOf } from './write-result.js';
 export { hyperdriveConnectionOptions, withMysqlConnections } from './connection.js';
 export { toJstDate, jstTimestampParams, jstDatetimeParams, jstDateParams } from './jst.js';
-export { DRIZZLE_ORM_OPTIONS, honoDrizzleConfig } from './orm-config.js';
+export { DRIZZLE_ORM_OPTIONS, honoDrizzleConfig, resolveDbSecret } from './orm-config.js';
+export { baselineMigrations, readBaselineEntry } from './migrate.js';

package/dist/db/migrate.d.ts

@@ -0,0 +1,51 @@
+import type { QueryRunner } from './database.js';
+/** baseline（=最初の）マイグレーションの識別情報。 */
+export interface BaselineEntry {
+    /** マイグレーション tag（例 `0000_melted_weapon_omega`）。 */
+    tag: string;
+    /** `_journal.json` の `when`（= drizzle の `created_at`／`folderMillis`）。 */
+    when: number;
+    /** `<tag>.sql` の生内容の sha256（drizzle と同一アルゴリズム）。 */
+    hash: string;
+}
+/**
+ * `migrationsFolder`（drizzle の `out`、例 `./drizzle`）から baseline（最初の）エントリを読む。
+ *
+ * @param migrationsFolder - `meta/_journal.json` と `<tag>.sql` を含むフォルダ。
+ * @returns baseline エントリ（tag/when/hash）。
+ * @throws journal が無い / エントリが空 / `<tag>.sql` が無い場合。
+ */
+export declare function readBaselineEntry(migrationsFolder: string): BaselineEntry;
+/** {@link baselineMigrations} のオプション。 */
+export interface BaselineMigrationsOptions {
+    /** 生 SQL を実行する QueryRunner（mysql2 `Connection`/`Pool` が代入可能）。対象 DB に接続済みのこと。 */
+    db: QueryRunner;
+    /** drizzle の `out` フォルダ（既定 `./drizzle`）。 */
+    migrationsFolder?: string;
+}
+/** {@link baselineMigrations} の結果。 */
+export type BaselineResult = {
+    status: 'inserted';
+    tag: string;
+    when: number;
+    hash: string;
+} | {
+    status: 'already-baselined';
+    tag: string;
+    when: number;
+};
+/**
+ * 既存 DB へ baseline（0000）を「適用済み」として記録する。冪等・安全ガード付き。
+ *
+ * @remarks
+ * ガード:
+ * - 既に baseline marker（`created_at = when`）が在れば **no-op**（`already-baselined`）。
+ * - marker は無いが `__drizzle_migrations` に別の行が在る → **中断**（想定外の状態）。
+ * - 対象 DB に base table が 1 つも無い（空 DB）→ **中断**（空 DB は 0000 を skip すると
+ *   テーブルが作られない。新規 DB には `db:migrate` を使う）。
+ *
+ * @param options - 接続と migrations フォルダ。{@link BaselineMigrationsOptions} 参照。
+ * @returns 挿入したか既に baseline 済みか。
+ * @throws 上記ガードに該当する場合。
+ */
+export declare function baselineMigrations(options: BaselineMigrationsOptions): Promise<BaselineResult>;

package/dist/db/migrate.js

@@ -0,0 +1,104 @@
+/**
+ * Brownfield baseline for Drizzle MySQL migrations.
+ *
+ * 既存（現行サービス）の DB は先にスキーマが存在するため、コミット済みの baseline マイグレーション
+ * （`drizzle/0000_*.sql` = 現行スキーマを introspect した CREATE TABLE 群）を `db:migrate` で流すと
+ * 全テーブルが衝突して失敗する。そこで 0000 を **実行せず「適用済み」として記録**する。
+ *
+ * 適用判定の根拠（drizzle-orm/mysql-core dialect.migrate）: `__drizzle_migrations(id, hash,
+ * created_at)` の **`created_at` 最大値のみ**で未適用判定し、`max(created_at) < entry.when` の
+ * migration だけ実行する。hash は保存されるが判定には使われない。よって 0000 の marker として
+ * `(hash, created_at=当該 when)` を 1 行入れれば、以後 `db:migrate` は when がより大きい 0001+ だけを
+ * 適用し、0000 は skip する。新規/テスト DB は marker が無いのでフルチェーンが走る（挙動不変）。
+ *
+ * この関数は `drizzle-orm` に依存しない（journal/SQL を自前で読み、hash は drizzle と同じ sha256）。
+ * QueryRunner（mysql2 の `Connection`/`Pool` が構造的に代入可能）に対して生 SQL を実行する。
+ *
+ * @packageDocumentation
+ */
+import { createHash } from 'node:crypto';
+import { existsSync, readFileSync } from 'node:fs';
+import { join } from 'node:path';
+/** drizzle が使う既定のマイグレーション管理テーブル名。 */
+const MIGRATIONS_TABLE = '__drizzle_migrations';
+/**
+ * `migrationsFolder`（drizzle の `out`、例 `./drizzle`）から baseline（最初の）エントリを読む。
+ *
+ * @param migrationsFolder - `meta/_journal.json` と `<tag>.sql` を含むフォルダ。
+ * @returns baseline エントリ（tag/when/hash）。
+ * @throws journal が無い / エントリが空 / `<tag>.sql` が無い場合。
+ */
+export function readBaselineEntry(migrationsFolder) {
+    const journalPath = join(migrationsFolder, 'meta', '_journal.json');
+    if (!existsSync(journalPath)) {
+        throw new Error(`Can't find meta/_journal.json under ${migrationsFolder}. Run \`drizzle-kit generate\` first.`);
+    }
+    const journal = JSON.parse(readFileSync(journalPath, 'utf8'));
+    const entries = journal.entries ?? [];
+    if (entries.length === 0) {
+        throw new Error(`No migration entries in ${journalPath}.`);
+    }
+    // 起点は必ず最初のエントリ（0000）。以降 0001+ は「新しい変更」なので既存 DB でも実行されるべき。
+    const first = entries[0];
+    const sqlPath = join(migrationsFolder, `${first.tag}.sql`);
+    if (!existsSync(sqlPath)) {
+        throw new Error(`Can't find ${first.tag}.sql under ${migrationsFolder}.`);
+    }
+    const sql = readFileSync(sqlPath, 'utf8');
+    return { tag: first.tag, when: first.when, hash: createHash('sha256').update(sql).digest('hex') };
+}
+async function rowsOf(db, sql, params) {
+    const result = (await db.query(sql, params));
+    return result[0] ?? [];
+}
+/**
+ * 既存 DB へ baseline（0000）を「適用済み」として記録する。冪等・安全ガード付き。
+ *
+ * @remarks
+ * ガード:
+ * - 既に baseline marker（`created_at = when`）が在れば **no-op**（`already-baselined`）。
+ * - marker は無いが `__drizzle_migrations` に別の行が在る → **中断**（想定外の状態）。
+ * - 対象 DB に base table が 1 つも無い（空 DB）→ **中断**（空 DB は 0000 を skip すると
+ *   テーブルが作られない。新規 DB には `db:migrate` を使う）。
+ *
+ * @param options - 接続と migrations フォルダ。{@link BaselineMigrationsOptions} 参照。
+ * @returns 挿入したか既に baseline 済みか。
+ * @throws 上記ガードに該当する場合。
+ */
+export async function baselineMigrations(options) {
+    const { db, migrationsFolder = './drizzle' } = options;
+    const baseline = readBaselineEntry(migrationsFolder);
+    // migrator と同一 DDL（存在すれば no-op）。
+    await db.query(`create table if not exists \`${MIGRATIONS_TABLE}\` (
+      id serial primary key,
+      hash text not null,
+      created_at bigint
+    )`);
+    // 既に baseline marker があれば冪等 no-op。
+    const existing = await rowsOf(db, `select id from \`${MIGRATIONS_TABLE}\` where created_at = ? limit 1`, [
+        baseline.when,
+    ]);
+    if (existing.length > 0) {
+        return { status: 'already-baselined', tag: baseline.tag, when: baseline.when };
+    }
+    // marker は無いが行が在る＝既に別の状態。誤爆防止で中断。
+    const countRows = await rowsOf(db, `select count(*) as n from \`${MIGRATIONS_TABLE}\``);
+    const rowCount = Number(countRows[0]?.n ?? 0);
+    if (rowCount > 0) {
+        throw new Error(`${MIGRATIONS_TABLE} already has ${rowCount} row(s) but no baseline marker (created_at=${baseline.when}). ` +
+            `Migration state is unexpected — refusing to insert. Inspect \`${MIGRATIONS_TABLE}\` manually.`);
+    }
+    // 空 DB への baseline は危険（0000 を skip 扱いにするとテーブルが作られない）。brownfield 確認。
+    const tableRows = await rowsOf(db, `select count(*) as n from information_schema.tables
+      where table_schema = DATABASE() and table_type = 'BASE TABLE' and table_name <> ?`, [MIGRATIONS_TABLE]);
+    const baseTableCount = Number(tableRows[0]?.n ?? 0);
+    if (baseTableCount === 0) {
+        throw new Error(`Target DB has no base tables. baseline records 0000 as applied WITHOUT creating tables — this is only ` +
+            `for existing (brownfield) DBs. For a fresh/empty DB run \`drizzle-kit migrate\` instead.`);
+    }
+    await db.query(`insert into \`${MIGRATIONS_TABLE}\` (\`hash\`, \`created_at\`) values (?, ?)`, [
+        baseline.hash,
+        baseline.when,
+    ]);
+    return { status: 'inserted', tag: baseline.tag, when: baseline.when, hash: baseline.hash };
+}

package/dist/db/orm-config.d.ts

@@ -102,3 +102,22 @@ export declare function honoDrizzleConfig(options: HonoDrizzleConfigOptions): {
     out: string;
     casing: "snake_case";
 };
+/** {@link resolveDbSecret} の戻り値（正規化済みの接続情報）。 */
+export interface ResolvedDbSecret {
+    host: string;
+    port: number;
+    dbname: string;
+    username: string;
+    password: string;
+}
+/**
+ * AWS RDS マネージド secret（`DB_SECRET` に入れた JSON 文字列）を解決する。
+ *
+ * @remarks
+ * - `DB_SECRET` 未設定 → `undefined`（ローカル/`db:generate` の正常フォールバック）。
+ * - 設定されている場合は「完全な接続情報」であることを要求し、**不正 JSON / 必須キー欠損は throw**
+ *   （静かに localhost へフォールバックして事故らせない）。`port` のみ欠損時は 3306 を補う。
+ *
+ * `honoDrizzleConfig`（db:migrate）と `workers-hono-kit-db-baseline` bin の双方が同じ解釈を使う。
+ */
+export declare function resolveDbSecret(): ResolvedDbSecret | undefined;

package/dist/db/orm-config.js

@@ -53,6 +53,28 @@ export const DRIZZLE_ORM_OPTIONS = { mode: 'default', casing: 'snake_case' };
  */
 export function honoDrizzleConfig(options) {
     const { database, host, port, user, password, schema = './src/db/schemes', out = './drizzle', tablesFilter, introspect, } = options;
+    // CI/本番の migrate は AWS Secrets Manager の RDS マネージド secret（キー
+    // host/port/dbname/username/password）を `DB_SECRET` にまるごと渡す運用を吸収する。JSON.parse で
+    // 解釈するので secret のキー名（host≠DB_HOST）差を map でき、password の特殊文字もシェル安全。
+    // 未設定（ローカル/db:generate）は従来どおり個別 env → デフォルトにフォールバック。
+    // DB_SECRET が在れば「完全な secret」として全接続情報をそれで確定する（欠損/不正は throw）。
+    // 未設定時のみ従来の個別 env → デフォルトにフォールバックする。
+    const secret = resolveDbSecret();
+    const dbCredentials = secret
+        ? {
+            host: secret.host,
+            port: secret.port,
+            user: secret.username,
+            password: secret.password,
+            database: secret.dbname,
+        }
+        : {
+            host: host ?? process.env.DB_HOST ?? '127.0.0.1',
+            port: port ?? Number(process.env.DB_PORT ?? 3306),
+            user: user ?? process.env.DB_USER ?? 'root',
+            password: password ?? process.env.DB_PASSWORD ?? 'root',
+            database,
+        };
     return {
         dialect: 'mysql',
         schema,
@@ -60,12 +82,37 @@ export function honoDrizzleConfig(options) {
         casing: 'snake_case',
         ...(tablesFilter ? { tablesFilter } : {}),
         ...(introspect ? { introspect } : {}),
-        dbCredentials: {
-            host: host ?? process.env.DB_HOST ?? '127.0.0.1',
-            port: port ?? Number(process.env.DB_PORT ?? 3306),
-            user: user ?? process.env.DB_USER ?? 'root',
-            password: password ?? process.env.DB_PASSWORD ?? 'root',
-            database,
-        },
+        dbCredentials,
     };
 }
+/**
+ * AWS RDS マネージド secret（`DB_SECRET` に入れた JSON 文字列）を解決する。
+ *
+ * @remarks
+ * - `DB_SECRET` 未設定 → `undefined`（ローカル/`db:generate` の正常フォールバック）。
+ * - 設定されている場合は「完全な接続情報」であることを要求し、**不正 JSON / 必須キー欠損は throw**
+ *   （静かに localhost へフォールバックして事故らせない）。`port` のみ欠損時は 3306 を補う。
+ *
+ * `honoDrizzleConfig`（db:migrate）と `workers-hono-kit-db-baseline` bin の双方が同じ解釈を使う。
+ */
+export function resolveDbSecret() {
+    const raw = process.env.DB_SECRET;
+    if (!raw) {
+        return undefined;
+    }
+    let parsed;
+    try {
+        parsed = JSON.parse(raw);
+    }
+    catch {
+        throw new Error('DB_SECRET is set but is not valid JSON (expected an AWS RDS managed secret string).');
+    }
+    const { host, dbname, username, password } = parsed;
+    if (typeof host !== 'string' ||
+        typeof dbname !== 'string' ||
+        typeof username !== 'string' ||
+        typeof password !== 'string') {
+        throw new Error('DB_SECRET must contain string host, dbname, username, password (AWS RDS managed secret shape).');
+    }
+    return { host, dbname, username, password, port: parsed.port === undefined ? 3306 : Number(parsed.port) };
+}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@rdlabo/workers-hono-kit",
-  "version": "0.3.4",
+  "version": "0.3.6",
   "private": false,
   "publishConfig": {
     "access": "public"
@@ -41,7 +41,8 @@
   ],
   "bin": {
     "workers-hono-kit-sync-dev-aws": "./scripts/sync-dev-aws.mjs",
-    "workers-hono-kit-check-subrequest-fanout": "./scripts/check-subrequest-fanout.mjs"
+    "workers-hono-kit-check-subrequest-fanout": "./scripts/check-subrequest-fanout.mjs",
+    "workers-hono-kit-db-baseline": "./scripts/db-baseline.mjs"
   },
   "exports": {
     ".": {

package/scripts/db-baseline.mjs

@@ -0,0 +1,69 @@
+#!/usr/bin/env node
+// Record the Drizzle baseline (0000) as *already applied* on an existing (brownfield) MySQL DB,
+// without executing its CREATE TABLE statements. One-time per environment.
+//
+// なぜ: 現行サービスの DB は先にスキーマが在るため、introspect 由来の baseline 0000 を `db:migrate`
+// で流すと衝突する。代わりに `__drizzle_migrations` に marker を 1 行入れ、以後 `db:migrate` が when の
+// 大きい 0001+ だけを適用するようにする（新規/テスト DB は marker 無しでフルチェーン＝挙動不変）。
+//
+// 実行基盤: VPC 内（AWS CodeBuild 等）から RDS へ直 TCP。Hyperdrive は Workers 専用で使えない。
+// creds は env（CodeBuild では Secrets Manager → env に注入）:
+//   DB_HOST / DB_PORT / DB_USER / DB_PASSWORD / DB_NAME
+// migrations フォルダ: 既定 ./drizzle（--migrations <dir> または MIGRATIONS_DIR で上書き）。
+//
+// usage:
+//   npx workers-hono-kit-db-baseline [--migrations ./drizzle]
+import { createConnection } from 'mysql2/promise';
+import { baselineMigrations } from '../dist/db/migrate.js';
+import { resolveDbSecret } from '../dist/db/index.js';
+
+function arg(name) {
+  const i = process.argv.indexOf(`--${name}`);
+  return i >= 0 ? process.argv[i + 1] : undefined;
+}
+
+const migrationsFolder = arg('migrations') ?? process.env.MIGRATIONS_DIR ?? './drizzle';
+// db:migrate（honoDrizzleConfig）と同じ DB_SECRET 解釈を共有する。CI/本番は AWS Secrets Manager の
+// RDS マネージド secret を DB_SECRET に渡す運用（不正/欠損は resolveDbSecret が throw）。未設定時は
+// 従来の個別 DB_* env にフォールバック。
+const secret = resolveDbSecret();
+const conn = secret
+  ? {
+      host: secret.host,
+      port: secret.port,
+      user: secret.username,
+      password: secret.password,
+      database: secret.dbname,
+    }
+  : {
+      host: process.env.DB_HOST ?? '127.0.0.1',
+      port: Number(process.env.DB_PORT ?? '3306'),
+      user: process.env.DB_USER ?? 'root',
+      password: process.env.DB_PASSWORD ?? 'root',
+      database: process.env.DB_NAME,
+    };
+
+if (!conn.database) {
+  console.error('[db:baseline] DB_NAME (or DB_SECRET) is required.');
+  process.exit(1);
+}
+
+console.log(`[db:baseline] target = ${conn.user}@${conn.host}:${conn.port}/${conn.database} (migrations: ${migrationsFolder})`);
+
+const db = await createConnection(conn);
+try {
+  const res = await baselineMigrations({ db, migrationsFolder });
+  if (res.status === 'already-baselined') {
+    console.log(`[db:baseline] already baselined (${res.tag}, created_at=${res.when}). no-op.`);
+  } else {
+    console.log(
+      `[db:baseline] inserted baseline marker for ${res.tag} (created_at=${res.when}). ` +
+        `0000 is now recorded as applied; future migrations will run.`,
+    );
+  }
+} catch (err) {
+  console.error('[db:baseline] failed:', err instanceof Error ? err.message : err);
+  process.exitCode = 1;
+} finally {
+  await db.end();
+}

package/src/db/index.ts

@@ -32,5 +32,8 @@ export type { HyperdriveLike, ExecutionContextLike } from './connection.js';
 
 export { toJstDate, jstTimestampParams, jstDatetimeParams, jstDateParams } from './jst.js';
 
-export { DRIZZLE_ORM_OPTIONS, honoDrizzleConfig } from './orm-config.js';
-export type { HonoDrizzleConfigOptions } from './orm-config.js';
+export { DRIZZLE_ORM_OPTIONS, honoDrizzleConfig, resolveDbSecret } from './orm-config.js';
+export type { HonoDrizzleConfigOptions, ResolvedDbSecret } from './orm-config.js';
+
+export { baselineMigrations, readBaselineEntry } from './migrate.js';
+export type { BaselineMigrationsOptions, BaselineResult, BaselineEntry } from './migrate.js';

package/src/db/migrate.ts

@@ -0,0 +1,155 @@
+/**
+ * Brownfield baseline for Drizzle MySQL migrations.
+ *
+ * 既存（現行サービス）の DB は先にスキーマが存在するため、コミット済みの baseline マイグレーション
+ * （`drizzle/0000_*.sql` = 現行スキーマを introspect した CREATE TABLE 群）を `db:migrate` で流すと
+ * 全テーブルが衝突して失敗する。そこで 0000 を **実行せず「適用済み」として記録**する。
+ *
+ * 適用判定の根拠（drizzle-orm/mysql-core dialect.migrate）: `__drizzle_migrations(id, hash,
+ * created_at)` の **`created_at` 最大値のみ**で未適用判定し、`max(created_at) < entry.when` の
+ * migration だけ実行する。hash は保存されるが判定には使われない。よって 0000 の marker として
+ * `(hash, created_at=当該 when)` を 1 行入れれば、以後 `db:migrate` は when がより大きい 0001+ だけを
+ * 適用し、0000 は skip する。新規/テスト DB は marker が無いのでフルチェーンが走る（挙動不変）。
+ *
+ * この関数は `drizzle-orm` に依存しない（journal/SQL を自前で読み、hash は drizzle と同じ sha256）。
+ * QueryRunner（mysql2 の `Connection`/`Pool` が構造的に代入可能）に対して生 SQL を実行する。
+ *
+ * @packageDocumentation
+ */
+import { createHash } from 'node:crypto';
+import { existsSync, readFileSync } from 'node:fs';
+import { join } from 'node:path';
+
+import type { QueryRunner } from './database.js';
+
+/** drizzle が使う既定のマイグレーション管理テーブル名。 */
+const MIGRATIONS_TABLE = '__drizzle_migrations';
+
+/** `meta/_journal.json` の 1 エントリ（必要なフィールドのみ）。 */
+interface JournalEntry {
+  idx: number;
+  when: number;
+  tag: string;
+}
+
+/** baseline（=最初の）マイグレーションの識別情報。 */
+export interface BaselineEntry {
+  /** マイグレーション tag（例 `0000_melted_weapon_omega`）。 */
+  tag: string;
+  /** `_journal.json` の `when`（= drizzle の `created_at`／`folderMillis`）。 */
+  when: number;
+  /** `<tag>.sql` の生内容の sha256（drizzle と同一アルゴリズム）。 */
+  hash: string;
+}
+
+/**
+ * `migrationsFolder`（drizzle の `out`、例 `./drizzle`）から baseline（最初の）エントリを読む。
+ *
+ * @param migrationsFolder - `meta/_journal.json` と `<tag>.sql` を含むフォルダ。
+ * @returns baseline エントリ（tag/when/hash）。
+ * @throws journal が無い / エントリが空 / `<tag>.sql` が無い場合。
+ */
+export function readBaselineEntry(migrationsFolder: string): BaselineEntry {
+  const journalPath = join(migrationsFolder, 'meta', '_journal.json');
+  if (!existsSync(journalPath)) {
+    throw new Error(`Can't find meta/_journal.json under ${migrationsFolder}. Run \`drizzle-kit generate\` first.`);
+  }
+  const journal = JSON.parse(readFileSync(journalPath, 'utf8')) as { entries?: JournalEntry[] };
+  const entries = journal.entries ?? [];
+  if (entries.length === 0) {
+    throw new Error(`No migration entries in ${journalPath}.`);
+  }
+  // 起点は必ず最初のエントリ（0000）。以降 0001+ は「新しい変更」なので既存 DB でも実行されるべき。
+  const first = entries[0];
+  const sqlPath = join(migrationsFolder, `${first.tag}.sql`);
+  if (!existsSync(sqlPath)) {
+    throw new Error(`Can't find ${first.tag}.sql under ${migrationsFolder}.`);
+  }
+  const sql = readFileSync(sqlPath, 'utf8');
+  return { tag: first.tag, when: first.when, hash: createHash('sha256').update(sql).digest('hex') };
+}
+
+/** {@link baselineMigrations} のオプション。 */
+export interface BaselineMigrationsOptions {
+  /** 生 SQL を実行する QueryRunner（mysql2 `Connection`/`Pool` が代入可能）。対象 DB に接続済みのこと。 */
+  db: QueryRunner;
+  /** drizzle の `out` フォルダ（既定 `./drizzle`）。 */
+  migrationsFolder?: string;
+}
+
+/** {@link baselineMigrations} の結果。 */
+export type BaselineResult =
+  | { status: 'inserted'; tag: string; when: number; hash: string }
+  | { status: 'already-baselined'; tag: string; when: number };
+
+async function rowsOf(db: QueryRunner, sql: string, params?: unknown[]): Promise<Record<string, unknown>[]> {
+  const result = (await db.query(sql, params)) as [Record<string, unknown>[] | undefined, unknown];
+  return result[0] ?? [];
+}
+
+/**
+ * 既存 DB へ baseline（0000）を「適用済み」として記録する。冪等・安全ガード付き。
+ *
+ * @remarks
+ * ガード:
+ * - 既に baseline marker（`created_at = when`）が在れば **no-op**（`already-baselined`）。
+ * - marker は無いが `__drizzle_migrations` に別の行が在る → **中断**（想定外の状態）。
+ * - 対象 DB に base table が 1 つも無い（空 DB）→ **中断**（空 DB は 0000 を skip すると
+ *   テーブルが作られない。新規 DB には `db:migrate` を使う）。
+ *
+ * @param options - 接続と migrations フォルダ。{@link BaselineMigrationsOptions} 参照。
+ * @returns 挿入したか既に baseline 済みか。
+ * @throws 上記ガードに該当する場合。
+ */
+export async function baselineMigrations(options: BaselineMigrationsOptions): Promise<BaselineResult> {
+  const { db, migrationsFolder = './drizzle' } = options;
+  const baseline = readBaselineEntry(migrationsFolder);
+
+  // migrator と同一 DDL（存在すれば no-op）。
+  await db.query(
+    `create table if not exists \`${MIGRATIONS_TABLE}\` (
+      id serial primary key,
+      hash text not null,
+      created_at bigint
+    )`,
+  );
+
+  // 既に baseline marker があれば冪等 no-op。
+  const existing = await rowsOf(db, `select id from \`${MIGRATIONS_TABLE}\` where created_at = ? limit 1`, [
+    baseline.when,
+  ]);
+  if (existing.length > 0) {
+    return { status: 'already-baselined', tag: baseline.tag, when: baseline.when };
+  }
+
+  // marker は無いが行が在る＝既に別の状態。誤爆防止で中断。
+  const countRows = await rowsOf(db, `select count(*) as n from \`${MIGRATIONS_TABLE}\``);
+  const rowCount = Number(countRows[0]?.n ?? 0);
+  if (rowCount > 0) {
+    throw new Error(
+      `${MIGRATIONS_TABLE} already has ${rowCount} row(s) but no baseline marker (created_at=${baseline.when}). ` +
+        `Migration state is unexpected — refusing to insert. Inspect \`${MIGRATIONS_TABLE}\` manually.`,
+    );
+  }
+
+  // 空 DB への baseline は危険（0000 を skip 扱いにするとテーブルが作られない）。brownfield 確認。
+  const tableRows = await rowsOf(
+    db,
+    `select count(*) as n from information_schema.tables
+      where table_schema = DATABASE() and table_type = 'BASE TABLE' and table_name <> ?`,
+    [MIGRATIONS_TABLE],
+  );
+  const baseTableCount = Number(tableRows[0]?.n ?? 0);
+  if (baseTableCount === 0) {
+    throw new Error(
+      `Target DB has no base tables. baseline records 0000 as applied WITHOUT creating tables — this is only ` +
+        `for existing (brownfield) DBs. For a fresh/empty DB run \`drizzle-kit migrate\` instead.`,
+    );
+  }
+
+  await db.query(`insert into \`${MIGRATIONS_TABLE}\` (\`hash\`, \`created_at\`) values (?, ?)`, [
+    baseline.hash,
+    baseline.when,
+  ]);
+  return { status: 'inserted', tag: baseline.tag, when: baseline.when, hash: baseline.hash };
+}

package/src/db/orm-config.ts

@@ -95,6 +95,28 @@ export function honoDrizzleConfig(options: HonoDrizzleConfigOptions) {
     tablesFilter,
     introspect,
   } = options;
+  // CI/本番の migrate は AWS Secrets Manager の RDS マネージド secret（キー
+  // host/port/dbname/username/password）を `DB_SECRET` にまるごと渡す運用を吸収する。JSON.parse で
+  // 解釈するので secret のキー名（host≠DB_HOST）差を map でき、password の特殊文字もシェル安全。
+  // 未設定（ローカル/db:generate）は従来どおり個別 env → デフォルトにフォールバック。
+  // DB_SECRET が在れば「完全な secret」として全接続情報をそれで確定する（欠損/不正は throw）。
+  // 未設定時のみ従来の個別 env → デフォルトにフォールバックする。
+  const secret = resolveDbSecret();
+  const dbCredentials = secret
+    ? {
+        host: secret.host,
+        port: secret.port,
+        user: secret.username,
+        password: secret.password,
+        database: secret.dbname,
+      }
+    : {
+        host: host ?? process.env.DB_HOST ?? '127.0.0.1',
+        port: port ?? Number(process.env.DB_PORT ?? 3306),
+        user: user ?? process.env.DB_USER ?? 'root',
+        password: password ?? process.env.DB_PASSWORD ?? 'root',
+        database,
+      };
   return {
     dialect: 'mysql' as const,
     schema,
@@ -102,12 +124,48 @@ export function honoDrizzleConfig(options: HonoDrizzleConfigOptions) {
     casing: 'snake_case' as const,
     ...(tablesFilter ? { tablesFilter } : {}),
     ...(introspect ? { introspect } : {}),
-    dbCredentials: {
-      host: host ?? process.env.DB_HOST ?? '127.0.0.1',
-      port: port ?? Number(process.env.DB_PORT ?? 3306),
-      user: user ?? process.env.DB_USER ?? 'root',
-      password: password ?? process.env.DB_PASSWORD ?? 'root',
-      database,
-    },
+    dbCredentials,
   };
 }
+
+/** {@link resolveDbSecret} の戻り値（正規化済みの接続情報）。 */
+export interface ResolvedDbSecret {
+  host: string;
+  port: number;
+  dbname: string;
+  username: string;
+  password: string;
+}
+
+/**
+ * AWS RDS マネージド secret（`DB_SECRET` に入れた JSON 文字列）を解決する。
+ *
+ * @remarks
+ * - `DB_SECRET` 未設定 → `undefined`（ローカル/`db:generate` の正常フォールバック）。
+ * - 設定されている場合は「完全な接続情報」であることを要求し、**不正 JSON / 必須キー欠損は throw**
+ *   （静かに localhost へフォールバックして事故らせない）。`port` のみ欠損時は 3306 を補う。
+ *
+ * `honoDrizzleConfig`（db:migrate）と `workers-hono-kit-db-baseline` bin の双方が同じ解釈を使う。
+ */
+export function resolveDbSecret(): ResolvedDbSecret | undefined {
+  const raw = process.env.DB_SECRET;
+  if (!raw) {
+    return undefined;
+  }
+  let parsed: Record<string, unknown>;
+  try {
+    parsed = JSON.parse(raw) as Record<string, unknown>;
+  } catch {
+    throw new Error('DB_SECRET is set but is not valid JSON (expected an AWS RDS managed secret string).');
+  }
+  const { host, dbname, username, password } = parsed;
+  if (
+    typeof host !== 'string' ||
+    typeof dbname !== 'string' ||
+    typeof username !== 'string' ||
+    typeof password !== 'string'
+  ) {
+    throw new Error('DB_SECRET must contain string host, dbname, username, password (AWS RDS managed secret shape).');
+  }
+  return { host, dbname, username, password, port: parsed.port === undefined ? 3306 : Number(parsed.port) };
+}