@ryusenkei/maezae 0.0.0-stage → 0.1.0

package/dist/preview.d.ts

@@ -0,0 +1,44 @@
+/** 経路ごとのヘッダーの名前（署名と主体） */
+export declare const SIGNED_HEADERS: {
+  /** MCP → CMS の署名（鍵は MCP_TOKEN） */
+  readonly mcp: "x-mcp-signature";
+  /** MCP → CMS のログインのメールアドレス（署名の主体） */
+  readonly mcpEmail: "x-mcp-email";
+  /** CMS ⇄ サイトのプレビューと下書きの署名（鍵は PREVIEW_TOKEN） */
+  readonly preview: "x-preview-signature";
+  /** CMS → 外の送信先の Webhook・外の関数の署名（鍵は登録ごと、受け手は verifyParts と同じ手順で照合） */
+  readonly outbound: "x-cms-signature";
+};
+/** 署名の対象（body は本文、なしは空） */
+type SignedParts = Readonly<{
+  method: string;
+  url: string;
+  body?: string | ArrayBuffer | Uint8Array | null;
+  /** 主体（MCP のログインのメールアドレスなど、なしは空） */
+  subject?: string | null;
+}>;
+/** 署名のヘッダーの値（t=<秒>,v1=<署名>） */
+export declare function signParts(secret: string, parts: SignedParts, now?: number): Promise<string>;
+/** 署名の照合（形の誤り・時刻のずれの超過・不一致は false） */
+export declare function verifyParts(secret: string, header: string | null | undefined, parts: SignedParts, { now, maxSkewSec }?: {
+  now?: number;
+  maxSkewSec?: number;
+}): Promise<boolean>;
+/** 署名を付けたヘッダー（init のヘッダーに署名と主体を追加した新しい Headers） */
+export declare function signedHeaders(secret: string, { method, url, body, subject }: SignedParts, { header, subjectHeader, init, now }: Readonly<{
+  header: string;
+  subjectHeader?: string;
+  init?: HeadersInit;
+  now?: number;
+}>): Promise<Headers>;
+/** 署名つきのリクエストを照合する設定 */
+type VerifyRequestOptions = Readonly<{
+  /** 署名のヘッダーの名前 */
+  header: string;
+  /** 主体のヘッダーの名前（なしは主体なしで照合） */
+  subjectHeader?: string;
+  now?: number;
+}>;
+/** リクエストの署名の照合（本文は複製から読み込み、元のリクエストの本文は残す） */
+export declare function verifyRequest(secret: string | undefined, request: Request, { header, subjectHeader, now }: VerifyRequestOptions): Promise<boolean>;
+export type { SignedParts, VerifyRequestOptions };

package/dist/preview.js

@@ -0,0 +1,103 @@
+// ../access/src/jwt.ts
+const CERTS_TTL_MS = 3e5;
+const REFRESH_INTERVAL_MS = 3e4;
+/** 公開鍵の一覧を保持する取得（取得の失敗は保持しない） */
+function cachedCerts(fetcher, clock = Date.now) {
+	const cache = /* @__PURE__ */ new Map();
+	return async (url, refresh = false) => {
+		const hit = cache.get(url);
+		const age = hit ? clock() - hit.at : Infinity;
+		if (hit && age < (refresh ? REFRESH_INTERVAL_MS : CERTS_TTL_MS)) return hit;
+		const fresh = await fetcher(url);
+		cache.set(url, {
+			keys: fresh.keys,
+			at: clock()
+		});
+		return fresh;
+	};
+}
+cachedCerts(async (url) => {
+	const res = await fetch(url);
+	if (!res.ok) throw new Error(`JWKS の取得に失敗（${res.status}）`);
+	return res.json();
+});
+/** base64url の復号 */
+const decodeBase64Url = (s) => Uint8Array.from(atob(s.replace(/-/g, "+").replace(/_/g, "/").padEnd(Math.ceil(s.length / 4) * 4, "=")), (c) => c.charCodeAt(0));
+// ../access/src/signed.ts
+const enc = new TextEncoder();
+/** 既定で許す時刻のずれ（秒） */
+const MAX_SKEW_SEC = 300;
+/** 経路ごとのヘッダーの名前（署名と主体） */
+const SIGNED_HEADERS = {
+	/** MCP → CMS の署名（鍵は MCP_TOKEN） */
+	mcp: "x-mcp-signature",
+	/** MCP → CMS のログインのメールアドレス（署名の主体） */
+	mcpEmail: "x-mcp-email",
+	/** CMS ⇄ サイトのプレビューと下書きの署名（鍵は PREVIEW_TOKEN） */
+	preview: "x-preview-signature",
+	/** CMS → 外の送信先の Webhook・外の関数の署名（鍵は登録ごと、受け手は verifyParts と同じ手順で照合） */
+	outbound: "x-cms-signature"
+};
+const base64Url = (bytes) => btoa(String.fromCharCode(...new Uint8Array(bytes))).replace(/\+/g, "-").replace(/\//g, "_").replace(/=+$/, "");
+const hmacKey = (secret) => crypto.subtle.importKey("raw", enc.encode(secret), {
+	name: "HMAC",
+	hash: "SHA-256"
+}, false, ["sign", "verify"]);
+async function messageOf(t, { method, url, body, subject }) {
+	const { pathname, search } = new URL(url);
+	const bytes = typeof body === "string" ? enc.encode(body) : body ? Uint8Array.from(new Uint8Array(body)) : /* @__PURE__ */ new Uint8Array();
+	const digest = base64Url(await crypto.subtle.digest("SHA-256", bytes));
+	return enc.encode([
+		"v1",
+		t,
+		method.toUpperCase(),
+		`${pathname}${search}`,
+		subject ?? "",
+		digest
+	].join("\n"));
+}
+/** 署名のヘッダーの値（t=<秒>,v1=<署名>） */
+async function signParts(secret, parts, now = Date.now()) {
+	const t = Math.floor(now / 1e3);
+	const sig = await crypto.subtle.sign("HMAC", await hmacKey(secret), await messageOf(t, parts));
+	return `t=${t},v1=${base64Url(sig)}`;
+}
+/** 署名の照合（形の誤り・時刻のずれの超過・不一致は false） */
+async function verifyParts(secret, header, parts, { now = Date.now(), maxSkewSec = MAX_SKEW_SEC } = {}) {
+	if (!secret || !header) return false;
+	const fields = Object.fromEntries(header.split(",").map((f) => f.trim().split("=", 2)));
+	const t = Number(fields.t);
+	if (!Number.isInteger(t) || !fields.v1 || Math.abs(now / 1e3 - t) > maxSkewSec) return false;
+	try {
+		return await crypto.subtle.verify("HMAC", await hmacKey(secret), decodeBase64Url(fields.v1), await messageOf(t, parts));
+	} catch {
+		return false;
+	}
+}
+/** 署名を付けたヘッダー（init のヘッダーに署名と主体を追加した新しい Headers） */
+async function signedHeaders(secret, { method, url, body, subject }, { header, subjectHeader, init, now }) {
+	const headers = new Headers(init);
+	if (subjectHeader && subject) headers.set(subjectHeader, subject);
+	headers.set(header, await signParts(secret, {
+		method,
+		url,
+		body: body ?? null,
+		subject: subjectHeader ? subject : null
+	}, now));
+	return headers;
+}
+/** リクエストの署名の照合（本文は複製から読み込み、元のリクエストの本文は残す） */
+async function verifyRequest(secret, request, { header, subjectHeader, now }) {
+	const value = request.headers.get(header);
+	if (!secret || !value) return false;
+	const body = request.body ? await request.clone().arrayBuffer() : null;
+	return verifyParts(secret, value, {
+		method: request.method,
+		url: request.url,
+		body,
+		subject: subjectHeader ? request.headers.get(subjectHeader) : null
+	}, now === void 0 ? {} : { now });
+}
+"0".repeat(32);
+"0".repeat(16);
+export { SIGNED_HEADERS, signParts, signedHeaders, verifyParts, verifyRequest };

package/package.json

@@ -1,6 +1,50 @@
 {
   "name": "@ryusenkei/maezae",
-  "version": "0.0.0-stage",
-  "stub": true,
-  "description": "Temporary package placeholder for staged publishing"
+  "version": "0.1.0",
+  "description": "maezae の導入先のサイト向けの SDK（配信 API の取得・本文の型・プレビューの署名）",
+  "license": "UNLICENSED",
+  "author": "RYUSENKEI",
+  "repository": {
+    "type": "git",
+    "url": "git+https://github.com/ryusenkei-inc/maezae.git",
+    "directory": "packages/sdk"
+  },
+  "type": "module",
+  "sideEffects": false,
+  "exports": {
+    "./delivery": {
+      "types": "./dist/delivery.d.ts",
+      "default": "./dist/delivery.js"
+    },
+    "./body": {
+      "types": "./dist/body.d.ts",
+      "default": "./dist/body.js"
+    },
+    "./model": {
+      "types": "./dist/model.d.ts",
+      "default": "./dist/model.js"
+    },
+    "./preview": {
+      "types": "./dist/preview.d.ts",
+      "default": "./dist/preview.js"
+    }
+  },
+  "files": [
+    "dist"
+  ],
+  "publishConfig": {
+    "access": "public"
+  },
+  "dependencies": {
+    "zod": "^4.6.7"
+  },
+  "devDependencies": {
+    "@types/node": "^26.6.6",
+    "tsdown": "^0.23.7",
+    "typescript": "^5.9.3"
+  },
+  "scripts": {
+    "build": "node --max-old-space-size=6144 scripts/build.ts && node scripts/check-dist.ts",
+    "typecheck": "tsc"
+  }
 }