@ryusenkei/maezae 0.1.0 → 0.3.0

package/dist/preview.d.ts

@@ -1,44 +1 @@
-/** 経路ごとのヘッダーの名前（署名と主体） */
-export declare const SIGNED_HEADERS: {
-  /** MCP → CMS の署名（鍵は MCP_TOKEN） */
-  readonly mcp: "x-mcp-signature";
-  /** MCP → CMS のログインのメールアドレス（署名の主体） */
-  readonly mcpEmail: "x-mcp-email";
-  /** CMS ⇄ サイトのプレビューと下書きの署名（鍵は PREVIEW_TOKEN） */
-  readonly preview: "x-preview-signature";
-  /** CMS → 外の送信先の Webhook・外の関数の署名（鍵は登録ごと、受け手は verifyParts と同じ手順で照合） */
-  readonly outbound: "x-cms-signature";
-};
-/** 署名の対象（body は本文、なしは空） */
-type SignedParts = Readonly<{
-  method: string;
-  url: string;
-  body?: string | ArrayBuffer | Uint8Array | null;
-  /** 主体（MCP のログインのメールアドレスなど、なしは空） */
-  subject?: string | null;
-}>;
-/** 署名のヘッダーの値（t=<秒>,v1=<署名>） */
-export declare function signParts(secret: string, parts: SignedParts, now?: number): Promise<string>;
-/** 署名の照合（形の誤り・時刻のずれの超過・不一致は false） */
-export declare function verifyParts(secret: string, header: string | null | undefined, parts: SignedParts, { now, maxSkewSec }?: {
-  now?: number;
-  maxSkewSec?: number;
-}): Promise<boolean>;
-/** 署名を付けたヘッダー（init のヘッダーに署名と主体を追加した新しい Headers） */
-export declare function signedHeaders(secret: string, { method, url, body, subject }: SignedParts, { header, subjectHeader, init, now }: Readonly<{
-  header: string;
-  subjectHeader?: string;
-  init?: HeadersInit;
-  now?: number;
-}>): Promise<Headers>;
-/** 署名つきのリクエストを照合する設定 */
-type VerifyRequestOptions = Readonly<{
-  /** 署名のヘッダーの名前 */
-  header: string;
-  /** 主体のヘッダーの名前（なしは主体なしで照合） */
-  subjectHeader?: string;
-  now?: number;
-}>;
-/** リクエストの署名の照合（本文は複製から読み込み、元のリクエストの本文は残す） */
-export declare function verifyRequest(secret: string | undefined, request: Request, { header, subjectHeader, now }: VerifyRequestOptions): Promise<boolean>;
-export type { SignedParts, VerifyRequestOptions };
+export * from './types/sdk/src/preview.js';

package/dist/preview.js

@@ -1,103 +1 @@
-// ../access/src/jwt.ts
-const CERTS_TTL_MS = 3e5;
-const REFRESH_INTERVAL_MS = 3e4;
-/** 公開鍵の一覧を保持する取得（取得の失敗は保持しない） */
-function cachedCerts(fetcher, clock = Date.now) {
-	const cache = /* @__PURE__ */ new Map();
-	return async (url, refresh = false) => {
-		const hit = cache.get(url);
-		const age = hit ? clock() - hit.at : Infinity;
-		if (hit && age < (refresh ? REFRESH_INTERVAL_MS : CERTS_TTL_MS)) return hit;
-		const fresh = await fetcher(url);
-		cache.set(url, {
-			keys: fresh.keys,
-			at: clock()
-		});
-		return fresh;
-	};
-}
-cachedCerts(async (url) => {
-	const res = await fetch(url);
-	if (!res.ok) throw new Error(`JWKS の取得に失敗（${res.status}）`);
-	return res.json();
-});
-/** base64url の復号 */
-const decodeBase64Url = (s) => Uint8Array.from(atob(s.replace(/-/g, "+").replace(/_/g, "/").padEnd(Math.ceil(s.length / 4) * 4, "=")), (c) => c.charCodeAt(0));
-// ../access/src/signed.ts
-const enc = new TextEncoder();
-/** 既定で許す時刻のずれ（秒） */
-const MAX_SKEW_SEC = 300;
-/** 経路ごとのヘッダーの名前（署名と主体） */
-const SIGNED_HEADERS = {
-	/** MCP → CMS の署名（鍵は MCP_TOKEN） */
-	mcp: "x-mcp-signature",
-	/** MCP → CMS のログインのメールアドレス（署名の主体） */
-	mcpEmail: "x-mcp-email",
-	/** CMS ⇄ サイトのプレビューと下書きの署名（鍵は PREVIEW_TOKEN） */
-	preview: "x-preview-signature",
-	/** CMS → 外の送信先の Webhook・外の関数の署名（鍵は登録ごと、受け手は verifyParts と同じ手順で照合） */
-	outbound: "x-cms-signature"
-};
-const base64Url = (bytes) => btoa(String.fromCharCode(...new Uint8Array(bytes))).replace(/\+/g, "-").replace(/\//g, "_").replace(/=+$/, "");
-const hmacKey = (secret) => crypto.subtle.importKey("raw", enc.encode(secret), {
-	name: "HMAC",
-	hash: "SHA-256"
-}, false, ["sign", "verify"]);
-async function messageOf(t, { method, url, body, subject }) {
-	const { pathname, search } = new URL(url);
-	const bytes = typeof body === "string" ? enc.encode(body) : body ? Uint8Array.from(new Uint8Array(body)) : /* @__PURE__ */ new Uint8Array();
-	const digest = base64Url(await crypto.subtle.digest("SHA-256", bytes));
-	return enc.encode([
-		"v1",
-		t,
-		method.toUpperCase(),
-		`${pathname}${search}`,
-		subject ?? "",
-		digest
-	].join("\n"));
-}
-/** 署名のヘッダーの値（t=<秒>,v1=<署名>） */
-async function signParts(secret, parts, now = Date.now()) {
-	const t = Math.floor(now / 1e3);
-	const sig = await crypto.subtle.sign("HMAC", await hmacKey(secret), await messageOf(t, parts));
-	return `t=${t},v1=${base64Url(sig)}`;
-}
-/** 署名の照合（形の誤り・時刻のずれの超過・不一致は false） */
-async function verifyParts(secret, header, parts, { now = Date.now(), maxSkewSec = MAX_SKEW_SEC } = {}) {
-	if (!secret || !header) return false;
-	const fields = Object.fromEntries(header.split(",").map((f) => f.trim().split("=", 2)));
-	const t = Number(fields.t);
-	if (!Number.isInteger(t) || !fields.v1 || Math.abs(now / 1e3 - t) > maxSkewSec) return false;
-	try {
-		return await crypto.subtle.verify("HMAC", await hmacKey(secret), decodeBase64Url(fields.v1), await messageOf(t, parts));
-	} catch {
-		return false;
-	}
-}
-/** 署名を付けたヘッダー（init のヘッダーに署名と主体を追加した新しい Headers） */
-async function signedHeaders(secret, { method, url, body, subject }, { header, subjectHeader, init, now }) {
-	const headers = new Headers(init);
-	if (subjectHeader && subject) headers.set(subjectHeader, subject);
-	headers.set(header, await signParts(secret, {
-		method,
-		url,
-		body: body ?? null,
-		subject: subjectHeader ? subject : null
-	}, now));
-	return headers;
-}
-/** リクエストの署名の照合（本文は複製から読み込み、元のリクエストの本文は残す） */
-async function verifyRequest(secret, request, { header, subjectHeader, now }) {
-	const value = request.headers.get(header);
-	if (!secret || !value) return false;
-	const body = request.body ? await request.clone().arrayBuffer() : null;
-	return verifyParts(secret, value, {
-		method: request.method,
-		url: request.url,
-		body,
-		subject: subjectHeader ? request.headers.get(subjectHeader) : null
-	}, now === void 0 ? {} : { now });
-}
-"0".repeat(32);
-"0".repeat(16);
-export { SIGNED_HEADERS, signParts, signedHeaders, verifyParts, verifyRequest };
+export { i as SIGNED_HEADERS, o as signParts, s as signedHeaders, c as verifyParts, l as verifyRequest } from "./src-Baj-EC2G.js";

package/dist/src-Baj-EC2G.js

@@ -0,0 +1,205 @@
+// ../access/src/jwt.ts
+const CERTS_TTL_MS = 3e5;
+const REFRESH_INTERVAL_MS = 3e4;
+/** 公開鍵の一覧を保持する取得（取得の失敗は保持しない） */
+function cachedCerts(fetcher, clock = Date.now) {
+	const cache = /* @__PURE__ */ new Map();
+	return async (url, refresh = false) => {
+		const hit = cache.get(url);
+		const age = hit ? clock() - hit.at : Infinity;
+		if (hit && age < (refresh ? REFRESH_INTERVAL_MS : CERTS_TTL_MS)) return hit;
+		const fresh = await fetcher(url);
+		cache.set(url, {
+			keys: fresh.keys,
+			at: clock()
+		});
+		return fresh;
+	};
+}
+cachedCerts(async (url) => {
+	const res = await fetch(url);
+	if (!res.ok) throw new Error(`JWKS の取得に失敗（${res.status}）`);
+	return res.json();
+});
+/** base64url の復号 */
+const decodeBase64Url = (s) => Uint8Array.from(atob(s.replace(/-/g, "+").replace(/_/g, "/").padEnd(Math.ceil(s.length / 4) * 4, "=")), (c) => c.charCodeAt(0));
+// ../access/src/signed.ts
+const enc = new TextEncoder();
+/** 既定で許す時刻のずれ（秒） */
+const MAX_SKEW_SEC = 300;
+/** 経路ごとのヘッダーの名前（署名と主体） */
+const SIGNED_HEADERS = {
+	/** MCP → CMS の署名（鍵は MCP_TOKEN） */
+	mcp: "x-mcp-signature",
+	/** MCP → CMS のログインのメールアドレス（署名の主体） */
+	mcpEmail: "x-mcp-email",
+	/** CMS ⇄ サイトのプレビューと下書きの署名（鍵は PREVIEW_TOKEN） */
+	preview: "x-preview-signature",
+	/** CMS → 外の送信先の Webhook・外の関数の署名（鍵は登録ごと、受け手は verifyParts と同じ手順で照合） */
+	outbound: "x-cms-signature"
+};
+const base64Url = (bytes) => btoa(String.fromCharCode(...new Uint8Array(bytes))).replace(/\+/g, "-").replace(/\//g, "_").replace(/=+$/, "");
+const hmacKey = (secret) => crypto.subtle.importKey("raw", enc.encode(secret), {
+	name: "HMAC",
+	hash: "SHA-256"
+}, false, ["sign", "verify"]);
+async function messageOf(t, { method, url, body, subject }) {
+	const { pathname, search } = new URL(url);
+	const bytes = typeof body === "string" ? enc.encode(body) : body ? Uint8Array.from(new Uint8Array(body)) : /* @__PURE__ */ new Uint8Array();
+	const digest = base64Url(await crypto.subtle.digest("SHA-256", bytes));
+	return enc.encode([
+		"v1",
+		t,
+		method.toUpperCase(),
+		`${pathname}${search}`,
+		subject ?? "",
+		digest
+	].join("\n"));
+}
+/** 署名のヘッダーの値（t=<秒>,v1=<署名>） */
+async function signParts(secret, parts, now = Date.now()) {
+	const t = Math.floor(now / 1e3);
+	const sig = await crypto.subtle.sign("HMAC", await hmacKey(secret), await messageOf(t, parts));
+	return `t=${t},v1=${base64Url(sig)}`;
+}
+/** 署名の照合（形の誤り・時刻のずれの超過・不一致は false） */
+async function verifyParts(secret, header, parts, { now = Date.now(), maxSkewSec = MAX_SKEW_SEC } = {}) {
+	if (!secret || !header) return false;
+	const fields = Object.fromEntries(header.split(",").map((f) => f.trim().split("=", 2)));
+	const t = Number(fields.t);
+	if (!Number.isInteger(t) || !fields.v1 || Math.abs(now / 1e3 - t) > maxSkewSec) return false;
+	try {
+		return await crypto.subtle.verify("HMAC", await hmacKey(secret), decodeBase64Url(fields.v1), await messageOf(t, parts));
+	} catch {
+		return false;
+	}
+}
+/** 署名を付けたヘッダー（init のヘッダーに署名と主体を追加した新しい Headers） */
+async function signedHeaders(secret, { method, url, body, subject }, { header, subjectHeader, init, now }) {
+	const headers = new Headers(init);
+	if (subjectHeader && subject) headers.set(subjectHeader, subject);
+	headers.set(header, await signParts(secret, {
+		method,
+		url,
+		body: body ?? null,
+		subject: subjectHeader ? subject : null
+	}, now));
+	return headers;
+}
+/** リクエストの署名の照合（本文は複製から読み込み、元のリクエストの本文は残す） */
+async function verifyRequest(secret, request, { header, subjectHeader, now }) {
+	const value = request.headers.get(header);
+	if (!secret || !value) return false;
+	const body = request.body ? await request.clone().arrayBuffer() : null;
+	return verifyParts(secret, value, {
+		method: request.method,
+		url: request.url,
+		body,
+		subject: subjectHeader ? request.headers.get(subjectHeader) : null
+	}, now === void 0 ? {} : { now });
+}
+/** 封印した値（署名の不一致・期限切れ・形の誤りは null） */
+async function openValue(secret, token, now = Date.now()) {
+	const [body, sig] = token?.split(".") ?? [];
+	if (!secret || !body || !sig) return null;
+	try {
+		if (!await crypto.subtle.verify("HMAC", await hmacKey(secret), decodeBase64Url(sig), enc.encode(body))) return null;
+		const { v, exp } = JSON.parse(new TextDecoder().decode(decodeBase64Url(body)));
+		return typeof exp === "number" && exp * 1e3 > now ? v : null;
+	} catch {
+		return null;
+	}
+}
+// ../access/src/traceparent.ts
+/** traceparent のヘッダーの名前 */
+const TRACEPARENT_HEADER = "traceparent";
+const PATTERN = /^([0-9a-f]{2})-([0-9a-f]{32})-([0-9a-f]{16})-([0-9a-f]{2})(-.*)?$/;
+const ZERO_TRACE = "0".repeat(32);
+const ZERO_SPAN = "0".repeat(16);
+/** 受け取った traceparent の解釈（なし・形の違反は null） */
+function parseTraceparent(value) {
+	const m = value ? PATTERN.exec(value.trim()) : null;
+	if (!m) return null;
+	const [, version, traceId, spanId, flags, rest] = m;
+	if (version === "ff" || version === "00" && rest !== void 0) return null;
+	if (traceId === ZERO_TRACE || spanId === ZERO_SPAN) return null;
+	return {
+		traceId,
+		spanId,
+		sampled: (parseInt(flags, 16) & 1) === 1
+	};
+}
+/** traceparent の値（版は00） */
+const formatTraceparent = (ctx) => `00-${ctx.traceId}-${ctx.spanId}-${ctx.sampled ? "01" : "00"}`;
+function randomHexId(bytes) {
+	const values = crypto.getRandomValues(new Uint8Array(bytes));
+	let hex = "";
+	for (const b of values) hex += b.toString(16).padStart(2, "0");
+	return hex;
+}
+/** 新しいトレースの ID（32桁） */
+const newTraceId = () => randomHexId(16);
+/** 新しい区間の ID（16桁） */
+const newSpanId = () => randomHexId(8);
+// ../access/src/span.ts
+/** 記録の割合（0〜1、なし・範囲の外・数でない値は1） */
+const sampleRateOf = (value) => {
+	const rate = value === void 0 || value.trim() === "" ? NaN : Number(value);
+	return rate >= 0 && rate <= 1 ? rate : 1;
+};
+/** エントリポイントの区間の開始（受け取った traceparent の子か、新しいトレースの根） */
+function startEdgeSpan({ name, request, sampleRate = 1, write = (line) => console.info(line) }) {
+	const parent = parseTraceparent(request.headers.get(TRACEPARENT_HEADER));
+	const context = {
+		traceId: parent?.traceId ?? newTraceId(),
+		spanId: newSpanId(),
+		sampled: parent ? parent.sampled : Math.random() < sampleRate
+	};
+	const attributes = {
+		method: request.method,
+		path: new URL(request.url).pathname
+	};
+	const started = performance.now();
+	let ended = false;
+	return {
+		context,
+		traceparent: formatTraceparent(context),
+		end(result) {
+			if (ended) return;
+			ended = true;
+			if (!context.sampled) return;
+			const status = result === "error" || result >= 500 ? "error" : "ok";
+			const durationMs = Math.round((performance.now() - started) * 10) / 10;
+			const span = {
+				traceId: context.traceId,
+				spanId: context.spanId,
+				parentSpanId: parent?.spanId ?? null,
+				name,
+				durationMs,
+				status,
+				attributes: {
+					...attributes,
+					...result !== "error" && { status: result }
+				}
+			};
+			write(JSON.stringify({
+				level: "info",
+				msg: "span",
+				...span
+			}));
+		}
+	};
+}
+/** 処理をエントリポイントの区間で包む（応答のステータスか例外で終了、例外は再送出） */
+async function withEdgeSpan(options, handle) {
+	const span = startEdgeSpan(options);
+	try {
+		const res = await handle(span);
+		span.end(res.status);
+		return res;
+	} catch (e) {
+		span.end("error");
+		throw e;
+	}
+}
+export { openValue as a, verifyParts as c, SIGNED_HEADERS as i, verifyRequest as l, withEdgeSpan as n, signParts as o, TRACEPARENT_HEADER as r, signedHeaders as s, sampleRateOf as t };

package/dist/src-BrLwIWaT.js

@@ -0,0 +1,7 @@
+Object.fromEntries([
+	"read",
+	"create",
+	"update",
+	"publish",
+	"delete"
+].map((a) => [a, "all"]));

package/dist/trace.d.ts

@@ -0,0 +1 @@
+export * from './types/sdk/src/trace.js';

package/dist/trace.js

@@ -0,0 +1 @@
+export { r as TRACEPARENT_HEADER, t as sampleRateOf, n as withEdgeSpan } from "./src-Baj-EC2G.js";

package/dist/types/access/src/index.d.ts

@@ -0,0 +1,5 @@
+export { accessJwtOptions, type FetchCerts, type JwtClaims, type JwtOptions, verifyAccessJwt, verifyJwt } from './jwt.js';
+export { emailOfClaims, type LoginAuth, oidcLogin, type OidcLoginOptions, tokenAuth, type TokenAuthOptions } from './oidc.js';
+export { type EdgeSpan, type EdgeSpanOptions, type EdgeSpanStatus, sampleRateOf, startEdgeSpan, withEdgeSpan } from './span.js';
+export { openValue, sealValue, SIGNED_HEADERS, signedHeaders, signParts, type SignedParts, verifyParts, verifyRequest, type VerifyRequestOptions } from './signed.js';
+export { childTraceContext, formatTraceparent, newSpanId, newTraceId, parseTraceparent, type TraceContext, TRACEPARENT_HEADER } from './traceparent.js';

package/dist/types/access/src/jwt.d.ts

@@ -0,0 +1,42 @@
+type Jwk = JsonWebKey & {
+    kid?: string;
+};
+/** 公開鍵の一覧の取得（引数は JWKS の URL、refresh は保持した値を使用せずに再取得、テストで差し替え） */
+export type FetchCerts = (jwksUrl: string, refresh?: boolean) => Promise<{
+    keys: Jwk[];
+}>;
+/** JWT のクレーム（検証を通った値） */
+export type JwtClaims = Readonly<Record<string, unknown>>;
+/** JWT の検証の設定 */
+export type JwtOptions = Readonly<{
+    /** 発行元（iss と完全に一致） */
+    issuer: string;
+    /** 宛先（aud のどれかと一致、一覧はどれか1つと一致） */
+    audience: string | readonly string[];
+    /** 公開鍵の一覧の URL */
+    jwksUrl: string;
+    now?: number;
+    certs?: FetchCerts;
+}>;
+/** 公開鍵の一覧を保持する取得（取得の失敗は保持しない） */
+export declare function cachedCerts(fetcher: FetchCerts, clock?: () => number): FetchCerts;
+/** base64url の復号 */
+export declare const decodeBase64Url: (s: string) => Uint8Array<ArrayBuffer>;
+/** 検証を通った JWT のクレーム（署名・発行元・宛先・期限のどれかが違えば null） */
+export declare function verifyJwt(token: string, { issuer, audience, jwksUrl, now, certs }: JwtOptions): Promise<JwtClaims | null>;
+/**
+ * Cloudflare Access の JWT を検証する設定（teamDomain は <チーム>.cloudflareaccess.com、aud はアプリの AUD）
+ * - aud: カンマ区切りで複数のアプリ（ホスト名ごとにアプリが分かれる管理画面、どのアプリを通すかは Access がホスト名で判定）
+ */
+export declare const accessJwtOptions: ({ teamDomain, aud }: Readonly<{
+    teamDomain: string;
+    aud: string;
+}>) => Pick<JwtOptions, "issuer" | "audience" | "jwksUrl">;
+/** Access の検証を通ったログインのメールアドレス、サービストークンは service:<クライアントの ID>（通らなければ null） */
+export declare function verifyAccessJwt(token: string, { teamDomain, aud, now, certs }: {
+    teamDomain: string;
+    aud: string;
+    now?: number;
+    certs?: FetchCerts;
+}): Promise<string | null>;
+export {};

package/dist/types/access/src/oidc.d.ts

@@ -0,0 +1,47 @@
+import { type FetchCerts, type JwtClaims, type JwtOptions } from './jwt.js';
+/** ログイン（Auth のポートと同じ形） */
+export type LoginAuth = {
+    emailOf(request: Request): Promise<string | null>;
+    /** ログインの入り口の応答（対象外のパスは null） */
+    handle?(request: Request): Promise<Response | null>;
+    /** ログアウトの応答 */
+    logout?(request: Request): Promise<Response>;
+};
+/** クレームのメールアドレス（なし・未検証は null、小文字に統一） */
+export declare function emailOfClaims(claims: JwtClaims | null, claim?: string): string | null;
+/** ヘッダーの JWT で判定するログインの設定 */
+export type TokenAuthOptions = Readonly<{
+    issuer: string;
+    audience: JwtOptions['audience'];
+    /** 公開鍵の一覧の URL（なしは発行元の OIDC の設定から） */
+    jwksUrl?: string;
+    /** JWT のヘッダー（既定 authorization、authorization は Bearer を除外） */
+    header?: string;
+    /** メールアドレスのクレーム（既定 email） */
+    emailClaim?: string;
+    certs?: FetchCerts;
+    fetch?: typeof fetch;
+}>;
+/** ヘッダーの JWT を検証するログイン */
+export declare function tokenAuth({ issuer, audience, jwksUrl, header, emailClaim, certs, fetch: fetcher }: TokenAuthOptions): LoginAuth;
+/** アプリ自身が行う OIDC のログインの設定 */
+export type OidcLoginOptions = Readonly<{
+    issuer: string;
+    clientId: string;
+    /** クライアントの秘密の値（公開のクライアントは なし、PKCE だけ） */
+    clientSecret?: string;
+    /** Cookie の署名の鍵 */
+    secret: string;
+    /** 入り口のパスの頭（既定 /auth） */
+    basePath?: string;
+    /** 要求するスコープ（既定 openid email） */
+    scope?: string;
+    /** セッションの秒数（既定は8時間） */
+    sessionTtlSec?: number;
+    certs?: FetchCerts;
+    fetch?: typeof fetch;
+}>;
+/** 同じオリジンの戻り先（外のオリジンへの転送を防ぐ） */
+export declare const safeNext: (next: string | null) => string;
+/** アプリ自身の OIDC のログイン（認可コードのフローと署名つきの Cookie のセッション） */
+export declare function oidcLogin({ issuer, clientId, clientSecret, secret, basePath, scope, sessionTtlSec, certs, fetch: fetcher }: OidcLoginOptions): LoginAuth;

package/dist/types/access/src/signed.d.ts

@@ -0,0 +1,47 @@
+/** 経路ごとのヘッダーの名前（署名と主体） */
+export declare const SIGNED_HEADERS: {
+    /** MCP → CMS の署名（鍵は MCP_TOKEN） */
+    readonly mcp: "x-mcp-signature";
+    /** MCP → CMS のログインのメールアドレス（署名の主体） */
+    readonly mcpEmail: "x-mcp-email";
+    /** CMS ⇄ サイトのプレビューと下書きの署名（鍵は PREVIEW_TOKEN） */
+    readonly preview: "x-preview-signature";
+    /** CMS → 外の送信先の Webhook・外の関数の署名（鍵は登録ごと、受け手は verifyParts と同じ手順で照合） */
+    readonly outbound: "x-cms-signature";
+};
+/** 署名の対象（body は本文、なしは空） */
+export type SignedParts = Readonly<{
+    method: string;
+    url: string;
+    body?: string | ArrayBuffer | Uint8Array | null;
+    /** 主体（MCP のログインのメールアドレスなど、なしは空） */
+    subject?: string | null;
+}>;
+/** 署名のヘッダーの値（t=<秒>,v1=<署名>） */
+export declare function signParts(secret: string, parts: SignedParts, now?: number): Promise<string>;
+/** 署名の照合（形の誤り・時刻のずれの超過・不一致は false） */
+export declare function verifyParts(secret: string, header: string | null | undefined, parts: SignedParts, { now, maxSkewSec }?: {
+    now?: number;
+    maxSkewSec?: number;
+}): Promise<boolean>;
+/** 署名を付けたヘッダー（init のヘッダーに署名と主体を追加した新しい Headers） */
+export declare function signedHeaders(secret: string, { method, url, body, subject }: SignedParts, { header, subjectHeader, init, now }: Readonly<{
+    header: string;
+    subjectHeader?: string;
+    init?: HeadersInit;
+    now?: number;
+}>): Promise<Headers>;
+/** 署名つきのリクエストを照合する設定 */
+export type VerifyRequestOptions = Readonly<{
+    /** 署名のヘッダーの名前 */
+    header: string;
+    /** 主体のヘッダーの名前（なしは主体なしで照合） */
+    subjectHeader?: string;
+    now?: number;
+}>;
+/** リクエストの署名の照合（本文は複製から読み込み、元のリクエストの本文は残す） */
+export declare function verifyRequest(secret: string | undefined, request: Request, { header, subjectHeader, now }: VerifyRequestOptions): Promise<boolean>;
+/** 期限と署名を付けた値（JSON にできる値、ttlSec は有効な秒数） */
+export declare function sealValue(secret: string, value: unknown, ttlSec: number, now?: number): Promise<string>;
+/** 封印した値（署名の不一致・期限切れ・形の誤りは null） */
+export declare function openValue<T = unknown>(secret: string, token: string | null | undefined, now?: number): Promise<T | null>;

package/dist/types/access/src/span.d.ts

@@ -0,0 +1,23 @@
+import { type TraceContext } from './traceparent.js';
+/** 区間の結果（ok・error、logTracer と同じ値） */
+export type EdgeSpanStatus = 'ok' | 'error';
+/** エントリポイントの区間（context は転送先へ受け渡す自身の区間、traceparent はその値） */
+export type EdgeSpan = Readonly<{
+    context: TraceContext;
+    traceparent: string;
+    /** 応答のステータスの数か例外で終了（500以上・例外は error、2回目以降は無視） */
+    end: (result: number | 'error') => void;
+}>;
+/** エントリポイントの区間の引数（write は1行の出力先、既定は console.info） */
+export type EdgeSpanOptions = Readonly<{
+    name: string;
+    request: Request;
+    sampleRate?: number;
+    write?: (line: string) => void;
+}>;
+/** 記録の割合（0〜1、なし・範囲の外・数でない値は1） */
+export declare const sampleRateOf: (value: string | undefined) => number;
+/** エントリポイントの区間の開始（受け取った traceparent の子か、新しいトレースの根） */
+export declare function startEdgeSpan({ name, request, sampleRate, write }: EdgeSpanOptions): EdgeSpan;
+/** 処理をエントリポイントの区間で包む（応答のステータスか例外で終了、例外は再送出） */
+export declare function withEdgeSpan(options: EdgeSpanOptions, handle: (span: EdgeSpan) => Promise<Response>): Promise<Response>;

package/dist/types/access/src/traceparent.d.ts

@@ -0,0 +1,21 @@
+/** traceparent のヘッダーの名前 */
+export declare const TRACEPARENT_HEADER = "traceparent";
+/** トレースの文脈（traceId は32桁、spanId は呼び出し元の区間の16桁、sampled は記録の対象か） */
+export type TraceContext = Readonly<{
+    traceId: string;
+    spanId: string;
+    sampled: boolean;
+}>;
+/** 受け取った traceparent の解釈（なし・形の違反は null） */
+export declare function parseTraceparent(value: string | null | undefined): TraceContext | null;
+/** traceparent の値（版は00） */
+export declare const formatTraceparent: (ctx: TraceContext) => string;
+/** 新しいトレースの ID（32桁） */
+export declare const newTraceId: () => string;
+/** 新しい区間の ID（16桁） */
+export declare const newSpanId: () => string;
+/**
+ * 呼び出し元の区間の文脈（受け取った traceparent があれば同じトレースの子、なければ新しいトレース）
+ * - sampled: 受け取った値のフラグ、新しいトレースは引数（既定は記録の対象）
+ */
+export declare function childTraceContext(incoming: string | null | undefined, sampled?: boolean): TraceContext;

package/dist/types/analytics/src/day.d.ts

@@ -0,0 +1,2 @@
+/** 時間帯 timeZone での日付（YYYY-MM-DD、例: timeZone は Asia/Tokyo） */
+export declare const dayIn: (timeZone: string, at?: Date) => string;

package/dist/types/analytics/src/index.d.ts

@@ -0,0 +1,4 @@
+export { recordView, type Classify, type Dataset } from './record.js';
+export { syncCron } from './schedule.js';
+export { analyticsEngine, type DailyRow, fixedSource, type Source, tenantDaily, type TenantSource } from './source.js';
+export { readDaily, syncDaily } from './store.js';

package/dist/types/analytics/src/record.d.ts

@@ -0,0 +1,22 @@
+/** Analytics Engine のデータセットの binding（書き込みだけ） */
+export type Dataset = {
+    writeDataPoint(point: {
+        blobs?: string[];
+        doubles?: number[];
+        indexes?: string[];
+    }): void;
+};
+/** パスから種類と ID への対応（利用側が定義、例: /articles/<id> は記事） */
+export type Classify = (path: string) => {
+    kind: string;
+    id: string;
+};
+/** 記録の設定（tenant は媒体の識別子） */
+type RecordOptions = {
+    classify: Classify;
+    timeZone: string;
+    tenant?: string;
+};
+/** 閲覧を1件記録（対象: GET で応答が200の HTML・ボット以外、記録の失敗は無視） */
+export declare function recordView(dataset: Dataset | undefined, request: Request, response: Response, { classify, timeZone, tenant }: RecordOptions): void;
+export {};

package/dist/types/analytics/src/schedule.d.ts

@@ -0,0 +1,2 @@
+/** 集計の間隔（分）から Cron の式を算出 */
+export declare function syncCron(minutes: number): string;

package/dist/types/analytics/src/source.d.ts

@@ -0,0 +1,33 @@
+/** 日ごと・種類・ID の閲覧数 */
+export type DailyRow = {
+    date: string;
+    kind: string;
+    id: string;
+    views: number;
+};
+/** 読み込み元の接続の型（since 以降の日付の閲覧数） */
+export type Source = {
+    daily(since: string): Promise<DailyRow[]>;
+};
+/** Analytics Engine の接続の設定（token は Account Analytics の読み取りの API トークン、tenant は絞り込む媒体の識別子） */
+type AnalyticsEngineOptions = {
+    accountId: string;
+    token: string;
+    dataset: string;
+    tenant?: string;
+};
+/** 1回の問い合わせの行数 */
+export declare const PAGE_ROWS = 10000;
+/** 問い合わせの回数の上限（PAGE_ROWS との積が1回で集計できる行数） */
+export declare const MAX_PAGES = 20;
+/** Analytics Engine の SQL API の読み込み元 */
+export declare function analyticsEngine({ accountId, token, dataset, tenant }: AnalyticsEngineOptions): Source;
+/** 全媒体の読み込み元の型（since 以降の日付の閲覧数を媒体の識別子ごとに） */
+export type TenantSource = {
+    dailyByTenant(since: string): Promise<ReadonlyMap<string, DailyRow[]>>;
+};
+/** 全媒体を1回の問い合わせで集計する Analytics Engine の読み込み元（媒体の列が空の記録は除外） */
+export declare function tenantDaily(options: Omit<AnalyticsEngineOptions, 'tenant'>): TenantSource;
+/** 集計済みの行の読み込み元（定期の集計で全媒体の問い合わせ結果を媒体ごとに受け渡し、daily は since 以降の行） */
+export declare const fixedSource: (rows: readonly DailyRow[]) => Source;
+export {};

package/dist/types/analytics/src/store.d.ts

@@ -0,0 +1,24 @@
+import type { DailyRow, Source } from './source.js';
+type Statement = {
+    bind(...values: unknown[]): Statement;
+    all<T = Record<string, unknown>>(): Promise<{
+        results: T[];
+    }>;
+};
+/** D1 の接続の型（D1Database と互換） */
+export type Db = {
+    prepare(sql: string): Statement;
+    batch(statements: Statement[]): Promise<unknown>;
+};
+/** 読み込み元の since 以降の閲覧数を表へ（戻り値は行の数） */
+export declare function syncDaily(source: Source, db: Db, since: string): Promise<number>;
+/** 日付が after より後の閲覧数（live は今日の行を読み込み元から、失敗は表の値のままで failure に例外） */
+export declare function readDaily(db: Db, after: string, live?: {
+    source: Source;
+    today: string;
+}): Promise<{
+    rows: DailyRow[];
+    live: boolean;
+    failure?: unknown;
+}>;
+export {};