@tbsten/mir-core 0.0.1-alpha02

package/src/__tests__/safe-yaml-parser.test.ts

@@ -0,0 +1,187 @@
+/**
+ * mir-core: safe-yaml-parser のセキュリティテスト
+ *
+ * YAML Injection 攻撃シナリオ（チケット 008-yaml-injection）の検証
+ */
+import { describe, it, expect } from "vitest";
+import {
+  safeParseYaml,
+  checkNoRefInSchema,
+  YAML_MAX_SIZE_BYTES,
+} from "../safe-yaml-parser.js";
+import { ValidationError } from "../index.js";
+
+// ---------------------------------------------------------------------------
+// 正常系: 通常の YAML は引き続きパースできること
+// ---------------------------------------------------------------------------
+
+describe("safeParseYaml - 正常系", () => {
+  it("プレーンな文字列 YAML をパースできる", () => {
+    const result = safeParseYaml("name: my-snippet\n");
+    expect(result).toEqual({ name: "my-snippet" });
+  });
+
+  it("ネストしたオブジェクトをパースできる", () => {
+    const yaml = `
+name: react-hook
+variables:
+  foo:
+    description: フック名
+    schema:
+      type: string
+`;
+    const result = safeParseYaml(yaml) as Record<string, unknown>;
+    expect(result.name).toBe("react-hook");
+  });
+
+  it("配列をパースできる", () => {
+    const yaml = "tags:\n  - react\n  - typescript\n";
+    const result = safeParseYaml(yaml) as Record<string, unknown>;
+    expect(result.tags).toEqual(["react", "typescript"]);
+  });
+
+  it("真偽値をパースできる", () => {
+    const yaml = "enabled: true\ndisabled: false\n";
+    const result = safeParseYaml(yaml) as Record<string, unknown>;
+    expect(result.enabled).toBe(true);
+    expect(result.disabled).toBe(false);
+  });
+
+  it("数値をパースできる", () => {
+    const yaml = "count: 42\nfloat: 3.14\n";
+    const result = safeParseYaml(yaml) as Record<string, unknown>;
+    expect(result.count).toBe(42);
+    expect(result.float).toBe(3.14);
+  });
+
+  it("null をパースできる", () => {
+    const result = safeParseYaml("value: null\n") as Record<string, unknown>;
+    expect(result.value).toBeNull();
+  });
+});
+
+// ---------------------------------------------------------------------------
+// YAML Bomb (Billion Laughs) 対策
+// ---------------------------------------------------------------------------
+
+describe("safeParseYaml - YAML Bomb 対策", () => {
+  it("最大サイズを超える YAML は ValidationError を投げる", () => {
+    const oversized = "x: " + "a".repeat(YAML_MAX_SIZE_BYTES);
+    expect(() => safeParseYaml(oversized)).toThrow(ValidationError);
+  });
+
+  it("最大サイズちょうどの YAML は許可される (境界値)", () => {
+    // 境界値ちょうどのサイズのシンプルな YAML は OK
+    const small = "name: ok\n";
+    expect(() => safeParseYaml(small)).not.toThrow();
+  });
+
+  it("エイリアスを大量に展開する YAML Bomb はサイズ制限で防がれる", () => {
+    // 実際の YAML bomb を小さめに再現
+    const bomb = [
+      "a: &a [lol,lol,lol,lol,lol,lol,lol,lol,lol]",
+      "b: &b [*a,*a,*a,*a,*a,*a,*a,*a,*a]",
+      "c: &c [*b,*b,*b,*b,*b,*b,*b,*b,*b]",
+      "d: &d [*c,*c,*c,*c,*c,*c,*c,*c,*c]",
+    ].join("\n");
+    // サイズは小さいのでパースは通るが、爆発的な展開はしない
+    // (js-yaml は alias を参照のまま扱い、展開しない)
+    // ここではエラーを投げないことを確認（サイズ制限内）
+    expect(() => safeParseYaml(bomb)).not.toThrow();
+  });
+});
+
+// ---------------------------------------------------------------------------
+// YAML タグ攻撃対策
+// ---------------------------------------------------------------------------
+
+describe("safeParseYaml - カスタムタグ攻撃対策", () => {
+  it("!!js/undefined タグは無視されて通常の文字列になる", () => {
+    // CORE_SCHEMA では未知のタグはエラーまたは文字列として扱われる
+    // js-yaml の CORE_SCHEMA は !!js タグを認識しないのでエラーになる
+    expect(() => safeParseYaml("name: !!js/undefined foo")).toThrow();
+  });
+
+  it("!!js/regexp タグはエラーになる", () => {
+    expect(() => safeParseYaml("re: !!js/regexp /foo/")).toThrow();
+  });
+
+  it("!!js/function タグはエラーになる", () => {
+    expect(() => safeParseYaml("fn: !!js/function 'function(){}'")).toThrow();
+  });
+});
+
+// ---------------------------------------------------------------------------
+// checkNoRefInSchema - JSON Schema $ref 禁止チェック
+// ---------------------------------------------------------------------------
+
+describe("checkNoRefInSchema", () => {
+  it("$ref がなければエラーを投げない", () => {
+    const schema = { type: "string", default: "hello" };
+    expect(() => checkNoRefInSchema(schema)).not.toThrow();
+  });
+
+  it("$ref があれば ValidationError を投げる", () => {
+    const schema = { $ref: "https://evil.com/schema.json" };
+    expect(() => checkNoRefInSchema(schema)).toThrow(ValidationError);
+  });
+
+  it("ネストされた $ref も検出する", () => {
+    const schema = {
+      type: "object",
+      properties: {
+        name: { $ref: "#/definitions/Name" },
+      },
+    };
+    expect(() => checkNoRefInSchema(schema)).toThrow(ValidationError);
+  });
+
+  it("$ref を含む文字列値は検出する（キーではなく値でも禁止）", () => {
+    // $ref というキーそのものを禁止
+    const schema = { anyOf: [{ $ref: "https://example.com/schema" }] };
+    expect(() => checkNoRefInSchema(schema)).toThrow(ValidationError);
+  });
+
+  it("null や undefined を渡してもエラーにならない", () => {
+    expect(() => checkNoRefInSchema(null)).not.toThrow();
+    expect(() => checkNoRefInSchema(undefined)).not.toThrow();
+  });
+
+  it("空オブジェクトはエラーにならない", () => {
+    expect(() => checkNoRefInSchema({})).not.toThrow();
+  });
+});
+
+// ---------------------------------------------------------------------------
+// parseSnippetYaml との統合確認
+// ---------------------------------------------------------------------------
+
+describe("parseSnippetYaml - $ref を含む snippet は拒否される", () => {
+  it("variables.schema に $ref があれば ValidationError を投げる", async () => {
+    const { parseSnippetYaml } = await import("../index.js");
+    const yaml = `
+name: evil-snippet
+variables:
+  name:
+    schema:
+      $ref: "https://evil.com/schema.json"
+`;
+    expect(() => parseSnippetYaml(yaml)).toThrow(ValidationError);
+  });
+
+  it("通常の snippet YAML は引き続きパースできる", async () => {
+    const { parseSnippetYaml } = await import("../index.js");
+    const yaml = `
+name: normal-snippet
+variables:
+  name:
+    description: 名前
+    schema:
+      type: string
+      default: world
+`;
+    const def = parseSnippetYaml(yaml);
+    expect(def.name).toBe("normal-snippet");
+    expect(def.variables?.name?.schema?.type).toBe("string");
+  });
+});

package/src/__tests__/snapshots/__snapshots__/error-messages.snapshot.test.ts.snap

@@ -0,0 +1,27 @@
+// Vitest Snapshot v1, https://vitest.dev/guide/snapshot.html
+
+exports[`エラーメッセージ snapshot (日本語) > FileConflictError 1`] = `"ファイル "index.ts" は既に存在します。\`--no-interactive\` で全て上書きするか、\`--out-dir\` で別ディレクトリを指定してください"`;
+
+exports[`エラーメッセージ snapshot (日本語) > PathTraversalError 1`] = `"セキュリティエラー: ファイルパス "../etc/passwd" が出力範囲外を参照しています。テンプレートファイルを確認してください"`;
+
+exports[`エラーメッセージ snapshot (日本語) > RegistryNotFoundError 1`] = `"Registry "official" が見つかりません。\`~/.mir/mirconfig.yaml\` で registry を設定してください"`;
+
+exports[`エラーメッセージ snapshot (日本語) > RegistryRemoteError (名前あり) 1`] = `"Registry "official" はリモート registry のため publish できません"`;
+
+exports[`エラーメッセージ snapshot (日本語) > RegistryRemoteError (名前なし) 1`] = `"リモート registry には publish できません"`;
+
+exports[`エラーメッセージ snapshot (日本語) > SnippetAlreadyExistsError 1`] = `"Snippet "react-hook" は既に存在します。\`--force\` で上書きするか、別の名前を指定してください"`;
+
+exports[`エラーメッセージ snapshot (日本語) > SnippetNotFoundError 1`] = `"Snippet "react-hook" が見つかりません。\`mir list\` で利用可能な snippet を確認するか、\`--registry\` で別の registry を指定してください"`;
+
+exports[`エラーメッセージ snapshot (英語) > FileConflictError 1`] = `"File "index.ts" already exists. Use \`--no-interactive\` to overwrite all files or \`--out-dir\` to specify another directory"`;
+
+exports[`エラーメッセージ snapshot (英語) > PathTraversalError 1`] = `"Security error: File path "../etc/passwd" references outside the output directory. Check your template files"`;
+
+exports[`エラーメッセージ snapshot (英語) > RegistryNotFoundError 1`] = `"Registry "official" not found. Configure registries in \`~/.mir/mirconfig.yaml\`"`;
+
+exports[`エラーメッセージ snapshot (英語) > RegistryRemoteError (名前あり) 1`] = `"Cannot publish to registry "official" because it is a remote registry"`;
+
+exports[`エラーメッセージ snapshot (英語) > SnippetAlreadyExistsError 1`] = `"Snippet "react-hook" already exists. Use \`--force\` to overwrite or specify a different name"`;
+
+exports[`エラーメッセージ snapshot (英語) > SnippetNotFoundError 1`] = `"Snippet "react-hook" not found. Use \`mir list\` to see available snippets or specify \`--registry\` for another registry"`;

package/src/__tests__/snapshots/__snapshots__/snippet-schema-output.snapshot.test.ts.snap

@@ -0,0 +1,78 @@
+// Vitest Snapshot v1, https://vitest.dev/guide/snapshot.html
+
+exports[`snippet スキーマ snapshot > hooks 付き snippet 定義の YAML 出力 1`] = `
+"name: with-hooks
+hooks:
+  before-install:
+    - echo: インストールを開始します
+    - input:
+        confirm:
+          description: 続行しますか？
+          answer-to: confirmed
+          schema:
+            type: boolean
+            default: true
+  after-install:
+    - echo: ✅ インストール完了
+"
+`;
+
+exports[`snippet スキーマ snapshot > suggests 付き変数の YAML 出力 1`] = `
+"name: css-setup
+variables:
+  framework:
+    description: CSSフレームワーク
+    suggests:
+      - tailwind
+      - vanilla-extract
+      - css-modules
+    schema:
+      type: string
+      default: tailwind
+"
+`;
+
+exports[`snippet スキーマ snapshot > フル構成 YAML のパース → シリアライズ往復 1`] = `
+"name: full-example
+description: フル構成のサンプル
+variables:
+  name:
+    description: コンポーネント名
+    schema:
+      type: string
+  framework:
+    description: フレームワーク
+    suggests:
+      - react
+      - vue
+    schema:
+      type: string
+      default: react
+hooks:
+  before-install:
+    - echo: セットアップ中...
+  after-install:
+    - echo: '完了: {{ name }}'
+"
+`;
+
+exports[`snippet スキーマ snapshot > 変数付き snippet 定義の YAML 出力 1`] = `
+"name: react-hook
+description: React カスタムフック雛形
+variables:
+  name:
+    description: フック名
+    schema:
+      type: string
+  description:
+    description: 説明文
+    schema:
+      type: string
+      default: ''
+"
+`;
+
+exports[`snippet スキーマ snapshot > 最小限の snippet 定義の YAML 出力 1`] = `
+"name: minimal
+"
+`;

package/src/__tests__/snapshots/__snapshots__/template-output.snapshot.test.ts.snap

@@ -0,0 +1,45 @@
+// Vitest Snapshot v1, https://vitest.dev/guide/snapshot.html
+
+exports[`テンプレート展開結果 snapshot > React コンポーネントテンプレート 1`] = `
+"import React from "react";
+
+export interface ButtonProps {
+  children?: React.ReactNode;
+}
+
+export function Button({ children }: ButtonProps) {
+  return <div className="Button">{children}</div>;
+}"
+`;
+
+exports[`テンプレート展開結果 snapshot > React フックテンプレート 1`] = `
+"import { useState, useCallback } from "react";
+
+/**
+ * 認証フック
+ */
+export function useAuth() {
+  const [state, setState] = useState(null);
+  return { state, setState };
+}"
+`;
+
+exports[`テンプレート展開結果 snapshot > ネストしたディレクトリパス展開 1`] = `"src/features/auth/index.ts"`;
+
+exports[`テンプレート展開結果 snapshot > パス展開 1`] = `"hooks/useAuth.ts"`;
+
+exports[`テンプレート展開結果 snapshot > 条件分岐付きテンプレート 1`] = `
+"import type { FC } from "react";
+
+export const App = () => {
+  return <div>App</div>;
+};"
+`;
+
+exports[`テンプレート展開結果 snapshot > 条件分岐付きテンプレート 2`] = `
+"import React from "react";
+
+export const App = () => {
+  return <div>App</div>;
+};"
+`;

package/src/__tests__/snapshots/error-messages.snapshot.test.ts

@@ -0,0 +1,76 @@
+/**
+ * mir-core: エラーメッセージの snapshot テスト (日英)
+ */
+import { describe, it, expect, beforeEach } from "vitest";
+import {
+  SnippetNotFoundError,
+  SnippetAlreadyExistsError,
+  RegistryNotFoundError,
+  RegistryRemoteError,
+  PathTraversalError,
+  FileConflictError,
+  ValidationError,
+  setLocale,
+} from "../../index.js";
+
+// TODO: 現時点では理想の挙動をテストケースとして記述。後で有効化する。
+
+describe("エラーメッセージ snapshot (日本語)", () => {
+  beforeEach(() => setLocale("ja"));
+
+  it("SnippetNotFoundError", () => {
+    expect(new SnippetNotFoundError("react-hook").message).toMatchSnapshot();
+  });
+
+  it("SnippetAlreadyExistsError", () => {
+    expect(new SnippetAlreadyExistsError("react-hook").message).toMatchSnapshot();
+  });
+
+  it("RegistryNotFoundError", () => {
+    expect(new RegistryNotFoundError("official").message).toMatchSnapshot();
+  });
+
+  it("RegistryRemoteError (名前あり)", () => {
+    expect(new RegistryRemoteError("official").message).toMatchSnapshot();
+  });
+
+  it("RegistryRemoteError (名前なし)", () => {
+    expect(new RegistryRemoteError().message).toMatchSnapshot();
+  });
+
+  it("PathTraversalError", () => {
+    expect(new PathTraversalError("../etc/passwd").message).toMatchSnapshot();
+  });
+
+  it("FileConflictError", () => {
+    expect(new FileConflictError("index.ts").message).toMatchSnapshot();
+  });
+});
+
+describe("エラーメッセージ snapshot (英語)", () => {
+  beforeEach(() => setLocale("en"));
+
+  it("SnippetNotFoundError", () => {
+    expect(new SnippetNotFoundError("react-hook").message).toMatchSnapshot();
+  });
+
+  it("SnippetAlreadyExistsError", () => {
+    expect(new SnippetAlreadyExistsError("react-hook").message).toMatchSnapshot();
+  });
+
+  it("RegistryNotFoundError", () => {
+    expect(new RegistryNotFoundError("official").message).toMatchSnapshot();
+  });
+
+  it("RegistryRemoteError (名前あり)", () => {
+    expect(new RegistryRemoteError("official").message).toMatchSnapshot();
+  });
+
+  it("PathTraversalError", () => {
+    expect(new PathTraversalError("../etc/passwd").message).toMatchSnapshot();
+  });
+
+  it("FileConflictError", () => {
+    expect(new FileConflictError("index.ts").message).toMatchSnapshot();
+  });
+});

package/src/__tests__/snapshots/snippet-schema-output.snapshot.test.ts

@@ -0,0 +1,98 @@
+/**
+ * mir-core: snippet スキーマ処理結果の snapshot テスト
+ */
+import { describe, it, expect } from "vitest";
+import { parseSnippetYaml, serializeSnippetYaml } from "../../index.js";
+
+// TODO: 現時点では理想の挙動をテストケースとして記述。後で有効化する。
+
+describe("snippet スキーマ snapshot", () => {
+  it("最小限の snippet 定義の YAML 出力", () => {
+    const yaml = serializeSnippetYaml({ name: "minimal" });
+    expect(yaml).toMatchSnapshot();
+  });
+
+  it("変数付き snippet 定義の YAML 出力", () => {
+    const yaml = serializeSnippetYaml({
+      name: "react-hook",
+      description: "React カスタムフック雛形",
+      variables: {
+        name: {
+          description: "フック名",
+          schema: { type: "string" },
+        },
+        description: {
+          description: "説明文",
+          schema: { type: "string", default: "" },
+        },
+      },
+    });
+    expect(yaml).toMatchSnapshot();
+  });
+
+  it("hooks 付き snippet 定義の YAML 出力", () => {
+    const yaml = serializeSnippetYaml({
+      name: "with-hooks",
+      hooks: {
+        "before-install": [
+          { echo: "インストールを開始します" },
+          {
+            input: {
+              confirm: {
+                description: "続行しますか？",
+                "answer-to": "confirmed",
+                schema: { type: "boolean", default: true },
+              },
+            },
+          },
+        ],
+        "after-install": [
+          { echo: "✅ インストール完了" },
+        ],
+      },
+    });
+    expect(yaml).toMatchSnapshot();
+  });
+
+  it("suggests 付き変数の YAML 出力", () => {
+    const yaml = serializeSnippetYaml({
+      name: "css-setup",
+      variables: {
+        framework: {
+          description: "CSSフレームワーク",
+          suggests: ["tailwind", "vanilla-extract", "css-modules"],
+          schema: { type: "string", default: "tailwind" },
+        },
+      },
+    });
+    expect(yaml).toMatchSnapshot();
+  });
+
+  it("フル構成 YAML のパース → シリアライズ往復", () => {
+    const input = `
+name: full-example
+description: フル構成のサンプル
+variables:
+  name:
+    description: コンポーネント名
+    schema:
+      type: string
+  framework:
+    description: フレームワーク
+    suggests:
+      - react
+      - vue
+    schema:
+      type: string
+      default: react
+hooks:
+  before-install:
+    - echo: "セットアップ中..."
+  after-install:
+    - echo: "完了: {{ name }}"
+`;
+    const parsed = parseSnippetYaml(input);
+    const serialized = serializeSnippetYaml(parsed);
+    expect(serialized).toMatchSnapshot();
+  });
+});

package/src/__tests__/snapshots/template-output.snapshot.test.ts

@@ -0,0 +1,73 @@
+/**
+ * mir-core: テンプレート展開結果の snapshot テスト
+ */
+import { describe, it, expect } from "vitest";
+import { expandTemplate, expandPath } from "../../index.js";
+
+// TODO: 現時点では理想の挙動をテストケースとして記述。後で有効化する。
+
+describe("テンプレート展開結果 snapshot", () => {
+  it("React コンポーネントテンプレート", () => {
+    const template = `import React from "react";
+
+export interface {{ name }}Props {
+  children?: React.ReactNode;
+}
+
+export function {{ name }}({ children }: {{ name }}Props) {
+  return <div className="{{ name }}">{children}</div>;
+}`;
+    const result = expandTemplate(template, { name: "Button" });
+    expect(result).toMatchSnapshot();
+  });
+
+  it("React フックテンプレート", () => {
+    const template = `import { useState, useCallback } from "react";
+
+/**
+ * {{ description }}
+ */
+export function {{ name }}() {
+  const [state, setState] = useState(null);
+  return { state, setState };
+}`;
+    const result = expandTemplate(template, {
+      name: "useAuth",
+      description: "認証フック",
+    });
+    expect(result).toMatchSnapshot();
+  });
+
+  it("条件分岐付きテンプレート", () => {
+    const template = `{{#if useTypescript}}
+import type { FC } from "react";
+{{else}}
+import React from "react";
+{{/if}}
+
+export const {{ name }} = () => {
+  return <div>{{ name }}</div>;
+};`;
+    expect(
+      expandTemplate(template, { name: "App", useTypescript: true }),
+    ).toMatchSnapshot();
+    expect(
+      expandTemplate(template, { name: "App", useTypescript: false }),
+    ).toMatchSnapshot();
+  });
+
+  it("パス展開", () => {
+    expect(
+      expandPath("{{ dir }}/{{ name }}.ts", { dir: "hooks", name: "useAuth" }),
+    ).toMatchSnapshot();
+  });
+
+  it("ネストしたディレクトリパス展開", () => {
+    expect(
+      expandPath("src/{{ module }}/{{ name }}/index.ts", {
+        module: "features",
+        name: "auth",
+      }),
+    ).toMatchSnapshot();
+  });
+});