@things-factory/shell 10.0.3 → 10.0.4

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@things-factory/shell",
-  "version": "10.0.3",
+  "version": "10.0.4",
   "description": "Core module for framework",
   "bin": {
     "things-factory": "bin/things-factory",
@@ -126,5 +126,5 @@
     "pg": "^8.7.3",
     "sqlite3": "^5.0.8"
   },
-  "gitHead": "c7d253b722b6917e8911f6ef6e78e5fc2b295e82"
+  "gitHead": "c8f6dcfea3ffe7a9dd2a7195e83e2e4e201fd5ea"
 }

package/tests/postgres-param-type-inference.test.ts

@@ -0,0 +1,122 @@
+/**
+ * Postgres 파라미터 타입 추론 함정 회귀 검사.
+ *
+ * 배경: `domains.owner` 는 사용자 id(uuid 문자열)를 담지만 컬럼 타입이 varchar 다. 반면
+ * `domain_owners.user_id` 등 다른 사용자 참조는 진짜 uuid 컬럼이다.
+ *
+ * 한 쿼리에서 **같은 이름의 파라미터**를 varchar 컬럼과 uuid 컬럼 양쪽에 쓰면, Postgres 드라이버가
+ * 그 파라미터를 하나의 플레이스홀더(`$1`)로 재사용하고 Postgres 는 첫 사용처로 타입을 추론한다.
+ * 그 결과 `uuid = $1` 비교가 `operator does not exist: uuid = text` 로 실패한다.
+ *
+ * ⚠️ sqlite 드라이버는 같은 이름을 별도 플레이스홀더(`?`, `?`)로 복제하기 때문에 이 결함이
+ * 통과한다. 즉 이 저장소의 sqlite 기반 테스트로는 원리적으로 잡히지 않는다. 그래서
+ * 서버 없이 Postgres 용 SQL 만 생성해(`buildMetadatas`) 플레이스홀더 번호를 직접 확인한다.
+ */
+
+import { DataSource } from 'typeorm'
+
+import { Domain, NamingStrategy, entities as shellEntities } from '@things-factory/shell'
+
+let dataSource: DataSource
+
+/** 서버에 연결하지 않고 Postgres 방언으로 SQL 만 생성할 수 있게 메타데이터만 만든다. */
+beforeAll(async () => {
+  dataSource = new DataSource({
+    type: 'postgres',
+    host: 'localhost',
+    database: 'unused',
+    namingStrategy: new NamingStrategy(),
+    entities: [...shellEntities],
+    logging: false
+  })
+
+  await (dataSource as any).buildMetadatas()
+})
+
+function placeholderOf(sql: string, column: string): string | undefined {
+  return new RegExp(`"${column}" = (\\$\\d+)`).exec(sql)?.[1]
+}
+
+describe('domains.owner 는 varchar, 사용자 참조는 uuid', () => {
+  it('컬럼 타입이 실제로 다르다 (이 검사의 전제)', () => {
+    const ownerColumn = dataSource.getMetadata(Domain).columns.find(column => column.databaseName === 'owner')
+    const idColumn = dataSource.getMetadata(Domain).columns.find(column => column.databaseName === 'id')
+
+    expect(idColumn.type).toBe('uuid')
+    /* varchar 는 TypeORM 기본값이라 type 이 비어 있다 — uuid 가 아니라는 점이 핵심이다. */
+    expect(ownerColumn.type).not.toBe('uuid')
+  })
+
+  it('같은 파라미터를 두 컬럼에 쓰면 Postgres 는 플레이스홀더를 재사용한다 (금지 형태)', () => {
+    const [sql] = dataSource
+      .getRepository(Domain)
+      .createQueryBuilder('DOMAIN')
+      .where('DOMAIN.owner = :sameParam')
+      .orWhere('DOMAIN.id = :sameParam')
+      .setParameter('sameParam', 'aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee')
+      .getQueryAndParameters()
+
+    /* 이 형태가 운영에서 `operator does not exist: uuid = text` 를 만든다. */
+    expect(placeholderOf(sql, 'owner')).toBe(placeholderOf(sql, 'id'))
+  })
+
+  it('파라미터를 분리하면 각각 독립적으로 추론된다 (요구 형태)', () => {
+    const [sql] = dataSource
+      .getRepository(Domain)
+      .createQueryBuilder('DOMAIN')
+      .where('DOMAIN.owner = :ownerId')
+      .orWhere('DOMAIN.id = :domainId')
+      .setParameter('ownerId', 'aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee')
+      .setParameter('domainId', 'aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee')
+      .getQueryAndParameters()
+
+    expect(placeholderOf(sql, 'owner')).not.toBe(placeholderOf(sql, 'id'))
+  })
+})
+
+describe('소스 검사 — owner 를 비교하는 쿼리에서 파라미터를 공유하지 않는다', () => {
+  /**
+   * 쿼리빌더 체인 단위로 잘라, `owner` 비교가 있는 체인에서 같은 파라미터가 두 번 이상
+   * 쓰였는지 본다. 실행 없이 소스만 보는 검사라 새로 추가되는 코드도 함께 걸린다.
+   */
+  const CHAIN = /createQueryBuilder\([\s\S]{0,4000}?\.(getMany|getOne|getRawMany|getRawOne|getExists|getCount|getManyAndCount)\(\)/g
+
+  function offendingChains(source: string): string[] {
+    const offenders: string[] = []
+
+    for (const [chain] of source.matchAll(CHAIN)) {
+      if (!/\.owner\s*(=|IN)/.test(chain)) {
+        continue
+      }
+
+      const names = [...chain.matchAll(/:(?:\.\.\.)?([a-zA-Z_]\w*)/g)].map(match => match[1])
+      const repeated = names.filter((name, index) => names.indexOf(name) !== index)
+      if (repeated.length) {
+        offenders.push(`${chain.slice(0, 60)}… (중복 파라미터: ${[...new Set(repeated)].join(', ')})`)
+      }
+    }
+
+    return offenders
+  }
+
+  it('금지 형태를 실제로 검출한다 (검사 자체의 변별력)', () => {
+    const bad = `
+      createQueryBuilder('DOMAIN')
+        .where('DOMAIN.owner = :userId')
+        .orWhere('DOMAIN_OWNER.user = :userId')
+        .getMany()
+    `
+    expect(offendingChains(bad)).toHaveLength(1)
+  })
+
+  it('체크인 판정 코드에 금지 형태가 없다', () => {
+    /* auth-base 의 소유권·체크인 조회가 이 함정의 유일한 실제 발생 지점이었다. */
+    const target = require('path').resolve(
+      __dirname,
+      '../../auth-base/server/utils/checkin-domain-facts.ts'
+    )
+    const source = require('fs').readFileSync(target, 'utf8')
+
+    expect(offendingChains(source)).toEqual([])
+  })
+})