@uzuhq/code-cli 0.3.14

package/LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2026 Sally, Inc.
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

package/README.md

@@ -0,0 +1,64 @@
+# @uzuhq/code-cli
+
+[UZU](https://uzu-app.com) 上で動くゲーム・シナリオを開発・配信するための CLI です。プロジェクト作成、ローカル開発サーバー、UZU へのパブリッシュまでを 1 つのツールで行えます。
+
+```bash
+npm install -D @uzuhq/code-cli
+```
+
+## クイックスタート
+
+```bash
+# 2D ゲームプロジェクトの雛形を作成
+npx uzu create-2d-game my-game
+cd my-game && npm install
+
+# ローカル開発サーバーを起動（マルチプレイ動作確認用の harness 付き）
+npx uzu dev
+
+# UZU にログインしてパブリッシュ
+npx uzu login
+npx uzu publish
+```
+
+## コマンド
+
+| コマンド                       | 説明                                                                          |
+| ------------------------------ | ----------------------------------------------------------------------------- |
+| `uzu create-2d-game <name>`    | 2D エンジンを使ったゲームプロジェクトの雛形を作成                             |
+| `uzu dev`                      | 開発サーバーを起動し、複数プレイヤーの同時プレイを模擬する dev harness を提供 |
+| `uzu publish`                  | ゲームをビルドして UZU にアップロード・登録                                   |
+| `uzu login` / `uzu logout`     | UZU アカウントでのログイン / ログアウト                                       |
+| `uzu token create/list/revoke` | CI 用 publish token の管理                                                    |
+
+## publish の設定
+
+プロジェクトルートの `manifest.json` でゲームのメタデータを定義します。
+
+```json
+{
+  "id": "my-game",
+  "playerCount": 4,
+  "build": "npm run build",
+  "output": "dist"
+}
+```
+
+| フィールド    | 説明                                                                    |
+| ------------- | ----------------------------------------------------------------------- |
+| `id`          | ゲームの一意な ID                                                       |
+| `playerCount` | プレイ人数（`characters` 指定時はその数が優先）                         |
+| `build`       | パブリッシュ前に実行するビルドコマンド（省略可）                        |
+| `output`      | アップロード対象のビルド出力ディレクトリ                                |
+| `orientation` | `portrait`（既定）または `landscape`                                    |
+| `characters`  | キャラクター定義（`id` / `name` / `description` / `icon` / `furigana`） |
+
+CI からパブリッシュする場合は `uzu token create` で発行した token を環境変数 `UZU_PUBLISH_TOKEN` に設定してください。
+
+## 関連パッケージ
+
+- [@uzuhq/code-sdk](https://www.npmjs.com/package/@uzuhq/code-sdk) — マルチプレイ通信・サウンド再生などのゲーム側 SDK
+
+## License
+
+[MIT](./LICENSE)

package/dist/auth/browser.js

@@ -0,0 +1,22 @@
+import { spawn } from 'node:child_process';
+/**
+ * 既定ブラウザで URL を開く (best-effort)。
+ * 失敗してもユーザーが URL を手で踏めば完了するので catch して握りつぶす想定。
+ *
+ * sallyinc/forms apps/cli/src/auth/browser.ts からの移植。
+ */
+export const openBrowser = (url) => {
+    const platform = process.platform;
+    const cmd = platform === 'darwin' ? 'open' : platform === 'win32' ? 'cmd' : 'xdg-open';
+    const args = platform === 'win32' ? ['/c', 'start', '""', url] : [url];
+    try {
+        const child = spawn(cmd, args, { detached: true, stdio: 'ignore' });
+        child.unref();
+        child.on('error', () => {
+            // 起動失敗は呼び出し側で URL を表示済なので握りつぶす
+        });
+    }
+    catch {
+        // 同上
+    }
+};

package/dist/auth/config.js

@@ -0,0 +1,48 @@
+import { mkdir, readFile, writeFile } from 'node:fs/promises';
+import { homedir } from 'node:os';
+import { join } from 'node:path';
+/**
+ * publish 用の認証情報を `~/.config/uzu-cli/credentials.json` に保存する。
+ *
+ * - refresh_token のみ永続化する (id_token は token-cache.ts でメモリ展開、ディスクには書かない)
+ * - env(dev/stg/prd) ごとに別アカウント扱いで保持する。backend は uzu-<env> Firebase で
+ *   token を検証するため、env をまたいだ流用はできない
+ * - mode 0600 で書き込む (keychain は使わない)
+ */
+const CONFIG_DIR = join(homedir(), '.config', 'uzu-cli');
+const CREDENTIALS_FILE = join(CONFIG_DIR, 'credentials.json');
+const readRaw = async () => {
+    try {
+        const parsed = JSON.parse(await readFile(CREDENTIALS_FILE, 'utf8'));
+        if (parsed !== null && typeof parsed === 'object' && 'envs' in parsed) {
+            return parsed;
+        }
+    }
+    catch {
+        // 未ログイン or 壊れたファイルは空扱い
+    }
+    return { envs: {} };
+};
+const write = async (creds) => {
+    await mkdir(CONFIG_DIR, { recursive: true });
+    await writeFile(CREDENTIALS_FILE, JSON.stringify(creds, null, 2), { mode: 0o600 });
+};
+export const getCredentials = async (env) => {
+    const creds = await readRaw();
+    return creds.envs[env] ?? null;
+};
+export const saveCredentials = async (env, envCreds) => {
+    const creds = await readRaw();
+    creds.envs[env] = envCreds;
+    await write(creds);
+};
+/** 指定 env の認証情報を削除する。削除対象が無ければ false。 */
+export const clearCredentials = async (env) => {
+    const creds = await readRaw();
+    if (creds.envs[env] === undefined)
+        return false;
+    delete creds.envs[env];
+    await write(creds);
+    return true;
+};
+export const credentialsPath = () => CREDENTIALS_FILE;

package/dist/auth/env.js

@@ -0,0 +1,42 @@
+/**
+ * uzu-cli の接続先環境設定。
+ *
+ * publish CLI は dev を既定とし、`--env` (hidden) で dev/stg/prd を切り替える。
+ * env ごとに auth サーバ(Firebase id_token 発行)・backend HTTP・UZU STUDIO のホストが対になる。
+ *
+ * env 切替の権限境界: backend は token を uzu-<env> Firebase で検証するため、dev/stg は対応する
+ * Firebase プロジェクトにアカウントがある社内メンバー(@sally-inc.jp)しかログインできず、
+ * 自然に弾かれる。CLI 側に admin 判定は持たせない。
+ */
+export const UZU_ENVS = ['dev', 'stg', 'prd'];
+export const DEFAULT_ENV = 'dev';
+const ENV_HOSTS = {
+    prd: {
+        authHost: 'auth.uzu-app.com',
+        graphHost: 'prd.graph.backend.app.uzu.one',
+        studioHost: 'studio.uzu-app.com',
+    },
+    stg: {
+        authHost: 'stg.auth.uzu-app.com',
+        graphHost: 'stg.graph.backend.app.uzu.one',
+        studioHost: 'stg.studio.uzu-app.com',
+    },
+    dev: {
+        authHost: 'dev.auth.uzu-app.com',
+        graphHost: 'dev.graph.backend.app.uzu.one',
+        studioHost: 'dev.studio.uzu-app.com',
+    },
+};
+const isUzuEnv = (v) => UZU_ENVS.includes(v);
+/** `--env` の生値を検証して UzuEnv に解決する。未指定は dev。 */
+export const resolveEnv = (raw) => {
+    if (raw === undefined || raw === '')
+        return DEFAULT_ENV;
+    if (!isUzuEnv(raw)) {
+        throw new Error(`不正な env: ${raw} (dev | stg | prd のいずれかを指定してください)`);
+    }
+    return raw;
+};
+export const authBaseURL = (env) => `https://${ENV_HOSTS[env].authHost}`;
+export const graphBaseURL = (env) => `https://${ENV_HOSTS[env].graphHost}`;
+export const studioHost = (env) => ENV_HOSTS[env].studioHost;

package/dist/auth/jwt.js

@@ -0,0 +1,27 @@
+/**
+ * Firebase ID token (JWT) の payload から uid / email を取り出す。
+ *
+ * 署名検証はしない: auth サーバから HTTPS で受領した自分宛トークンを表示用途で読むだけで、経路の
+ * 真正性は TLS が担保する (gcloud / uzuctl parseIDTokenClaims と同方針)。
+ *
+ * sallyinc/forms apps/cli/src/auth/jwt.ts からの移植。
+ */
+export const parseIdTokenClaims = (idToken) => {
+    const parts = idToken.split('.');
+    const payloadSegment = parts[1];
+    if (parts.length !== 3 || payloadSegment === undefined) {
+        throw new Error('id token is not a well-formed JWT');
+    }
+    let claims;
+    try {
+        claims = JSON.parse(Buffer.from(payloadSegment, 'base64url').toString('utf8'));
+    }
+    catch {
+        throw new Error('id token payload is not valid JSON');
+    }
+    // uid は user_id 優先、空なら sub。email claim 不在は空文字 (旧 lookup の挙動維持)。
+    const uid = claims.user_id || claims.sub || '';
+    if (!uid)
+        throw new Error('id token has no user_id or sub claim');
+    return { uid, email: claims.email ?? '' };
+};

package/dist/auth/login-flow.js

@@ -0,0 +1,44 @@
+import { openBrowser } from './browser.js';
+import { authBaseURL } from './env.js';
+import { parseIdTokenClaims } from './jwt.js';
+import { startLoopbackServer } from './loopback.js';
+import { computeCodeChallenge, generateCodeVerifier } from './pkce.js';
+import { buildLoginURL, exchangeCodeForTokens } from './uzu-auth.js';
+const LOGIN_TIMEOUT_MS = 5 * 60 * 1000; // uzuctl と同じ 5 分
+/**
+ * uzu auth サーバの標準 OAuth (PKCE) flow を回してログインする。
+ *
+ *   1. PKCE verifier / challenge 生成
+ *   2. 127.0.0.1 で callback サーバ起動 (loopback redirect, RFC 8252)
+ *   3. ブラウザで {authHost}/login?redirect_uri=...&client_id=uzu-cli&code_challenge=... を開く
+ *   4. ブラウザで Google ログイン (uzu SSO セッションがあれば 1 click)
+ *   5. callback で code を受領
+ *   6. POST /api/oauth/token → access_token(= Firebase ID token) / refresh_token / expires_in
+ *   7. access_token (JWT) を decode して uid + email を取得
+ *
+ * sallyinc/forms apps/cli/src/auth/login-flow.ts からの移植 (env を引数化)。
+ */
+export const runLoginFlow = async (env, onURL) => {
+    const verifier = generateCodeVerifier();
+    const challenge = computeCodeChallenge(verifier);
+    const server = await startLoopbackServer();
+    try {
+        const baseUrl = authBaseURL(env);
+        const loginUrl = buildLoginURL(baseUrl, server.redirectUri, challenge);
+        onURL?.(loginUrl);
+        openBrowser(loginUrl);
+        const code = await server.waitForCode(LOGIN_TIMEOUT_MS);
+        const tokens = await exchangeCodeForTokens(baseUrl, code, verifier, server.redirectUri);
+        const { uid, email } = parseIdTokenClaims(tokens.accessToken);
+        return {
+            email,
+            uid,
+            refreshToken: tokens.refreshToken,
+            idToken: tokens.accessToken,
+            expiresIn: tokens.expiresIn,
+        };
+    }
+    finally {
+        server.close();
+    }
+};

package/dist/auth/loopback.js

@@ -0,0 +1,94 @@
+import { createServer } from 'node:http';
+const SUCCESS_HTML = `<!doctype html><meta charset="utf-8"><title>uzu: Login successful</title>
+<body style="font-family:system-ui;max-width:480px;margin:80px auto;text-align:center;">
+<h2>Login successful</h2>
+<p>このタブを閉じてターミナルに戻ってください。</p>
+</body>`;
+const failureHtml = (msg) => {
+    const escaped = msg.replace(/[&<>"']/g, (c) => `&#${c.charCodeAt(0)};`);
+    return `<!doctype html><meta charset="utf-8"><title>uzu: Login failed</title>
+<body style="font-family:system-ui;max-width:480px;margin:80px auto;text-align:center;">
+<h2>Login failed</h2>
+<p>${escaped}</p>
+</body>`;
+};
+export const startLoopbackServer = async () => {
+    let resolve = null;
+    let reject = null;
+    let delivered = false;
+    // waitForCode 呼び出し前に callback が着弾した場合の結果退避先。
+    // 呼び出し順序に依存せずコード / エラーを取りこぼさないためのバッファ。
+    let pending = null;
+    const server = createServer((req, res) => {
+        if (!req.url?.startsWith('/callback')) {
+            res.writeHead(404);
+            res.end();
+            return;
+        }
+        if (delivered) {
+            res.writeHead(410, { 'Content-Type': 'text/plain' });
+            res.end('already handled');
+            return;
+        }
+        delivered = true;
+        const url = new URL(req.url, 'http://127.0.0.1');
+        const err = url.searchParams.get('error');
+        const code = url.searchParams.get('code');
+        if (err) {
+            res.writeHead(400, { 'Content-Type': 'text/html; charset=utf-8' });
+            res.end(failureHtml(`auth server returned error: ${err}`));
+            const e = new Error(`auth server returned error: ${err}`);
+            if (reject)
+                reject(e);
+            else
+                pending = { err: e };
+            return;
+        }
+        if (!code) {
+            res.writeHead(400, { 'Content-Type': 'text/html; charset=utf-8' });
+            res.end(failureHtml('missing authorization code'));
+            const e = new Error('authorization code missing in callback');
+            if (reject)
+                reject(e);
+            else
+                pending = { err: e };
+            return;
+        }
+        res.writeHead(200, { 'Content-Type': 'text/html; charset=utf-8' });
+        res.end(SUCCESS_HTML);
+        if (resolve)
+            resolve(code);
+        else
+            pending = { code };
+    });
+    await new Promise((res, rej) => {
+        server.once('error', rej);
+        server.listen(0, '127.0.0.1', () => res());
+    });
+    const port = server.address().port;
+    const redirectUri = `http://127.0.0.1:${port}/callback`;
+    return {
+        port,
+        redirectUri,
+        waitForCode: (timeoutMs) => new Promise((res, rej) => {
+            // callback が waitForCode より先に着弾していたら退避結果を即返す。
+            if (pending) {
+                if ('code' in pending)
+                    res(pending.code);
+                else
+                    rej(pending.err);
+                return;
+            }
+            const t = setTimeout(() => rej(new Error(`login timed out after ${timeoutMs}ms`)), timeoutMs);
+            resolve = (code) => {
+                clearTimeout(t);
+                res(code);
+            };
+            reject = (err) => {
+                clearTimeout(t);
+                rej(err);
+            };
+        }),
+        close: () => server.close(),
+    };
+};

package/dist/auth/pkce.js

@@ -0,0 +1,11 @@
+import { createHash, randomBytes } from 'node:crypto';
+/**
+ * PKCE (RFC 7636) helpers。
+ * - verifier: 32 byte 乱数を base64url
+ * - challenge: SHA256(verifier) を base64url
+ *
+ * sallyinc/forms apps/cli/src/auth/pkce.ts からの移植 (uzuctl Go 実装の TS 版)。
+ */
+const base64url = (buf) => buf.toString('base64').replace(/=/g, '').replace(/\+/g, '-').replace(/\//g, '_');
+export const generateCodeVerifier = () => base64url(randomBytes(32));
+export const computeCodeChallenge = (verifier) => base64url(createHash('sha256').update(verifier).digest());

package/dist/auth/publish-token.js

@@ -0,0 +1,74 @@
+/**
+ * publish token (CI から publish するための長寿命 credential) のクライアント側処理。
+ *
+ * - `UZU_PUBLISH_TOKEN` から token を読む。CI はこれだけ渡せば publish できる
+ * - 発行 / 一覧 / 失効は auth サーバの /api/publish-tokens を叩く。認証は `uzu login` 由来の
+ *   ID token で、publish token 由来の ID token はサーバ側で 403 になる
+ *
+ * baseUrl はすべて引数で受ける(テストの httptest 差し替え・env 切替の両対応)。
+ *
+ * @docs
+ * - 設計: docs/architecture/auth-platform.md
+ * - 使い方: docs/play_screen_v3/sdk-guide/dev-tools.md
+ */
+/** CI に渡す環境変数名。 */
+export const PUBLISH_TOKEN_ENV = 'UZU_PUBLISH_TOKEN';
+/** API がハングしないためのタイムアウト (ms)。 */
+const REQUEST_TIMEOUT_MS = 15_000;
+/** 環境変数の publish token。未設定・空文字なら null。 */
+export const publishTokenFromEnv = () => {
+    const raw = process.env[PUBLISH_TOKEN_ENV];
+    if (raw === undefined)
+        return null;
+    const token = raw.trim();
+    return token === '' ? null : token;
+};
+/** 非 200 レスポンスを {error, error_description} としてパースする。 */
+const parseApiError = (text, status) => {
+    try {
+        const j = JSON.parse(text);
+        if (j.error) {
+            return new Error(j.error_description
+                ? `uzu auth: ${j.error} (${j.error_description})`
+                : `uzu auth: ${j.error}`);
+        }
+    }
+    catch { }
+    return new Error(`uzu auth: status ${status}`);
+};
+const request = async (baseUrl, path, idToken, init) => {
+    const res = await fetch(`${baseUrl}${path}`, {
+        method: init.method,
+        headers: {
+            authorization: `Bearer ${idToken}`,
+            ...(init.body === undefined ? {} : { 'content-type': 'application/json' }),
+        },
+        body: init.body === undefined ? undefined : JSON.stringify(init.body),
+        signal: AbortSignal.timeout(REQUEST_TIMEOUT_MS),
+    });
+    const text = await res.text();
+    if (!res.ok)
+        throw parseApiError(text, res.status);
+    try {
+        return JSON.parse(text);
+    }
+    catch {
+        throw new Error('uzu auth: invalid response');
+    }
+};
+/** publish token を発行する。平文はこのレスポンスにしか現れない。 */
+export const createPublishToken = (baseUrl, idToken, name) => request(baseUrl, '/api/publish-tokens', idToken, {
+    method: 'POST',
+    body: { name },
+});
+/** 有効な publish token を一覧する。 */
+export const listPublishTokens = async (baseUrl, idToken) => {
+    const { tokens } = await request(baseUrl, '/api/publish-tokens', idToken, { method: 'GET' });
+    return tokens;
+};
+/** publish token を失効させる。 */
+export const revokePublishToken = async (baseUrl, idToken, id) => {
+    await request(baseUrl, `/api/publish-tokens/${encodeURIComponent(id)}`, idToken, {
+        method: 'DELETE',
+    });
+};

package/dist/auth/token-cache.js

@@ -0,0 +1,70 @@
+import { getCredentials, saveCredentials } from './config.js';
+import { authBaseURL } from './env.js';
+import { PUBLISH_TOKEN_ENV, publishTokenFromEnv } from './publish-token.js';
+import { exchangePublishToken, refreshTokens } from './uzu-auth.js';
+/**
+ * id_token のメモリキャッシュ + 認証情報からの取得し直し。uzuctl GetValidIDToken 相当。
+ *
+ * 取得元の優先順位は cache → `UZU_PUBLISH_TOKEN` → credentials.json:
+ * - CI は publish token だけを渡す。env が立っていればログイン状態を見ない
+ * - ローカルは env を立てない限り従来どおり credentials.json が使われる
+ *
+ * - id_token はディスクに書かない (refresh_token のみ credentials.json に永続化)
+ * - 有効期限の残りが REFRESH_SKEW を切ったら取り直す (refresh_token grant / token exchange)
+ * - env ごとに in-memory cache を持ち、同一プロセスの連打では再取得しない
+ * - auth サーバが refresh_token を rotate して返した場合は credentials.json に追従する
+ */
+const REFRESH_SKEW_MS = 5 * 60 * 1000;
+const memoryCache = {};
+/** credentials.json の refresh_token から id_token を取り直す。未ログインなら null。 */
+const mintFromCredentials = async (env) => {
+    const creds = await getCredentials(env);
+    if (!creds)
+        return null;
+    const refreshed = await refreshTokens(authBaseURL(env), creds.refreshToken);
+    if (refreshed.refreshToken && refreshed.refreshToken !== creds.refreshToken) {
+        await saveCredentials(env, { ...creds, refreshToken: refreshed.refreshToken });
+    }
+    return { idToken: refreshed.accessToken, expiresIn: refreshed.expiresIn };
+};
+export const getValidIdToken = async (env) => {
+    const now = Date.now();
+    const cached = memoryCache[env];
+    if (cached && cached.expiresAt - now > REFRESH_SKEW_MS) {
+        return cached.idToken;
+    }
+    const publishToken = publishTokenFromEnv();
+    if (publishToken !== null) {
+        const tokens = await exchangePublishToken(authBaseURL(env), publishToken);
+        memoryCache[env] = {
+            idToken: tokens.accessToken,
+            expiresAt: now + tokens.expiresIn * 1000,
+        };
+        return tokens.accessToken;
+    }
+    const minted = await mintFromCredentials(env);
+    if (minted === null) {
+        throw new Error(`未ログインです。\`uzu login --env ${env}\` を実行するか、` +
+            `${PUBLISH_TOKEN_ENV} に publish token を設定してください`);
+    }
+    memoryCache[env] = { idToken: minted.idToken, expiresAt: now + minted.expiresIn * 1000 };
+    return minted.idToken;
+};
+/**
+ * `uzu login` 由来の id_token を取得する。publish token では代替しない。
+ *
+ * token 管理コマンド専用。publish token 由来の id_token はサーバ側でも 403 になる
+ * (漏れた CI トークンから新しい token を生やせないようにするため)。
+ */
+export const getLoginIdToken = async (env) => {
+    const minted = await mintFromCredentials(env);
+    if (minted === null) {
+        throw new Error(`未ログインです。\`uzu login --env ${env}\` を先に実行してください`);
+    }
+    return minted.idToken;
+};
+/** test / logout で in-memory cache をリセットするため。 */
+export const _resetTokenCache = () => {
+    for (const k of Object.keys(memoryCache))
+        delete memoryCache[k];
+};

package/dist/auth/uzu-auth.js

@@ -0,0 +1,94 @@
+/**
+ * uzu auth サーバの標準 OAuth (2.1) endpoint helpers。
+ *
+ *   - GET  /login            → ブラウザを誘導し redirect_uri に code を返す
+ *   - POST /api/oauth/token  → authorization_code / refresh_token grant で
+ *                              access_token(= Firebase ID token) / refresh_token を発行・更新
+ *                              token-exchange grant で publish token を ID token に交換
+ *
+ * sallyinc/forms apps/cli/src/auth/uzu-auth.ts からの移植。client_id を `uzu-cli` に差し替えた。
+ * `uzu-cli` は auth 側 lib/oauth.ts の FIRST_PARTY_OAUTH_CLIENT_IDS / lib/clients.ts に登録済み。
+ *
+ * baseUrl はすべて引数で受ける(テストの httptest 差し替え・env 切替の両対応)。
+ */
+const CLIENT_ID = 'uzu-cli';
+/**
+ * publish token の subject_token_type (RFC 8693)。
+ * auth 側 lib/publish-token.ts の PUBLISH_TOKEN_TYPE と一致していること
+ * (別パッケージなので共有できない。ズレると exchange が invalid_request になる)。
+ */
+const PUBLISH_TOKEN_TYPE = 'urn:uzu:params:oauth:token-type:publish-token';
+/** refresh が hang しないためのタイムアウト (ms)。 */
+const TOKEN_TIMEOUT_MS = 15_000;
+export const buildLoginURL = (authBaseUrl, redirectUri, codeChallenge) => {
+    const q = new URLSearchParams({
+        redirect_uri: redirectUri,
+        client_id: CLIENT_ID,
+        code_challenge: codeChallenge,
+        code_challenge_method: 'S256',
+    });
+    return `${authBaseUrl}/login?${q.toString()}`;
+};
+/** 非 200 レスポンスを OAuth 標準の {error, error_description} としてパースする。両 grant 共通。 */
+const parseOAuthTokenError = (text, status) => {
+    try {
+        const j = JSON.parse(text);
+        if (j.error) {
+            return new Error(j.error_description
+                ? `uzu auth: ${j.error} (${j.error_description})`
+                : `uzu auth: ${j.error}`);
+        }
+    }
+    catch { }
+    return new Error(`uzu auth: status ${status}`);
+};
+/** /api/oauth/token に JSON body を POST する低レベル helper。baseUrl 引数は httptest 差し替え用。 */
+const requestToken = async (baseUrl, body) => {
+    const res = await fetch(`${baseUrl}/api/oauth/token`, {
+        method: 'POST',
+        headers: { 'content-type': 'application/json' },
+        body: JSON.stringify(body),
+        signal: AbortSignal.timeout(TOKEN_TIMEOUT_MS),
+    });
+    const text = await res.text();
+    if (!res.ok)
+        throw parseOAuthTokenError(text, res.status);
+    let j;
+    try {
+        j = JSON.parse(text);
+    }
+    catch {
+        throw new Error('uzu auth: invalid token response');
+    }
+    if (!j.access_token)
+        throw new Error('uzu auth: missing access_token in response');
+    return {
+        accessToken: j.access_token,
+        refreshToken: j.refresh_token ?? '',
+        expiresIn: Number(j.expires_in) || 3600,
+    };
+};
+/** authorization_code grant。redirectUri は code に紐づく値と一致させる必要がある。 */
+export const exchangeCodeForTokens = async (baseUrl, code, codeVerifier, redirectUri) => {
+    const tokens = await requestToken(baseUrl, {
+        grant_type: 'authorization_code',
+        code,
+        code_verifier: codeVerifier,
+        redirect_uri: redirectUri,
+        client_id: CLIENT_ID,
+    });
+    if (!tokens.refreshToken)
+        throw new Error('uzu auth: missing refresh_token in response');
+    return tokens;
+};
+/** refresh_token grant。サーバは securetoken を裏で叩く。 */
+export const refreshTokens = (baseUrl, refreshToken) => requestToken(baseUrl, { grant_type: 'refresh_token', refresh_token: refreshToken });
+/**
+ * publish token を短命の ID token に交換する (RFC 8693 token exchange)。
+ * レスポンスに refresh_token は含まれない (期限が切れたら publish token から取り直す)。
+ */
+export const exchangePublishToken = (baseUrl, publishToken) => requestToken(baseUrl, {
+    grant_type: 'urn:ietf:params:oauth:grant-type:token-exchange',
+    subject_token: publishToken,
+    subject_token_type: PUBLISH_TOKEN_TYPE,
+});

package/dist/build-server-logic.js

@@ -0,0 +1,28 @@
+/**
+ * @docs
+ * - ServerAction仕様: docs/docs/play_screen_v3/connection-method/arch3-authority.md
+ *
+ * ゲームの logic.ts を ESM 形式の単一 logic.js にバンドルする。
+ * 出力ファイルは R2 にアップロードされ、WfP デプロイ時にテンプレートとマージされる。
+ */
+import { build } from 'esbuild';
+/**
+ * logic.ts → logic.js にバンドルビルドする。
+ *
+ * @param logicPath - ゲームの logic.ts (or .js) への絶対パス
+ * @param outPath   - 出力先の logic.js への絶対パス
+ */
+export const buildServerLogic = async (logicPath, outPath) => {
+    await build({
+        entryPoints: [logicPath],
+        outfile: outPath,
+        bundle: true,
+        format: 'esm',
+        target: 'es2022',
+        platform: 'neutral',
+        // SDK の type-only import は tsc で消えるが安全のため external 指定。
+        // @uzupj/uzu-sdk は旧パッケージ名 (未移行 scenario 向けの両対応)
+        external: ['@uzuhq/code-sdk', '@uzupj/uzu-sdk'],
+    });
+    console.log(`Built server logic: ${logicPath} → ${outPath}`);
+};