i-repo 2.5.0 → 2.6.0

package/dist/commands/reports/download.js

@@ -1,5 +1,5 @@
-import { assertNumericId, handleError } from "../../core/errors.js";
-import { saveBinaryDownload, inferFilename } from "../../utils/file.js";
+import { assertNumericId, handleError, ValidationError } from "../../core/errors.js";
+import { saveBinaryDownload, inferFilename, sanitizeServerFilename } from "../../utils/file.js";
 import { withSpinner } from "../../ui/spinner.js";
 import { choiceOption, parsePageSpec } from "../shared-options.js";
 export function registerReportsDownload(parent, getClient) {
@@ -8,12 +8,19 @@ export function registerReportsDownload(parent, getClient) {
         .description("Download report file (PDF/Excel)")
         .argument("<reportId>", "Report ID (numeric)")
         .addOption(choiceOption("--file-type <type>", "File type", ["pdf", "pdfLayer", "excel"]).makeOptionMandatory())
-        .option("-o, --output <path>", "Output file path")
+        .option("-o, --output <path>", "Output file path (default: server-provided filename, else report-<id>)")
         .option("--page <pages>", 'Pages (pdf/pdfLayer only; e.g. "1,3" or "2-4")', parsePageSpec)
-        .option("--file-name <name>", "Output file name")
+        .option("--file-name <name>", "Output file name (also sent to the server's fileName parameter)")
         .action(async (reportId, options, cmd) => {
         try {
             assertNumericId(reportId, "reportId");
+            // --file-name は「ファイル名」専用 — パスは -o/--output の仕事。
+            // 空白のみ (→ 隠しファイル ".pdf") やパス区切り入りは黙って変形せず
+            // ここで明示的に拒否する (API 呼び出し前に早期失敗)。
+            const requestedName = options.fileName?.trim();
+            if (requestedName !== undefined && (requestedName === "" || /[/\\]/.test(requestedName))) {
+                throw new ValidationError(`Invalid --file-name "${options.fileName}": must be a plain file name without path separators (use --output for paths).`);
+            }
             const globalOpts = cmd.optsWithGlobals();
             const client = await getClient(cmd);
             const result = await withSpinner("downloading", async () => {
@@ -21,11 +28,29 @@ export function registerReportsDownload(parent, getClient) {
                     fileType: options.fileType,
                     report: reportId,
                     pageNo: options.page,
-                    fileName: options.fileName,
+                    fileName: requestedName,
                 });
             });
             const ext = options.fileType === "excel" ? "xlsx" : "pdf";
-            const defaultName = `report-${reportId}.${ext}`;
+            // 保存名の優先順位: -o/--output (パスごと明示) ＞ --file-name (明示) ＞
+            // サーバ申告名 (Content-Disposition = ファイル自動出力設定の名称) ＞
+            // 従来の report-<ID>.<ext>。ユーザーの明示指定は、サーバが fileName
+            // パラメータを無視/正規化して別名を申告してきても負けない。
+            // --file-name / サーバ名とも、拡張子付きならそのまま・無ければ .<ext>
+            // を補う ("foo.pdf" を "foo.pdf.pdf" にしない。--file-type で拡張子は
+            // 確定しているので、octet-stream 応答でも拡張子なし保存にしない)。
+            // サーバ名は無害化してから使う。
+            // 末尾のドット/空白は Windows のファイルシステムが黙って剥がす — 先に
+            // 剥がしてから拡張子判定する ("foo." / "foo.pdf " を誤判定して、要求と
+            // 違う名前でディスクに載るのを防ぐ。"foo." → "foo.pdf")
+            const withExt = (name) => {
+                const base = name.replace(/[. ]+$/, "");
+                return base.lastIndexOf(".") > 0 ? base : `${base}.${ext}`;
+            };
+            const serverBase = sanitizeServerFilename(result.fileName);
+            const serverName = serverBase ? withExt(serverBase) : undefined;
+            const explicitName = requestedName ? withExt(requestedName) : undefined;
+            const defaultName = explicitName ?? serverName ?? `report-${reportId}.${ext}`;
             const filename = inferFilename(result.contentType, defaultName);
             await saveBinaryDownload(result, options.output, filename, globalOpts.quiet);
         }

package/dist/sdk/api/report.d.ts

@@ -53,11 +53,13 @@ export declare class ReportApi extends BaseApi {
     copyReport(params: CopyReportParams): Promise<CopyReportResponse>;
     /**
      * 帳票ファイル (PDF/Excel) をバイナリとして取得する
-     * @returns バイナリデータとContentType
+     * @returns バイナリデータとContentType。fileName はサーバが Content-Disposition で
+     *          申告した出力名（ファイル自動出力設定の名称。無ければ undefined）
      */
     getReportFile(params: GetReportFileParams): Promise<{
         data: ArrayBuffer;
         contentType: string;
+        fileName?: string;
     }>;
     /**
      * クラスター値を取得する。

package/dist/sdk/api/report.js

@@ -132,7 +132,8 @@ export class ReportApi extends BaseApi {
     }
     /**
      * 帳票ファイル (PDF/Excel) をバイナリとして取得する
-     * @returns バイナリデータとContentType
+     * @returns バイナリデータとContentType。fileName はサーバが Content-Disposition で
+     *          申告した出力名（ファイル自動出力設定の名称。無ければ undefined）
      */
     async getReportFile(params) {
         const reqParams = buildParams({ command: "GetReportFile", fileType: params.fileType }, {

package/dist/sdk/core/base-api.d.ts

@@ -18,6 +18,7 @@ export declare abstract class BaseApi {
     protected executeForBinary(params: Record<string, string>): Promise<{
         data: ArrayBuffer;
         contentType: string;
+        fileName?: string;
     }>;
     /**
      * クラスタ値取得用。XMLレスポンスで `conmas.value` があればテキスト値を

package/dist/sdk/core/base-api.js

@@ -58,7 +58,7 @@ export class BaseApi {
         }
         // Content-Type が xml でなくても、本文が XML エラーなら沈黙保存させない
         this.checkBinaryErrorEnvelope(result.data, params.command);
-        return { data: result.data, contentType: result.contentType };
+        return { data: result.data, contentType: result.contentType, fileName: result.fileName };
     }
     /**
      * クラスタ値取得用。XMLレスポンスで `conmas.value` があればテキスト値を

package/dist/sdk/core/http-client.d.ts

@@ -1,4 +1,18 @@
 import type { IReporterConfig } from "../types/common.js";
+/** バイナリ応答。fileName は Content-Disposition から得たサーバ提供名 (無ければ undefined) */
+export interface BinaryResponse {
+    data: ArrayBuffer;
+    contentType: string;
+    fileName?: string;
+}
+/**
+ * Content-Disposition からファイル名を取り出す (RFC 6266)。
+ * `filename*=charset''pct-encoded` (RFC 5987) を優先し、無ければ
+ * `filename="..."` / `filename=token`。パースできない・壊れた値は undefined —
+ * 呼び出し側がフォールバック名を使う。値はサーバ申告のまま返す (パス区切り等の
+ * 無害化は保存する側の責務 — SDK はワイヤ忠実)。
+ */
+export declare function parseContentDispositionFilename(header: string | null | undefined): string | undefined;
 /** HTTPクライアント: セッション（Cookie）管理 + POSTリクエスト */
 export declare class HttpClient {
     private readonly baseUrl;
@@ -41,19 +55,14 @@ export declare class HttpClient {
         filename: string;
     }): Promise<string>;
     /** バイナリレスポンスでPOSTリクエスト（ダウンロード用）。画像等を破損させないため arraybuffer で受信 */
-    postForBinary(params: Record<string, string>): Promise<{
-        data: ArrayBuffer;
-        contentType: string;
-    }>;
+    postForBinary(params: Record<string, string>): Promise<BinaryResponse>;
     /** レスポンスがXMLかどうかを判定してXML/バイナリを返す。画像等は arraybuffer で取得するため専用経路を使用 */
     postAutoDetect(params: Record<string, string>): Promise<{
         type: "xml";
         xml: string;
-    } | {
+    } | ({
         type: "binary";
-        data: ArrayBuffer;
-        contentType: string;
-    }>;
+    } & BinaryResponse)>;
     /** multipart/form-data でPOSTし、Content-Typeを判定してXML/バイナリを返す */
     postMultipartForBinary(params: Record<string, string>, file: {
         name: string;

package/dist/sdk/core/http-client.js

@@ -2,6 +2,39 @@ import http from "node:http";
 import https from "node:https";
 import { URL } from "node:url";
 import { HttpError, NetworkError } from "./errors.js";
+/**
+ * Content-Disposition からファイル名を取り出す (RFC 6266)。
+ * `filename*=charset''pct-encoded` (RFC 5987) を優先し、無ければ
+ * `filename="..."` / `filename=token`。パースできない・壊れた値は undefined —
+ * 呼び出し側がフォールバック名を使う。値はサーバ申告のまま返す (パス区切り等の
+ * 無害化は保存する側の責務 — SDK はワイヤ忠実)。
+ */
+export function parseContentDispositionFilename(header) {
+    if (!header)
+        return undefined;
+    // パラメータ名と charset は大文字小文字を区別しない (RFC 6266/5987 — copilot 指摘)
+    // filename*=UTF-8''%E5%B8%B3%E7%A5%A8.pdf (charset は UTF-8 のみ対応)
+    const ext = /filename\*\s*=\s*utf-8''([^;]+)/i.exec(header);
+    if (ext) {
+        try {
+            const decoded = decodeURIComponent(ext[1].trim());
+            if (decoded.length > 0)
+                return decoded;
+        }
+        catch {
+            // 壊れた % エンコード → 素の filename= にフォールバック
+        }
+    }
+    const quoted = /filename\s*=\s*"((?:[^"\\]|\\.)*)"/i.exec(header);
+    if (quoted) {
+        const unescaped = quoted[1].replace(/\\(.)/g, "$1");
+        return unescaped.length > 0 ? unescaped : undefined;
+    }
+    const token = /filename\s*=\s*([^;\s]+)/i.exec(header);
+    if (token && token[1].length > 0)
+        return token[1];
+    return undefined;
+}
 /** HTTPクライアント: セッション（Cookie）管理 + POSTリクエスト */
 export class HttpClient {
     baseUrl;
@@ -142,13 +175,13 @@ export class HttpClient {
     }
     /** レスポンスがXMLかどうかを判定してXML/バイナリを返す。画像等は arraybuffer で取得するため専用経路を使用 */
     async postAutoDetect(params) {
-        const { data, contentType } = await this.postForBinary(params);
+        const { data, contentType, fileName } = await this.postForBinary(params);
         const rawContentType = contentType ?? "";
         if (rawContentType.includes("xml") && !isZipMagic(data)) {
             const xml = new TextDecoder("utf-8").decode(data);
             return { type: "xml", xml };
         }
-        return { type: "binary", data, contentType: rawContentType };
+        return { type: "binary", data, contentType: rawContentType, fileName };
     }
     /** multipart/form-data でPOSTし、Content-Typeを判定してXML/バイナリを返す */
     async postMultipartForBinary(params, file) {
@@ -206,6 +239,7 @@ export class HttpClient {
         return {
             data: await this.readArrayBuffer(response),
             contentType: response.headers.get("content-type") ?? "application/octet-stream",
+            fileName: parseContentDispositionFilename(response.headers.get("content-disposition")),
         };
     }
     /** Node `http`/`https` で URL-encoded を送る（ASP.NET と相性が良い） */
@@ -228,6 +262,7 @@ export class HttpClient {
         return {
             data: u8.buffer.slice(u8.byteOffset, u8.byteOffset + u8.byteLength),
             contentType,
+            fileName: parseContentDispositionFilename(getIncomingHeader(headers, "content-disposition")),
         };
     }
     async nodePostUrlEncoded(startUrl, bodyString) {

package/dist/sdk/resources/reports.d.ts

@@ -24,6 +24,7 @@ export declare class ReportsResource {
     downloadFile(params: GetReportFileParams): Promise<{
         data: ArrayBuffer;
         contentType: string;
+        fileName?: string;
     }>;
     getClusterValue(params: GetClusterValueParams): Promise<{
         data: ArrayBuffer;

package/dist/utils/file.d.ts

@@ -27,6 +27,15 @@ export declare function saveBinaryDownload(result: {
     data: ArrayBuffer;
     contentType: string;
 }, outputPath: string | undefined, defaultFilename: string, quiet?: boolean): Promise<DownloadResult>;
+/**
+ * サーバ申告のダウンロードファイル名 (Content-Disposition) を保存に安全な
+ * 単一ファイル名へ無害化する。サーバ (または途中の何か) が "../../evil.pdf" や
+ * 制御文字入りの名前を申告しても、保存先ディレクトリの外へ書かせない。
+ * 日本語等の Unicode は保持する (帳票名がそのまま使えることが目的)。
+ * 無害化の結果ファイル名として成立しない場合は undefined — 呼び出し側が
+ * フォールバック名を使う。
+ */
+export declare function sanitizeServerFilename(name: string | undefined): string | undefined;
 /**
  * Infer a filename from content-type header.
  * Falls back to the provided default.

package/dist/utils/file.js

@@ -109,6 +109,34 @@ export async function saveBinaryDownload(result, outputPath, defaultFilename, qu
         size: buffer.byteLength,
     };
 }
+/**
+ * サーバ申告のダウンロードファイル名 (Content-Disposition) を保存に安全な
+ * 単一ファイル名へ無害化する。サーバ (または途中の何か) が "../../evil.pdf" や
+ * 制御文字入りの名前を申告しても、保存先ディレクトリの外へ書かせない。
+ * 日本語等の Unicode は保持する (帳票名がそのまま使えることが目的)。
+ * 無害化の結果ファイル名として成立しない場合は undefined — 呼び出し側が
+ * フォールバック名を使う。
+ */
+export function sanitizeServerFilename(name) {
+    if (!name)
+        return undefined;
+    // パス区切りを越えさせない: 最後のセグメントだけを採用 (\ は Windows 区切り)
+    const lastSegment = name.split(/[/\\]/).pop() ?? "";
+    const cleaned = lastSegment
+        .replace(/[\u0000-\u001f\u007f]/g, "") // 制御文字 (端末・FS 両方に有害)
+        .replace(/[<>:"|?*]/g, "_") // Windows で使えない文字
+        .trim()
+        // Windows は末尾のドット/空白を黙って剥がす — 先にこちらで剥がして
+        // 「指定と違う名前で保存される」を起こさない (copilot 指摘)
+        .replace(/[. ]+$/, "");
+    if (cleaned === "")
+        return undefined;
+    // Windows 予約デバイス名 (NUL / CON.pdf 等) はどの OS でも採用しない —
+    // 保存物が後で Windows に渡ったとき開けない名前を作らない (可搬性)
+    if (isWindowsReservedName(cleaned))
+        return undefined;
+    return cleaned;
+}
 /**
  * Infer a filename from content-type header.
  * Falls back to the provided default.

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "i-repo",
-  "version": "2.5.0",
+  "version": "2.6.0",
   "description": "Modern CLI for ConMas i-Reporter - Built for humans and AI",
   "type": "module",
   "bin": {
@@ -61,7 +61,7 @@
   },
   "devDependencies": {
     "@types/gradient-string": "1.1.6",
-    "@types/node": "24.13.0",
+    "@types/node": "25.9.1",
     "@types/react": "19.2.17",
     "typescript": "5.9.3",
     "vitest": "4.1.8"