sparkle-design-cli 2.5.0-beta.2 → 2.5.0-beta.3

package/README.md

@@ -73,6 +73,9 @@ npx sparkle-design-cli check src --format json
 
 # 現在有効なアンチパターンルールを一覧表示（プラグイン由来のものも含む）
 npx sparkle-design-cli rules
+
+# Artifact Registry の npm registry 用トークンを ~/.npmrc に書く（beta）
+npx --yes sparkle-design-cli@beta auth
 ```
 
 ### generate: 基本的な使用方法
@@ -197,6 +200,23 @@ npx sparkle-design-cli rules --format json
 
 AI エージェントや CI からこの `lint:sparkle` を呼ぶ運用にすると、ガイドラインの注意書きだけに頼らず機械的に検査できます。
 
+### auth: Artifact Registry の認証（beta）
+
+社内パッケージの配信先を Google Artifact Registry（AR）に移行するための準備です（goodpatch/sparkle-design-internal#261）。Google の資格情報から AR 用のアクセストークンを取得し、ユーザー単位の `~/.npmrc` に書きます。
+
+```bash
+gcloud auth login                         # 初回のみ（ADC を使う場合は gcloud auth application-default login）
+npx --yes sparkle-design-cli@beta auth    # プロジェクトの .npmrc の @goodpatch:registry が対象
+pnpm install
+```
+
+- 対象の registry は `--registry <url>`、無ければプロジェクトの `.npmrc`（親ディレクトリも辿る）の `@goodpatch:registry=` です。プロジェクトの `.npmrc` には registry 行だけを置けばよく、そのままコミットできます
+- トークンの取得は ADC → `gcloud auth print-access-token` の順です。どちらも使えなければ `gcloud auth login` を案内して終了します
+- **トークンは約 60 分で失効します。** `pnpm install` が 401 で落ちたら（npm は `npm adduser` を案内しますが、AR では解決しません）もう一度 `auth` を実行してください
+- 同じ registry の行は置き換えるので、何度実行しても `~/.npmrc` に行は積み上がりません。`always-auth` は書きません
+- トークンは Artifact Registry（`<location>-npm.pkg.dev`）以外には書きません。`cloud-platform` スコープの Google トークンなので、ほかのホストに渡すと資格情報の漏えいになるためです
+- トークンを画面に出さず、refresh token などの長期クレデンシャルもコピーしません（gcloud の管理下に置いたまま）
+
 ### setup: プロジェクトのフルセットアップ
 
 `sparkle-design-cli setup` は、Sparkle Design の導入に必要な作業をまとめて行います：

package/bin/sparkle-design.js

@@ -7,8 +7,17 @@ import { runStopHook } from '../lib/stop-hook.js';
 import { PLUGIN_SPEC_MARKDOWN } from '../lib/plugin-api.js';
 import { loadAntiPatternPlugins } from '../lib/load-plugins.js';
 import { runRules } from '../lib/rules-report.js';
-
-const SUBCOMMANDS = new Set(['generate', 'check', 'rules', 'setup', 'stop-hook', 'plugin-spec']);
+import { runAuth } from '../lib/auth.js';
+
+const SUBCOMMANDS = new Set([
+  'generate',
+  'check',
+  'rules',
+  'setup',
+  'auth',
+  'stop-hook',
+  'plugin-spec',
+]);
 
 function requireOptionValue(args, index, flags) {
   const value = args[index + 1];
@@ -170,6 +179,30 @@ function parseRulesOptions(args) {
   return options;
 }
 
+/**
+ * `auth` のオプション。未知のフラグはその場で失敗させる（他のサブコマンドと同じ）。
+ * en: Unknown flags fail fast, same as the other subcommands.
+ */
+function parseAuthOptions(args) {
+  const options = { registry: null, help: false };
+
+  for (let i = 0; i < args.length; i += 1) {
+    const arg = args[i];
+    if (arg === '-h' || arg === '--help') {
+      options.help = true;
+      continue;
+    }
+    if (arg === '--registry') {
+      options.registry = requireOptionValue(args, i, '--registry');
+      i += 1;
+      continue;
+    }
+    throw new Error(`Unknown option for auth: ${arg}`);
+  }
+
+  return options;
+}
+
 function showHelp() {
   console.log(`
 Sparkle Design CLI
@@ -182,6 +215,7 @@ Commands:
   check        Sparkle Design のアンチパターンを検査
   rules        現在有効なアンチパターンルールを一覧表示（プラグイン由来のものも含む）
   setup        Sparkle Design プロジェクトをセットアップ（パッケージ導入 + 初期ファイル + AI ガード + generate）
+  auth         Artifact Registry の npm registry 用アクセストークンを ~/.npmrc に書く（beta）
   stop-hook    AI assistant の Stop hook 用 internal subcommand（severity=error の findings か、
                実行に失敗して未検査のルールがあるときに exit 2 で 1 度だけ停止をブロック / 再発火は自動回避。
                warning / info はブロックせず件数の要約を stderr に出す）
@@ -211,6 +245,10 @@ Plugin spec:
   sparkle-design-cli plugin-spec           # アンチパターン拡張プラグインの契約仕様を出力
   sparkle-design-cli plugin-spec --list    # 現在のプロジェクトで発見されたプラグインを表示
 
+Auth (beta):
+  sparkle-design-cli auth                  # プロジェクトの .npmrc の @goodpatch:registry を対象に認証
+  sparkle-design-cli auth --registry https://asia-northeast1-npm.pkg.dev/<project>/<repository>/
+
 Setup:
   sparkle-design-cli setup                                        # フルセットアップ（推奨・新規導入時）
   sparkle-design-cli setup --assistant claude                     # Claude 向けガードも同時にセットアップ
@@ -275,6 +313,19 @@ Check options:
                              （warning / info は報告のみで exit code に影響しない）
   --format <text|json>       出力形式 (default: text)
 
+Auth options:
+  -h, --help                 このヘルプメッセージを表示
+  --registry <url>           対象の registry（default: プロジェクトの .npmrc の @goodpatch:registry）
+
+Auth の動作:
+  1. Google の資格情報（ADC → gcloud auth print-access-token の順）からアクセストークンを取得
+     どちらも無い / 期限切れなら gcloud auth login を案内して終了
+  2. ユーザー単位の ~/.npmrc（NPM_CONFIG_USERCONFIG があればそちら）に、同じ registry の行を
+     置き換えて書く（プロジェクトの .npmrc は registry 行のみのまま、コミットできる状態を保つ）
+  3. 有効期限（約 60 分）を表示する。切れたらもう一度 auth を実行する
+  トークンは Artifact Registry（<location>-npm.pkg.dev）にだけ書き、画面には出しません。
+  refresh token などの長期クレデンシャルは gcloud の管理下に置いたままで、コピーしません。
+
 Setup options:
   -h, --help                 このヘルプメッセージを表示
   --assistant <name>         claude / codex / cursor / generic (default: generic)
@@ -410,6 +461,16 @@ async function main() {
       return;
     }
 
+    if (command === 'auth') {
+      const options = parseAuthOptions(args.slice(1));
+      if (options.help) {
+        showHelp();
+        process.exit(0);
+      }
+      await runAuth(options);
+      return;
+    }
+
     if (command === 'stop-hook') {
       // setup で各 agent の hook 設定ファイルから呼ばれる internal subcommand。
       // 以降の引数はすべて lint 対象 path。setup が書き出す hook は 1 つだが、

package/lib/auth.js

@@ -0,0 +1,302 @@
+import fs from 'fs';
+import os from 'os';
+import path from 'path';
+import { spawnSync } from 'child_process';
+import { URL, URLSearchParams } from 'url';
+
+/**
+ * `sparkle-design-cli auth` — Google Artifact Registry（AR）の npm registry 用に、
+ * 利用者の Google 資格情報からアクセストークンを取り、ユーザー単位の `~/.npmrc` に書く。
+ *
+ * AR のトークンは約 60 分で失効するので、「翌日 `pnpm install` が 401 で落ちる」を
+ * 1 コマンドで復帰できるようにするのが目的（goodpatch/sparkle-design-cli#94 の Phase 1）。
+ *
+ * 失効を弱めないための制約（#94 の追加仕様）:
+ * - 書き込むのはアクセストークン（60 分以内に失効）だけ。refresh token は gcloud / ADC の
+ *   管理下に置いたまま読むだけで、コピー・キャッシュしない
+ * - トークンを標準出力・エラー出力に出さない
+ * en: Writes a short-lived Google access token for an Artifact Registry npm registry into the
+ *     user-level ~/.npmrc. Never persists or prints long-lived credentials or the token itself.
+ */
+
+const SCOPE = '@goodpatch';
+const GOOGLE_TOKEN_URL = 'https://oauth2.googleapis.com/token';
+const GOOGLE_TOKENINFO_URL = 'https://oauth2.googleapis.com/tokeninfo';
+/** アクセストークンとして受け付ける文字。改行などで .npmrc に別の行を差し込ませない */
+const TOKEN_PATTERN = /^[A-Za-z0-9._\-~+/=]+$/;
+
+export class AuthError extends Error {
+  constructor(message) {
+    super(message);
+    this.name = 'AuthError';
+  }
+}
+
+/**
+ * registry URL を検証して、末尾スラッシュ付きの正規形にする。
+ *
+ * トークンは `cloud-platform` スコープの利用者アクセストークンで、60 分間は GCP 全体を
+ * その人として操作できる。AR 以外のホストに渡すと資格情報の漏えいになるので、
+ * https かつ AR の npm ホスト（`<location>-npm.pkg.dev`）に限る。
+ * en: Only https Artifact Registry npm hosts are accepted, to avoid leaking a broad Google token.
+ */
+export function normalizeRegistry(raw) {
+  let url;
+  try {
+    url = new URL(String(raw).trim());
+  } catch {
+    throw new AuthError(`registry の URL として解釈できません: ${raw}`);
+  }
+  if (url.protocol !== 'https:') {
+    throw new AuthError(`registry は https である必要があります: ${url.href}`);
+  }
+  if (!/^[a-z0-9-]+-npm\.pkg\.dev$/.test(url.hostname)) {
+    throw new AuthError(
+      `Artifact Registry の npm registry（<location>-npm.pkg.dev）ではありません: ${url.host}\n` +
+        '   このコマンドは Google のアクセストークンを書き込むため、Artifact Registry 以外には使えません。'
+    );
+  }
+  if (url.username || url.password || url.search || url.hash) {
+    throw new AuthError(`registry の URL に余分な要素が含まれています: ${raw}`);
+  }
+  const pathname = url.pathname.endsWith('/') ? url.pathname : `${url.pathname}/`;
+  return `https://${url.host}${pathname}`;
+}
+
+/** `~/.npmrc` に書くキー（`//host/path/:_authToken`） */
+export function registryAuthKey(registry) {
+  return `${registry.replace(/^https:/, '')}:_authToken`;
+}
+
+/** `.npmrc` のテキストから `@goodpatch:registry=` の値を取り出す。無ければ null */
+export function readScopeRegistry(npmrcText, scope = SCOPE) {
+  for (const rawLine of npmrcText.split(/\r?\n/)) {
+    const line = rawLine.trim();
+    if (line.startsWith('#') || line.startsWith(';')) continue;
+    const match = /^([^=]+?)\s*=\s*(.+)$/.exec(line);
+    if (match && match[1] === `${scope}:registry`) {
+      return match[2].trim();
+    }
+  }
+  return null;
+}
+
+/**
+ * プロジェクトの `.npmrc` を cwd から親へ辿って探し、`@goodpatch:registry=` を返す。
+ * monorepo でサブディレクトリから実行しても、ルートの `.npmrc` を見つけられるようにする。
+ */
+export function findProjectRegistry(cwd, readFile = (p) => fs.readFileSync(p, 'utf8')) {
+  let dir = path.resolve(cwd);
+  for (;;) {
+    const candidate = path.join(dir, '.npmrc');
+    let text = null;
+    try {
+      text = readFile(candidate);
+    } catch {
+      // 無ければ親へ
+    }
+    if (text !== null) {
+      const registry = readScopeRegistry(text);
+      if (registry) return { registry, source: candidate };
+    }
+    const parent = path.dirname(dir);
+    if (parent === dir) return null;
+    dir = parent;
+  }
+}
+
+/**
+ * `.npmrc` のテキスト中の、同じ registry のトークン行を置き換える（無ければ末尾に足す）。
+ * `google-artifactregistry-auth` は追記するだけで、実行のたびに行が積み上がるため。
+ * 末尾スラッシュの有無が違う同じ registry の行もまとめて取り除く。
+ */
+export function upsertAuthToken(npmrcText, registry, token) {
+  const key = registryAuthKey(registry);
+  const variants = new Set([key, key.replace(/\/:_authToken$/, ':_authToken')]);
+  const lines = npmrcText === '' ? [] : npmrcText.split(/\r?\n/);
+  if (lines.length > 0 && lines[lines.length - 1] === '') lines.pop();
+  const kept = lines.filter((line) => {
+    const match = /^\s*([^=\s]+)\s*=/.exec(line);
+    return !(match && variants.has(match[1]));
+  });
+  kept.push(`${key}=${token}`);
+  return `${kept.join('\n')}\n`;
+}
+
+/** npm が読むユーザー単位の設定ファイル */
+export function resolveUserConfigPath(env = process.env, homedir = os.homedir()) {
+  return env.NPM_CONFIG_USERCONFIG || env.npm_config_userconfig || path.join(homedir, '.npmrc');
+}
+
+/** ADC ファイルの場所（gcloud と同じ探し方） */
+export function resolveAdcPath(env = process.env, homedir = os.homedir()) {
+  if (env.GOOGLE_APPLICATION_CREDENTIALS) return env.GOOGLE_APPLICATION_CREDENTIALS;
+  const configDir =
+    env.CLOUDSDK_CONFIG ||
+    (process.platform === 'win32' && env.APPDATA
+      ? path.join(env.APPDATA, 'gcloud')
+      : path.join(homedir, '.config', 'gcloud'));
+  return path.join(configDir, 'application_default_credentials.json');
+}
+
+/** 失効時刻の表示（例: 15:52（あと 59 分）） */
+export function formatExpiry(expiresInSeconds, now = new Date()) {
+  const expiresAt = new Date(now.getTime() + expiresInSeconds * 1000);
+  const hh = String(expiresAt.getHours()).padStart(2, '0');
+  const mm = String(expiresAt.getMinutes()).padStart(2, '0');
+  return `${hh}:${mm}（あと ${Math.floor(expiresInSeconds / 60)} 分）`;
+}
+
+// ---- トークンの取得（テストでは差し替える） ----
+
+/**
+ * ADC（`gcloud auth application-default login` で作られる authorized_user）の
+ * refresh token でアクセストークンを取り直す。refresh token は読むだけで保存しない。
+ * 使えなければ null（呼び出し側で gcloud にフォールバックする）。
+ */
+async function tokenFromAdc({ env, homedir, fetchImpl }) {
+  let adc;
+  try {
+    adc = JSON.parse(fs.readFileSync(resolveAdcPath(env, homedir), 'utf8'));
+  } catch {
+    return null;
+  }
+  // サービスアカウントキー等は対象外（組織ポリシーでキー発行自体が禁止されている）
+  if (adc?.type !== 'authorized_user' || !adc.refresh_token || !adc.client_id) {
+    return null;
+  }
+  try {
+    const res = await fetchImpl(GOOGLE_TOKEN_URL, {
+      method: 'POST',
+      headers: { 'content-type': 'application/x-www-form-urlencoded' },
+      body: new URLSearchParams({
+        grant_type: 'refresh_token',
+        refresh_token: adc.refresh_token,
+        client_id: adc.client_id,
+        client_secret: adc.client_secret ?? '',
+      }).toString(),
+    });
+    if (!res.ok) return null;
+    const json = await res.json();
+    if (typeof json.access_token !== 'string') return null;
+    return { token: json.access_token, expiresIn: Number(json.expires_in) || null, via: 'ADC' };
+  } catch {
+    return null;
+  }
+}
+
+/** `gcloud auth print-access-token`。未導入・未ログインなら null */
+function tokenFromGcloud({ spawn }) {
+  const result = spawn('gcloud', ['auth', 'print-access-token'], {
+    encoding: 'utf8',
+    shell: process.platform === 'win32',
+    stdio: ['ignore', 'pipe', 'pipe'],
+  });
+  if (result.error || result.status !== 0) return null;
+  const token = String(result.stdout ?? '').trim();
+  return token ? { token, expiresIn: null, via: 'gcloud' } : null;
+}
+
+/** 失効までの秒数を tokeninfo で調べる（取れなくても認証自体は成功扱い） */
+async function lookupExpiresIn(token, fetchImpl) {
+  try {
+    const res = await fetchImpl(GOOGLE_TOKENINFO_URL, {
+      method: 'POST',
+      headers: { 'content-type': 'application/x-www-form-urlencoded' },
+      body: new URLSearchParams({ access_token: token }).toString(),
+    });
+    if (!res.ok) return null;
+    const json = await res.json();
+    return Number(json.expires_in) || null;
+  } catch {
+    return null;
+  }
+}
+
+export const defaultDeps = {
+  env: process.env,
+  homedir: os.homedir(),
+  cwd: () => process.cwd(),
+  fetchImpl: (...args) => globalThis.fetch(...args),
+  spawn: spawnSync,
+  now: () => new Date(),
+  log: (...args) => console.log(...args),
+};
+
+/**
+ * `auth` 本体。成功したら書き込み先と失効時刻を返す。
+ * 失敗は AuthError（メッセージにトークンは含めない）。
+ */
+export async function runAuth(options = {}, deps = {}) {
+  const d = { ...defaultDeps, ...deps };
+
+  let registrySource;
+  let rawRegistry;
+  if (options.registry) {
+    rawRegistry = options.registry;
+    registrySource = '--registry';
+  } else {
+    const found = findProjectRegistry(d.cwd());
+    if (!found) {
+      throw new AuthError(
+        `対象の registry が決められません。次のどちらかを行ってください:\n` +
+          `   - プロジェクトの .npmrc に ${SCOPE}:registry=https://<location>-npm.pkg.dev/<project>/<repository>/ を書く\n` +
+          `   - --registry <url> を指定する`
+      );
+    }
+    rawRegistry = found.registry;
+    registrySource = found.source;
+  }
+  const registry = normalizeRegistry(rawRegistry);
+
+  const acquired = (await tokenFromAdc(d)) ?? tokenFromGcloud(d);
+  if (!acquired) {
+    throw new AuthError(
+      'Google の認証情報が見つからないか、期限切れです。次を実行してから、もう一度 auth を実行してください:\n' +
+        '   gcloud auth login\n' +
+        '   （ADC を使う場合は gcloud auth application-default login）'
+    );
+  }
+  if (!TOKEN_PATTERN.test(acquired.token)) {
+    throw new AuthError(
+      '取得したアクセストークンの形式が想定と異なるため、書き込みを中止しました。'
+    );
+  }
+  const expiresIn = acquired.expiresIn ?? (await lookupExpiresIn(acquired.token, d.fetchImpl));
+
+  const userConfigPath = resolveUserConfigPath(d.env, d.homedir);
+  let current = '';
+  let exists = false;
+  try {
+    current = fs.readFileSync(userConfigPath, 'utf8');
+    exists = true;
+  } catch {
+    // 無ければ新規作成
+  }
+  const next = upsertAuthToken(current, registry, acquired.token);
+  // 本人だけが読めるようにする。既存の ~/.npmrc は既定の 0644（他ユーザーも読める）のことが
+  // 多く、そのまま書くと共有マシンで他のアカウントにトークンを読まれうるので、
+  // 書き込む前に 0600 へ絞る（Windows は POSIX の権限が無いので対象外）
+  let tightened = false;
+  if (exists && process.platform !== 'win32') {
+    const mode = fs.statSync(userConfigPath).mode & 0o777;
+    if (mode !== 0o600) {
+      fs.chmodSync(userConfigPath, 0o600);
+      tightened = true;
+    }
+  }
+  fs.writeFileSync(userConfigPath, next, exists ? undefined : { mode: 0o600 });
+
+  d.log(`✅ Artifact Registry の認証情報を書き込みました（${acquired.via} の資格情報を使用）`);
+  d.log(`   registry: ${registry}（${registrySource}）`);
+  d.log(
+    `   書き込み先: ${userConfigPath}${tightened ? '（他ユーザーから読めない権限 0600 に変更しました）' : ''}`
+  );
+  d.log(
+    expiresIn
+      ? `   有効期限: ${formatExpiry(expiresIn, d.now())}。切れたらもう一度 auth を実行してください`
+      : '   有効期限: 約 60 分。切れたらもう一度 auth を実行してください'
+  );
+
+  return { registry, userConfigPath, expiresIn, via: acquired.via };
+}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "sparkle-design-cli",
-  "version": "2.5.0-beta.2",
+  "version": "2.5.0-beta.3",
   "description": "Sparkle Design CLI — プロジェクトセットアップ、CSS・フォント生成、アンチパターン検査、AI エージェント（Claude Code / Cursor / Codex）向けのガードと hook 設定まで一括で行う sparkle-design 公式 CLI。",
   "publishConfig": {
     "registry": "https://registry.npmjs.org",