sparkle-design-cli 2.5.0-beta.2 → 2.5.0-beta.4

package/lib/auth.js

@@ -0,0 +1,302 @@
+import fs from 'fs';
+import os from 'os';
+import path from 'path';
+import { spawnSync } from 'child_process';
+import { URL, URLSearchParams } from 'url';
+
+/**
+ * `sparkle-design-cli auth` — Google Artifact Registry（AR）の npm registry 用に、
+ * 利用者の Google 資格情報からアクセストークンを取り、ユーザー単位の `~/.npmrc` に書く。
+ *
+ * AR のトークンは約 60 分で失効するので、「翌日 `pnpm install` が 401 で落ちる」を
+ * 1 コマンドで復帰できるようにするのが目的（goodpatch/sparkle-design-cli#94 の Phase 1）。
+ *
+ * 失効を弱めないための制約（#94 の追加仕様）:
+ * - 書き込むのはアクセストークン（60 分以内に失効）だけ。refresh token は gcloud / ADC の
+ *   管理下に置いたまま読むだけで、コピー・キャッシュしない
+ * - トークンを標準出力・エラー出力に出さない
+ * en: Writes a short-lived Google access token for an Artifact Registry npm registry into the
+ *     user-level ~/.npmrc. Never persists or prints long-lived credentials or the token itself.
+ */
+
+const SCOPE = '@goodpatch';
+const GOOGLE_TOKEN_URL = 'https://oauth2.googleapis.com/token';
+const GOOGLE_TOKENINFO_URL = 'https://oauth2.googleapis.com/tokeninfo';
+/** アクセストークンとして受け付ける文字。改行などで .npmrc に別の行を差し込ませない */
+const TOKEN_PATTERN = /^[A-Za-z0-9._\-~+/=]+$/;
+
+export class AuthError extends Error {
+  constructor(message) {
+    super(message);
+    this.name = 'AuthError';
+  }
+}
+
+/**
+ * registry URL を検証して、末尾スラッシュ付きの正規形にする。
+ *
+ * トークンは `cloud-platform` スコープの利用者アクセストークンで、60 分間は GCP 全体を
+ * その人として操作できる。AR 以外のホストに渡すと資格情報の漏えいになるので、
+ * https かつ AR の npm ホスト（`<location>-npm.pkg.dev`）に限る。
+ * en: Only https Artifact Registry npm hosts are accepted, to avoid leaking a broad Google token.
+ */
+export function normalizeRegistry(raw) {
+  let url;
+  try {
+    url = new URL(String(raw).trim());
+  } catch {
+    throw new AuthError(`registry の URL として解釈できません: ${raw}`);
+  }
+  if (url.protocol !== 'https:') {
+    throw new AuthError(`registry は https である必要があります: ${url.href}`);
+  }
+  if (!/^[a-z0-9-]+-npm\.pkg\.dev$/.test(url.hostname)) {
+    throw new AuthError(
+      `Artifact Registry の npm registry（<location>-npm.pkg.dev）ではありません: ${url.host}\n` +
+        '   このコマンドは Google のアクセストークンを書き込むため、Artifact Registry 以外には使えません。'
+    );
+  }
+  if (url.username || url.password || url.search || url.hash) {
+    throw new AuthError(`registry の URL に余分な要素が含まれています: ${raw}`);
+  }
+  const pathname = url.pathname.endsWith('/') ? url.pathname : `${url.pathname}/`;
+  return `https://${url.host}${pathname}`;
+}
+
+/** `~/.npmrc` に書くキー（`//host/path/:_authToken`） */
+export function registryAuthKey(registry) {
+  return `${registry.replace(/^https:/, '')}:_authToken`;
+}
+
+/** `.npmrc` のテキストから `@goodpatch:registry=` の値を取り出す。無ければ null */
+export function readScopeRegistry(npmrcText, scope = SCOPE) {
+  for (const rawLine of npmrcText.split(/\r?\n/)) {
+    const line = rawLine.trim();
+    if (line.startsWith('#') || line.startsWith(';')) continue;
+    const match = /^([^=]+?)\s*=\s*(.+)$/.exec(line);
+    if (match && match[1] === `${scope}:registry`) {
+      return match[2].trim();
+    }
+  }
+  return null;
+}
+
+/**
+ * プロジェクトの `.npmrc` を cwd から親へ辿って探し、`@goodpatch:registry=` を返す。
+ * monorepo でサブディレクトリから実行しても、ルートの `.npmrc` を見つけられるようにする。
+ */
+export function findProjectRegistry(cwd, readFile = (p) => fs.readFileSync(p, 'utf8')) {
+  let dir = path.resolve(cwd);
+  for (;;) {
+    const candidate = path.join(dir, '.npmrc');
+    let text = null;
+    try {
+      text = readFile(candidate);
+    } catch {
+      // 無ければ親へ
+    }
+    if (text !== null) {
+      const registry = readScopeRegistry(text);
+      if (registry) return { registry, source: candidate };
+    }
+    const parent = path.dirname(dir);
+    if (parent === dir) return null;
+    dir = parent;
+  }
+}
+
+/**
+ * `.npmrc` のテキスト中の、同じ registry のトークン行を置き換える（無ければ末尾に足す）。
+ * `google-artifactregistry-auth` は追記するだけで、実行のたびに行が積み上がるため。
+ * 末尾スラッシュの有無が違う同じ registry の行もまとめて取り除く。
+ */
+export function upsertAuthToken(npmrcText, registry, token) {
+  const key = registryAuthKey(registry);
+  const variants = new Set([key, key.replace(/\/:_authToken$/, ':_authToken')]);
+  const lines = npmrcText === '' ? [] : npmrcText.split(/\r?\n/);
+  if (lines.length > 0 && lines[lines.length - 1] === '') lines.pop();
+  const kept = lines.filter((line) => {
+    const match = /^\s*([^=\s]+)\s*=/.exec(line);
+    return !(match && variants.has(match[1]));
+  });
+  kept.push(`${key}=${token}`);
+  return `${kept.join('\n')}\n`;
+}
+
+/** npm が読むユーザー単位の設定ファイル */
+export function resolveUserConfigPath(env = process.env, homedir = os.homedir()) {
+  return env.NPM_CONFIG_USERCONFIG || env.npm_config_userconfig || path.join(homedir, '.npmrc');
+}
+
+/** ADC ファイルの場所（gcloud と同じ探し方） */
+export function resolveAdcPath(env = process.env, homedir = os.homedir()) {
+  if (env.GOOGLE_APPLICATION_CREDENTIALS) return env.GOOGLE_APPLICATION_CREDENTIALS;
+  const configDir =
+    env.CLOUDSDK_CONFIG ||
+    (process.platform === 'win32' && env.APPDATA
+      ? path.join(env.APPDATA, 'gcloud')
+      : path.join(homedir, '.config', 'gcloud'));
+  return path.join(configDir, 'application_default_credentials.json');
+}
+
+/** 失効時刻の表示（例: 15:52（あと 59 分）） */
+export function formatExpiry(expiresInSeconds, now = new Date()) {
+  const expiresAt = new Date(now.getTime() + expiresInSeconds * 1000);
+  const hh = String(expiresAt.getHours()).padStart(2, '0');
+  const mm = String(expiresAt.getMinutes()).padStart(2, '0');
+  return `${hh}:${mm}（あと ${Math.floor(expiresInSeconds / 60)} 分）`;
+}
+
+// ---- トークンの取得（テストでは差し替える） ----
+
+/**
+ * ADC（`gcloud auth application-default login` で作られる authorized_user）の
+ * refresh token でアクセストークンを取り直す。refresh token は読むだけで保存しない。
+ * 使えなければ null（呼び出し側で gcloud にフォールバックする）。
+ */
+async function tokenFromAdc({ env, homedir, fetchImpl }) {
+  let adc;
+  try {
+    adc = JSON.parse(fs.readFileSync(resolveAdcPath(env, homedir), 'utf8'));
+  } catch {
+    return null;
+  }
+  // サービスアカウントキー等は対象外（組織ポリシーでキー発行自体が禁止されている）
+  if (adc?.type !== 'authorized_user' || !adc.refresh_token || !adc.client_id) {
+    return null;
+  }
+  try {
+    const res = await fetchImpl(GOOGLE_TOKEN_URL, {
+      method: 'POST',
+      headers: { 'content-type': 'application/x-www-form-urlencoded' },
+      body: new URLSearchParams({
+        grant_type: 'refresh_token',
+        refresh_token: adc.refresh_token,
+        client_id: adc.client_id,
+        client_secret: adc.client_secret ?? '',
+      }).toString(),
+    });
+    if (!res.ok) return null;
+    const json = await res.json();
+    if (typeof json.access_token !== 'string') return null;
+    return { token: json.access_token, expiresIn: Number(json.expires_in) || null, via: 'ADC' };
+  } catch {
+    return null;
+  }
+}
+
+/** `gcloud auth print-access-token`。未導入・未ログインなら null */
+function tokenFromGcloud({ spawn }) {
+  const result = spawn('gcloud', ['auth', 'print-access-token'], {
+    encoding: 'utf8',
+    shell: process.platform === 'win32',
+    stdio: ['ignore', 'pipe', 'pipe'],
+  });
+  if (result.error || result.status !== 0) return null;
+  const token = String(result.stdout ?? '').trim();
+  return token ? { token, expiresIn: null, via: 'gcloud' } : null;
+}
+
+/** 失効までの秒数を tokeninfo で調べる（取れなくても認証自体は成功扱い） */
+async function lookupExpiresIn(token, fetchImpl) {
+  try {
+    const res = await fetchImpl(GOOGLE_TOKENINFO_URL, {
+      method: 'POST',
+      headers: { 'content-type': 'application/x-www-form-urlencoded' },
+      body: new URLSearchParams({ access_token: token }).toString(),
+    });
+    if (!res.ok) return null;
+    const json = await res.json();
+    return Number(json.expires_in) || null;
+  } catch {
+    return null;
+  }
+}
+
+export const defaultDeps = {
+  env: process.env,
+  homedir: os.homedir(),
+  cwd: () => process.cwd(),
+  fetchImpl: (...args) => globalThis.fetch(...args),
+  spawn: spawnSync,
+  now: () => new Date(),
+  log: (...args) => console.log(...args),
+};
+
+/**
+ * `auth` 本体。成功したら書き込み先と失効時刻を返す。
+ * 失敗は AuthError（メッセージにトークンは含めない）。
+ */
+export async function runAuth(options = {}, deps = {}) {
+  const d = { ...defaultDeps, ...deps };
+
+  let registrySource;
+  let rawRegistry;
+  if (options.registry) {
+    rawRegistry = options.registry;
+    registrySource = '--registry';
+  } else {
+    const found = findProjectRegistry(d.cwd());
+    if (!found) {
+      throw new AuthError(
+        `対象の registry が決められません。次のどちらかを行ってください:\n` +
+          `   - プロジェクトの .npmrc に ${SCOPE}:registry=https://<location>-npm.pkg.dev/<project>/<repository>/ を書く\n` +
+          `   - --registry <url> を指定する`
+      );
+    }
+    rawRegistry = found.registry;
+    registrySource = found.source;
+  }
+  const registry = normalizeRegistry(rawRegistry);
+
+  const acquired = (await tokenFromAdc(d)) ?? tokenFromGcloud(d);
+  if (!acquired) {
+    throw new AuthError(
+      'Google の認証情報が見つからないか、期限切れです。次を実行してから、もう一度 auth を実行してください:\n' +
+        '   gcloud auth login\n' +
+        '   （ADC を使う場合は gcloud auth application-default login）'
+    );
+  }
+  if (!TOKEN_PATTERN.test(acquired.token)) {
+    throw new AuthError(
+      '取得したアクセストークンの形式が想定と異なるため、書き込みを中止しました。'
+    );
+  }
+  const expiresIn = acquired.expiresIn ?? (await lookupExpiresIn(acquired.token, d.fetchImpl));
+
+  const userConfigPath = resolveUserConfigPath(d.env, d.homedir);
+  let current = '';
+  let exists = false;
+  try {
+    current = fs.readFileSync(userConfigPath, 'utf8');
+    exists = true;
+  } catch {
+    // 無ければ新規作成
+  }
+  const next = upsertAuthToken(current, registry, acquired.token);
+  // 本人だけが読めるようにする。既存の ~/.npmrc は既定の 0644（他ユーザーも読める）のことが
+  // 多く、そのまま書くと共有マシンで他のアカウントにトークンを読まれうるので、
+  // 書き込む前に 0600 へ絞る（Windows は POSIX の権限が無いので対象外）
+  let tightened = false;
+  if (exists && process.platform !== 'win32') {
+    const mode = fs.statSync(userConfigPath).mode & 0o777;
+    if (mode !== 0o600) {
+      fs.chmodSync(userConfigPath, 0o600);
+      tightened = true;
+    }
+  }
+  fs.writeFileSync(userConfigPath, next, exists ? undefined : { mode: 0o600 });
+
+  d.log(`✅ Artifact Registry の認証情報を書き込みました（${acquired.via} の資格情報を使用）`);
+  d.log(`   registry: ${registry}（${registrySource}）`);
+  d.log(
+    `   書き込み先: ${userConfigPath}${tightened ? '（他ユーザーから読めない権限 0600 に変更しました）' : ''}`
+  );
+  d.log(
+    expiresIn
+      ? `   有効期限: ${formatExpiry(expiresIn, d.now())}。切れたらもう一度 auth を実行してください`
+      : '   有効期限: 約 60 分。切れたらもう一度 auth を実行してください'
+  );
+
+  return { registry, userConfigPath, expiresIn, via: acquired.via };
+}

package/lib/check.js

@@ -696,9 +696,11 @@ export {
   BUILTIN_RULES as RULES,
   blockingFindings,
   coerceSeverity,
+  collectFiles,
   collectFindings,
   countBySeverity,
   createCheckReport,
   hasBlockingIssues,
+  isSuppressed,
   BUILTIN_MANUAL_REVIEW_REMINDERS as MANUAL_REVIEW_REMINDERS,
 };