magic-pocket-cli 0.31.2__tar.gz → 0.32.0__tar.gz

{magic_pocket_cli-0.31.2 → magic_pocket_cli-0.32.0}/.gitignore

@@ -43,3 +43,6 @@ forge.local.toml
 /example-tidb/pocket.runtime.toml
 /example-tidb/pocket_cache/
 /example-tidb/staticfiles/
+
+# 参考用に置いた他プロジェクト (公開 repo に混入させない)
+/sample/

{magic_pocket_cli-0.31.2 → magic_pocket_cli-0.32.0}/PKG-INFO

@@ -1,13 +1,13 @@
 Metadata-Version: 2.5
 Name: magic-pocket-cli
-Version: 0.31.2
+Version: 0.32.0
 Summary: CLI and deploy tools for magic-pocket.
 Requires-Python: >=3.10
 Requires-Dist: awscrt>=0.19.0
 Requires-Dist: click>=8.1.7
 Requires-Dist: deepdiff>=6.7.1
 Requires-Dist: jinja2>=3.1.3
-Requires-Dist: magic-pocket<0.32,>=0.31.2
+Requires-Dist: magic-pocket<0.33,>=0.32.0
 Requires-Dist: pathspec>=1.0.4
 Requires-Dist: python-on-whales>=0.68.0
 Requires-Dist: pyyaml>=6.0.1

{magic_pocket_cli-0.31.2 → magic_pocket_cli-0.32.0}/pocket_cli/cli/aws_auth.py

@@ -2,24 +2,48 @@ from __future__ import annotations
 
 import boto3
 from botocore.exceptions import (
+    BotoCoreError,
     ClientError,
     NoCredentialsError,
+    ProfileNotFound,
+    SSOTokenLoadError,
     TokenRetrievalError,
+    UnauthorizedSSOTokenError,
 )
 
 from pocket.utils import echo
 
+# 認証情報が無効なときに botocore が送出する例外。CLI 層 (PocketCLI.invoke) が
+# これを捕捉して traceback でなく認証ガイドに変換する (どのサブコマンドでも
+# boto3 呼び出しの途中で送出されうるため、precheck では網羅できない)。
+CREDENTIAL_EXCEPTIONS = (
+    TokenRetrievalError,
+    UnauthorizedSSOTokenError,
+    SSOTokenLoadError,
+    NoCredentialsError,
+    ProfileNotFound,
+)
+
+
+def print_credential_guide(e: BotoCoreError) -> None:
+    """認証系例外を 1 行の原因 + 認証手順の案内に変換して表示する"""
+    if isinstance(e, (TokenRetrievalError, UnauthorizedSSOTokenError)):
+        _print_auth_guide("SSO トークンの有効期限が切れています。")
+    elif isinstance(e, SSOTokenLoadError):
+        _print_auth_guide("SSO セッションが見つかりません (未ログイン)。")
+    elif isinstance(e, ProfileNotFound):
+        _print_auth_guide(str(e))
+    else:
+        _print_auth_guide("AWS 認証情報が見つかりません。")
+
 
 def check_aws_credentials() -> None:
     """AWS 認証情報が有効か確認し、無効ならガイドを表示して終了する"""
     try:
         sts = boto3.client("sts")
         sts.get_caller_identity()
-    except TokenRetrievalError:
-        _print_auth_guide("SSO トークンの有効期限が切れています。")
-        raise SystemExit(1) from None
-    except NoCredentialsError:
-        _print_auth_guide("AWS 認証情報が見つかりません。")
+    except CREDENTIAL_EXCEPTIONS as e:
+        print_credential_guide(e)
         raise SystemExit(1) from None
     except ClientError as e:
         if e.response["Error"]["Code"] in (

{magic_pocket_cli-0.31.2 → magic_pocket_cli-0.32.0}/pocket_cli/cli/deploy_cli.py

@@ -9,6 +9,9 @@ from pocket_cli import migrations
 from pocket_cli.cli import interaction
 from pocket_cli.cli.removed_flags import removed_skip_check_existing
 from pocket_cli.mediator import Mediator
+from pocket_cli.resources.aws.builders.context_check import (
+    resummarize_world_read_warnings,
+)
 from pocket_cli.resources.aws.state import StateStore, create_state_store
 from pocket_cli.resources.backup import Backup
 from pocket_cli.resources.cloudfront import CloudFront
@@ -220,6 +223,8 @@ def _deploy_pipeline(context: Context, *, openpath=None, skip_frontend=False):
     upload_managed_assets(context)
     if not skip_frontend:
         deploy_frontend(context)
+    # build 時の other-read 警告はログに埋もれて気付けないため最後に再掲する
+    resummarize_world_read_warnings()
     # デプロイ完了後の URL 表示
     url = _get_deploy_url(context)
     if url:

{magic_pocket_cli-0.31.2 → magic_pocket_cli-0.32.0}/pocket_cli/cli/main_cli.py

@@ -1,3 +1,5 @@
+import logging
+
 import click
 
 from pocket import __version__
@@ -24,6 +26,7 @@ from pocket_cli.cli import (
     vpc_cli,
     waf_cli,
 )
+from pocket_cli.cli.aws_auth import CREDENTIAL_EXCEPTIONS, print_credential_guide
 
 
 class PocketCLI(click.Group):
@@ -33,11 +36,18 @@ class PocketCLI(click.Group):
         except ValueError as e:
             click.echo(f"エラー: {e}", err=True)
             ctx.exit(1)
+        except CREDENTIAL_EXCEPTIONS as e:
+            # SSO 失効等で botocore の traceback が 100 行流れると「login し直せば
+            # よい」という結論に辿り着けない。原因 1 行 + 認証手順に変換する
+            print_credential_guide(e)
+            ctx.exit(1)
 
 
 @click.group(cls=PocketCLI)
 def main():
-    pass
+    # SSO token の refresh 失敗時に botocore.tokens が WARNING + traceback を
+    # 出すのを抑制する (失敗自体は上の CREDENTIAL_EXCEPTIONS 捕捉で案内される)
+    logging.getLogger("botocore.tokens").setLevel(logging.ERROR)
 
 
 @main.command()

{magic_pocket_cli-0.31.2 → magic_pocket_cli-0.32.0}/pocket_cli/django_cli.py

@@ -83,8 +83,14 @@ def _update_dotenv(jinja2_env):
 @click.option(
     "--yes", "-y", is_flag=True, default=False, help="確認プロンプトをスキップ"
 )
+@click.option(
+    "--skip-migrate",
+    is_flag=True,
+    default=False,
+    help="migrate を実行しない (確認も出さない)。-y と併用可",
+)
 @removed_skip_check_existing
-def deploy(stage: str, openpath, yes):
+def deploy(stage: str, openpath, yes, skip_migrate):
     from pocket_cli.cli.deploy_cli import deploy as pocket_deploy
 
     # pocket deploy を実行（インフラ + SPA フロントエンド）
@@ -96,11 +102,16 @@ def deploy(stage: str, openpath, yes):
         skip_frontend=False,
         yes=yes,
     )
-    _django_post_deploy(stage, yes=yes, openpath=openpath)
+    _django_post_deploy(stage, yes=yes, openpath=openpath, skip_migrate=skip_migrate)
+
 
+def _django_post_deploy(stage: str, *, yes: bool, openpath, skip_migrate: bool = False):
+    """deploy / promote 共通の Django 固有後処理 (collectstatic + migrate + URL)。
 
-def _django_post_deploy(stage: str, *, yes: bool, openpath):
-    """deploy / promote 共通の Django 固有後処理 (collectstatic + migrate + URL)。"""
+    skip_migrate=True なら migrate は確認ごと省く。`-y` は「聞かれたことに全部
+    yes」の意味を保ちたいので、非対話で migrate を外す手段はフラグ側に置く
+    (DB が到達不能でもインフラ更新だけ通したい、という状況が実在する)。
+    """
     if yes:
         interaction.set_assume_yes(True)
     context = Context.from_toml(stage=stage)
@@ -112,7 +123,9 @@ def _django_post_deploy(stage: str, *, yes: bool, openpath):
     elif interaction.confirm("deploystatic?", default=True):
         collectstatic_locally(stage, link=_staticfiles_link(context))
         upload_collected_staticfiles(stage)
-    if interaction.confirm("migrate?", default=True):
+    if skip_migrate:
+        echo.info("--skip-migrate: migrate をスキップしました。")
+    elif interaction.confirm("migrate?", default=True):
         # handler 解決は migrate 実行が確定してから行う (management handler
         # 未設定 stage で deploy 本体成功後に例外になり URL 表示へ到達しない
         # のを防ぐ)
@@ -135,8 +148,14 @@ def _django_post_deploy(stage: str, *, yes: bool, openpath):
 @click.option(
     "--yes", "-y", is_flag=True, default=False, help="確認プロンプトをスキップ"
 )
+@click.option(
+    "--skip-migrate",
+    is_flag=True,
+    default=False,
+    help="migrate を実行しない (確認も出さない)。-y と併用可",
+)
 @removed_skip_check_existing
-def promote(stage: str, commit_hash, openpath, yes):
+def promote(stage: str, commit_hash, openpath, yes, skip_migrate):
     """build 済みの :<commit-hash> image へ stage を向けて deploy する (再ビルドなし)。
 
     `pocket django build` で push した image に :<stage> タグを移し、インフラ/Lambda
@@ -154,7 +173,7 @@ def promote(stage: str, commit_hash, openpath, yes):
         skip_frontend=False,
         yes=yes,
     )
-    _django_post_deploy(stage, yes=yes, openpath=openpath)
+    _django_post_deploy(stage, yes=yes, openpath=openpath, skip_migrate=skip_migrate)
 
 
 @django.command()

{magic_pocket_cli-0.31.2 → magic_pocket_cli-0.32.0}/pocket_cli/resources/aws/builders/context_check.py

@@ -26,6 +26,12 @@ from pocket_cli.resources.aws.builders.dockerignore import (
 
 _MAX_LISTED = 10
 
+# この process の build で警告した other-read 無しファイル ("path (mode)" 形式)。
+# build ログに警告が埋もれて INIT 失敗まで気付けない実害があったため、deploy
+# 終了時の再掲 (deploy_cli) と INIT 失敗エラーの原因提示 (lambdahandler) に使う。
+# multi-container で同じ context を複数回 build しても重複しては積まない。
+_warned_files: list[str] = []
+
 # runtime が INIT フェーズで読む設定ファイル。other-read が無いまま COPY される
 # と確実に INIT 失敗する (Rust runtime は pocket.toml を上方探索、Python runtime
 # は pocket.runtime.toml を読む) ため、警告でなくエラーに昇格する。
@@ -57,9 +63,16 @@ def warn_files_without_world_read(context_dir: Path) -> list[str]:
     unreadable = find_files_without_world_read(context_dir)
     critical = [r for r in unreadable if Path(r).name in _INIT_CRITICAL_NAMES]
     if unreadable:
-        listed = ", ".join(unreadable[:_MAX_LISTED])
-        if len(unreadable) > _MAX_LISTED:
-            listed += " (他 %d 件)" % (len(unreadable) - _MAX_LISTED)
+        with_mode = [
+            "%s (%o)" % (rel, os.stat(context_dir / rel).st_mode & 0o777)
+            for rel in unreadable
+        ]
+        for entry in with_mode:
+            if entry not in _warned_files:
+                _warned_files.append(entry)
+        listed = ", ".join(with_mode[:_MAX_LISTED])
+        if len(with_mode) > _MAX_LISTED:
+            listed += " (他 %d 件)" % (len(with_mode) - _MAX_LISTED)
         echo.warning(
             "build context に other-read の無いファイルがあります (%d 件): %s。"
             "Lambda の実行ユーザーは非 root のため、このまま image に COPY されると"
@@ -79,3 +92,28 @@ def warn_files_without_world_read(context_dir: Path) -> list[str]:
             % ", ".join(critical)
         )
     return unreadable
+
+
+def warned_files_with_mode() -> list[str]:
+    """この process の build で警告済みの other-read 無しファイル ("path (mode)")"""
+    return list(_warned_files)
+
+
+def resummarize_world_read_warnings() -> None:
+    """build 時の other-read 警告を deploy 終了時に再掲する。
+
+    build ログの途中に出る警告は大量の出力に埋もれて気付けず、INIT 失敗まで
+    到達してしまう実害があった (2026-08-26 受領 feedback)。deploy の最後に
+    ファイル名 + mode を再掲して、その場で chmod できるようにする。
+    """
+    if not _warned_files:
+        return
+    listed = ", ".join(_warned_files[:_MAX_LISTED])
+    if len(_warned_files) > _MAX_LISTED:
+        listed += " (他 %d 件)" % (len(_warned_files) - _MAX_LISTED)
+    echo.warning(
+        "注意: build context に other-read の無いファイルがありました (%d 件): "
+        "%s。Dockerfile で `COPY --chmod` 等により正規化していない場合、Lambda の"
+        "非 root 実行ユーザーが読めず INIT フェーズで失敗します。"
+        "`chmod 644 <file>` で修正してください。" % (len(_warned_files), listed)
+    )

{magic_pocket_cli-0.31.2 → magic_pocket_cli-0.32.0}/pocket_cli/resources/aws/lambdahandler.py

@@ -12,6 +12,7 @@ from pydantic import BaseModel, Field
 
 from pocket.resources.base import ResourceStatus
 from pocket.utils import MANAGE_HANDLER_SUCCESS_SENTINEL
+from pocket_cli.resources.aws.builders.context_check import warned_files_with_mode
 
 if TYPE_CHECKING:
     from pocket.context import LambdaHandlerContext
@@ -196,7 +197,7 @@ class LambdaHandler:
                 if message.startswith(report_prefix):
                     if not success_seen:
                         if _looks_like_init_failure("\n".join(printed)):
-                            raise ManagementCommandFailed(
+                            message = (
                                 "Lambda が INIT フェーズで失敗しました "
                                 "(Runtime.Unknown / INIT_REPORT ... Status: error)。"
                                 "これはアプリの例外ではなく runtime 側の問題の可能性が"
@@ -211,9 +212,19 @@ class LambdaHandler:
                                 "PermissionError になります。ログに PermissionError が"
                                 "あれば該当ファイルを chmod 644 して再 deploy して"
                                 "ください。"
+                            )
+                            detected = warned_files_with_mode()
+                            if detected:
+                                message += (
+                                    "今回の build では other-read の無いファイルを"
+                                    "検出済みです ((2) が濃厚): %s。"
+                                    % ", ".join(detected)
+                                )
+                            message += (
                                 "アプリの traceback ではなく上の INIT_REPORT / "
                                 "Runtime.Unknown 行を確認してください。"
                             )
+                            raise ManagementCommandFailed(message)
                         raise ManagementCommandFailed(
                             "management command handler did not complete successfully "
                             "(no success marker before REPORT). "

{magic_pocket_cli-0.31.2 → magic_pocket_cli-0.32.0}/pyproject.toml

@@ -1,12 +1,12 @@
 [project]
 name = "magic-pocket-cli"
-version = "0.31.2"
+version = "0.32.0"
 description = "CLI and deploy tools for magic-pocket."
 requires-python = ">=3.10"
 dependencies = [
     # lib は同 minor に束縛する。0.x では minor が breaking の単位のため、
     # 上限なしだと cli を pin した消費者にも lib の破壊的変更が届いてしまう
-    "magic-pocket>=0.31.2,<0.32",
+    "magic-pocket>=0.32.0,<0.33",
     "click>=8.1.7",
     "jinja2>=3.1.3",
     "python-on-whales>=0.68.0",