magic-pocket-cli 0.9.0__tar.gz → 0.10.0__tar.gz

{magic_pocket_cli-0.9.0 → magic_pocket_cli-0.10.0}/PKG-INFO

@@ -1,13 +1,13 @@
 Metadata-Version: 2.4
 Name: magic-pocket-cli
-Version: 0.9.0
+Version: 0.10.0
 Summary: CLI and deploy tools for magic-pocket.
 Requires-Python: >=3.10
 Requires-Dist: awscrt>=0.19.0
 Requires-Dist: click>=8.1.7
 Requires-Dist: deepdiff>=6.7.1
 Requires-Dist: jinja2>=3.1.3
-Requires-Dist: magic-pocket>=0.9.0
+Requires-Dist: magic-pocket>=0.10.0
 Requires-Dist: pathspec>=1.0.4
 Requires-Dist: python-on-whales>=0.68.0
 Requires-Dist: pyyaml>=6.0.1

{magic_pocket_cli-0.9.0 → magic_pocket_cli-0.10.0}/pocket_cli/cli/neon_cli.py

@@ -5,6 +5,7 @@ import click
 from pocket.context import Context
 from pocket.utils import echo
 from pocket_cli.cli.store_url_helper import run_store_url
+from pocket_cli.cli.url_helper import run_get_url
 from pocket_cli.resources.neon import Neon
 
 
@@ -100,6 +101,36 @@ def store_url(stage, key, force):
     )
 
 
+@neon.command()
+@click.option("--stage", envvar="POCKET_DEPLOY_STAGE", prompt=True)
+@click.option(
+    "--live",
+    is_flag=True,
+    help="stored を見ず provider API で live 算出する (Neon は reveal 方式で冪等)",
+)
+def url(stage, live):
+    """接続 URL を stdout に出力する (default: stored-first / --live: provider API)。
+
+    移行ツール等が `$(pocket resource neon url --stage <s>)` で食える純 URL のみを
+    stdout に出す (診断は stderr)。dual-declaration 下では source(Neon) の解決に使う。
+    """
+
+    def live_url(context):
+        if not context.neon:
+            raise click.ClickException(
+                "neon が pocket.toml に宣言されていません (live 算出不可)"
+            )
+        return Neon(context.neon).database_url
+
+    run_get_url(
+        stage=stage,
+        secret_type="neon_database_url",  # noqa: S106 (secret type 名であって credential ではない)
+        db_label="Neon",
+        live_url=live_url,
+        live=live,
+    )
+
+
 @neon.command()
 @click.option("--stage", envvar="POCKET_DEPLOY_STAGE", prompt=True)
 def status(stage):

{magic_pocket_cli-0.9.0 → magic_pocket_cli-0.10.0}/pocket_cli/cli/tidb_cli.py

@@ -5,6 +5,7 @@ import click
 from pocket.context import Context
 from pocket.utils import echo
 from pocket_cli.cli.store_url_helper import run_store_url
+from pocket_cli.cli.url_helper import run_get_url
 from pocket_cli.resources.tidb import TiDb
 
 
@@ -84,6 +85,42 @@ def store_url(stage, key, force):
     )
 
 
+@tidb.command()
+@click.option("--stage", envvar="POCKET_DEPLOY_STAGE", prompt=True)
+@click.option(
+    "--live",
+    is_flag=True,
+    help=(
+        "stored user secret を見ず provider API で live 算出する。"
+        "注意: TiDB は reveal API が無いため root password を rotate する "
+        "(consumer の redeploy が前提)"
+    ),
+)
+def url(stage, live):
+    """接続 URL を stdout に出力する (default: stored-first / --live: provider API)。
+
+    移行ツール等が `$(pocket resource tidb url --stage <s>)` で食える純 URL のみを
+    stdout に出す (診断は stderr)。dual-declaration 下では target(TiDB) の解決に使う。
+    default の stored-first は副作用が無く consumer が使う URL と一致する。--live は
+    root password を rotate する点に注意。
+    """
+
+    def live_url(context):
+        if not context.tidb:
+            raise click.ClickException(
+                "tidb が pocket.toml に宣言されていません (live 算出不可)"
+            )
+        return TiDb(context.tidb).database_url
+
+    run_get_url(
+        stage=stage,
+        secret_type="tidb_database_url",  # noqa: S106 (secret type 名であって credential ではない)
+        db_label="TiDB",
+        live_url=live_url,
+        live=live,
+    )
+
+
 @tidb.command()
 @click.option("--stage", envvar="POCKET_DEPLOY_STAGE", prompt=True)
 def status(stage):

magic_pocket_cli-0.10.0/pocket_cli/cli/url_helper.py

@@ -0,0 +1,81 @@
+from __future__ import annotations
+
+from typing import Callable
+
+import click
+
+from pocket.context import Context
+from pocket_cli.mediator import Mediator
+
+
+def run_get_url(
+    *,
+    stage: str,
+    secret_type: str,
+    db_label: str,
+    live_url: Callable[[Context], str],
+    live: bool = False,
+) -> None:
+    """DB 接続 URL を stdout に純テキストで出力する (`pocket resource <db> url`)。
+
+    移行ツール等が ``$(pocket resource neon url --stage prod)`` で食える「URL 文字列
+    だけ」を stdout に出す。診断・警告はすべて stderr に流し、stdout を汚さない。
+
+    解決方式:
+
+    - default (stored-first): ``type=<secret_type>`` の stored user secret を store から
+      読む。副作用が無く、consumer (app) が実際に使う URL と一致する。未 provision なら
+      provider API での live 算出に fallback する。
+    - ``--live``: stored を見ず必ず provider API で live 算出する。常に最新だが、reveal
+      API を持たない backend (TiDB 等) では **root password を rotate する** 点に注意
+      (consumer の redeploy が前提)。
+
+    dual-declaration (移行中に ``[neon]`` と ``[tidb]`` を併記) 下でも、resource ごとに
+    neon / tidb を呼び分ければ source/target 双方を解決できる。
+    """
+    context = Context.from_toml(stage=stage)
+
+    if live:
+        # --live は明示要求。失敗時は例外をそのまま伝播させる (fallback しない)。
+        click.echo(live_url(context))
+        return
+
+    stored = _read_stored_url(context, secret_type)
+    if stored is not None:
+        click.echo(stored)
+        return
+
+    click.echo(
+        "%s: stored user secret が未 provision のため provider API で live 算出します"
+        " (reveal API の無い backend では root password が rotate されます)。"
+        % db_label,
+        err=True,
+    )
+    try:
+        url = live_url(context)
+    except Exception as e:
+        raise click.ClickException(
+            "%s の接続 URL を解決できませんでした。stored secret が無く live 算出も"
+            "失敗 (%s)。[<db>] 宣言 + provider 資格情報、または store-url を"
+            "確認してください。" % (db_label, e)
+        ) from None
+    click.echo(url)
+
+
+def _read_stored_url(context: Context, secret_type: str) -> str | None:
+    """``type=<secret_type>`` の stored user secret を 1 件だけ特定して値を読む。
+
+    宣言が 0 件なら None (→ live fallback)、複数なら曖昧として ClickException。
+    """
+    sc = context.awscontainer.secrets if context.awscontainer else None
+    if sc is None:
+        return None
+    specs = [spec for spec in sc.user.values() if spec.type == secret_type]
+    if not specs:
+        return None
+    if len(specs) > 1:
+        raise click.ClickException(
+            "type=%s の stored user secret が複数宣言されているため曖昧です。"
+            % secret_type
+        )
+    return Mediator(context).read_user_secret(specs[0])

{magic_pocket_cli-0.9.0 → magic_pocket_cli-0.10.0}/pocket_cli/mediator.py

@@ -181,6 +181,39 @@ class Mediator:
             else:
                 raise
 
+    def read_user_secret(self, spec) -> str | None:
+        """stored mode user secret (spec.name) の値を読む。未 provision なら None。
+
+        store_user_secret / _stored_secret_exists と対称の読み取り。
+        `pocket <db> url` の stored-first 解決に使う。管理 API は叩かない。
+        """
+        import boto3
+        from botocore.exceptions import ClientError
+
+        if (
+            self.context.awscontainer is None
+            or self.context.awscontainer.secrets is None
+            or spec.name is None
+        ):
+            return None
+        sc = self.context.awscontainer.secrets
+        store = spec.store or sc.store
+        try:
+            if store == "ssm":
+                res = boto3.client("ssm", region_name=sc.region).get_parameter(
+                    Name=spec.name, WithDecryption=True
+                )
+                return res["Parameter"]["Value"]
+            res = boto3.client(
+                "secretsmanager", region_name=sc.region
+            ).get_secret_value(SecretId=spec.name)
+            return res["SecretString"]
+        except ClientError as e:
+            code = e.response.get("Error", {}).get("Code", "")
+            if code in ("ParameterNotFound", "ResourceNotFoundException"):
+                return None
+            raise
+
     def _cleanup_orphaned_secrets(self):
         """SSM/SM にあるが managed 定義にないシークレットを削除する"""
         if self.context.awscontainer is None:

{magic_pocket_cli-0.9.0 → magic_pocket_cli-0.10.0}/pyproject.toml

@@ -1,10 +1,10 @@
 [project]
 name = "magic-pocket-cli"
-version = "0.9.0"
+version = "0.10.0"
 description = "CLI and deploy tools for magic-pocket."
 requires-python = ">=3.10"
 dependencies = [
-    "magic-pocket>=0.9.0",
+    "magic-pocket>=0.10.0",
     "click>=8.1.7",
     "jinja2>=3.1.3",
     "python-on-whales>=0.68.0",