nene2-python 1.2.0__tar.gz → 1.4.0__tar.gz

{nene2_python-1.2.0 → nene2_python-1.4.0}/PKG-INFO

@@ -1,6 +1,6 @@
 Metadata-Version: 2.4
 Name: nene2-python
-Version: 1.2.0
+Version: 1.4.0
 Summary: NENE2 Python — minimal API framework following NENE2's design philosophy
 Project-URL: Homepage, https://github.com/hideyukiMORI/nene2-python
 Project-URL: Repository, https://github.com/hideyukiMORI/nene2-python

nene2_python-1.4.0/docs/field-trials/2026-05-field-trial-10.md

@@ -0,0 +1,167 @@
+# Field Trial 10 — inventory: MySQL アダプター DX 検証
+
+## Date
+
+2026-05-20
+
+## Baseline
+
+- nene2-python v1.2.0（PyPI 経由）
+- Python 3.14（uv managed）
+- プロジェクト: **inventory** — 在庫管理 API
+- エンティティ: `Product(id, name, price, stock, created_at)`
+- HTTP API: ポート 8110（FastAPI + MySQL 8）
+- DB: MySQL 8.0（Docker Compose）
+
+## Goal
+
+FT1〜FT9 はすべて SQLite を使用。MySQL 8 で初めて以下を検証：
+
+1. Docker Compose で MySQL 8 を立ち上げる手順
+2. `SqlAlchemyQueryExecutor` / `SqlAlchemyTransactionManager` の MySQL 上での動作
+3. `parse_db_datetime()` が MySQL の `datetime` オブジェクトを正しく処理するか
+4. SQLite との挙動差（`CURRENT_TIMESTAMP` 型、`RETURNING` 句）
+
+---
+
+## Steps Taken
+
+### 1. Docker Compose で MySQL 8 を起動
+
+```yaml
+services:
+  mysql:
+    image: mysql:8.0
+    environment:
+      MYSQL_ROOT_PASSWORD: rootpass
+      MYSQL_DATABASE: inventory
+      MYSQL_USER: appuser
+      MYSQL_PASSWORD: apppass
+    ports:
+      - "3310:3306"
+    healthcheck:
+      test: ["CMD", "mysqladmin", "ping", "-h", "localhost", "-uappuser", "-papppass"]
+      interval: 5s
+      timeout: 5s
+      retries: 10
+```
+
+`depends_on: condition: service_healthy` でアプリが MySQL の起動完了後に起動する構成。
+
+### 2. 接続文字列と依存
+
+```python
+url = f"mysql+pymysql://{user}:{password}@{host}:{port}/{name}"
+engine = create_engine(url, pool_pre_ping=True)
+```
+
+`pymysql` + `cryptography` を追加（MySQL 8 の認証プラグイン `caching_sha2_password` 対応に必要）。
+
+### 3. `CURRENT_TIMESTAMP` の型差異の確認
+
+| DB | `CURRENT_TIMESTAMP` の Python 型 | `parse_db_datetime()` の結果 |
+|----|----------------------------------|------------------------------|
+| SQLite | `str` (`"2026-05-20 12:34:56"`) | ✓ UTC-aware datetime |
+| MySQL | `datetime` (naive, server timezone) | ✓ UTC-aware datetime |
+
+MySQL は `datetime` オブジェクトを返すが naive（tzinfo なし）。
+`parse_db_datetime()` が `isinstance(value, datetime)` で分岐して `.replace(tzinfo=UTC)` を付与するため、
+SQLite と同一の出力が得られることを確認。
+
+### 4. SELECT-after-INSERT の動作確認
+
+`RETURNING` 句は MySQL 8.0 でサポートされていない（PostgreSQL にはある）。
+FT8 で採用した SELECT-after-INSERT パターンがそのまま動作：
+
+```python
+new_id = executor.write("INSERT INTO products ...", {...})
+row = executor.fetch_one("SELECT ... WHERE id = :id", {"id": new_id})
+```
+
+`executor.write()` の戻り値 (`lastrowid`) が MySQL でも正しく返ることを確認。
+
+---
+
+## Friction Points
+
+### FT10-1: `cryptography` が暗黙の依存として必要（ドキュメントなし）
+
+- **摩擦**: `pymysql` を追加しただけでは MySQL 8 の `caching_sha2_password` 認証が失敗する
+  ```
+  OperationalError: Authentication plugin 'caching_sha2_password' is not supported
+  ```
+- `cryptography` パッケージを別途追加する必要があるが、エラーメッセージが分かりにくい
+- **深刻度**: MEDIUM（初見では原因が pymysql の依存問題と気づきにくい）
+- **解決策**: how-to ガイドに `cryptography` を必須依存として明記（ドキュメント対応）
+
+### FT10-2: `PaginationResponse[T].to_dict()` が items を直列化しない
+
+- **摩擦**: `PaginationResponse[ProductOutput].to_dict()` の `items` フィールドが
+  `ProductOutput` dataclass インスタンスのまま返る → `json.dumps` が失敗
+  ```
+  TypeError: Object of type ProductOutput is not JSON serializable
+  ```
+- `slots=True` の dataclass は `__dict__` を持たないため `JSONResponse(result.__dict__)` も使えない
+- **回避策**: ハンドラーで `[dataclasses.asdict(item) for item in result.items]` に変換
+  ```python
+  return JSONResponse({
+      "items": [dataclasses.asdict(item) for item in result.items],
+      "total": result.total,
+      "limit": result.limit,
+      "offset": result.offset,
+  })
+  ```
+- **深刻度**: HIGH（LIST エンドポイントを書くたびに同じ回避策が必要）
+- **解決策候補**: `PaginationResponse.to_dict()` が dataclass items を自動変換する、
+  または `to_json_dict()` メソッドを追加する
+
+### FT10-3: `ValidationError` の `code` 引数がドキュメントに不足
+
+- **摩擦**: `ValidationError("field", "message")` → `TypeError: missing 1 required argument: 'code'`
+- FT1〜FT9 の既存プロジェクトのコードを参考に 2 引数で書くと失敗する
+- **深刻度**: MEDIUM（他のFTのコードがすべて3引数になっていれば問題ない）
+- **解決策**: how-to ガイドのサンプルコードに `code` 引数を必ず含める
+
+### FT10-4: `DatabaseHealthCheck(executor)` vs `DatabaseHealthCheck(engine)` が紛らわしい
+
+- **摩擦**: `DatabaseHealthCheck` のコンストラクタは `executor` を受け取るが、
+  `create_engine()` の直後に書くと `engine` を渡してしまいやすい
+  ```python
+  engine = create_engine(url)
+  executor = SqlAlchemyQueryExecutor(engine)
+  # 間違い: DatabaseHealthCheck(engine)  ← AttributeError: 'Engine' has no 'fetch_one'
+  # 正しい: DatabaseHealthCheck(executor)
+  ```
+- **深刻度**: LOW（エラーメッセージから原因は特定できる）
+- **解決策**: ドキュメントの使用例を正確に記述する
+
+### FT10-5: `PaginationQueryParser` を FastAPI のパラメータ型として使えない
+
+- **摩擦**: `def list_products(pagination: PaginationQueryParser)` と書くと
+  `FastAPIError: Invalid args for response field` が発生
+- `PaginationQueryParser` は Pydantic モデルではないため、FastAPI の Depends として使えない
+- **回避策**: `request: Request` を受け取り `PaginationQueryParser.parse(request)` を呼ぶ
+- **深刻度**: MEDIUM（直感的な書き方が失敗する）
+- **解決策候補**: `PaginationQueryParser` を `Depends` 互換にする、または
+  `Annotated[PaginationQueryParser, Depends(PaginationQueryParser.parse)]` パターンを提供
+
+---
+
+## Summary
+
+| ID      | 摩擦                                                  | 深刻度 | 解決策                                                    |
+|---------|-------------------------------------------------------|--------|-----------------------------------------------------------|
+| FT10-1  | `cryptography` が暗黙依存（MySQL 8 認証失敗）         | MEDIUM | how-to ガイドに記載                                       |
+| FT10-2  | `PaginationResponse.to_dict()` が items を直列化しない | HIGH   | `to_dict()` に dataclass 自動変換を追加                  |
+| FT10-3  | `ValidationError` の `code` 引数がドキュメント不足    | MEDIUM | how-to サンプルコードを修正                               |
+| FT10-4  | `DatabaseHealthCheck(executor)` vs `engine)` が紛らわしい | LOW | ドキュメント修正                                          |
+| FT10-5  | `PaginationQueryParser` が FastAPI パラメータ型不可   | MEDIUM | `Depends` 互換パターンを提供                              |
+
+**MySQL 固有の問題は FT10-1 のみ**。他は SQLite でも同様に起きる問題（FT1〜9 でたまたま発覚しなかった）。
+`parse_db_datetime()` は MySQL の naive datetime を期待通り UTC-aware に変換できた。
+
+FT11 候補:
+- **FT10-2 の修正**: `PaginationResponse.to_dict()` dataclass 自動変換
+- **FT10-5 の修正**: `PaginationQueryParser` を `Depends` 互換に
+- **PostgreSQL アダプター**: `RETURNING` 句が使えるかを検証
+- **`BearerTokenMiddleware` + `HttpxMcpClient`**: 認証付き API を MCP から呼ぶ

nene2_python-1.4.0/docs/field-trials/2026-05-field-trial-11.md

@@ -0,0 +1,116 @@
+# Field Trial 11 — journal: BearerTokenMiddleware + HttpxMcpClient DX 検証
+
+## Date
+
+2026-05-20
+
+## Baseline
+
+- nene2-python v1.3.0（PyPI 経由）
+- Python 3.14（uv managed）
+- プロジェクト: **journal** — 日記管理 API
+- エンティティ: `Entry(id, title, body, created_at)`
+- HTTP API: ポート 8120（BearerTokenMiddleware 付き、InMemory）
+- MCP サーバー: ポート 8121（streamable-http）
+
+## Goal
+
+FT9 で `HttpxMcpClient` の基本（認証なし）は確認済み。
+今回は `BearerTokenMiddleware` で保護した HTTP API に対して MCP ツールが認証付きリクエストを送るパターンを検証する。
+
+---
+
+## Steps Taken
+
+### 1. BearerTokenMiddleware で HTTP API を保護
+
+```python
+tokens = [t.strip() for t in os.getenv("BEARER_TOKENS", "").split(",") if t.strip()]
+if tokens:
+    app.add_middleware(BearerTokenMiddleware, verifier=LocalTokenVerifier(tokens))
+```
+
+環境変数 `BEARER_TOKENS=secret-token-1,secret-token-2` でカンマ区切りの複数トークンを設定。
+
+### 2. MCP サーバーから認証付きで呼び出す
+
+```python
+token = os.getenv("MCP_BEARER_TOKEN", "")
+client = HttpxMcpClient(token if token else None)
+
+@server.tool("List all journal entries.")
+def list_entries(limit: int = 20, offset: int = 0) -> str:
+    response = client.get(API_BASE, f"/entries?limit={limit}&offset={offset}")
+    response.raise_for_error()
+    return response.body
+```
+
+`MCP_BEARER_TOKEN=secret-token-1` を MCP サーバーの環境変数に設定。
+`HttpxMcpClient(token)` が `Authorization: Bearer <token>` ヘッダーを自動付与。
+
+### 3. 動作確認
+
+```
+# MCP → 認証付き API → 成功
+create_entry("First Entry", "Hello from MCP!") → {"id":1,...}
+list_entries() → {"items":[{"id":1,...}],...}
+
+# 誤トークン → 401 → raise_for_error() → isError: true
+HTTP 401: {"type":"...unauthorized","detail":"The provided token is invalid or expired."}
+```
+
+---
+
+## Friction Points
+
+### FT11-1: `BearerTokenMiddleware` が `/docs`・`/openapi.json` まで保護する
+
+- **摩擦**: ミドルウェアがすべてのパスに適用されるため、
+  FastAPI の Swagger UI (`/docs`) や OpenAPI スキーマ (`/openapi.json`) にアクセスできなくなる
+  ```
+  GET /docs → 401 Unauthorized
+  GET /openapi.json → 401 Unauthorized
+  ```
+- ロードバランサーの `/health` チェックも同様にブロックされる
+- **現状の回避策**: 開発時は `BEARER_TOKENS=` を空にして認証を無効化
+- **深刻度**: HIGH（開発・運用の両方で問題になる。特にヘルスチェックのブロックは本番障害につながる）
+- **解決策**: `BearerTokenMiddleware(app, verifier=..., exclude_paths=["/docs", "/openapi.json", "/health"])` で除外パスを指定できるようにする
+
+### FT11-2: `MCP_BEARER_TOKEN` 未設定時に分かりにくい 401 エラー
+
+- **摩擦**: MCP サーバー起動時に `MCP_BEARER_TOKEN` が未設定の場合、
+  `HttpxMcpClient(None)` になって認証ヘッダーなしで API を呼ぶ
+- MCP ツール呼び出しが `HTTP 401` で失敗するが、エラーメッセージからトークン未設定が原因と気づきにくい
+  ```
+  McpHttpError: HTTP 401: {"detail":"A valid Bearer token is required."}
+  ```
+- **深刻度**: LOW（エラーメッセージを読めば原因はわかる）
+- **解決策**: `mcp_server.py` でトークン未設定時に起動時警告を出す（フレームワーク対応不要、パターン文書化）
+
+### FT11-3: `LocalTokenVerifier` がカンマ区切り文字列の分割を要求する
+
+- **摩擦**: 複数トークンを環境変数で渡す標準パターンがなく、アプリ側でカンマ分割処理を書く必要がある
+  ```python
+  tokens = [t.strip() for t in os.getenv("BEARER_TOKENS", "").split(",") if t.strip()]
+  ```
+- FT3 でも同様のコードを書いていた（重複パターン）
+- **深刻度**: LOW（数行のコードだが、毎回書く必要がある）
+- **解決策**: `LocalTokenVerifier.from_env("BEARER_TOKENS")` クラスメソッドを追加
+
+---
+
+## Summary
+
+| ID     | 摩擦                                                     | 深刻度 | 解決策                                          |
+|--------|----------------------------------------------------------|--------|-------------------------------------------------|
+| FT11-1 | `BearerTokenMiddleware` が `/docs`・`/health` もブロック | HIGH   | `exclude_paths` 引数を追加                      |
+| FT11-2 | `MCP_BEARER_TOKEN` 未設定時の 401 が原因不明に見える     | LOW    | 起動時警告パターンを文書化                      |
+| FT11-3 | `LocalTokenVerifier` の複数トークン設定にボイラープレート | LOW    | `LocalTokenVerifier.from_env()` クラスメソッド |
+
+**`HttpxMcpClient(bearer_token)` + `raise_for_error()` の組み合わせは期待通りに動作した。**
+認証エラー（401）は `McpHttpError` として raise され、MCP の `isError: true` に正しく変換される。
+
+FT12 候補:
+- **FT11-1 の修正**: `BearerTokenMiddleware` に `exclude_paths` を追加
+- **PostgreSQL アダプター**: `RETURNING` 句が使えるかを検証
+- **SSE トランスポート**: `streamable-http` との差異を確認

{nene2_python-1.2.0 → nene2_python-1.4.0}/docs/how-to/configure-auth.md

@@ -81,6 +81,55 @@ class JwtTokenVerifier:
 
 Pass your verifier directly to `BearerTokenMiddleware`.
 
+## Loading tokens from environment variables
+
+Use `LocalTokenVerifier.from_env()` to avoid writing the split-and-strip boilerplate every time:
+
+```dotenv
+# .env
+BEARER_TOKENS=token-a,token-b,token-c
+```
+
+```python
+from nene2.auth import BearerTokenMiddleware, LocalTokenVerifier
+
+app.add_middleware(
+    BearerTokenMiddleware,
+    verifier=LocalTokenVerifier.from_env("BEARER_TOKENS"),
+)
+```
+
+An unset or empty variable produces an empty allowlist — all requests are denied.
+
+## Excluding paths from authentication
+
+Use `exclude_paths` to bypass auth for health checks and API docs:
+
+```python
+app.add_middleware(
+    BearerTokenMiddleware,
+    verifier=LocalTokenVerifier.from_env("BEARER_TOKENS"),
+    exclude_paths=["/docs", "/openapi.json", "/redoc", "/health"],
+)
+```
+
+`ApiKeyAuthMiddleware` supports the same parameter.
+
+## MCP server — fail fast on missing token
+
+When an MCP server calls a Bearer-protected API via `HttpxMcpClient`, validate the token
+at startup rather than discovering a missing token at call time:
+
+```python
+import os
+from nene2.mcp.http_client import HttpxMcpClient
+
+token = os.getenv("MCP_BEARER_TOKEN")
+if not token:
+    raise RuntimeError("MCP_BEARER_TOKEN is not set — cannot call the authenticated API.")
+client = HttpxMcpClient(token)
+```
+
 ## Custom TokenIssuer (e.g. JWT)
 
 Implement `TokenIssuerProtocol` to issue tokens (e.g. for a login endpoint).

{nene2_python-1.2.0 → nene2_python-1.4.0}/docs/how-to/sqlalchemy-repository.md

@@ -500,3 +500,81 @@ class InMemoryTransactionManager(DatabaseTransactionManagerInterface):
 ```
 
 > **Rollback on exception**: `SqlAlchemyTransactionManager.transactional()` uses `engine.begin()` — any exception inside the callback triggers an automatic rollback. Domain exceptions (`AccountNotFoundException`, etc.) propagate normally after rollback.
+
+---
+
+## 6. Using MySQL 8
+
+### Required packages
+
+MySQL 8 uses `caching_sha2_password` authentication by default.
+Install **both** `pymysql` and `cryptography` — without `cryptography` the connection fails with
+`Authentication plugin 'caching_sha2_password' is not supported`.
+
+```bash
+uv add pymysql cryptography
+```
+
+### Connection URL
+
+```python
+url = f"mysql+pymysql://{user}:{password}@{host}:{port}/{name}"
+engine = create_engine(url, pool_pre_ping=True)
+```
+
+`pool_pre_ping=True` is recommended for MySQL — it tests the connection before use to handle
+stale connections after the server's `wait_timeout`.
+
+### Health check
+
+`DatabaseHealthCheck` takes a **`SqlAlchemyQueryExecutor`**, not the engine directly:
+
+```python
+from nene2.database import DatabaseHealthCheck, SqlAlchemyQueryExecutor
+
+executor = SqlAlchemyQueryExecutor(engine)
+health = DatabaseHealthCheck(executor)   # ← executor, not engine
+
+app.add_api_route("/health", health.check, methods=["GET"])
+```
+
+### `CURRENT_TIMESTAMP` type difference
+
+SQLite returns `CURRENT_TIMESTAMP` as a `str`; MySQL returns a naive `datetime` object.
+Use `parse_db_datetime()` in `_to_entity()` to handle both transparently:
+
+```python
+from nene2.database import parse_db_datetime
+
+def _to_entity(row: dict[str, Any]) -> Product:
+    return Product(
+        id=int(row["id"]),
+        created_at=parse_db_datetime(row["created_at"]),  # works for both SQLite and MySQL
+    )
+```
+
+### Docker Compose example
+
+```yaml
+services:
+  mysql:
+    image: mysql:8.0
+    environment:
+      MYSQL_ROOT_PASSWORD: rootpass
+      MYSQL_DATABASE: mydb
+      MYSQL_USER: appuser
+      MYSQL_PASSWORD: apppass
+    ports:
+      - "3310:3306"
+    healthcheck:
+      test: ["CMD", "mysqladmin", "ping", "-h", "localhost", "-uappuser", "-papppass"]
+      interval: 5s
+      timeout: 5s
+      retries: 10
+
+  app:
+    build: .
+    depends_on:
+      mysql:
+        condition: service_healthy
+```

{nene2_python-1.2.0 → nene2_python-1.4.0}/docs/reference/framework-modules.md

@@ -10,6 +10,20 @@ Public API of the `nene2` package.
 
 Parses `limit` and `offset` query parameters.
 
+**FastAPI Depends (recommended)**:
+
+```python
+from typing import Annotated
+from fastapi import Depends
+from nene2.http import PaginationQueryParser
+
+@router.get("/items")
+def list_items(pagination: Annotated[PaginationQueryParser, Depends()]) -> JSONResponse:
+    result = use_case.execute(pagination.limit, pagination.offset)
+```
+
+**Legacy (Request-based)**:
+
 ```python
 from nene2.http import PaginationQueryParser
 

{nene2_python-1.2.0 → nene2_python-1.4.0}/pyproject.toml

@@ -1,6 +1,6 @@
 [project]
 name = "nene2-python"
-version = "1.2.0"
+version = "1.4.0"
 description = "NENE2 Python — minimal API framework following NENE2's design philosophy"
 readme = "README.md"
 license = {text = "MIT"}

{nene2_python-1.2.0 → nene2_python-1.4.0}/src/nene2/auth/api_key.py

@@ -17,13 +17,32 @@ _API_KEY_HEADER = "X-Api-Key"
 
 
 class ApiKeyAuthMiddleware(BaseHTTPMiddleware):
-    """Require a valid X-Api-Key header on every request."""
-
-    def __init__(self, app: object, *, verifier: TokenVerifierProtocol) -> None:
+    """Require a valid X-Api-Key header on every request.
+
+    Use ``exclude_paths`` to skip authentication for specific paths such as
+    health-check endpoints or API documentation::
+
+        app.add_middleware(
+            ApiKeyAuthMiddleware,
+            verifier=LocalTokenVerifier(api_keys),
+            exclude_paths=["/docs", "/openapi.json", "/redoc", "/health"],
+        )
+    """
+
+    def __init__(
+        self,
+        app: object,
+        *,
+        verifier: TokenVerifierProtocol,
+        exclude_paths: list[str] | None = None,
+    ) -> None:
         super().__init__(app)  # type: ignore[arg-type]
         self._verifier = verifier
+        self._exclude_paths = set(exclude_paths or [])
 
     async def dispatch(self, request: Request, call_next: RequestResponseEndpoint) -> Response:
+        if request.url.path in self._exclude_paths:
+            return await call_next(request)
         api_key = request.headers.get(_API_KEY_HEADER, "")
         try:
             verified = bool(api_key) and self._verifier.verify(api_key)

{nene2_python-1.2.0 → nene2_python-1.4.0}/src/nene2/auth/bearer_token.py

@@ -17,13 +17,32 @@ _WWW_AUTH = 'Bearer realm="api"'
 
 
 class BearerTokenMiddleware(BaseHTTPMiddleware):
-    """Require a valid Bearer token on every request."""
+    """Require a valid Bearer token on every request.
 
-    def __init__(self, app: object, *, verifier: TokenVerifierProtocol) -> None:
+    Use ``exclude_paths`` to skip authentication for specific paths such as
+    health-check endpoints or API documentation::
+
+        app.add_middleware(
+            BearerTokenMiddleware,
+            verifier=LocalTokenVerifier(tokens),
+            exclude_paths=["/docs", "/openapi.json", "/redoc", "/health"],
+        )
+    """
+
+    def __init__(
+        self,
+        app: object,
+        *,
+        verifier: TokenVerifierProtocol,
+        exclude_paths: list[str] | None = None,
+    ) -> None:
         super().__init__(app)  # type: ignore[arg-type]
         self._verifier = verifier
+        self._exclude_paths = set(exclude_paths or [])
 
     async def dispatch(self, request: Request, call_next: RequestResponseEndpoint) -> Response:
+        if request.url.path in self._exclude_paths:
+            return await call_next(request)
         auth = request.headers.get("Authorization", "")
         if not auth.startswith("Bearer "):
             response = problem_details_response(

nene2_python-1.4.0/src/nene2/auth/local_verifier.py

@@ -0,0 +1,36 @@
+"""Local token verifier — compares against a fixed set of allowed tokens.
+
+For development and testing only. In production, implement TokenVerifierProtocol
+against your actual auth backend (database, external IdP, JWT, etc.).
+"""
+
+import os
+import secrets
+
+
+class LocalTokenVerifier:
+    """Verify tokens against a fixed allowlist using constant-time comparison."""
+
+    def __init__(self, allowed_tokens: list[str]) -> None:
+        self._allowed = allowed_tokens
+
+    @classmethod
+    def from_env(cls, env_var: str, *, separator: str = ",") -> "LocalTokenVerifier":
+        """Create a verifier from a separator-delimited environment variable.
+
+        Example .env::
+
+            BEARER_TOKENS = token - a, token - b, token - c
+
+        Usage::
+
+            verifier = LocalTokenVerifier.from_env("BEARER_TOKENS")
+
+        An unset or empty variable results in an empty allowlist (all requests denied).
+        """
+        raw = os.getenv(env_var, "")
+        tokens = [t.strip() for t in raw.split(separator) if t.strip()]
+        return cls(tokens)
+
+    def verify(self, token: str) -> bool:
+        return any(secrets.compare_digest(token, allowed) for allowed in self._allowed)

{nene2_python-1.2.0 → nene2_python-1.4.0}/src/nene2/http/pagination.py

@@ -3,10 +3,11 @@
 Equivalent to PHP Nene2\\Http\\PaginationQueryParser, PaginationQuery, PaginationResponse.
 """
 
+import dataclasses
 from dataclasses import dataclass, field
-from typing import Any
+from typing import Annotated, Any
 
-from fastapi import Request
+from fastapi import Query, Request
 
 from nene2.validation.exceptions import ValidationError, ValidationException
 
@@ -20,7 +21,33 @@ class PaginationQuery:
 
 
 class PaginationQueryParser:
-    """Parses and validates pagination query parameters from a FastAPI Request."""
+    """Parses and validates pagination query parameters.
+
+    Two usage patterns:
+
+    **FastAPI Depends (recommended)**::
+
+        from typing import Annotated
+        from fastapi import Depends
+
+
+        def list_items(pagination: Annotated[PaginationQueryParser, Depends()]) -> JSONResponse:
+            result = use_case.execute(pagination.limit, pagination.offset)
+
+    **Manual parse from Request (legacy)**::
+
+        def list_items(request: Request) -> JSONResponse:
+            pagination = PaginationQueryParser.parse(request)
+            result = use_case.execute(pagination.limit, pagination.offset)
+    """
+
+    def __init__(
+        self,
+        limit: Annotated[int, Query(ge=1, le=100, description="Items per page (1–100)")] = 20,
+        offset: Annotated[int, Query(ge=0, description="Items to skip")] = 0,
+    ) -> None:
+        self.limit = limit
+        self.offset = offset
 
     @staticmethod
     def parse(
@@ -83,8 +110,18 @@ class PaginationResponse:
     total: int | None = field(default=None)
 
     def to_dict(self) -> dict[str, Any]:
+        """Return a JSON-serializable dict.
+
+        Items that are dataclass instances are converted via ``dataclasses.asdict()``
+        so that ``JSONResponse(result.to_dict())`` works without extra steps.
+        """
         data: dict[str, Any] = {
-            "items": self.items,
+            "items": [
+                dataclasses.asdict(item)
+                if dataclasses.is_dataclass(item) and not isinstance(item, type)
+                else item
+                for item in self.items
+            ],
             "limit": self.limit,
             "offset": self.offset,
         }

{nene2_python-1.2.0 → nene2_python-1.4.0}/tests/nene2/auth/test_api_key.py

@@ -46,6 +46,27 @@ def test_multiple_allowed_keys() -> None:
     assert client.get("/secret", headers={"X-Api-Key": "key-c"}).status_code == 401
 
 
+def test_exclude_paths_bypasses_auth() -> None:
+    app = FastAPI()
+    app.add_middleware(
+        ApiKeyAuthMiddleware,
+        verifier=LocalTokenVerifier(["key"]),
+        exclude_paths=["/health"],
+    )
+
+    @app.get("/health")
+    async def health() -> JSONResponse:
+        return JSONResponse({"status": "ok"})
+
+    @app.get("/secret")
+    async def secret() -> JSONResponse:
+        return JSONResponse({"ok": True})
+
+    client = TestClient(app)
+    assert client.get("/health").status_code == 200
+    assert client.get("/secret").status_code == 401
+
+
 def test_verifier_raises_token_verification_exception_returns_401() -> None:
     """TokenVerificationException from verifier must return 401, not 500."""