Repository navigation
Hotfix/v2.0.4 - #1955
Hotfix/v2.0.4#1955
Conversation
- scripts/instance.cfg の WEKO_WORKFLOW_GUEST_TOKEN_ISSUE_ENABLED / WEKO_WORKFLOW_GUEST_TOKEN_ACCEPT_ENABLED を False に変更 Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
- invenio-deposit の create_blueprint に action_decorators オプションを追加し、 actions ルートの POST にデコレータを指定できるようにする - weko-deposit で actions ルートに require_item_edit_permission を指定し、 未認証では 401、編集権限が無ければ 403 を返す Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
ログイン後の更新の流れは test_rest.py::test_put で確認している。 Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Reviewer's guide (collapsed on small PRs)Reviewer's GuideThis hotfix imports the v2.0.4 changes into the target development branch by protecting deposit action POST endpoints with the item-edit permission, disabling guest activity token issuance and acceptance by default, and updating tests to validate the resulting authorization and endpoint configuration behavior. Sequence diagram for protected deposit action POST requestssequenceDiagram
actor Client
participant DepositAPI
participant Permission
Client->>DepositAPI: POST /deposits/{pid}/actions/{action}
DepositAPI->>Permission: require_item_edit_permission
alt permission granted
Permission-->>DepositAPI: allow
DepositAPI-->>Client: action response
else permission denied
Permission-->>DepositAPI: deny
DepositAPI-->>Client: 403 Forbidden
end
File-Level Changes
Tips and commandsInteracting with Sourcery
Customizing Your ExperienceAccess your dashboard to:
Getting Help
|
|
Important Review skippedAuto reviews are disabled on base/target branches other than the default branch. Please check the settings in the CodeRabbit UI or the
 |
🔍 Claude によるレビュー指摘 2 件 — 🔴 高 0 ／ 🟠 中 2 ／ 🟡 低 0 ／ 🔎 未確認 7 件 🟠 [中] 認可の強化とは無関係なゲストトークン機能の無効化が混入している
WEKO_WORKFLOW_GUEST_TOKEN_ISSUE_ENABLED と WEKO_WORKFLOW_GUEST_TOKEN_ACCEPT_ENABLED が True から False に変わっている。この PR の目的は deposit の actions への編集権限チェックだが、この設定は別機能の既定値変更である。この設定で配備される環境では、ゲスト向けのトークン発行と受理が止まる。意図的でなければ誤混入の可能性がある。意図的ならこの PR から分けて目的を説明すべきである。 提案 意図しない変更なら instance.cfg の変更を取り除く。意図的なら別 PR に分けるか、PR 説明に理由を書く。 根拠確認: scripts/instance.cfg:768-770 を確認した。weko_workflow/utils.py:3561-3574 を読み、この 2 つの設定が getattr(..., False) 相当で参照されていることを確認した。weko_workflow/config.py:480-483 では既定値が False である。したがって instance.cfg が True を上書きしていた状態から既定値に戻る変更になる。ただし PR 本文を確認できず、意図の有無は分からない。 🟠 [中] 認可と無関係なゲストトークン設定の無効化が混入している
WEKO_WORKFLOW_GUEST_TOKEN_ISSUE_ENABLED と WEKO_WORKFLOW_GUEST_TOKEN_ACCEPT_ENABLED が True から False に変わっている。この instance.cfg を使うデプロイでは、ゲスト向けトークンの発行と受理が止まる。PR の趣旨は deposit の actions への編集権限チェック追加で、この変更はその説明に含まれていない。 提案 意図したセキュリティ強化なら別 PR に分けて理由を書く。意図していなければこの 2 行を元に戻す。 根拠確認: scripts/instance.cfg:765-770 で False になっていることを確認した。weko-workflow/weko_workflow/utils.py:3561-3574 では、この 2 つのフラグを get(..., False) で読み、機能の有効可否に使っていた。weko-workflow/weko_workflow/config.py:480-483 の既定値は False。weko-workflow、weko-records-ui、weko-workspace、weko-admin の tests/conftest.py は True を前提にしている。意図的な変更かどうかはコードからは判断できない。 🔎 未確認 — 裏が取れなかったもの 7 件
モデル sonnet ／ 3 回実行して和集合 ／ コスト $0.3668。同じ差分でも結果が揺れるため複数回まわし、一部のパスでしか挙がらなかったものには回数を添えています 差分のみを対象にした自動レビューです。誤りが含まれることがあります。 |
API インベントリ差分（件数のみ）
ベースラインとの差分(生成されませんでした) 台帳との突き合わせ(生成されませんでした) |
1 similar comment
API インベントリ差分（件数のみ）
ベースラインとの差分(生成されませんでした) 台帳との突き合わせ(生成されませんでした) |
![sourcery-ai[bot]](https://avatars.githubusercontent.com/in/48477?s=60&v=4){kind=small}
API インベントリ差分（件数のみ）
ベースラインとの差分API インベントリ差分レポート
判定: ✅ PASS (FAIL 0 / WARN 2)サマリ
[WARN] W6 依存パッケージの版が変化した — 6件
[WARN] W5 監視対象 config が変化した — 1件
台帳との突き合わせスナップショット ↔ インベントリ 突き合わせ
判定: ✅ 一致 (0件)
|
概要 (Summary)
関連Issue / チケット (Related Issues)
変更タイプ (Type of Change)
🤖 0. CI 自動チェック (API Inventory Drift)
PR ごとに WEKO3 コンテナを起動し、
url_mapのダンプ・台帳との突き合わせ・変更行の到達可否測定を自動実行する。結果は PR コメントと Actions の artifact
(
api-inventory-summary) に出る。このリポジトリは public のため、台帳もベースラインも同梱していない。
実データはプライベートリポジトリ
RCOSDP/weko-secretにあり、CI は Secret 経由で取得する。以降この文書では、そこを単にプライベートリポジトリと呼ぶ。
台帳はブランチごとに内容が違うため、CI は weko 側と同名のブランチを
プライベートリポジトリから探して使う（head → base → 既定ブランチ の順）。
採用されたブランチ名は PR コメントの冒頭に出るので、件数を読む前にそこを見ること。
対応ブランチが無い場合は既定ブランチと比較され、コメント冒頭に警告が出る。
その件数は当てにならないので、PASS でも「確認済み」と読まないこと。
詳細:
tools/api-inventory/ci/README.md§3aSecret (
API_INVENTORY_REPO/API_INVENTORY_SSH_KEY) が未設定のリポジトリ、および fork からの PR では、このジョブは何もせずスキップされる。
API を追加・変更した場合（必須）
この PR が
fix/issue62569→develop_v2.0.4なら、プライベート側もfix/issue62569→develop_v2.0.4。同名にしておけば台帳 PR が未マージでもCI がそれを見るので、2つの PR のマージ順を気にしなくてよい。
api_snapshot.jsonを更新し、対応する PR を出したbash export WEKO_API_INVENTORY_DIR=/path/to/weko-secret ./install.sh python3 tools/api-inventory/scripts/snapshot.py --out "$WEKO_API_INVENTORY_DIR/api_snapshot.json"更新しないと CI が落ちる。公開リポジトリのコード変更とは別の PRになる。
weko3_api_list_full.tsvに行を追加・更新し、build_checklist.pyで 24 列版を再生成した（未収載だと reconcile が FAIL する）（
git statusに*.tsv/api_snapshot.jsonが出ていないこと）FAIL したときの対処（要約）
まず PR コメント冒頭の台帳ブランチを見る。警告が出ていれば、件数を追う前に
プライベートリポジトリ側の対応ブランチを用意すること（比較相手が違うので件数に意味がない）。
ジョブが落ちる条件は 3 つある。PR コメントのどのセクションに件数が出ているかで切り分ける。
drift.md)reconcile.md)*_PERMISSION_FACTORY/ CSRF 保護 等が危険側の値に変わったcan_delete/can_exportがFalse→Truedata_opを更新data_opが作成/更新/削除の経路に、未認証で到達したdata_opの記載誤りなら台帳を直すurl_mapに無いreconcile B のうち、実機に存在しないことが正当な行（プラグイン未登録・config で無効等）は
プライベートリポジトリの
reconcile_allow.jsonに理由付きで登録する。理由なしの登録は不可。登録済みの行は B'（既知・許容）として集計され、E'（endpoint が実機に無い）と併せてゲート対象外になる。
W1〜W6 は WARN でゲートは通るが、レビューでは見ること
（ModelView の追加 / 実装本体の変化 / HTTP メソッド・URL の変化 / 監視対象 config の変化 /
依存パッケージの版の変化）。特に W6（依存の版）は、ベースラインを CI と異なる環境で作ると
毎回出続けて形骸化するため、ベースラインは
install.shで作った環境から生成する。🔒 1. セキュリティ & API アクセス制御チェック (必須)
認証・認可 (Authentication & Authorization)
@login_required,@pass_record,need(...), Invenio Access Action/api/*ではPermission.require(http_exception=403)を使うこと。@login_requiredは API アプリにsecurity.loginが無いため 401 ではなく 500 になる--allow-writes付きでGET / HEAD 以外も叩く）
起動した経路のみ。ワークフロー系など未解決プレースホルダの行は skip される
Noneで無効化していない*_PERMISSION_FACTORY等を監視機能クローズ・非公開化の場合 (Feature Disable)
404 Not Foundまたは403 Forbiddenが返ることを確認した🧪 2. テストコード観点チェック (pytest / Invenio Test Suite)
権限・異常系テスト (Negative & Authorization Tests)
401 Unauthorizedまたは403 Forbidden/404 Not Foundが返ることを検証するテストがある403になるテストがある404/403を返すテストがある境界値・入力バリデーションテスト (Boundary & Validation)
400 Bad Request/ バリデーションエラーが返るテストがあるデータ整合性・トランザクションテスト (Integrity & Rollback)
🛡️ 3. データ保護 & 破壊的変更防止チェック (Data Safety)
⚙️ 4. マイグレーション & システム影響チェック (Invenio / WEKO3 Stack)
データベース (DB / Alembic)
invenio alembic upgrade（適用）およびdowngrade（ロールバック）スクリプトを作成・検証した検索インデックス (Elasticsearch / OpenSearch)
設定 & 非同期処理 (Config / Celery / Cache)
invenio.cfg/ 環境変数のデフォルト値を設定した📚 5. ドキュメント・仕様書更新チェック (weko-document)
tools/api-inventory/、台帳・調査記録はプライベートリポジトリ（public リポジトリには置かない）。
§0 のチェック項目で対応済みなら、ここは確認のみ。
weko3_api_auth_findings.md）もプライベートリポジトリに置く。台帳は二重管理しない📋 6. 動作検証エビデンス (Verification Evidence)
テスト実行結果
CI の成果物 (artifact:
api-inventory-summary)drift.mdreconcile.md明細（該当した経路名・実測結果）は公開できないため artifact に含めていない。
プライベートリポジトリ側で同じコマンドを
--summary-onlyなしで実行して確認する。手動で確認したこと
🤖 Generated with Claude Code
Summary by Sourcery
Harden deposit REST access control and disable guest activity tokens by default.
Bug Fixes:
Enhancements:
Tests: