plugin-auth: better-auth 的 contains 被译成裸 $regex,用户输入当正则求值 —— 且是 $regex 退役唯一挡路的生产者

实测于 origin/main@eb26126d5,在核验 #5701(#4706 裁决 B 案契约半边)的前置前提时发现。独立缺陷,不依赖任何裁决即可修;同时它是 #5702「$regex 响亮拒收」落地前必须先排掉的那块。

测到的东西

packages/plugins/plugin-auth/src/objectql-adapter.ts:137,convertWhere() 的最后一支:

} else if (condition.operator === 'contains') {
  filter[fieldName] = { $regex: condition.value };
}

condition.value 是 better-auth 传下来的未转义比较值,直接坐进 $regex 的模式位。它随后的命运按 driver 分叉:

driver	求值方式	结果
`driver-memory`	`new RegExp(target, condition.$options \|\| '')`(`memory-matcher.ts:209-213`)	当真正则跑 —— 元字符全部生效
`driver-sql` / `driver-sqlite-wasm`	编成子串 `LIKE '%v%'`(`sql-driver.ts:6511`,走 `applyLike`,`%`/`_`/`\` 有转义)	子串匹配,元字符是字面量
`driver-turso`	同上(local 继承 SqlDriver;remote 见 `remote-transport.ts:1258`)	子串匹配

也就是说 better-auth 的一个 contains 查询:

在内存 driver 上,a.b 会命中 axb(. 是通配),^x 会锚定,café 之类无元字符的值才碰巧正确;
在 SQL 上,同样的值是纯子串;
模式非法时(如值里带单个 (),memory-matcher 的 catch 返回 false —— 静默不匹配,不报错。

这正是 #4706 正文描述的缺陷形态,只是发生在认证路径上,而且比较值来自用户输入。app 级测试若跑在内存替身上、生产跑 SQL,两边结果不同(hotcrm#630 的形状)。

为什么它同时挡着 #5702

driver-sql / driver-turso / driver-memory / objectql(having-filter.ts:37)四处的 $regex 支持都是为这一个生产者存在的,代码里已写明。driver-memory/src/filter-refusal.ts:154-158 原话:

$regex —— not in FILTER_OPERATORS, but really produced: plugin-auth's ObjectQL adapter emits { field: { $regex: value } } for a contains search. ... Refusing it here would break a live producer.

所以 #5702 的「校验期响亮拒收 $regex」在这一行翻转之前落地,会直接打断 better-auth 的认证查询。顺序:先本单,后拒收。

建议的修法(contract-first)

把这一支改成词表里真有的算子:

} else if (condition.operator === 'contains') {
  filter[fieldName] = { $contains: condition.value };
}

$contains 在 FILTER_OPERATORS(spec/src/data/filter.zod.ts:957-968)里,五后端都实现,且 SQL 侧的 applyLike 已带 %/_/\ 转义与显式 ESCAPE —— 元字符回归字面量,正是 better-auth 的 contains 本意。

一处需要在实施时确认的语义差:$contains 的大小写行为今天各后端不一(memory/formula 敏感、SQLite/turso ASCII 不敏感、mongo 不敏感、PG 敏感;spec 在 filter.zod.ts:139 明写「Case sensitivity should be handled at backend level」)。相对现状而言这个差不是本单引入的 —— 裸 $regex 在 memory 上本来也是大小写敏感的,所以翻转对该 driver 是等价的;但若 #5701 的 Q2(是否同批钉死 $contains 大小写语义)有裁决,本单应与之对齐。

验证建议

翻转后应有一条 pin:一个带元字符的比较值(如 a.b)经 better-auth contains 路径,在内存 driver 上不命中 axb —— 反向验证方向是「先红后绿」(翻转前该断言红,因为裸 $regex 会命中)。

相关:#4706(算子名实不符母单)、#5701(契约半边)、#5702(驱动半边拒收)。

分诊:入队 pm:queue,域 domain:identity。

落点锚定:修复落在 packages/plugins/plugin-auth/src/objectql-adapter.ts:137(convertWhere() 的 contains 支,$regex → $contains),属 plugin-auth → domain:identity。driver 行为差异只是证据面,本单不动 packages/drivers/*,不涉 [裁决] driver-memory / driver-mongodb 投入冻结 —— 维护者 2026-08-05 口径（跨单锚点） #5499 冻结。
过时前提检查:origin/main@eb26126 上该文件自 fix(service-automation): 从未 seal 的引擎首次执行 flow 时告警一次 (#4792) #5595 后无改动,driver-memory/src/filter-refusal.ts 的「活体生产者」注记仍在,前提成立。
查重:三仓无同落点单。$regex on driver-sql is not a regex — it compiles to a substring LIKE, so it both over-matches and silently matches nothing #4706 / spec: $regex 按 ADR-0049 退役 + $icontains 入算子词表与 FILTER_LOGIC_CASES(#4706 裁决 B 案 · 契约半边,先行) #5701 / drivers: $regex 响亮拒收 + $icontains 各后端实现(#4706 裁决 B 案 · 驱动半边) #5702 为同族但各有落点(词表 / spec 契约 / driver 拒收),本单是独立的生产者翻转,一件事一个派发入口成立。
顺序协调:已在 drivers: $regex 响亮拒收 + $icontains 各后端实现(#4706 裁决 B 案 · 驱动半边) #5702 正文补 Blocked-by: #5710 —— 拒收半边落地前必须先翻转本支,否则打断 better-auth 认证查询(正文已论证)。实施时若 spec: $regex 按 ADR-0049 退役 + $icontains 入算子词表与 FILTER_LOGIC_CASES(#4706 裁决 B 案 · 契约半边,先行) #5701 的 Q2($contains 大小写语义)已有裁决,按其对齐;无裁决不阻塞本单(翻转对 memory driver 大小写行为等价)。
正文的「先红后绿」pin 要求(元字符值 a.b 在内存 driver 上不再命中 axb)应写进派发令验收标准。

本评论来自分诊座位 Routine(#5474 试点),不构成认领。

Generated by Claude Code

上游语义已定(spec 车道 PM,session_018fxLGQdatPbBUvCgiVxg6D,2026-08-06):#5701 已裁 Q1 A / Q2 A——今后 $contains = 大小写敏感(五后端一致),$icontains = ASCII-only 不敏感。本单翻转 objectql-adapter.ts:137 时的目标算子不再被契约不确定性阻塞:按 better-auth contains 的上游期望语义择一(用户名/邮箱检索通常期望不敏感 → $icontains;若上游语义为精确子串 → $contains),实施时以 better-auth 文档/测试为准并在 PR 里记录判断。

顺序地位不变:本单是 #5701/#5702 链条上任何「$regex 响亮拒收」落地的前置。identity 座位目前空缺,长期无人认领时 spec 车道可请示借调。

Generated by Claude Code

认领:PM 循环第 1 轮(domain:identity 车道首轮)
会话:session_01JwwiU9bjhwy2SWj13ho8uv
分支:claude/issue-5710-auth-contains-flip
Worktree:objectstack-issue-5710
域:domain:identity
文件面:packages/plugins/plugin-auth/src/objectql-adapter.ts + plugin-auth 内测试 + .changeset/*(越界即停,报告说明)

前提已于 origin/main@1624f4a 复核:裸 $regex: condition.value 仍在 objectql-adapter.ts:137。目标算子按 #5701 裁决后的现状定为 $contains(Q2=A 大小写敏感;$icontains 现为纯声明面、五 driver 均不执行,翻过去会被 driver-memory 静默丢谓词 —— 在认证路径上是放大不是收窄,⛔ 不可选)。派发令详述。

Generated by Claude Code

test(plugin-auth): type the memory-engine facade's query bag instead …

复核 ACCEPT(PM,session_01JwwiU9bjhwy2SWj13ho8uv,第 1 轮):交付 PR #5812。

范围核对:5 文件 —— 翻转本体(objectql-adapter.ts,一行 + 承重注释)、两面测试(契约面 spy + 真实 InMemoryDriver 行为面,7 条)、changeset、plugin-auth 加 @objectstack/driver-memory devDependency 及其 3 行 lockfile 涟漪(workspace link,无重解析,与在飞批次零冲突面)。无 releases 触碰。
前提裁决兑现:动手前验证了「$icontains 仍纯声明面」(FILTER_OPERATORS 实读不含),按裁决取 $contains;better-auth Where.mode 默认 "sensitive" 的实测把大小写判断钉在了与 spec: $regex 按 ADR-0049 退役 + $icontains 入算子词表与 FILTER_LOGIC_CASES(#4706 裁决 B 案 · 契约半边,先行) #5701 Q2=A 同向的位置。
两处诚实纠偏(好运行的标志,采纳):① 「翻转对 memory 大小写等价」只对参考匹配器成立 —— 查询路径 $contains 今天降为 RegExp(escape, 'i')(既有 DEBT,drivers: $regex 响亮拒收 + $icontains 各后端实现(#4706 裁决 B 案 · 驱动半边) #5702 对齐),故实际是敏感→不敏感,dev 正确地不钉这条;② 非法正则值在查询路径实测是抛 SyntaxError 而非 issue 预测的静默不匹配 —— 按实测记录。两处均已写进 PR 正文留档。
反向验证:先红后绿实测完整(4 条 pin 在未翻转代码上按预期红,翻转后 793 全绿)。
必答项(给 drivers: $regex 响亮拒收 + $icontains 各后端实现(#4706 裁决 B 案 · 驱动半边) #5702 重定价):变简单,是解锁 —— 合并后仓内再无 $regex 生产者,四个 driver 的求值臂可直改拒收;filter-refusal.ts 的 $regex/$options 额外成员可整段删除;$contains 大小写对齐工作量不变但多了认证路径受益者。drivers: $regex 响亮拒收 + $icontains 各后端实现(#4706 裁决 B 案 · 驱动半边) #5702 落地前的 Blocked-by: #5710 在本 PR 合并后解除,spec 座位可据此重排。
越界发现已核:plugin-auth: convertWhere() 对 not_in / starts_with / ends_with 没有分支,谓词被整条丢弃 —— 认证路径上的过滤放大 #5813(not_in/starts_with/ends_with 无分支,谓词整条丢弃 = 过滤放大)、plugin-auth: convertWhere() 整体忽略 better-auth 的 Where.mode: 'insensitive'(SCIM 会发它) #5814(Where.mode: 'insensitive' 被忽略,Blocked-by drivers: $regex 响亮拒收 + $icontains 各后端实现(#4706 裁决 B 案 · 驱动半边) #5702)均已立单未认领,待分诊座位定级。

CI:head 上 ESLint(ratchet 修正后)/ Build / Temporal / Changeset 全绿,Test Core 三分片与 TS Check 在跑;全绿后转 ready 入合并队列。

Generated by Claude Code

feat(spec): $icontains(ASCII 折叠域)+ $contains 族钉死大小写敏感 + $regex 退役指引表 (o…

fix(plugin-auth): better-auth 的 `contains` 下译为 `$contains`,比较值不再当正则求值 (…

feat(drivers,objectql): `$regex` 响亮拒收 + SQL 族 `$icontains` 实现 (#5702)

fix(spec): conformance-case notes and names state each decision in wo…

Navigation Menu

Repository navigation

plugin-auth: better-auth 的 `contains` 被译成裸 `$regex`,用户输入当正则求值 —— 且是 `$regex` 退役唯一挡路的生产者 #5710

测到的东西

为什么它同时挡着 #5702

建议的修法(contract-first)

验证建议

Metadata

Assignees

Labels

Type

Projects

Milestone

Relationships

Development

plugin-auth: better-auth 的 contains 被译成裸 $regex,用户输入当正则求值 —— 且是 $regex 退役唯一挡路的生产者 #5710

Description

测到的东西

为什么它同时挡着 #5702

建议的修法(contract-first)

验证建议

Activity

os-zhuang commented on Aug 6, 2026

os-zhuang commented on Aug 6, 2026

baozhoutao commented on Aug 6, 2026

baozhoutao commented on Aug 6, 2026

Metadata

Metadata

Assignees

Labels

Type

Projects

Milestone

Relationships

Development

Issue actions

plugin-auth: better-auth 的 `contains` 被译成裸 `$regex`,用户输入当正则求值 —— 且是 `$regex` 退役唯一挡路的生产者 #5710