通行台帳

裁き手: デモ審査レビュアー（公開デモ用・非実在）　✓ 本番ゲート資格あり（デモ審査レビュアー（公開デモ用・非実在））

変更者: Codex（依存修正・検証担当）

diff SHA-256: d6105bed6c85676af8b5747c3583be289953dd55401f599a101e59ae929d356c

• デプロイ文脈で指定されたNode.jsの固定バージョン（22.23.4）と、Dockerfileで固定された`node:22-slim`のSHA256ハッシュが、正確に一致するかどうかの証拠がdiffに見当たらない。
  対応した — Docker Hub公式registryでindex digest de170b39439eb0e5a3444ad7d60b015614a381e10fecae2e30ec9e735122f38dとlinux/amd64 manifestを照合しました。そのdigestを通信禁止・read-onlyの一時コンテナで実行し、Node v22.23.4 / OpenSSL 3.5.9 / G3証明書不在を実測済みです。builderとrunnerの両方を同じindex digestに固定しました。
• tsconfig.jsonに追加された`allowImportingTsExtensions: true`オプションが、既存のTypeScriptコードベースのモジュール解決に意図しない影響を与え、ビルドエラーやランタイムの不整合を引き起こす可能性がある。
  対応した — 既存テストの.ts拡張子付きimportを新しいNextの型検査で扱うための意図した設定です。strict:true、noEmit:true、moduleResolution:bundlerは維持しています。8テスト・型検査・本番ビルド・最終PR CIが成功し、実行コードのimportは変更していません。
• Next.js、React、および多数の推移的依存関係（sharp, postcss, @swc/helpersなど）のマイナー/パッチバージョンアップグレードが、セマンティックバージョニングの範囲内であっても、予期せぬ動作変更やパフォーマンスの回帰を引き起こす可能性がある。
  対応した — 最終候補Next16.4.2/React19.2.9は8テスト・本番ビルド・型検査・CIに合格し依存監査0件です。公式Next告知の修正版16.4.1以上を満たしsharp0.35.5も確認しました。Chromeで描画、入力イベント、ボタン有効/無効、コンソールエラー不在を確認。既存Next候補は隔離Node22でも8テスト/build成功。実LLMやFirestore書込試験は行わず、旧リビジョンと設定を保持して段階反映・復旧を準備しました。
• sharpパッケージの`engines.node`要件が`^18.17.0 || ^20.3.0 || >=21.0.0`から`'>=20.9.0'`に更新されており、これはNode.js 22との互換性を示す一方で、以前のNode.js 20.xの特定のバージョンに対するサポートが削除された可能性を示唆している。
  対応した — builder/runnerを実測済みNode22.23.4の同一digestに固定しており、sharp0.35.5のNode>=20.9.0要件を満たします。Node18や古いNode20を本番候補として使いません。復旧は依存だけを混在させず旧リビジョン全体へ戻す手順を用意しました。

{
  "prevHash": "1a57479378a2f2804a1f387000a6080e38d21b79e9230ed46de9b3ba629fda40",
  "recordHash": "767d94c1bcdb8c0b61ff77417a63ac84969ea899e1b2c290996ef7a8b83230e5"
}

裁き手: anonymous　✗ 未認証の裁き（本番ゲート不通過）

変更者: Codex（依存修正・検証担当）

diff SHA-256: 6aaaf526039e30cacec40ae7ae0563bb0271492e0ae48bed7862afbca3d8a924

• Next.jsのマイナーバージョンアップ (16.2.10 -> 16.4.2) に伴う非互換性や必要なマイグレーション手順が考慮されているか、diffからは確認できません。
  対応した — Next 16.4.2 / React 19.2.8の候補は依存監査0件です。既存CIとローカルの8テスト・本番ビルドに加え、本番Dockerfileと同じNode22系列（22.23.4）の隔離環境でnpm ci、8テスト、本番ビルド、型検査、8ページ生成が成功しました。隔離テストとビルドは外部API通信を遮断しました。
• 多くの`@img/sharp-*`パッケージでNode.jsのエンジン要件が`"^18.17.0 || ^20.3.0 || >=21.0.0"`から`">=20.9.0"`に引き上げられていますが、デプロイ先のproduction環境のNode.jsバージョンがこの新しい要件を満たしているか、diffからは確認できません。
  対応した — 本番Dockerfileのbuilder/runnerはいずれもnode:22-slimで、必要条件Node>=20.9.0を満たします。追加でNode22.23.4上のnpm ci・テスト8件・本番ビルドが成功しました。現在のCloud Runコンテナ内の実Node版は直接採取していませんが、更新時はこのDockerfileから再ビルドします。
• `tsconfig.json`に`"allowImportingTsExtensions": true`が追加されていますが、この設定変更がビルドプロセスやモジュール解決に与える影響、および意図されたものかどうかがdiffからは不明です。
  対応した — 意図した設定変更です。既存テストの .ts 拡張子付きimportを新しいNext.jsの型検査で扱うために追加しました。noEmit:true と moduleResolution:bundler は維持し、8テスト・本番ビルド・CIが成功しました。アプリの実行コードは変更していません。
• `postcss`が8.4.31から8.5.23にマイナーバージョンアップされていますが、この変更がCSSの処理や最終的なスタイリングに与える影響について、diffからは確認できません。
  対応した — globals.cssとUIソースはmainから変更していません。独自のPostCSS/Tailwind設定はありません。更新後standaloneをローカルで起動し、現行本番と同じデスクトップ画面で先頭部分を目視比較して崩れがないことを確認しました。モバイル・全画面・実API動作の網羅検査はしていません。

{
  "prevHash": "83307aa925123cdf507d2a449493991164144c620a154f063e12981174ab341b",
  "recordHash": "1a57479378a2f2804a1f387000a6080e38d21b79e9230ed46de9b3ba629fda40"
}

裁き手: anonymous　✗ 未認証の裁き（本番ゲート不通過）

変更者: someone

diff SHA-256: 0d08253c2693f0cc40df997b7283549a93ba7f014e15f0da139d86684487bcf0

• （サンプル応答）この変更のロールバック手順がdiffに見当たらない
  対応した — デモ: トークン無しの裁き（本番ゲートは開かない）

{
  "prevHash": "cc7e2e099e64f29d65d5e32452f3a10230584e9bc9472c1f734b40adc22b13e7",
  "recordHash": "83307aa925123cdf507d2a449493991164144c620a154f063e12981174ab341b"
}

裁き手: 星野宇潮　✓ 本番ゲート資格あり（星野宇潮）

変更者: 開発担当(Claude Code支援)

diff SHA-256: e29df2205a62e582bc2ffb7e2621ff6d74df3e1427c7c152411b6b1d43aef28a

• `release/*` ブランチがこのリポジトリでどのように利用されるか、およびそのブランチに対するプルリクエストの運用方針が、この変更と整合しているかどうかの証拠がdiffに見当たらない。
  リスク受容 — release/*運用は次期導入予定・mainの挙動は不変
• `SEKISHO Gate` ワークフロー内の具体的なジョブやステップが、`release/*` ブランチをターゲットとするプルリクエストに対して適切に動作するかどうかの確認がdiffからは読み取れない。
  リスク受容 — release/*運用は次期導入予定・mainの挙動は不変
• `release/*` ブランチへのプルリクエストに対するワークフロー実行の追加が、CI/CDリソースの使用量や実行時間に与える影響について、評価された証拠がdiffに見当たらない。
  リスク受容 — release/*運用は次期導入予定・mainの挙動は不変
• `release/*` ブランチに対するGitHubのブランチ保護ルールや、他の関連するワークフローの設定が、この変更と整合するように更新されているかどうかの証拠がdiffに見当たらない。
  リスク受容 — release/*運用は次期導入予定・mainの挙動は不変

{
  "prevHash": "3e8ddbe5bed35164196635280b9c8e4ff704f9f124717c05cda076d90ccaa13b",
  "recordHash": "cc7e2e099e64f29d65d5e32452f3a10230584e9bc9472c1f734b40adc22b13e7"
}

裁き手: 星野宇潮　✓ 本番ゲート資格あり（星野宇潮）

変更者: 開発担当(Claude Code支援)

diff SHA-256: fb23bdb08eae3b8af2f676a6aee23d5c616b16e9a9b317b0148dc8d21f8315d4

• 台帳のバックアップ手順が、手動か自動か、または具体的な実行方法が不明瞭。
  対応した — ドキュメント追記のみ・実装と突合し退行なしを確認
• `/api/refute` のレート制限が、アプリケーションコード、Cloud Run設定、または他のインフラ層のどこでどのように実装・適用されているかの情報が不足している。
  対応した — ドキュメント追記のみ・実装と突合し退行なしを確認
• `sekisho-tegata`コレクション名が、実際のアプリケーションコードや既存のFirestore設定と一致しているか確認が必要。
  対応した — ドキュメント追記のみ・実装と突合し退行なしを確認
• レート制限が設定されているにもかかわらず、その制限に対する監視やアラート設定に関する情報が運用メモに見当たらない。
  対応した — ドキュメント追記のみ・実装と突合し退行なしを確認

{
  "prevHash": "GENESIS",
  "recordHash": "3e8ddbe5bed35164196635280b9c8e4ff704f9f124717c05cda076d90ccaa13b"
}