website-vending-machine

PMスコープ整理（2026-07-26）: 外部APIキーの失効・再発行は秘密値をAIへ渡さないため#10501へ分離。本チケットでは、未コミット差分の正本化、秘密値参照箇所の安全化・漏えいスキャン（値は表示しない）、再現可能ビルド、旧実装ADR、DBバックアップ/復元手順を担当する。

[クロスレビュー] レビュアー種別: claude
VERDICT: needs_revision

以下、指摘事項です(解決策は提示せず、指摘のみ)。

1. 起票意図への回答としての不足¶

秘密値ローテーション範囲と検査範囲の不一致

• 「作業」欄では「作業中に出力された可能性のあるANTHROPIC/Claude系キーをローテーション」とClaude/Anthropic系キーのみに対象を限定している。
• 一方「作業」欄の次項目では「.env、Nginx、ログ、Git履歴に秘密値が残っていないか検査」と、対象を秘密値全般に広げている。
• 受入基準側も「旧キー失効、新キー設定、疎通成功」「リポジトリとNginxに平文秘密値なし」と、こちらも秘密値全般を指しているように読める。
• つまり「ローテーションすべき対象」はClaude系キーに限定されているのに、「検査・除去すべき対象」は秘密値全般になっており、検査でClaude以外の秘密値(DBパスワード、他API키等)が見つかった場合にそれをローテーションまで行うのか、検査・除去のみで良いのかがチケット本文からは判断できない。担当者が独自解釈で範囲を狭める/広げるリスクがある。

2. 誤解・見落としの懸念¶

human_gate設定と作業内容のリスクレベルの不整合

• cf18(human_gate)=0、cf19(gate_type)=空のため、このチケットは自律連鎖で自動closeされる設定になっている。
• しかし本チケットの受入基準には「docker compose build/up後に/health、sessions、diagnosisが回帰しないこと」という、稼働環境に対する最終検証(起票ルール7章でいう「最終試験」に相当しうる内容)が含まれている。加えて秘密値ローテーションという本番環境に直接影響する作業を含む。
• 起票ルール7章では「最終試験(受け入れ前の最終検証)」を人間ゲート必須カテゴリの一つとして明示しているが、本チケットはgate_typeが未設定のまま自律連鎖に委ねられている。この判断(人間ゲート不要とする判断)が意図的なものか、単なる設定漏れかがチケットから読み取れない。

先行/後続関係が本文記載のみで実関係フィールドと確認できない

• 本文に「先行: なし / 後続: VEND-MVP-01」と記載があるが、起票ルール3章の連鎖機構(precedes/follows)はRedmineの実際の関係フィールドに依存する。本文のプレーンテキスト記載だけでは、VEND-MVP-01側の自動起動条件(全先行がcloseした時)が機能するか判断できない。実際にissue relationとして設定されているかどうかがチケット情報からは確認できない。

VERDICT: needs_revision

PM監督ログ: 初回Codexジョブは担当外の/root配下を依存検索し始めたため、秘密値出力前に停止。作業コピーを再初期化し、現在ディレクトリ外の読取・検索を禁止した再実行ジョブ 20260726-150823-6f9f94 を開始。

[Claude Codeクロスレビュー] VERDICT: needs_revision

Blocking:

1. package-lock.jsonなし＋npm installでは間接依存が固定されず、再現可能ビルド未達。package-lock同梱＋npm ciが必要。
2. composeのenv_file required:falseは.env欠落を黙殺し、秘密値なし起動を許す。fail-fastへ戻す必要あり。
3. OPERATIONSの公開URLが実環境と不一致。現行はhealth=/vend/01/api/health、診断=/vend/01/api/api/diagnosis。

Non-blocking: node:20-alpineのdigest未固定、SQLite手順へのcheckpoint補強。

Codexへ最小修正を再委任する。

[本番前ビルド検証] needs_revision
commit 6230e1aのDockerfileで COPY server.js db.js prompts.js crawlability.js scoring.js . がclassic Docker builderにより拒否された。
エラー: 複数sourceのCOPY destinationはディレクトリとして末尾/が必要。
初期未コミット差分の./が正しかった。Codex判断とレビュー報告を実ビルドが覆したため、COPY ... ./へ修正して再検証する。稼働中コンテナは停止しておらず影響なし。

[PM最終検収 2026-07-27 JST]
Claude Code VERDICT: approve / Blockingなし。

成果:

• commit 6230e1a: 正本ADR、運用手順、ignore、空欄.env.example、module-index v0.2.0、package-lock、npm ci化
• commit 322c79d: classic Docker builder対応（複数source COPY先を ./ へ修正）
• 新image: sha256:56d96f45173aeba1564e9156557b8e7cb22d0e64c68037674bfb8532bc96d149
• 旧imageは vend01-vend01-api:pre-10494 として保全
• DB backup: /root/backup/website-vending-machine/20260727-0037/vend01.db
• backup integrity=ok、SHA256記録済み
• 出所不明のscoring.js並行差分は /root/backup/website-vending-machine/20260727-0034 へ退避し、#10503で検収管理。未レビュー差分は本番へ混入させていない。

回帰:

• container healthy
• 公開health 200
• 既存session GET 200
• 公開diagnosis 200、Claude成功、score保存
• DB integrity ok
• ログ重大エラー0、秘密値パターン0
• project working tree clean

残課題:

• 外部LLMキー失効・再発行はhuman gate #10501
• Gemini Gateway経由化は#10503
• node:20-alpine digest固定はnon-blocking改善項目

本チケットの改訂スコープは完了。