@aiquants/daily-report 0.12.3 → 0.13.0

package/src/server/service.ts

@@ -13,6 +13,7 @@ import type { EpochStore, SqlResultCache, SqlResultCacheQueryOptions } from "./c
 import type { DailyReportExternalSource } from "./external-source"
 import type { DailyReportEncodeUserId, DailyReportIdCodec, DailyReportRedisProvider, DailyReportResolveUserId } from "./ports"
 import type { DailyReportTables, DailyReportUserTable } from "./schema"
+import { buildVisibleSourceTypeCondition, computeSourceTypeDigest, deniesEverySourceType, isSourceTypeVisible, type VisibleSourceTypeSet } from "./visibility"
 
 export type { SqlResultCacheQueryOptions }
 
@@ -235,6 +236,32 @@ export function createDailyReportService(config: DailyReportServiceConfig) {
 
     const incrementRedisEpoch = (key: string) => epochs.incrementEpoch(key)
 
+    /**
+     * Binds the shared visibility condition builder to this service's hub table.
+     * 共有の可視性条件ビルダーを本サービスの hub テーブルへ束縛したもの。
+     *
+     * 三値の意味と fail-close の方向は {@link buildVisibleSourceTypeCondition} が唯一の真実源。
+     */
+    const visibleSourceTypeCondition = (visible: VisibleSourceTypeSet) => buildVisibleSourceTypeCondition(DailyReportHub.sourceType, visible)
+
+    // ---- キャッシュキー生成 (ダイジェスト折り込みと無効化接頭辞の単一の真実源) ----
+    // ❗ ユーザー別キャッシュキーは必ずここから作る。可視集合ダイジェストの付け忘れ (= 別権限へ
+    //    古い結果を配信) と、無効化時の取りこぼしを構造的に防ぐ。接頭辞の末尾 ":" は
+    //    ユーザー ID の前方一致衝突 (1 と 10) を避けるため必須。
+
+    /** ID 一覧キャッシュのキー (ユーザー + 可視集合ダイジェスト)。 */
+    const idsCacheKey = (userId: number, digest: string): string => `${DAILY_REPORT_IDS_CACHE_KEY}:user:${userId}:st:${digest}`
+    /** ID 一覧キャッシュの当該ユーザー全ダイジェスト分の接頭辞。 */
+    const idsUserPrefix = (userId: number): string => `${DAILY_REPORT_IDS_CACHE_KEY}:user:${userId}:`
+    /** 営業日別キャッシュのキー (営業日 + ユーザー + 可視集合ダイジェスト)。 */
+    const dateCacheKey = (normalizedBusinessDate: string, userId: number, digest: string): string => `daily-report:date:${normalizedBusinessDate}:user:${userId}:st:${digest}`
+    /** 営業日別キャッシュの当該ユーザー全ダイジェスト分の接頭辞。 */
+    const dateUserPrefix = (normalizedBusinessDate: string, userId: number): string => `daily-report:date:${normalizedBusinessDate}:user:${userId}:`
+    /** 詳細キャッシュのキー (hub + ユーザー + 可視集合ダイジェスト)。 */
+    const detailCacheKey = (reportHubId: number, userId: number, digest: string): string => `daily-report:detail:${reportHubId}:user:${userId}:st:${digest}`
+    /** 詳細キャッシュの当該ユーザー全ダイジェスト分の接頭辞。 */
+    const detailUserPrefix = (reportHubId: number, userId: number): string => `daily-report:detail:${reportHubId}:user:${userId}:`
+
     /**
      * Publishes a message to the SSE Redis Stream.
      * SSE 用の Redis Stream にメッセージを追加する。
@@ -420,8 +447,14 @@ export function createDailyReportService(config: DailyReportServiceConfig) {
      * 本文も添付も含まないため、緩めても内容は漏れない。
      * この差分は無自覚なものではなく、`service.spec.ts` が明示的に表明して固定している。
      * 他の 3 経路をこの形に合わせてはならない (合わせると内容が漏れる)。
+     *
+     * 区分 (sourceType) の可視性は緩和の対象外であり、他経路と完全に同一の条件を適用する。
+     *
+     * @param userId Internal numeric user id. 内部数値ユーザー ID。
+     * @param visible Normalized visible source-type set. 正規化済みの可視 sourceType 集合。
+     * @returns Stream-ordered items. ストリーム順のアイテム一覧。
      */
-    const fetchDailyReportIdsByUserId = async (userId: number): Promise<DailyReportItem[]> => {
+    const fetchDailyReportIdsByUserId = async (userId: number, visible: VisibleSourceTypeSet): Promise<DailyReportItem[]> => {
         const DraftLabelRelation = aliasedTable(DailyReportHub_Label as unknown as Parameters<typeof aliasedTable>[0], "draft_label") as unknown as typeof DailyReportHub_Label
         const draftLabelJoinIds = await getDraftLabelJoinIds()
 
@@ -433,7 +466,7 @@ export function createDailyReportService(config: DailyReportServiceConfig) {
             })
             .from(DailyReportHub)
             .leftJoin(DraftLabelRelation, and(eq(DraftLabelRelation.hubId, DailyReportHub.id), inArray(DraftLabelRelation.labelId, draftLabelJoinIds)))
-            .where(and(isNull(DailyReportHub.deletedAt), or(eq(DailyReportHub.userId, userId), isNull(DailyReportHub.userId), isNull(DraftLabelRelation.hubId))))
+            .where(and(isNull(DailyReportHub.deletedAt), or(eq(DailyReportHub.userId, userId), isNull(DailyReportHub.userId), isNull(DraftLabelRelation.hubId)), visibleSourceTypeCondition(visible)))
             .orderBy(desc(DailyReportHub.businessDate), desc(DailyReportHub.id))
 
         return result.map((item) => ({
@@ -453,13 +486,18 @@ export function createDailyReportService(config: DailyReportServiceConfig) {
      *
      * @param externalId External user id. 外部ユーザー ID。
      * @param limit Page size. ページサイズ。
+     * @param visible Normalized visible source-type set. 正規化済みの可視 sourceType 集合。
      * @returns First-page items in stream order. ストリーム順の先頭ページ。
      */
-    const getDailyReportIdsFirstPageByExternalId = async (externalId: string, limit: number): Promise<DailyReportItem[]> => {
+    const getDailyReportIdsFirstPageByExternalId = async (externalId: string, limit: number, visible: VisibleSourceTypeSet): Promise<DailyReportItem[]> => {
         const userId = await getUserIdByExternalId(externalId)
         if (!userId) {
             return []
         }
+        // 全拒否なら DB を引かずに空を返す (0 件 = fail-close)
+        if (deniesEverySourceType(visible)) {
+            return []
+        }
         const DraftLabelRelation = aliasedTable(DailyReportHub_Label as unknown as Parameters<typeof aliasedTable>[0], "draft_label") as unknown as typeof DailyReportHub_Label
         const draftLabelJoinIds = await getDraftLabelJoinIds()
 
@@ -472,7 +510,7 @@ export function createDailyReportService(config: DailyReportServiceConfig) {
             .top(limit)
             .from(DailyReportHub)
             .leftJoin(DraftLabelRelation, and(eq(DraftLabelRelation.hubId, DailyReportHub.id), inArray(DraftLabelRelation.labelId, draftLabelJoinIds)))
-            .where(and(isNull(DailyReportHub.deletedAt), or(eq(DailyReportHub.userId, userId), isNull(DailyReportHub.userId), isNull(DraftLabelRelation.hubId))))
+            .where(and(isNull(DailyReportHub.deletedAt), or(eq(DailyReportHub.userId, userId), isNull(DailyReportHub.userId), isNull(DraftLabelRelation.hubId)), visibleSourceTypeCondition(visible)))
             .orderBy(desc(DailyReportHub.businessDate), desc(DailyReportHub.id))
 
         return result.map((item) => ({
@@ -534,18 +572,28 @@ export function createDailyReportService(config: DailyReportServiceConfig) {
     /**
      * Retrieves daily report IDs and their normalized business dates.
      * 日報 ID と正規化済み営業日を取得する処理。
+     *
+     * @param externalId External user id. 外部ユーザー ID。
+     * @param options Cache query options. キャッシュ問い合わせオプション。
+     * @param visible Normalized visible source-type set. 正規化済みの可視 sourceType 集合。
+     * @returns Stream-ordered items. ストリーム順のアイテム一覧。
      */
-    const getDailyReportIdsByExternalId = async (externalId: string, { forceRefresh = false, snapshot = false, ttlMsOverride }: SqlResultCacheQueryOptions = {}): Promise<DailyReportItem[]> => {
+    const getDailyReportIdsByExternalId = async (externalId: string, { forceRefresh = false, snapshot = false, ttlMsOverride }: SqlResultCacheQueryOptions = {}, visible: VisibleSourceTypeSet): Promise<DailyReportItem[]> => {
         const userId = await getUserIdByExternalId(externalId)
         if (!userId) {
             return []
         }
+        // 全拒否なら DB を引かずに空を返す (0 件 = fail-close)
+        if (deniesEverySourceType(visible)) {
+            return []
+        }
 
-        const cacheKey = `${DAILY_REPORT_IDS_CACHE_KEY}:user:${userId}`
+        // 可視集合ごとに別バケットへ隔離する (権限変更後に旧結果を配信しない)
+        const cacheKey = idsCacheKey(userId, computeSourceTypeDigest(visible))
         return sqlResultCache.getOrFetch<DailyReportItem>({
             cacheKey,
             fetcher: async () => {
-                const res = await fetchDailyReportIdsByUserId(userId)
+                const res = await fetchDailyReportIdsByUserId(userId, visible)
                 return res
             },
             forceRefresh,
@@ -717,13 +765,18 @@ export function createDailyReportService(config: DailyReportServiceConfig) {
      *
      * @param attachmentId Internal numeric attachment id. 内部数値の添付 ID。
      * @param userId Internal numeric user id of the viewer. 閲覧者の内部数値ユーザー ID。
+     * @param visible Normalized visible source-type set. 正規化済みの可視 sourceType 集合。
      * @returns Attachment row when visible, otherwise null. 可視なら添付行、それ以外は null。
      */
-    const getAttachmentForUser = async (attachmentId: number, userId: number): Promise<{ fileName: string; filePath: string; fileType: string | null; fileSize: number | null } | null> => {
+    const getAttachmentForUser = async (attachmentId: number, userId: number, visible: VisibleSourceTypeSet): Promise<{ fileName: string; filePath: string; fileType: string | null; fileSize: number | null } | null> => {
         const attachment = tables.attachment
         if (!attachment) {
             return null
         }
+        // 全拒否なら DB を引かずに null を返す (0 件 = fail-close)
+        if (deniesEverySourceType(visible)) {
+            return null
+        }
         const draftLabelJoinIds = await getDraftLabelJoinIds()
         const DraftLabelRelation = aliasedTable(DailyReportHub_Label as unknown as Parameters<typeof aliasedTable>[0], "draft_label") as unknown as typeof DailyReportHub_Label
 
@@ -742,7 +795,7 @@ export function createDailyReportService(config: DailyReportServiceConfig) {
             .from(attachment)
             .innerJoin(DailyReportHub, eq(DailyReportHub.id, attachment.hubId))
             .leftJoin(DraftLabelRelation, and(eq(DraftLabelRelation.hubId, DailyReportHub.id), inArray(DraftLabelRelation.labelId, draftLabelJoinIds)))
-            .where(and(eq(attachment.id, attachmentId), isNull(DailyReportHub.deletedAt), or(eq(DailyReportHub.userId, userId), isNull(DraftLabelRelation.hubId))))
+            .where(and(eq(attachment.id, attachmentId), isNull(DailyReportHub.deletedAt), or(eq(DailyReportHub.userId, userId), isNull(DraftLabelRelation.hubId)), visibleSourceTypeCondition(visible)))
 
         return rows[0] ?? null
     }
@@ -796,7 +849,7 @@ export function createDailyReportService(config: DailyReportServiceConfig) {
      * Retrieves daily report details for a business date with user-specific status and relations.
      * 指定した営業日の日報詳細を、ユーザー状態と関連データを含めて取得する。
      */
-    const getDailyReportsByBusinessDateByExternalId = async (businessDate: string, externalId: string, { forceRefresh = false, snapshot = false, ttlMsOverride }: SqlResultCacheQueryOptions = {}): Promise<DailyReportDetail[]> => {
+    const getDailyReportsByBusinessDateByExternalId = async (businessDate: string, externalId: string, { forceRefresh = false, snapshot = false, ttlMsOverride }: SqlResultCacheQueryOptions = {}, visible: VisibleSourceTypeSet): Promise<DailyReportDetail[]> => {
         const userId = await getUserIdByExternalId(externalId)
         if (!userId) {
             return []
@@ -806,8 +859,13 @@ export function createDailyReportService(config: DailyReportServiceConfig) {
         if (!normalizedBusinessDate) {
             return []
         }
+        // 全拒否なら DB を引かずに空を返す (0 件 = fail-close)
+        if (deniesEverySourceType(visible)) {
+            return []
+        }
 
-        const cacheKey = `daily-report:date:${normalizedBusinessDate}:user:${userId}`
+        // 可視集合ごとに別バケットへ隔離する (権限変更後に旧結果を配信しない)
+        const cacheKey = dateCacheKey(normalizedBusinessDate, userId, computeSourceTypeDigest(visible))
 
         return sqlResultCache.getOrFetch<DailyReportDetail>({
             cacheKey,
@@ -831,7 +889,7 @@ export function createDailyReportService(config: DailyReportServiceConfig) {
                     .leftJoin(DailyReportUserStatus, and(eq(DailyReportHub.id, DailyReportUserStatus.hubId), eq(DailyReportUserStatus.userId, userId)))
                     .leftJoin(DraftLabelRelation, and(eq(DraftLabelRelation.hubId, DailyReportHub.id), inArray(DraftLabelRelation.labelId, draftLabelJoinIds)))
                     .leftJoin(users, eq(DailyReportHub.userId, users.id))
-                    .where(and(eq(DailyReportHub.businessDate, sql`${normalizedBusinessDate}`), isNull(DailyReportHub.deletedAt), or(eq(DailyReportHub.userId, userId), isNull(DraftLabelRelation.hubId))))
+                    .where(and(eq(DailyReportHub.businessDate, sql`${normalizedBusinessDate}`), isNull(DailyReportHub.deletedAt), or(eq(DailyReportHub.userId, userId), isNull(DraftLabelRelation.hubId)), visibleSourceTypeCondition(visible)))
                     .orderBy(desc(DailyReportHub.id))
 
                 if (rows.length === 0) {
@@ -930,9 +988,21 @@ export function createDailyReportService(config: DailyReportServiceConfig) {
      * 「SQL 述語が唯一の認可境界」という不変条件が崩れる。
      * 4 番目の経路である `fetchDailyReportIdsByUserId` だけは意図的に 1 つ緩い
      * (返すのが ID・営業日・ソース種別のみのため)。詳細は同関数の docstring を参照。
+     *
+     * @param reportHubId Hub id. 対象 hub の ID。
+     * @param userId Internal numeric user id of the viewer. 閲覧者の内部数値ユーザー ID。
+     * @param options Cache query options. キャッシュ問い合わせオプション。
+     * @param visible Normalized visible source-type set. 正規化済みの可視 sourceType 集合。
+     * @returns Detail when visible, otherwise null. 可視なら詳細、そうでなければ null。
      */
-    const getDailyReportDetailById = async (reportHubId: number, userId: number, { forceRefresh = false, snapshot = false, ttlMsOverride }: SqlResultCacheQueryOptions = {}): Promise<DailyReportDetail | null> => {
-        const cacheKey = `daily-report:detail:${reportHubId}:user:${userId}`
+    const getDailyReportDetailById = async (reportHubId: number, userId: number, { forceRefresh = false, snapshot = false, ttlMsOverride }: SqlResultCacheQueryOptions = {}, visible: VisibleSourceTypeSet): Promise<DailyReportDetail | null> => {
+        // 全拒否なら DB を引かずに null を返す (0 件 = fail-close)
+        if (deniesEverySourceType(visible)) {
+            return null
+        }
+
+        // 可視集合ごとに別バケットへ隔離する (権限変更後に旧結果を配信しない)
+        const cacheKey = detailCacheKey(reportHubId, userId, computeSourceTypeDigest(visible))
 
         const results = (await sqlResultCache.getOrFetch<DailyReportDetail>({
             cacheKey,
@@ -956,7 +1026,7 @@ export function createDailyReportService(config: DailyReportServiceConfig) {
                     .leftJoin(DailyReportUserStatus, and(eq(DailyReportHub.id, DailyReportUserStatus.hubId), eq(DailyReportUserStatus.userId, userId)))
                     .leftJoin(DraftLabelRelation, and(eq(DraftLabelRelation.hubId, DailyReportHub.id), inArray(DraftLabelRelation.labelId, draftLabelJoinIds)))
                     .leftJoin(users, eq(DailyReportHub.userId, users.id))
-                    .where(and(eq(DailyReportHub.id, reportHubId), isNull(DailyReportHub.deletedAt), or(eq(DailyReportHub.userId, userId), isNull(DraftLabelRelation.hubId))))
+                    .where(and(eq(DailyReportHub.id, reportHubId), isNull(DailyReportHub.deletedAt), or(eq(DailyReportHub.userId, userId), isNull(DraftLabelRelation.hubId)), visibleSourceTypeCondition(visible)))
 
                 if (rows.length === 0) {
                     return []
@@ -1028,20 +1098,69 @@ export function createDailyReportService(config: DailyReportServiceConfig) {
     /**
      * Retrieves a single daily report detail by ID with user-specific status and relations.
      * 指定した日報詳細を、ユーザー状態と関連データを含めて取得する。
+     *
+     * @param reportHubId Hub id. 対象 hub の ID。
+     * @param externalId External user id. 外部ユーザー ID。
+     * @param options Cache query options. キャッシュ問い合わせオプション。
+     * @param visible Normalized visible source-type set. 正規化済みの可視 sourceType 集合。
+     * @returns Detail when visible, otherwise null. 可視なら詳細、そうでなければ null。
      */
-    const getDailyReportDetailByIdByExternalId = async (reportHubId: number, externalId: string, options: SqlResultCacheQueryOptions = {}): Promise<DailyReportDetail | null> => {
+    const getDailyReportDetailByIdByExternalId = async (reportHubId: number, externalId: string, options: SqlResultCacheQueryOptions = {}, visible: VisibleSourceTypeSet): Promise<DailyReportDetail | null> => {
         const userId = await getUserIdByExternalId(externalId)
         if (!userId) {
             return null
         }
-        return getDailyReportDetailById(reportHubId, userId, options)
+        // ❗ 受け取った可視集合はそのまま透過する。ここで null へ潰すと外部 ID 経由の詳細取得だけ
+        //    フィルタが外れる (内部の create/update/publish が明示 null を渡すのとは別物)
+        return getDailyReportDetailById(reportHubId, userId, options, visible)
+    }
+
+    /**
+     * Loads the gate columns of a hub for a mutation, or null when it does not exist.
+     * ミューテーション用に hub のゲート列を取得する処理 (存在しなければ null)。
+     *
+     * @param reportHubId Hub id. 対象 hub の ID。
+     * @returns Source type and deletion marker, or null. ソース種別と論理削除印 (無ければ null)。
+     */
+    const findHubGateColumns = async (reportHubId: number): Promise<{ sourceType: string; deletedAt: Date | string | null } | null> => {
+        const [hub] = await db.select<{ sourceType: string; deletedAt: Date | string | null }>({ sourceType: DailyReportHub.sourceType, deletedAt: DailyReportHub.deletedAt }).top(1).from(DailyReportHub).where(eq(DailyReportHub.id, reportHubId))
+        return hub ?? null
+    }
+
+    /**
+     * Rejects a status mutation targeting a missing, deleted, or invisible report.
+     * 不存在・論理削除済み・不可視区分の日報に対する状態更新を拒否する処理。
+     *
+     * 認可失敗と不存在を区別せず一律 `Not Found` にする (存在オラクルの回避)。従来は hub を
+     * 一切検証せず任意の `reportHubId` へ upsert できたため、その穴も同時に塞ぐ。
+     *
+     * @param reportHubId Hub id. 対象 hub の ID。
+     * @param visible Normalized visible source-type set. 正規化済みの可視 sourceType 集合。
+     * @returns Nothing; throws when rejected. なし (拒否時は例外送出)。
+     */
+    const assertHubMutable = async (reportHubId: number, visible: VisibleSourceTypeSet): Promise<void> => {
+        const hub = await findHubGateColumns(reportHubId)
+        if (!hub || hub.deletedAt || !isSourceTypeVisible(visible, hub.sourceType)) {
+            throw new Error("Not Found")
+        }
     }
 
     /**
      * Sets the starred status of a daily report for a user.
      * ユーザーの日報スター状態を設定する。
+     *
+     * @param userId Internal numeric user id. 内部数値ユーザー ID。
+     * @param reportHubId Hub id. 対象 hub の ID。
+     * @param businessDate Business date for cache invalidation. キャッシュ無効化に使う営業日。
+     * @param isStarred Desired star state. 設定するスター状態。
+     * @param clientTempId Optimistic-update correlation id. 楽観更新の相関 ID。
+     * @param visible Normalized visible source-type set. 正規化済みの可視 sourceType 集合。
+     * @returns Updated status row. 更新後の状態行。
      */
-    const setStarStatus = async (userId: number, reportHubId: number, businessDate: string | null, isStarred: boolean, clientTempId: string): Promise<DailyReportUserStatusRow> => {
+    const setStarStatus = async (userId: number, reportHubId: number, businessDate: string | null, isStarred: boolean, clientTempId: string, visible: VisibleSourceTypeSet): Promise<DailyReportUserStatusRow> => {
+        // 不可視区分・不存在・削除済みへの書き込みを先に弾く
+        await assertHubMutable(reportHubId, visible)
+
         const existing = await db
             .select<DailyReportUserStatusRow>()
             .top(1)
@@ -1085,12 +1204,14 @@ export function createDailyReportService(config: DailyReportServiceConfig) {
         if (businessDate) {
             const normalizedDate = normalizeBusinessDateKey(businessDate)
             if (normalizedDate) {
-                sqlResultCache.invalidate(`daily-report:date:${normalizedDate}:user:${userId}`)
+                // 可視集合ダイジェスト付きキーを取りこぼさないよう接頭辞で消す
+                sqlResultCache.invalidatePrefix(dateUserPrefix(normalizedDate, userId))
                 await incrementRedisEpoch(`${DAILY_REPORT_DATE_EPOCH_PREFIX}${normalizedDate}`)
             }
         }
         sqlResultCache.invalidate(`daily-report:detail:${reportHubId}`)
-        sqlResultCache.invalidate(`daily-report:detail:${reportHubId}:user:${userId}`)
+        // 可視集合ダイジェスト付きキーを取りこぼさないよう接頭辞で消す
+        sqlResultCache.invalidatePrefix(detailUserPrefix(reportHubId, userId))
         await incrementRedisEpoch(`${DAILY_REPORT_DETAIL_EPOCH_PREFIX}${reportHubId}`)
 
         await publishToSseStream(
@@ -1111,8 +1232,19 @@ export function createDailyReportService(config: DailyReportServiceConfig) {
     /**
      * Sets the read status of a daily report for a user.
      * ユーザーの日報既読状態を設定する。
+     *
+     * @param userId Internal numeric user id. 内部数値ユーザー ID。
+     * @param reportHubId Hub id. 対象 hub の ID。
+     * @param businessDate Business date for cache invalidation. キャッシュ無効化に使う営業日。
+     * @param isRead Desired read state. 設定する既読状態。
+     * @param clientTempId Optimistic-update correlation id. 楽観更新の相関 ID。
+     * @param visible Normalized visible source-type set. 正規化済みの可視 sourceType 集合。
+     * @returns Updated status row. 更新後の状態行。
      */
-    const setReadStatus = async (userId: number, reportHubId: number, businessDate: string | null, isRead: boolean, clientTempId: string): Promise<DailyReportUserStatusRow> => {
+    const setReadStatus = async (userId: number, reportHubId: number, businessDate: string | null, isRead: boolean, clientTempId: string, visible: VisibleSourceTypeSet): Promise<DailyReportUserStatusRow> => {
+        // 不可視区分・不存在・削除済みへの書き込みを先に弾く
+        await assertHubMutable(reportHubId, visible)
+
         const existing = await db
             .select<DailyReportUserStatusRow>()
             .top(1)
@@ -1156,12 +1288,14 @@ export function createDailyReportService(config: DailyReportServiceConfig) {
         if (businessDate) {
             const normalizedDate = normalizeBusinessDateKey(businessDate)
             if (normalizedDate) {
-                sqlResultCache.invalidate(`daily-report:date:${normalizedDate}:user:${userId}`)
+                // 可視集合ダイジェスト付きキーを取りこぼさないよう接頭辞で消す
+                sqlResultCache.invalidatePrefix(dateUserPrefix(normalizedDate, userId))
                 await incrementRedisEpoch(`${DAILY_REPORT_DATE_EPOCH_PREFIX}${normalizedDate}`)
             }
         }
         sqlResultCache.invalidate(`daily-report:detail:${reportHubId}`)
-        sqlResultCache.invalidate(`daily-report:detail:${reportHubId}:user:${userId}`)
+        // 可視集合ダイジェスト付きキーを取りこぼさないよう接頭辞で消す
+        sqlResultCache.invalidatePrefix(detailUserPrefix(reportHubId, userId))
         await incrementRedisEpoch(`${DAILY_REPORT_DETAIL_EPOCH_PREFIX}${reportHubId}`)
 
         await publishToSseStream(
@@ -1206,8 +1340,16 @@ export function createDailyReportService(config: DailyReportServiceConfig) {
     /**
      * Adds a comment to a daily report.
      * 日報にコメントを追加する。
+     *
+     * @param userId Internal numeric user id. 内部数値ユーザー ID。
+     * @param reportHubId Hub id. 対象 hub の ID。
+     * @param content Comment body. コメント本文。
+     * @param businessDate Business date for cache invalidation. キャッシュ無効化に使う営業日。
+     * @param clientTempId Optimistic-update correlation id. 楽観更新の相関 ID。
+     * @param visible Normalized visible source-type set. 正規化済みの可視 sourceType 集合。
+     * @returns The created comment. 追加されたコメント。
      */
-    const addComment = async (userId: number, reportHubId: number, content: string, businessDate: string | null, clientTempId: string): Promise<DailyReportCommentItem> => {
+    const addComment = async (userId: number, reportHubId: number, content: string, businessDate: string | null, clientTempId: string, visible: VisibleSourceTypeSet): Promise<DailyReportCommentItem> => {
         const [hub] = await db
             .select<{ sourceType: string; deletedAt: Date | string | null; userId: number | null }>({ sourceType: DailyReportHub.sourceType, deletedAt: DailyReportHub.deletedAt, userId: DailyReportHub.userId })
             .top(1)
@@ -1218,6 +1360,11 @@ export function createDailyReportService(config: DailyReportServiceConfig) {
         if (!hub || hub.deletedAt) {
             throw new Error("Not Found")
         }
+        // 不可視区分の日報にはコメントできない。認可失敗と不存在を区別せず Not Found にする
+        // (存在オラクルの回避)
+        if (!isSourceTypeVisible(visible, hub.sourceType)) {
+            throw new Error("Not Found")
+        }
         if (hub.sourceType.toLowerCase() !== "internal") {
             throw new Error("Comments are restricted for external daily report sources")
         }
@@ -1268,6 +1415,8 @@ export function createDailyReportService(config: DailyReportServiceConfig) {
                 comment: commentItem,
                 clientTempId,
                 recipientRawUserId,
+                // 受信側の区分フィルタ用 (旧エントリ互換のためスキーマ上は任意)
+                sourceType: hub.sourceType,
             }),
             "addComment",
         )
@@ -1286,24 +1435,44 @@ export function createDailyReportService(config: DailyReportServiceConfig) {
     /**
      * Deletes a comment from a daily report.
      * 日報のコメントを削除する。
+     *
+     * @param userId Internal numeric user id. 内部数値ユーザー ID。
+     * @param reportHubId Hub id. 対象 hub の ID。
+     * @param commentId Comment id to delete. 削除対象のコメント ID。
+     * @param businessDate Business date for cache invalidation. キャッシュ無効化に使う営業日。
+     * @param clientTempId Optimistic-update correlation id. 楽観更新の相関 ID。
+     * @param visible Normalized visible source-type set. 正規化済みの可視 sourceType 集合。
+     * @returns Nothing. なし。
      */
-    const deleteComment = async (userId: number, reportHubId: number, commentId: number, businessDate: string | null, clientTempId: string): Promise<void> => {
+    const deleteComment = async (userId: number, reportHubId: number, commentId: number, businessDate: string | null, clientTempId: string, visible: VisibleSourceTypeSet): Promise<void> => {
         const comments = await findDailyReportCommentById(db, commentId)
         if (comments.length === 0) {
             throw new Error("Not Found")
         }
-        if (comments[0].userId !== userId) {
-            throw new Error("Unauthorized")
-        }
+
         // 渡された reportHubId がコメントの実際の所属と一致することを確認する。
-        // 不一致のまま進むと、無関係な日報のキャッシュ無効化と SSE 配信を引き起こす
+        // 不一致のまま進むと、無関係な日報のキャッシュ無効化と SSE 配信を引き起こす。
+        // ❗ 所有者チェックより**前**に置く。後ろだと、攻撃者が自分に可視な hubId を添えて任意の
+        //    commentId を試すことで「他人のコメント = 403 / 存在しない = 404」と応答が割れ、
+        //    コメントの存在を列挙できてしまう
         if (comments[0].hubId !== reportHubId) {
             throw new Error("Not Found")
         }
 
+        // ❗ 区分ゲートも所有者チェックより前に置く。参照するのは**コメント自身の所属 hub** で
+        //    あり、呼び出し側が渡した ID ではない (上で一致を確認済み)。hub 行が引けない場合も
+        //    fail-close で Not Found にする (assertHubMutable と同一の規約)
+        const [hubForDelete] = await db.select<{ userId: number | null; sourceType: string }>({ userId: DailyReportHub.userId, sourceType: DailyReportHub.sourceType }).top(1).from(DailyReportHub).where(eq(DailyReportHub.id, comments[0].hubId))
+        if (!(hubForDelete && isSourceTypeVisible(visible, hubForDelete.sourceType))) {
+            throw new Error("Not Found")
+        }
+
+        if (comments[0].userId !== userId) {
+            throw new Error("Unauthorized")
+        }
+
         // 下書きなら削除イベントも所有者宛に絞る (comment-add と対称)
-        const [hubForDelete] = await db.select<{ userId: number | null }>({ userId: DailyReportHub.userId }).top(1).from(DailyReportHub).where(eq(DailyReportHub.id, reportHubId))
-        const recipientRawUserId = await resolveCommentRecipient(reportHubId, hubForDelete?.userId ?? null)
+        const recipientRawUserId = await resolveCommentRecipient(reportHubId, hubForDelete.userId)
 
         await db.delete(DailyReportCommentModel).where(eq(DailyReportCommentModel.id, commentId))
 
@@ -1326,6 +1495,8 @@ export function createDailyReportService(config: DailyReportServiceConfig) {
                 commentId,
                 clientTempId,
                 recipientRawUserId,
+                // 受信側の区分フィルタ用 (hub 行が引けない場合は undefined = 旧エントリ相当の扱い)
+                sourceType: hubForDelete?.sourceType,
             }),
             "deleteComment",
         )
@@ -1430,17 +1601,24 @@ export function createDailyReportService(config: DailyReportServiceConfig) {
             // キャッシュ無効化
             const normalizedBusinessDate = normalizeBusinessDateKey(businessDate)
             if (normalizedBusinessDate) {
-                sqlResultCache.invalidate(`daily-report:date:${normalizedBusinessDate}:user:${userId}`)
+                // 可視集合ダイジェスト付きキーを取りこぼさないよう接頭辞で消す
+                sqlResultCache.invalidatePrefix(dateUserPrefix(normalizedBusinessDate, userId))
             }
             sqlResultCache.invalidatePrefix(DAILY_REPORT_BUSINESS_DATE_CACHE_PREFIX)
-            sqlResultCache.invalidate(`${DAILY_REPORT_IDS_CACHE_KEY}:user:${userId}`)
+            // ❗ createDailyReport には ids の広域 prefix 無効化が無く、この 1 行が作成者の ID 一覧を
+            //    落とす唯一の経路。redis 未注入の配備では epoch も進まないため、ここを消すと
+            //    作成した日報が自分の一覧から TTL 分 (既定 180 秒) 消える。接頭辞化のみ行う
+            sqlResultCache.invalidatePrefix(idsUserPrefix(userId))
             // ❗ 順序重要: invalidate → incrementRedisEpoch → publishToSseStream
             await incrementRedisEpoch(DAILY_REPORT_IDS_EPOCH_KEY)
             if (normalizedBusinessDate) {
                 await incrementRedisEpoch(`${DAILY_REPORT_DATE_EPOCH_PREFIX}${normalizedBusinessDate}`)
             }
 
-            const fullDetail = await getDailyReportDetailById(result.reportHubId, userId, { forceRefresh: true })
+            // ❗ 明示 null (無制限)。所有者が自分で作った日報を取り直す経路なので、消費側の可視集合に
+            //    作成区分 ("Internal") が含まれなくても取得と SSE 配信を壊さない。区分の出し分けは
+            //    受信側の SSE フィルタと次回読み取り時のサーバーフィルタが担う
+            const fullDetail = await getDailyReportDetailById(result.reportHubId, userId, { forceRefresh: true }, null)
 
             if (fullDetail) {
                 // 下書き判定
@@ -1541,6 +1719,8 @@ export function createDailyReportService(config: DailyReportServiceConfig) {
                 type: "report-delete",
                 reportHubId: reportHubId,
                 clientTempId,
+                // 受信側の区分フィルタ用 (旧エントリ互換のためスキーマ上は任意)
+                sourceType: report[0].sourceType,
             }),
             "deleteDailyReport",
         )
@@ -1591,7 +1771,9 @@ export function createDailyReportService(config: DailyReportServiceConfig) {
             await incrementRedisEpoch(`${DAILY_REPORT_DATE_EPOCH_PREFIX}${editedBusinessDate}`)
         }
 
-        const fullDetail = await getDailyReportDetailById(reportHubId, userId, { forceRefresh: true })
+        // ❗ 明示 null (無制限)。所有者が自分の日報を取り直す経路であり、区分の出し分けは
+        //    受信側の SSE フィルタと次回読み取り時のサーバーフィルタが担う
+        const fullDetail = await getDailyReportDetailById(reportHubId, userId, { forceRefresh: true }, null)
         if (fullDetail) {
             // 下書き判定
             // 判定は代表 ID ではなく下書きラベル**全体**で行う (2 つ目の下書き名を見落とさない)
@@ -1645,10 +1827,13 @@ export function createDailyReportService(config: DailyReportServiceConfig) {
         // ユーザーごとの営業日別一覧キャッシュも無効化
         const normalizedBusinessDate = normalizeBusinessDateKey(formatDateValue(report[0].businessDate, "YYYY-MM-DD"))
         if (normalizedBusinessDate) {
-            sqlResultCache.invalidate(`daily-report:date:${normalizedBusinessDate}:user:${userId}`)
+            // 可視集合ダイジェスト付きキーを取りこぼさないよう接頭辞で消す
+            sqlResultCache.invalidatePrefix(dateUserPrefix(normalizedBusinessDate, userId))
         }
 
-        const fullDetail = await getDailyReportDetailById(reportHubId, userId, { forceRefresh: true })
+        // ❗ 明示 null (無制限)。所有者が自分の日報を取り直す経路であり、区分の出し分けは
+        //    受信側の SSE フィルタと次回読み取り時のサーバーフィルタが担う
+        const fullDetail = await getDailyReportDetailById(reportHubId, userId, { forceRefresh: true }, null)
         if (fullDetail) {
             await publishToSseStream(
                 reportPublishMessageSchema.parse({