@aiquants/daily-report 0.12.4 → 0.14.0

package/dist/server.d.ts

@@ -2,6 +2,7 @@ import { g as DailyReportInterviewer, e as DailyReportComment, a as DailyReportI
 import * as drizzle_orm_mssql_core from 'drizzle-orm/mssql-core';
 import { AnyMsSqlColumn } from 'drizzle-orm/mssql-core';
 import { D as DailyReportLogger } from './logger-D3krZrNK.js';
+import { SQL } from 'drizzle-orm';
 
 /**
  * DI ports (structural interfaces) consumed by the daily-report server layer.
@@ -72,6 +73,50 @@ type DailyReportAuthenticate = (request: Request, options: {
 } | {
     failureRedirect: null;
 }) => Promise<DailyReportAuthResult>;
+/**
+ * Raw return of the visible-source-type resolver.
+ * 可視 sourceType リゾルバの生戻り値。
+ *
+ * - `undefined` / `null`: 無制限 (全件)。ポート未注入時と同じ既定の意味。
+ * - `string[]`: その集合に限定。要素は `DailyReportHub.sourceType` の値であり、**空配列は 0 件**。
+ *
+ * 中立契約: いかなる認可パッケージの型 (`PermissionView` 等) にも依存しない素の文字列配列。
+ */
+type DailyReportVisibleSourceTypes = readonly string[] | null | undefined;
+/**
+ * Why the visible-source-type resolver is being called.
+ * 可視 sourceType リゾルバが呼ばれた理由。
+ *
+ * - `initial`: リクエスト処理の開始時 (読み取り / ミューテーション / 添付 / SSE 接続確立)。
+ * - `refresh`: 長寿命の SSE 接続が権限失効を検出するための定期再解決。
+ *
+ * ❗ `refresh` は接続時と**同一の `Request` インスタンス**で呼ばれる (SSE 接続の生存期間中、
+ *   他に握れるハンドルが無いため)。したがってリクエストスコープで記憶化する実装は、
+ *   `refresh` のときだけキャッシュを迂回しなければ再解決が常に古い値を返し、失効が反映されない。
+ */
+type DailyReportVisibilityResolveReason = "initial" | "refresh";
+/**
+ * Context handed to the visible-source-type resolver.
+ * 可視 sourceType リゾルバへ渡される文脈。
+ */
+type DailyReportVisibilityResolveContext = {
+    /** 呼び出し理由。`refresh` のときリクエストスコープのキャッシュを迂回すること。 */
+    reason: DailyReportVisibilityResolveReason;
+};
+/**
+ * Resolves which report source types a request may view.
+ * リクエストが閲覧してよい日報 sourceType を解決するポート。
+ *
+ * サーバー側の全データ経路 (一覧 / 詳細 / コメント / 添付 / SSE) に一貫して効く。
+ *
+ * ❗ 例外を投げた場合、ハンドラは**空集合 (全拒否) にフォールバック**する。認可ストアの
+ *   障害時に無制限へ倒れないための fail-close であり、実装側で握り潰さないこと。
+ * ❗ 全読み取りリクエストのクリティカルパス上で 1 回呼ばれる (キャッシュキーが戻り値に依存する)。
+ *   高速に保つこと。記憶化する場合はセッション / ユーザー単位の短時間 TTL (60 秒以下) とし、
+ *   `context.reason === "refresh"` では必ずキャッシュを迂回すること
+ *   (迂回しないと SSE の定期再解決が失効を観測できず、権限剥奪後も配信が続く)。
+ */
+type DailyReportResolveVisibleSourceTypes = (request: Request, context: DailyReportVisibilityResolveContext) => DailyReportVisibleSourceTypes | Promise<DailyReportVisibleSourceTypes>;
 /**
  * Resolves an external user id (e.g. Google sub) to the internal numeric user id.
  * 外部ユーザー ID (例: Google sub) を内部数値ユーザー ID へ解決するポート。
@@ -1490,6 +1535,156 @@ declare function defineDailyReportSchema<S extends string>(schemaName: S, opts:
     }>;
 };
 
+/**
+ * Source-type visibility set: normalization, digest, and predicate helpers.
+ * sourceType 可視集合の正規化・ダイジェスト・判定ヘルパー群。
+ *
+ * 中立文字列 (`DailyReportHub.sourceType` の値) のみを扱い、いかなる認可パッケージの型にも
+ * 依存しない。可視集合は 2 状態を厳密に区別する:
+ *
+ * - `null`  = 無制限 (全件)。ポート未注入時の既定であり、現行互換の意味を持つ。
+ * - `Set`   = その集合に限定。**空集合は 0 件 (fail-close)** であって無制限ではない。
+ *
+ * この 2 状態の取り違えは情報漏洩か機能停止に直結するため、判定・畳み込み・キー生成を
+ * 本ファイルへ一元化し、ハンドラ層とサービス層の双方がここだけを参照する。
+ */
+
+/**
+ * Normalized visible set. null = unrestricted (all rows), ReadonlySet = restricted (empty = zero rows).
+ * 正規化済みの可視集合。null は無制限 (全件)、ReadonlySet は限定 (空集合は 0 件)。
+ */
+type VisibleSourceTypeSet = ReadonlySet<string> | null;
+/**
+ * Normalizes a raw resolver return into a VisibleSourceTypeSet.
+ * ポートの生戻り値を正規化済み可視集合へ変換する処理。
+ *
+ * `null` / `undefined` は無制限 (`null`) へ。配列は各要素を畳み込み・空文字除去・重複排除して
+ * `Set` 化する。**空配列は空 `Set` (0 件) を返し、`null` (無制限) へは決して倒さない** —
+ * この取り違えが情報漏洩か機能停止に直結するため。
+ *
+ * @param raw Raw resolver return value. ポートの生戻り値。
+ * @returns Normalized visible set. 正規化済みの可視集合。
+ */
+declare function normalizeVisibleSourceTypes(raw: DailyReportVisibleSourceTypes): VisibleSourceTypeSet;
+/**
+ * Tests whether a report's sourceType is visible under the given set.
+ * ある日報の sourceType が可視集合に含まれるかの三値判定。
+ *
+ * - 無制限 (`null`): 常に `true`。
+ * - 限定 + sourceType 判明: 畳み込み一致で判定。
+ * - 限定 + sourceType 不明 (`null` / `undefined`): `false` — 制限された閲覧者は「不明な区分」を
+ *   見られない。区分を運ばない旧 SSE エントリ等を fail-close 側へ倒すための規則。
+ *
+ * @param set Normalized visible set. 正規化済みの可視集合。
+ * @param sourceType The row's source type, if known. 判明していれば当該行のソース種別。
+ * @returns True when visible. 可視なら true。
+ */
+declare function isSourceTypeVisible(set: VisibleSourceTypeSet, sourceType: string | null | undefined): boolean;
+/**
+ * Tells whether the set denies everything (zero rows).
+ * 可視集合が全拒否 (0 件) を意味するかを判定する処理。
+ *
+ * 真のとき呼び出し側は DB へ問い合わせず即座に空を返してよい (無駄クエリの排除)。
+ * これは性能上の短絡であり、認可の防御そのものは {@link buildVisibleSourceTypeCondition} が担う。
+ *
+ * @param set Normalized visible set. 正規化済みの可視集合。
+ * @returns True when nothing is visible. 何も可視でないなら true。
+ */
+declare function deniesEverySourceType(set: VisibleSourceTypeSet): boolean;
+/**
+ * Builds the SQL condition restricting rows to the visible source types.
+ * 可視 sourceType へ行を限定する SQL 条件を生成する処理 (三値)。
+ *
+ * {@link isSourceTypeVisible} の SQL 版であり、同じ三値を同じ向きへ写像する:
+ *
+ * - 無制限 (`null`): `undefined` を返す。drizzle の `and(...)` は `undefined` を無視するため、
+ *   既存の述語がそのまま残る (現行互換)。
+ * - 全拒否 (空集合): `1 = 0` を返す。**決して `undefined` へ倒さない** — 呼び出し側の短絡漏れが
+ *   あっても生成器自身が fail-close する二重防御であり、ここを緩めると認可が反転する。
+ * - 限定: `LOWER(<column>) IN (...)`。トークンは正規化時に小文字畳み込み済みなので両辺が小文字となり、
+ *   DB の照合順序 (collation) に依存せず決定的に大小文字非依存で一致する。
+ *
+ * @param sourceTypeColumn The source-type column to constrain. 制限対象の sourceType 列。
+ * @param set Normalized visible set. 正規化済みの可視集合。
+ * @returns Condition, or undefined when unrestricted. 条件 (無制限なら undefined)。
+ */
+declare function buildVisibleSourceTypeCondition(sourceTypeColumn: AnyMsSqlColumn, set: VisibleSourceTypeSet): SQL | undefined;
+/**
+ * Request-scoped viewer scope carrying the normalized visible source-type set.
+ * 正規化済みの可視 sourceType 集合を運ぶ、リクエストスコープの閲覧範囲。
+ *
+ * このクラスは private フィールドを持つことで**名目型**になっており、`{ visible: null }` のような
+ * 構造的偽造も、`{ ...scope, visible: null }` のようなスプレッドによる widening も型が拒否する
+ * (`unique symbol` ブランドでは後者を防げないことを実測で確認済み)。
+ *
+ * 生成経路は {@link DailyReportViewerScope.restrictTo} と {@link DailyReportViewerScope.unrestricted}
+ * の 2 つだけであり、`null` を「可視性」としてそのまま綴ることはできない。結果として、
+ * **絞り込まれない読み取りは必ず `unrestricted(理由)` として現れる**ため、
+ * `grep -rn "DailyReportViewerScope.unrestricted("` が fail-open の全数リストになる。
+ */
+declare class DailyReportViewerScope {
+    #private;
+    private constructor();
+    /** 正規化済みの可視集合。`null` は無制限、空集合は 0 件 (fail-close)。 */
+    get visible(): VisibleSourceTypeSet;
+    /**
+     * Builds a scope restricted to the given source types (empty input = zero rows).
+     * 指定した sourceType へ限定した閲覧範囲を生成する処理 (空入力は 0 件)。
+     *
+     * 入力は {@link normalizeVisibleSourceTypes} を通るため、大小文字・前後空白・重複・非文字列は
+     * ここで吸収される。
+     *
+     * ❗ 引数は `readonly string[]` に**狭めてある**。`null` / `undefined` を受け付けると、
+     * 「restrict」という名前のまま無制限スコープを生む第 2 の入口になり、
+     * 「絞り込まれない読み取りは必ず {@link DailyReportViewerScope.unrestricted} に現れる」
+     * という監査不変条件が崩れる。無制限は必ず理由付きで明示すること。
+     *
+     * @param sourceTypes Visible source-type tokens. 可視 sourceType のトークン群。
+     * @returns The scope. 生成した閲覧範囲。
+     */
+    static restrictTo(sourceTypes: readonly string[]): DailyReportViewerScope;
+    /**
+     * Builds an unrestricted scope; every call site is an audited fail-open.
+     * 無制限の閲覧範囲を生成する処理。全呼び出し箇所が監査対象の fail-open となる。
+     *
+     * ❗ 理由文字列は必須。読み捨てるが、呼び出し箇所の全数列挙と「なぜここは絞らなくてよいか」の
+     * 記録を強制するために受け取る。
+     *
+     * @param auditReason Why unrestricted access is correct here. なぜここで無制限が正当かの理由。
+     * @returns The unrestricted scope. 無制限の閲覧範囲。
+     */
+    static unrestricted(auditReason: string): DailyReportViewerScope;
+}
+/**
+ * Computes the cache-key digest for a whole viewer scope.
+ * 閲覧範囲全体からキャッシュキー用ダイジェストを算出する処理。
+ *
+ * スコープに次元が増えてもキャッシュキーの生成点を 1 つに保つための入口。
+ *
+ * @param scope Viewer scope. 閲覧範囲。
+ * @returns Digest usable as a cache-key component. キャッシュキー構成要素として使えるダイジェスト。
+ */
+declare function computeViewerScopeDigest(scope: DailyReportViewerScope): string;
+/**
+ * Computes a stable and bounded cache-key digest of the set.
+ * 可視集合から安定・有界なキャッシュキー用ダイジェストを算出する処理。
+ *
+ * 無制限は `"all"`、空集合は `"none"`、それ以外は `s:` 名前空間の下へ**長さ接頭辞付きトークンを昇順連結**する。
+ * 連結は長さ接頭辞付きなので**単射**であり、通常経路 (`s:`) では論理的に等価な集合が必ず同一の、
+ * 異なる集合が必ず別のダイジェストになる。sentinel (`all` / `none`) とも名前空間が分かれるため、
+ * 限定集合が無制限 / 全拒否と同じバケットを共有することはない。権限が安定している間はキーが
+ * 不変になるため、キャッシュは完全に再利用される (性能無退行)。
+ *
+ * ❗ 区分数が異常に多い場合だけキー長を抑えるため FNV-1a 32bit へ退避し `sh:` 接頭辞を付ける。
+ * **この退避経路に限り理論上の衝突がありうる** (32bit)。衝突しても影響は同一ユーザーの
+ * キャッシュ再利用に留まり、認可判定そのものは SQL 述語が担うため漏洩には至らない。
+ * 通常の区分数 (数個) では到達しない。
+ *
+ * @param set Normalized visible set. 正規化済みの可視集合。
+ * @returns Digest usable as a cache-key component. キャッシュキー構成要素として使えるダイジェスト。
+ */
+declare function computeSourceTypeDigest(set: VisibleSourceTypeSet): string;
+
 /** DailyReportHub の行型。 */
 type DailyReportHubRow = {
     id: number;
@@ -1648,15 +1843,15 @@ declare function createDailyReportService(config: DailyReportServiceConfig): {
     clearCache: () => Promise<void>;
     invalidateHubReadCaches: (hubIds: readonly number[], businessDates: readonly string[]) => Promise<void>;
     getUserIdByExternalId: (externalId: string) => Promise<number | null>;
-    getDailyReportIdsByExternalId: (externalId: string, { forceRefresh, snapshot, ttlMsOverride }?: SqlResultCacheQueryOptions) => Promise<DailyReportItem[]>;
-    getDailyReportIdsFirstPageByExternalId: (externalId: string, limit: number) => Promise<DailyReportItem[]>;
-    getDailyReportsByBusinessDate: (businessDate: string, { forceRefresh, snapshot, ttlMsOverride }?: SqlResultCacheQueryOptions) => Promise<DailyReportDetail[]>;
-    getDailyReportsByBusinessDateByExternalId: (businessDate: string, externalId: string, { forceRefresh, snapshot, ttlMsOverride }?: SqlResultCacheQueryOptions) => Promise<DailyReportDetail[]>;
-    getDailyReportDetailById: (reportHubId: number, userId: number, { forceRefresh, snapshot, ttlMsOverride }?: SqlResultCacheQueryOptions) => Promise<DailyReportDetail | null>;
-    getDailyReportDetailByIdByExternalId: (reportHubId: number, externalId: string, options?: SqlResultCacheQueryOptions) => Promise<DailyReportDetail | null>;
+    getDailyReportIdsByExternalId: (scope: DailyReportViewerScope, externalId: string, { forceRefresh, snapshot, ttlMsOverride }?: SqlResultCacheQueryOptions) => Promise<DailyReportItem[]>;
+    getDailyReportIdsFirstPageByExternalId: (scope: DailyReportViewerScope, externalId: string, limit: number) => Promise<DailyReportItem[]>;
+    getDailyReportsByBusinessDate: (scope: DailyReportViewerScope, businessDate: string, { forceRefresh, snapshot, ttlMsOverride }?: SqlResultCacheQueryOptions) => Promise<DailyReportDetail[]>;
+    getDailyReportsByBusinessDateByExternalId: (scope: DailyReportViewerScope, businessDate: string, externalId: string, { forceRefresh, snapshot, ttlMsOverride }?: SqlResultCacheQueryOptions) => Promise<DailyReportDetail[]>;
+    getDailyReportDetailById: (scope: DailyReportViewerScope, reportHubId: number, userId: number, { forceRefresh, snapshot, ttlMsOverride }?: SqlResultCacheQueryOptions) => Promise<DailyReportDetail | null>;
+    getDailyReportDetailByIdByExternalId: (scope: DailyReportViewerScope, reportHubId: number, externalId: string, options?: SqlResultCacheQueryOptions) => Promise<DailyReportDetail | null>;
     getDraftLabelId: () => Promise<number | null>;
     getAttachmentsByHubIds: (hubIds: number[]) => Promise<Map<number, DailyReportAttachmentSummary[]>>;
-    getAttachmentForUser: (attachmentId: number, userId: number) => Promise<{
+    getAttachmentForUser: (scope: DailyReportViewerScope, attachmentId: number, userId: number) => Promise<{
         fileName: string;
         filePath: string;
         fileType: string | null;
@@ -1664,10 +1859,10 @@ declare function createDailyReportService(config: DailyReportServiceConfig): {
     } | null>;
     markAttachmentMissing: (attachmentId: number) => Promise<void>;
     markAttachmentPresent: (attachmentId: number) => Promise<void>;
-    setStarStatus: (userId: number, reportHubId: number, businessDate: string | null, isStarred: boolean, clientTempId: string) => Promise<DailyReportUserStatusRow>;
-    setReadStatus: (userId: number, reportHubId: number, businessDate: string | null, isRead: boolean, clientTempId: string) => Promise<DailyReportUserStatusRow>;
-    addComment: (userId: number, reportHubId: number, content: string, businessDate: string | null, clientTempId: string) => Promise<DailyReportCommentItem>;
-    deleteComment: (userId: number, reportHubId: number, commentId: number, businessDate: string | null, clientTempId: string) => Promise<void>;
+    setStarStatus: (scope: DailyReportViewerScope, userId: number, reportHubId: number, businessDate: string | null, isStarred: boolean, clientTempId: string) => Promise<DailyReportUserStatusRow>;
+    setReadStatus: (scope: DailyReportViewerScope, userId: number, reportHubId: number, businessDate: string | null, isRead: boolean, clientTempId: string) => Promise<DailyReportUserStatusRow>;
+    addComment: (scope: DailyReportViewerScope, userId: number, reportHubId: number, content: string, businessDate: string | null, clientTempId: string) => Promise<DailyReportCommentItem>;
+    deleteComment: (scope: DailyReportViewerScope, userId: number, reportHubId: number, commentId: number, businessDate: string | null, clientTempId: string) => Promise<void>;
     createDailyReport: (userId: number, businessDate: string, clientTempId: string) => Promise<DailyReportDetail>;
     updateDailyReport: (reportHubId: number, userId: number, data: {
         title?: string;
@@ -1840,6 +2035,11 @@ declare const asciiFallbackFileName: (name: string) => string;
 type DailyReportHandlersConfig = {
     /** リクエスト認証ポート。 */
     authenticate: DailyReportAuthenticate;
+    /**
+     * 可視 sourceType リゾルバ。未注入なら全件 (現行互換)。
+     * 全データ経路 (一覧 / 詳細 / コメント / 添付 / SSE) に一貫して効き、例外は全拒否として扱う。
+     */
+    resolveVisibleSourceTypes?: DailyReportResolveVisibleSourceTypes;
     /** データアクセスサービス。 */
     service: DailyReportService;
     /** 内部数値 ID の難読化ポート。 */
@@ -1918,6 +2118,14 @@ declare const jsonResponseWithETag: (request: Request, cookie: string | null, pa
 type DailyReportServerConfig = Omit<DailyReportServiceConfig, "cache" | "epochs"> & {
     /** リクエスト認証ポート。 */
     authenticate: DailyReportAuthenticate;
+    /**
+     * 可視 sourceType リゾルバ。未注入なら全件 (現行互換)。
+     *
+     * サーバー側の全データ経路 (一覧 / 詳細 / コメント / 添付 / SSE) に一貫して効く。
+     * 戻り値は `DailyReportHub.sourceType` の値 (`knownSourceTypes` 参照) であり、認可リソースキーではない。
+     * `undefined` / `null` は無制限、空配列は 0 件、例外は全拒否 (fail-close)。
+     */
+    resolveVisibleSourceTypes?: DailyReportResolveVisibleSourceTypes;
     /** 添付ファイル読み取りポート。未注入なら添付エンドポイントは常に 404。 */
     readAttachment?: DailyReportReadAttachment;
     /** 添付ファイルの最大バイト数 (既定 32 MiB)。サービス側のワイヤ上限より低く保つこと。 */
@@ -1994,15 +2202,15 @@ declare function createDailyReportServer(config: DailyReportServerConfig): {
         clearCache: () => Promise<void>;
         invalidateHubReadCaches: (hubIds: readonly number[], businessDates: readonly string[]) => Promise<void>;
         getUserIdByExternalId: (externalId: string) => Promise<number | null>;
-        getDailyReportIdsByExternalId: (externalId: string, { forceRefresh, snapshot, ttlMsOverride }?: SqlResultCacheQueryOptions) => Promise<DailyReportItem[]>;
-        getDailyReportIdsFirstPageByExternalId: (externalId: string, limit: number) => Promise<DailyReportItem[]>;
-        getDailyReportsByBusinessDate: (businessDate: string, { forceRefresh, snapshot, ttlMsOverride }?: SqlResultCacheQueryOptions) => Promise<DailyReportDetail[]>;
-        getDailyReportsByBusinessDateByExternalId: (businessDate: string, externalId: string, { forceRefresh, snapshot, ttlMsOverride }?: SqlResultCacheQueryOptions) => Promise<DailyReportDetail[]>;
-        getDailyReportDetailById: (reportHubId: number, userId: number, { forceRefresh, snapshot, ttlMsOverride }?: SqlResultCacheQueryOptions) => Promise<DailyReportDetail | null>;
-        getDailyReportDetailByIdByExternalId: (reportHubId: number, externalId: string, options?: SqlResultCacheQueryOptions) => Promise<DailyReportDetail | null>;
+        getDailyReportIdsByExternalId: (scope: DailyReportViewerScope, externalId: string, { forceRefresh, snapshot, ttlMsOverride }?: SqlResultCacheQueryOptions) => Promise<DailyReportItem[]>;
+        getDailyReportIdsFirstPageByExternalId: (scope: DailyReportViewerScope, externalId: string, limit: number) => Promise<DailyReportItem[]>;
+        getDailyReportsByBusinessDate: (scope: DailyReportViewerScope, businessDate: string, { forceRefresh, snapshot, ttlMsOverride }?: SqlResultCacheQueryOptions) => Promise<DailyReportDetail[]>;
+        getDailyReportsByBusinessDateByExternalId: (scope: DailyReportViewerScope, businessDate: string, externalId: string, { forceRefresh, snapshot, ttlMsOverride }?: SqlResultCacheQueryOptions) => Promise<DailyReportDetail[]>;
+        getDailyReportDetailById: (scope: DailyReportViewerScope, reportHubId: number, userId: number, { forceRefresh, snapshot, ttlMsOverride }?: SqlResultCacheQueryOptions) => Promise<DailyReportDetail | null>;
+        getDailyReportDetailByIdByExternalId: (scope: DailyReportViewerScope, reportHubId: number, externalId: string, options?: SqlResultCacheQueryOptions) => Promise<DailyReportDetail | null>;
         getDraftLabelId: () => Promise<number | null>;
         getAttachmentsByHubIds: (hubIds: number[]) => Promise<Map<number, DailyReportAttachmentSummary[]>>;
-        getAttachmentForUser: (attachmentId: number, userId: number) => Promise<{
+        getAttachmentForUser: (scope: DailyReportViewerScope, attachmentId: number, userId: number) => Promise<{
             fileName: string;
             filePath: string;
             fileType: string | null;
@@ -2010,10 +2218,10 @@ declare function createDailyReportServer(config: DailyReportServerConfig): {
         } | null>;
         markAttachmentMissing: (attachmentId: number) => Promise<void>;
         markAttachmentPresent: (attachmentId: number) => Promise<void>;
-        setStarStatus: (userId: number, reportHubId: number, businessDate: string | null, isStarred: boolean, clientTempId: string) => Promise<DailyReportUserStatusRow>;
-        setReadStatus: (userId: number, reportHubId: number, businessDate: string | null, isRead: boolean, clientTempId: string) => Promise<DailyReportUserStatusRow>;
-        addComment: (userId: number, reportHubId: number, content: string, businessDate: string | null, clientTempId: string) => Promise<DailyReportCommentItem>;
-        deleteComment: (userId: number, reportHubId: number, commentId: number, businessDate: string | null, clientTempId: string) => Promise<void>;
+        setStarStatus: (scope: DailyReportViewerScope, userId: number, reportHubId: number, businessDate: string | null, isStarred: boolean, clientTempId: string) => Promise<DailyReportUserStatusRow>;
+        setReadStatus: (scope: DailyReportViewerScope, userId: number, reportHubId: number, businessDate: string | null, isRead: boolean, clientTempId: string) => Promise<DailyReportUserStatusRow>;
+        addComment: (scope: DailyReportViewerScope, userId: number, reportHubId: number, content: string, businessDate: string | null, clientTempId: string) => Promise<DailyReportCommentItem>;
+        deleteComment: (scope: DailyReportViewerScope, userId: number, reportHubId: number, commentId: number, businessDate: string | null, clientTempId: string) => Promise<void>;
         createDailyReport: (userId: number, businessDate: string, clientTempId: string) => Promise<DailyReportDetail>;
         updateDailyReport: (reportHubId: number, userId: number, data: {
             title?: string;
@@ -2037,6 +2245,13 @@ declare function createDailyReportServer(config: DailyReportServerConfig): {
     sseReader: DailyReportSseReader;
     /** SSE Redis Stream キー。 */
     streamKey: string;
+    /**
+     * 既知の正準 sourceType 集合 (注入した `externalSources` の全 sourceType + `"Internal"`)。
+     *
+     * `resolveVisibleSourceTypes` が返すべき語彙そのものであり、消費側は起動時にこの集合と
+     * 自前のマッピングを突き合わせて誤トークン (無診断で 0 件になる) を検出できる。
+     */
+    knownSourceTypes: readonly string[];
 };
 
-export { type AuthzResourceItem, type DailyReportAttachmentBytes, type DailyReportAttachmentError, type DailyReportAttachmentFailure, type DailyReportAttachmentTable, type DailyReportAuthResult, type DailyReportAuthenticate, type DailyReportCommentRow, type DailyReportCommentTable, type DailyReportDb, type DailyReportEncodeUserId, type DailyReportExternalSource, type DailyReportHandlersConfig, type DailyReportHubLabelTable, type DailyReportHubRow, type DailyReportHubTable, type DailyReportIdCodec, type DailyReportInternalRow, type DailyReportInternalTable, type DailyReportLabelTable, type DailyReportReadAttachment, type DailyReportRedisBlockingClient, type DailyReportRedisClient, type DailyReportRedisProvider, type DailyReportResolveUserId, type DailyReportServerConfig, type DailyReportService, type DailyReportServiceConfig, type DailyReportSourceTypeInput, DailyReportSseReader, type DailyReportSseReaderConfig, type DailyReportTables, type DailyReportUserStatusRow, type DailyReportUserStatusTable, type DailyReportUserTable, type EpochStore, type ExternalReportFields, type RedisStreamMessage, SqlResultCache, type SqlResultCacheQueryOptions, type StreamEntry, asciiFallbackFileName, createDailyReportHandlers, createDailyReportServer, createDailyReportService, createEpochStore, defineDailyReportAuthzResources, defineDailyReportSchema, encodeRfc8187, formatDateValue, generateETag, isStreamIdLte, jsonResponseWithETag, sanitizeMediaType, seedDailyReportAuthzResources, transformJsonArray };
+export { type AuthzResourceItem, type DailyReportAttachmentBytes, type DailyReportAttachmentError, type DailyReportAttachmentFailure, type DailyReportAttachmentTable, type DailyReportAuthResult, type DailyReportAuthenticate, type DailyReportCommentRow, type DailyReportCommentTable, type DailyReportDb, type DailyReportEncodeUserId, type DailyReportExternalSource, type DailyReportHandlersConfig, type DailyReportHubLabelTable, type DailyReportHubRow, type DailyReportHubTable, type DailyReportIdCodec, type DailyReportInternalRow, type DailyReportInternalTable, type DailyReportLabelTable, type DailyReportReadAttachment, type DailyReportRedisBlockingClient, type DailyReportRedisClient, type DailyReportRedisProvider, type DailyReportResolveUserId, type DailyReportResolveVisibleSourceTypes, type DailyReportServerConfig, type DailyReportService, type DailyReportServiceConfig, type DailyReportSourceTypeInput, DailyReportSseReader, type DailyReportSseReaderConfig, type DailyReportTables, type DailyReportUserStatusRow, type DailyReportUserStatusTable, type DailyReportUserTable, DailyReportViewerScope, type DailyReportVisibilityResolveContext, type DailyReportVisibilityResolveReason, type DailyReportVisibleSourceTypes, type EpochStore, type ExternalReportFields, type RedisStreamMessage, SqlResultCache, type SqlResultCacheQueryOptions, type StreamEntry, type VisibleSourceTypeSet, asciiFallbackFileName, buildVisibleSourceTypeCondition, computeSourceTypeDigest, computeViewerScopeDigest, createDailyReportHandlers, createDailyReportServer, createDailyReportService, createEpochStore, defineDailyReportAuthzResources, defineDailyReportSchema, deniesEverySourceType, encodeRfc8187, formatDateValue, generateETag, isSourceTypeVisible, isStreamIdLte, jsonResponseWithETag, normalizeVisibleSourceTypes, sanitizeMediaType, seedDailyReportAuthzResources, transformJsonArray };