@clubs.place/cli 0.0.0-stage → 0.1.17

package/.env.example

@@ -0,0 +1,88 @@
+# cp .env.example .env して埋める。.env は .gitignore 済み（コミットされない）。
+
+# ── メール送信（Phase 1・必須） ──────────────────────────────
+EMAIL_PROVIDER=resend
+# Resend の API キー（https://resend.com/api-keys）
+EMAIL_API_KEY=re_xxxxxxxxxxxxxxxxxxxxxxxx
+# 送信元。独自ドメインを検証していない間は onboarding@resend.dev が使える
+# （その場合、宛先は Resend に登録した自分のアドレスのみ）
+EMAIL_FROM=CLUBS 日報 <onboarding@resend.dev>
+# 宛先。カンマ区切りで複数可
+EMAIL_TO=mayumi@frame00.com
+
+# ── 収集元（エージェントごとに1つ） ──────────────────────────
+# claude-code = この端末の Claude Code セッション記録（既定）。名義は必ず Claude
+# events-file = エージェントが書き出した JSONL（Hermes など）。docs/events-schema.md
+SOURCE=claude-code,cowork
+# EVENTS_FILE=/path/to/hermes-events.jsonl
+
+# ── 日報の中身 ───────────────────────────────────────────
+# 対象日。未設定なら「前日（JST）」
+# REPORT_DATE=2026-07-13
+# AGENT_NAME が効くのは SOURCE=events-file のときだけ。
+# claude-code では収集元が名義を決めるため無視される（帰属の規律）
+# AGENT_NAME=Hermes
+# MODEL_LABEL=claude-code
+SEAT_LABEL=席: FRAME00
+
+# 顧客名などを伏せる正規表現。カンマ区切り。マッチ箇所は黒塗り＋「マスク済み N箇所」表示になる
+# MASK_PATTERNS=株式会社[ぁ-んァ-ヶ一-龠A-Za-z0-9]+,Acme Corp,西川町
+
+# 実働推定でアイドルと見なす間隔（分）
+IDLE_GAP_MIN=15
+# 1 ならオーナーの指示文の先頭200字（マスク済）を本文生成の材料に含める。0 で完全に外す
+INCLUDE_PROMPTS=1
+# タイムゾーン（分）。540 = JST
+TZ_OFFSET_MIN=540
+
+# ── メールのリンクとロゴ ─────────────────────────────────
+# 未設定なら該当のボタン／画像を出さない（存在しないページや壊れた画像を出さない）。
+# CONSOLE_BASE=https://clubs.place      # 「編集して記録する」の飛び先
+# PASSPORT_BASE=https://clubs.place     # 「パスポートを見る」の飛び先
+# EMAIL_LOGO_URL=https://clubs.place/assets/logo-clubs-white.png
+#   Gmail は SVG を描画しないので PNG。scripts/gen-email-logo.mjs で書き出す。
+
+# ── 本文生成 ─────────────────────────────────────────────
+# claude（既定）= claude -p / openrouter = OpenRouter API /
+# openai-compat = OpenAI互換カスタム（Sakana Fugu 等）/ none = LLM を使わない
+GENERATOR=claude
+# claude/codex 等の CLI が PATH に無い環境（cron/launchd）向け。フルパスで上書き。
+# CLAUDE_BIN=/Users/you/.local/bin/claude
+# 生成の上限時間（ミリ秒・既定 240000）。大きい日に timeout で fallback に落ちるなら伸ばす。
+# GENERATOR_TIMEOUT_MS=240000
+# OPENROUTER_API_KEY=sk-or-...
+# OPENROUTER_MODEL=anthropic/claude-sonnet-4.5
+# OpenAI互換カスタム（GENERATOR=openai-compat）。base URL/model は接続画面から
+# 来てもよいが、API キーは常にこのローカル .env のみ（CLUBS には保存しない）。
+# BACKEND_BASE_URL=https://api.example.com/v1
+# BACKEND_API_KEY=sk-...
+# BACKEND_MODEL=your-model-id
+
+# ── Lemma 証明（Phase 2・無ければ自動で stub に落ちる） ────────
+LEMMA_API_BASE=https://workers.lemma.workers.dev
+# 未設定なら ✓ は付かず「照合予定」で完走する
+# LEMMA_API_KEY=
+# LEMMA_SCOPE_ID=
+# 検証ページの base（例 https://clubs.place/verify）。設定するとメールにリンクが出る。
+# Lemma の GET /v1/documents/:docHash が本番稼働するまでは空のままにすること。
+# 今リンクを出すと踏んだ先が「未登録」になり、✓ を出して裏が取れないのと同じになる。
+# LEMMA_VERIFY_BASE=
+
+# ── 達成カードのしきい値（docs/card-catalog.md §4） ──────────
+# ハードコードしない。チームごとに違う。
+#
+# 有効化してあるのは、カタログ §4 が「チームごとに違う」と明示した6キー。
+# 変える前提なので、値が見えている状態にしておく。
+# コメントアウトしてあるのは、カタログ本文に埋まっていた数値を設定キーに逃がしたもの。
+# ほぼ変えないが、変えたくなったときに直せるよう口だけ開けてある。
+BIGJOB_CALLS=40
+NOFAIL_DAYS=30
+PRECISION_DAYS=90
+CLEAN_COUNT=10
+TITLE_DAYS=10
+MERGE_PASS_RATE=98
+# 以下はカタログ本文の数値を設定キー化したもの（既定のままで使うことが多い）
+# COMEBACK_EARLY_FAIL=30
+# COMEBACK_FINAL_RATE=95
+# ONE_TRICK_PCT=80
+# OWL_AFTER=23:00

package/LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2026 FRAME00
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

package/PROVENANCE.json

@@ -0,0 +1,77 @@
+{
+  "package": "@clubs.place/cli",
+  "version": "0.1.17",
+  "repository": "https://github.com/frame00/clubs-nippo",
+  "commit": "ad877b6f664bb85cff66e70f667f2984f379b3de",
+  "license": "MIT",
+  "generated_at": "2026-10-16T12:27:44.831Z",
+  "files": {
+    ".env.example": "sha256-6b151ffb18a84ae9e468d77e82d6af1ebb344ee5f4a45f065e396c56859d6cf6",
+    "PROVENANCE.json": "sha256-a9f99617e3e6e5d7c8e69c4e06a6154bf58ca0364d3c95f9394ae3a4969427b2",
+    "bin/clubs-nippo": "sha256-0fea80ac0104be23e6750eb1f4db0970d95845511df5c83d35667feae2aaab06",
+    "bin/clubs-nippo-web.mjs": "sha256-8b8815655fce459eb49f3fd3cedc886549a8d8f19bb5fe3d57ac1476f18a7012",
+    "bin/clubs-nippo.mjs": "sha256-c84c2ea6117325c0525bc642febe98a27165598791528bc6293f4d630890d7f4",
+    "docs/events-schema.md": "sha256-b9491bb07217cf1391699105bb622b78f0340862c924719dbe294be0e2ffc359",
+    "examples/hermes-events.sample.jsonl": "sha256-bb895a3d5abeeab10a46835af2771d077b71564286a816caf8d73682dbfec9cf",
+    "src/aggregate.mjs": "sha256-bee812e1749b749a577cbcff5133a6ea0274bc9d2537e36a5f5c66ade2fc5c74",
+    "src/autorun.mjs": "sha256-c7f9455787d672d5fb6d2b0099d6b3410abc4c484b5cd31b7b3094841747cfea",
+    "src/autorun.test.mjs": "sha256-b2b6942840da6fae3bfc7a1b66aa61e78b3cd7a56bc174f5c6b919ed8d9d0637",
+    "src/cards.mjs": "sha256-0ab85c80bcfae55b60008c3d0f6ab7a384c7935672c07cb595c7f230e91dddcc",
+    "src/collect.mjs": "sha256-fbe2067d5d814f8b58e2ccc65107dd0eb5bac8d897e86d69f0f55a59d24d827d",
+    "src/config.mjs": "sha256-856e7f0fa59e0c45deec4e41c7f1b63c6fa311a7ad0f59fd184cbd8144a1553d",
+    "src/generators/claude.mjs": "sha256-ad38e35e5488686293607ec989057ec877af3bdc07405d281bf436b233265937",
+    "src/generators/cli.mjs": "sha256-52f84627e5dcbf4e92c81014f06fa74d44d8b671df59a1cde1391b65b0a29f3d",
+    "src/generators/codex.mjs": "sha256-d7c3595a74a8f166b0758ce6b88369b9541727478d39cbf717feb623f1d68abc",
+    "src/generators/copilot.mjs": "sha256-a3a802742b44d273f5f90bbda8f3a7bf5582064e4a3bdc19f0340e13cc63665e",
+    "src/generators/gemini.mjs": "sha256-9da520404135af756dd995ecc22b1696a5e78e916d5aa5763ce113ae35cc09b4",
+    "src/generators/openai-compat.mjs": "sha256-e08be0246f59f8d42bb9d4186f099389d0c907620a4da325c492890bd101cecc",
+    "src/generators/openrouter.mjs": "sha256-e3854d089b695110270bb4586e36afda19c3b00f92874cd68fd48dcc0999922f",
+    "src/history.mjs": "sha256-5862ca97515705f8b30b1df71884df6b39a21d645325a1501ab20e3ebd62ca87",
+    "src/ingest.mjs": "sha256-f9c5bf83ff3044bb74adf854c29dd3dfe075ec75076c422ab3d57f8d3e509a10",
+    "src/lemma.docHash.test.mjs": "sha256-974be9d96cb8da296bd438bcfe13649e6ec2d13117341629d471357f1fd46158",
+    "src/lemma.mjs": "sha256-e5c0dbfa9b8b7f2c6a4af04adb4cc7a13263472211e008571139dbc1edc89495",
+    "src/mask.mjs": "sha256-e75132137b7c22fb90332662de799c0d4dfeb269af31e531779d2b1883127b29",
+    "src/mcp.mjs": "sha256-43ab490d7311acf6daf1ee0f89b54894664181aae2cc407a8bb5a10d59f5631b",
+    "src/narrative.mjs": "sha256-08f63a33799752e409ac3bf3b55d45e0d54f4bb42165a5972eaea87f3eecbcc8",
+    "src/prompt.mjs": "sha256-ad8ac6a17d5201983b9885260332f19498d62bf1c742f370e281a2bc58e2271c",
+    "src/prompt.test.mjs": "sha256-70bcfed0de66602dd30d18456625aa7baa205e77807ca35f1d070bca0db95b2a",
+    "src/remote-config.mjs": "sha256-34943e75edca172d80b9698de94a80c25ce923538000d35ccb3e88c5e3ee4e04",
+    "src/render.mjs": "sha256-1300efab5a1bb53e8816539ddea48ac57e6ac8f991e07c06da9ae0e2da82745d",
+    "src/send.mjs": "sha256-5ec91f7d886fe5c16977983c388be7d1ccedfbe8c19cf0af1b6281c249ce9329",
+    "src/settings.mjs": "sha256-49b3598f03bc302ca1496f853656888ca7c21e15c19343357ece26c5b3b08ba7",
+    "src/sources/claude-code.mjs": "sha256-ab72ecaa26828d47c9f64ed35a43b8be9456ed9002216d2b2662f7a6866a63c5",
+    "src/sources/codex-cli.mjs": "sha256-26072f5de2b3c38f0f5aaecd691a789f9290529e7023676337478e6e68ca7012",
+    "src/sources/copilot-cli.mjs": "sha256-391b0f72bb472b4c62b939bd78e2db08c28ffbbdcad5ea85b5fec451af11b7c1",
+    "src/sources/cowork.mjs": "sha256-339d1be932bde7942230cd8c8963171c3067b57ef7f5f40097bd0433f8d62372",
+    "src/sources/events-file.mjs": "sha256-e6c3667c5a53c6d37697e418a030e7b61871e7f49d445903bbc980fdbc331b3a",
+    "src/sources/gemini-cli.mjs": "sha256-bdd8873e0b829996fae6cdb7e04b6b1e4ba39d7f200c4dd3ee3245d85db5b7c0",
+    "src/sources/hermes.mjs": "sha256-133d63b17e68c11f50d3f061bc8f5f037c13911e1a52c48921125a0ac000123d",
+    "src/store.mjs": "sha256-0e13d15eb892a04248b86f9b765660c4bf53b120233c1e8ec8ad665fe7bdfe00",
+    "src/tasks.mjs": "sha256-9d3ad22f80b1142bc101d42821a11c6ff2df7fa662316f2ab94ca3db87a4405a",
+    "src/tool-name.mjs": "sha256-b265135dd76ea2fab3de09e9bbe02c40cfaaad1a33465d6fb1b6670929389405",
+    "templates/report-v3.reference.html": "sha256-c96e03cfac104a5c13c9f38e60c0ff3b027f12f93b1b0de43b6e8be85ef97e09",
+    "web/assets/logo-clubs-white.png": "sha256-96a96b6a94443c3407b5ea7def5a1e990da9c206c628125574652c1d35a35aa3",
+    "web/assets/logo-clubs-white.svg": "sha256-4daa1bae7146e379c3ab0c38a48e6e7d98ecc7fdbe03ef252f143a0aaabbfb35",
+    "web/assets/logo-clubs-white.svg.tmp": "sha256-8231a68632766e44ce59dbb3a996896e18b515bdded31775faee238b10b15565",
+    "web/assets/logo-clubs.svg": "sha256-8231a68632766e44ce59dbb3a996896e18b515bdded31775faee238b10b15565",
+    "web/assets/qr.js": "sha256-b29cc7f282db6e16e70c7478542548869bb1e100454f5969c56a6fdec533cee0",
+    "web/assets/sidebar.js": "sha256-ee943629d6cf22d19d10670805d5ecbe403759b2cd7bcef4733b8645c76bb7d2",
+    "web/assets/twemoji.js": "sha256-542608bb2f7729ff344ef3328519a2ab56aad976b1b303e3a9e2f0fd97a1f3b3",
+    "web/cards/achievements.html": "sha256-b1cd85949a6e64d1198970e1fa216b30f69f0f30c34189c5f7a6335cab07ae74",
+    "web/cards/catalog.json": "sha256-a2093c0add8922b3d48c0dd934fefa05952d6d4470e10068ae73a8d9575e87dd",
+    "web/email/hero-v3.reference.html": "sha256-98b19a7998a823eaae259c34fa7d491e6f9ac96597120cc38093b4a85836ae52",
+    "web/home/index.html": "sha256-5adce8153479e59072b6b365fe14c4c0003fb0c18d143c58a19ea073c8e93445",
+    "web/preview.json": "sha256-78f89be7eef48d2a47e484e16e35890a60ef77278ae1a7fa9b2360dfbe9eb883",
+    "web/qr-selftest.html": "sha256-242025d701b4f19a56dd6024fa9bc3f7f3b86de5bf7eaeef2411364b8a483c44",
+    "web/reports/edit.html": "sha256-d7046fed8537d3bb266ab62c077172c591fcd6a83e44161448d127b4b0018113",
+    "web/reports/edit.reference.html": "sha256-77ea97dbf44393bb8f4c1d56c32ab7bed63686f7d6dabdeb551ce8c877ea3516",
+    "web/reports/index.html": "sha256-61701a89185d786b341ee596cc415b40ce25be9a7f23d9aa9df5370fb069b794",
+    "web/settings/index.html": "sha256-dc4a2e16bccc984bf8d752f8f6f6a6a04a4a01fa4cab7a16b53c139a10a98400",
+    "web/share/cards-reference.html": "sha256-370a616a5e158ddc2da449adf91e3312a6a3ccf8a7510feeefea3a157b1b3f85",
+    "web/share/passport.html": "sha256-fd632d17386f3869f74707885cb7d12315c5547bbc26a6601ac6756bd17de18b",
+    "web/share/teianbako.html": "sha256-b45457a41c05e19a8c2a877b83c60df9e075ddb1a58de964b906fb0249eafdc1",
+    "web/signup/index.html": "sha256-a24ff00ff4d94fb234899d1c43d5537f0af069500dad4039f3656d435c1f32c0",
+    "web/tasks/index.html": "sha256-b6411fa8e671c9e6712cf02548e8fc1bf500387143fafe5caad2c2ba7ebada73",
+    "web/verify/index.html": "sha256-7a9c85bc8a06c8282bda133bb5421f67765420319c9d47935e9c2b12216f2b65"
+  }
+}

package/README.md

@@ -1,3 +1,71 @@
-# Temporary Holding Version
+# clubs-nippo — AI業務日報
 
-This version is a temporary placeholder for this package. An operational version to replace this has been submitted for review and is awaiting a staged release.
+AIエージェントの実行ログから、前日ぶんの日報を自動生成してメール送信する CLI ツール。
+
+- **pull 型**: 生ログはあなたの端末を出ない。集計値とマスク済み本文だけを送る
+- **依存ゼロ**: Node 20+ の標準機能のみ。`npm install` 不要
+- **Lemma 証明**: `LEMMA_API_KEY` を設定すれば ✓（改ざん検知）が付く
+
+## セットアップ
+
+CLUBS の接続画面が発行するコマンドをそのまま貼る:
+
+```bash
+npx clubs-nippo@latest init --url=<取込URL> --code=<接続コード>
+```
+
+接続コードは 10 分・1 回限り有効で、init がその場で連携トークンに引き換える
+（トークンを画面からコピペしない）。期限が切れたら接続画面で再発行する。
+従来の `--token=<連携トークン>` 直接指定（再発行モーダル）も引き続き使える。
+
+設定は `~/.clubs-nippo/.env` に保存される。init が crontab 行も表示するので、`crontab -e` に貼れば毎朝自動実行される。
+
+AI が一度も動かなかった日は日報にならない（メールも来ない・コンソールにも並ばない）。
+土日や休みの日を曜日で判定しているのではなく、稼働そのものを見ている——日曜に働けば
+日報は出るし、平日に一度も動かなければ出ない。
+
+## 使い方
+
+```bash
+npx clubs-nippo@latest                  # 前日ぶんを生成して送信
+npx clubs-nippo@latest --dry-run        # 送信せず out/ に HTML を書くだけ
+npx clubs-nippo@latest --date=2026-07-13  # 対象日を指定
+```
+
+## MCP（AIクライアントから登録・疎通確認）
+
+同じバイナリが MCP サーバー（stdio）としても動く。Claude Code / Cursor 等に
+登録すると、対話の中で CLUBS への登録と連携状態の確認ができる:
+
+```bash
+claude mcp add clubs -- npx -y clubs-nippo@latest mcp
+```
+
+ツールは `clubs_register`（接続画面が発行した取込URL・連携トークンで登録）と
+`clubs_link_status`（設定・サーバ疎通・トークン有効性）の2本だけ。日報の
+取り込み・シールの発行は MCP からはできない（判定・発行はサーバ専権）。
+
+## 環境変数
+
+**CLUBS 接続時（`init` 済み）は下記の設定は不要。** 証明の登録も日報メールの送信も CLUBS がサーバ側で行う。ローカルに置く鍵は生成用の `OPENROUTER_API_KEY`（OpenRouter を使う場合のみ・任意）だけ。以下は単体利用（メールデモ）向け:
+
+| 変数 | 説明 |
+|---|---|
+| `EMAIL_API_KEY` | Resend の API キー |
+| `EMAIL_FROM` | 送信元アドレス |
+| `EMAIL_TO` | 宛先（カンマ区切りで複数可） |
+| `LEMMA_API_KEY` | Lemma の API キー（64桁16進）。設定すると ✓ が付く（**CLUBS 接続時は不使用**＝照合はサーバが行う） |
+| `OWNER_NAME` | オーナー名（任意） |
+
+詳細は [`.env.example`](.env.example) を参照。
+
+## Provenance
+
+Each source file carries a copyright header. `PROVENANCE.json` (generated at
+publish time) pins the exact commit and the SHA-256 of every distributed file,
+so a consumer can verify which revision they are using.
+If you incorporate this code, please retain the copyright headers.
+
+## ライセンス
+
+MIT

package/bin/clubs-nippo

@@ -0,0 +1,7 @@
+#!/usr/bin/env node
+// clubs-nippo — AI業務日報 (CLUBS)
+// Copyright (c) 2026 FRAME00 Inc.
+// SPDX-License-Identifier: MIT
+// https://github.com/frame00/clubs-nippo
+
+import('./clubs-nippo.mjs');

package/bin/clubs-nippo-web.mjs

@@ -0,0 +1,338 @@
+#!/usr/bin/env node
+// clubs-nippo — AI業務日報 (CLUBS)
+// Copyright (c) 2026 FRAME00 Inc.
+// SPDX-License-Identifier: MIT
+// https://github.com/frame00/clubs-nippo
+
+import { createServer } from "node:http";
+import { readFile } from "node:fs/promises";
+import { extname, join, normalize } from "node:path";
+import { loadConfig, ROOT } from "../src/config.mjs";
+import { loadDraft, loadApproved, saveApproved, listReports, monthSummary, passport } from "../src/store.mjs";
+import { registerProof, documentHash } from "../src/lemma.mjs";
+import { CATALOG, PERMISSIONS, loadCards, hasQuote } from "../src/cards.mjs";
+import { readSettings, writeOwnerName } from "../src/settings.mjs";
+import {
+  accumulateFromNarrative,
+  listTasks,
+  listProposals,
+  setTaskStatus,
+  setProposalDecision,
+} from "../src/tasks.mjs";
+
+/**
+ * 日報の Web 画面（一覧・編集・検証）を出し、承認エンドポイントを提供する。
+ * Node 標準の http だけで書く。依存パッケージは増やさない。
+ *
+ *   GET  /reports/                     一覧
+ *   GET  /reports/edit.html?date=...   編集
+ *   GET  /verify/                      検証（証明書型）
+ *   GET  /api/reports                  一覧データ
+ *   GET  /api/reports/:date            下書き
+ *   POST /api/reports/:date/record     編集版を記録（内容が変わったときだけ登録）
+ *   GET  /api/passport                 パスポート（累計）
+ *   GET  /api/settings                 表示名・収集元
+ *   PUT  /api/settings                 オーナー名だけ更新（AI名は変更不可）
+ *   GET  /api/tasks                    申し送りから溜めたタスク
+ *   GET  /api/proposals                気づき・提案（stats はサーバ集計）
+ *   POST /api/tasks/:id/status         open/done 切替
+ *   POST /api/proposals/:id/decision   承認/却下/保留を記録（実行はしない）
+ */
+
+const PORT = Number(process.env.PORT ?? 8899);
+const WEB = join(ROOT, "web");
+
+const MIME = {
+  ".html": "text/html; charset=utf-8",
+  ".css": "text/css; charset=utf-8",
+  ".js": "text/javascript; charset=utf-8",
+  ".json": "application/json; charset=utf-8",
+  ".svg": "image/svg+xml",
+};
+
+const json = (res, status, body) => {
+  res.writeHead(status, { "Content-Type": "application/json; charset=utf-8" });
+  res.end(JSON.stringify(body));
+};
+
+const readBody = (req) =>
+  new Promise((resolve, reject) => {
+    const chunks = [];
+    req.on("data", (c) => chunks.push(c));
+    req.on("end", () => {
+      try {
+        resolve(JSON.parse(Buffer.concat(chunks).toString("utf8") || "{}"));
+      } catch (e) {
+        reject(e);
+      }
+    });
+    req.on("error", reject);
+  });
+
+const serveStatic = async (res, urlPath) => {
+  // web/ の外に出させない。
+  const rel = normalize(urlPath).replace(/^(\.\.[/\\])+/, "");
+  const path = join(WEB, rel.endsWith("/") ? `${rel}index.html` : rel);
+  if (!path.startsWith(WEB)) return json(res, 403, { error: "Forbidden" });
+
+  try {
+    const body = await readFile(path);
+    res.writeHead(200, {
+      "Content-Type": MIME[extname(path)] ?? "application/octet-stream",
+      // 毎回サーバに問い合わせさせる（変わっていなければ 304 で軽い）。
+      //
+      // サイドバーは assets/sidebar.js が生成するため、古い JS がキャッシュに残ると
+      // リンクの href が付いていない状態のまま表示され、「押しても飛ばない」ように見える。
+      // 実際にこれで時間を溶かした。版番号(?v=2)を手で上げる方式は、上げ忘れれば同じ事故が
+      // 起きるので採らない。
+      "Cache-Control": "no-cache",
+    });
+    res.end(body);
+  } catch {
+    res.writeHead(404, { "Content-Type": "text/plain; charset=utf-8" });
+    res.end("Not found");
+  }
+};
+
+/**
+ * 編集版を記録する。
+ *
+ * 日報は送信時に自動で Lemma へ登録され、✓ が付いている。ここは「本文を整えて記録し直す」面。
+ *
+ * 意味のある証明だけ増やす:
+ *   編集後の docHash が自動登録ぶんと同じなら、登録し直さない。中身が変わっていないのに
+ *   証明を積んでも、証明の数が増えるだけで意味は増えない。
+ *
+ * 受け取るのは文章だけ（workBlocks の title/text・handoff・selfNote）。
+ * 集計値（aggregates）はリクエストから一切読まない。必ず下書きのロック値を使う。
+ * 数字をクライアントから受けられるようにすると「盛れない」が崩れる。
+ */
+const record = async (res, date, body, config) => {
+  const draft = loadDraft(date);
+  if (!draft) return json(res, 404, { error: `下書きがありません: ${date}` });
+
+  // 文章だけを取り出す。数字が混ざっていても捨てる。
+  const edited = {
+    workBlocks: (Array.isArray(body.workBlocks) ? body.workBlocks : []).map((b, i) => ({
+      title: String(b?.title ?? draft.workBlocks[i]?.title ?? ""),
+      text: String(b?.text ?? draft.workBlocks[i]?.text ?? ""),
+      // tool と metric はログ由来。編集させない。
+      tool: draft.workBlocks[i]?.tool ?? "",
+      metric: draft.workBlocks[i]?.metric ?? "",
+    })),
+    // 下書きの handoff は文字列。docHash / 描画は {title, text} の形を使うので組み直す。
+    handoff: {
+      title: draft.handoffTitle ?? "明日にまわすもの",
+      text: typeof body.handoff === "string" ? body.handoff : (draft.handoff ?? ""),
+    },
+    selfNote: typeof body.selfNote === "string" ? body.selfNote : draft.selfNote,
+  };
+
+  // docHash はロックされた集計値＋編集後の文章から出す。CLI と同じ関数を使う。
+  const activity = {
+    date: draft.date,
+    aggregates: draft.aggregates, // ← ロック値。body からは取らない
+    agentName: draft.agentName,
+  };
+  const narrative = { ...edited, insights: draft.insights ?? [] };
+
+  // 送信時に自動登録された版と同じ内容なら、登録し直さない。
+  const nextHash = documentHash(activity, narrative);
+  const already = loadApproved(date)?.proof ?? draft.proof ?? null;
+  const unchanged = already?.status === "verified" && already.docHash === nextHash;
+
+  const proof = unchanged ? already : await registerProof(activity, narrative, config);
+
+  const saved = saveApproved({
+    ...draft,
+    ...narrative,
+    recordedAt: new Date().toISOString(),
+    proof,
+    // パスポートに公開するのは記録した版。
+    published: true,
+  });
+
+  // 承認済み本文から、申し送り→タスク／気づき・提案→提案 を蓄積する。
+  // 確定した本文だけを源にする（下書きからは拾わない）。繰越同定はここで走る。
+  accumulateFromNarrative(narrative, saved.date);
+
+  return json(res, 200, {
+    // Lemma に登録できていなければ ✓ は付けない。記録自体は成立させる。
+    status: proof.status === "verified" ? "recorded" : "pending",
+    docHash: proof.docHash,
+    verifyUrl: proof.verifyUrl,
+    reason: proof.reason,
+    // 内容が変わっていなければ新しい証明は積んでいない。それを隠さない。
+    reregistered: !unchanged,
+    date: saved.date,
+  });
+};
+
+const server = createServer(async (req, res) => {
+  const url = new URL(req.url, `http://${req.headers.host}`);
+  const path = url.pathname;
+  const config = loadConfig({});
+
+  try {
+    if (path === "/api/reports" && req.method === "GET") {
+      const reports = listReports();
+      const today = new Date(Date.now() + config.tzOffsetMin * 60_000)
+        .toISOString()
+        .slice(0, 10);
+      return json(res, 200, { reports, month: monthSummary(reports, today, loadCards()) });
+    }
+
+    if (path === "/api/cards" && req.method === "GET") {
+      const held = loadCards();
+      const earned = new Set([
+        ...held.achievements.map((a) => a.id),
+        ...held.titles.map((t) => t.id),
+      ]);
+
+      // カタログは全部返す。持っていないものは locked として出す
+      // （何を目指せるかが見えないと、実績が積み上がる意味が伝わらない）。
+      const cards = CATALOG.map((c) => ({
+        id: c.id,
+        name: c.name,
+        subtitle: c.subtitle,
+        rarity: c.rarity,
+        kind: c.kind,
+        domain: c.domain ?? null,
+        tw: c.tw,
+        effectPermission: c.effectPermission ?? null,
+        // AI の引用は EPIC 以上だけ。それ未満は副題のみ。
+        quote: hasQuote(c.rarity) ? (c.quote ?? null) : null,
+        earned: earned.has(c.id),
+        earnedAt:
+          held.titles.find((t) => t.id === c.id)?.earnedAt ??
+          held.achievements.filter((a) => a.id === c.id).at(-1)?.date ??
+          null,
+      }));
+
+      return json(res, 200, {
+        cards,
+        permissions: PERMISSIONS.map((p) => ({
+          id: p.id,
+          name: p.name,
+          subtitle: p.subtitle,
+          scope: p.scope,
+          // 「解放可能」であって「付与済み」ではない。付与は人間が押す。
+          unlockable: held.permissionsUnlockable.some((u) => u.id === p.id),
+        })),
+      });
+    }
+
+    if (path === "/api/passport" && req.method === "GET") {
+      const s = readSettings(config);
+      return json(res, 200, passport(listReports(), s.displayName, s.agentName));
+    }
+
+    if (path === "/api/settings" && req.method === "GET") {
+      return json(res, 200, readSettings(config));
+    }
+
+    if (path === "/api/settings" && req.method === "PUT") {
+      const body = await readBody(req);
+      // 受け取るのはオーナー名だけ。AI名は収集元が決めるので、送られてきても無視する。
+      // ここを書き換えられるようにすると、他のAIの作業を自分の実績にできてしまう。
+      if (typeof body.ownerName !== "string") {
+        return json(res, 400, { error: "ownerName は文字列で送ってください。" });
+      }
+      writeOwnerName(body.ownerName.trim());
+      return json(res, 200, readSettings(loadConfig({})));
+    }
+
+    // ── タスク・提案箱（日報の申し送り／気づきを蓄積したビュー） ──────
+    // 数字・集計は out/ の確定データから出す。body の数値は信用しない。
+    if (path === "/api/tasks" && req.method === "GET") {
+      return json(res, 200, { items: listTasks() });
+    }
+
+    if (path === "/api/proposals" && req.method === "GET") {
+      // stats はサーバ集計（total / approved / approvalRate / streakDays）。
+      return json(res, 200, listProposals());
+    }
+
+    const taskStatusMatch = path.match(/^\/api\/tasks\/([0-9a-f]{8,})\/status$/);
+    if (taskStatusMatch && req.method === "POST") {
+      const body = await readBody(req);
+      const today = new Date(Date.now() + config.tzOffsetMin * 60_000).toISOString().slice(0, 10);
+      const item = setTaskStatus(taskStatusMatch[1], body.status, today);
+      return item
+        ? json(res, 200, { item })
+        : json(res, 400, { error: "status は open|done、id は既存のものを送ってください。" });
+    }
+
+    const propDecisionMatch = path.match(/^\/api\/proposals\/([0-9a-f]{8,})\/decision$/);
+    if (propDecisionMatch && req.method === "POST") {
+      const body = await readBody(req);
+      // 決定の記録のみ。実行はしない。承認者は監査用に残す。
+      const item = setProposalDecision(
+        propDecisionMatch[1],
+        body.decision,
+        readSettings(config).displayName,
+        new Date().toISOString(),
+      );
+      return item
+        ? json(res, 200, { item })
+        : json(res, 400, { error: "decision は approved|rejected|hold、id は既存のものを送ってください。" });
+    }
+
+    // /record が正。/approve は旧名（既存の編集画面が叩いていたので受け続ける）。
+    const recordMatch = path.match(/^\/api\/reports\/(\d{4}-\d{2}-\d{2})\/(record|approve)$/);
+    if (recordMatch && req.method === "POST") {
+      return record(res, recordMatch[1], await readBody(req), config);
+    }
+
+    const draftMatch = path.match(/^\/api\/reports\/(\d{4}-\d{2}-\d{2})$/);
+    if (draftMatch && req.method === "GET") {
+      const date = draftMatch[1];
+      const doc = loadApproved(date) ?? loadDraft(date);
+      return doc
+        ? json(res, 200, doc)
+        : json(res, 404, { error: `日報がありません: ${date}` });
+    }
+
+    // 検証ページが docHash を引く先（Lemma の GET が出るまでのローカル代替）。
+    const verifyMatch = path.match(/^\/api\/documents\/(0x[0-9a-f]+)$/i);
+    if (verifyMatch && req.method === "GET") {
+      const hash = verifyMatch[1].toLowerCase();
+      const hit = listReports().find((r) => r.docHash?.toLowerCase() === hash);
+      if (!hit) return json(res, 404, { error: "not found" });
+      const rec = loadApproved(hit.date);
+      // Lemma の GET /v1/documents/:docHash と同じ語彙で返す（registered / anchored / pending）。
+      // 一覧の内部表現は "recorded" だが、それをそのまま出すと証明書ページが未知の値として
+      // 扱い、登録済みの日報が「照合を待っています」に見えていた。
+      const status =
+        hit.status === "draft" || hit.status === "pending"
+          ? "pending"
+          : hit.status === "anchored"
+            ? "anchored"
+            : "registered";
+      return json(res, 200, {
+        status,
+        registeredAt: rec.approvedAt,
+        issuerId: rec.agentName,
+        subjectId: config.email.to[0] ?? "",
+        docHash: rec.proof.docHash,
+        onchainTxHash: rec.proof.txHash ?? undefined,
+        date: rec.date,
+      });
+    }
+
+    // 着地はホーム。日報一覧は /reports/ のまま。
+    if (req.method === "GET") return serveStatic(res, path === "/" ? "/home/" : path);
+
+    return json(res, 405, { error: "Method not allowed" });
+  } catch (e) {
+    console.error(e);
+    return json(res, 500, { error: "Internal error" });
+  }
+});
+
+server.listen(PORT, () => {
+  console.log(`clubs-nippo web: http://localhost:${PORT}/reports/`);
+  console.log(`  一覧   http://localhost:${PORT}/reports/`);
+  console.log(`  編集   http://localhost:${PORT}/reports/edit.html?date=YYYY-MM-DD`);
+  console.log(`  検証   http://localhost:${PORT}/verify/?demo=1`);
+});