@nuwel-dev/setup 1.0.0

package/LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2026 nuwel (https://nuwel.jp)
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

package/README.md

@@ -0,0 +1,42 @@
+# @nuwel-dev/setup
+
+figma-kit の**セットアップウィザード**（公開 npm・秘密ゼロ・依存ゼロ）。
+
+```
+npx @nuwel-dev/setup
+```
+
+> **2 回目以降の実行**（ウィザードが `~/.npmrc` に `@nuwel-dev:registry=https://npm.pkg.github.com` を書いた後）は、
+> この橋自身は公開 npm 側に在るため scope registry を明示して実行する:
+> `npx --@nuwel-dev:registry=https://registry.npmjs.org @nuwel-dev/setup`
+
+## これは何をするか
+
+1. GitHub のトークン作成ページ URL を表示する（`read:packages` にチェック済みの URL）
+2. 貼り付けられたトークンを受け取る（**画面には表示しない**）
+3. `~/.npmrc` にスコープ行と authToken を書く（権限 **600**・他の行は壊さない）
+4. 接続確認して、401 / 403 / 404 を**平語**で説明する（「招待をまだ Accept していない」等）
+5. `npx @nuwel-dev/figma-kit init` へ委譲する
+
+## なぜ公開 npm にあるのか
+
+キット本体 `@nuwel-dev/figma-kit` は GitHub Packages の限定配布で、**トークンを設定しないと落とせない**。
+その手順自体を限定配布側に置くと鶏と卵になる。この橋だけを公開側に置いて解く。
+
+橋は攻撃面でもあるので、**秘密を 1 バイトも含まず・依存を 1 つも持たない**。
+publish は provenance 付き（公開レジストリでのみ効く）。
+
+## トークンの扱い（設計）
+
+- 書き込み先は `~/.npmrc` だけ。案件ディレクトリの `.npmrc` には**スコープ行しか書かない**（`figma-kit init` が書く・`.gitignore` 済み）
+- stdout・ログ・エラーメッセージにトークンを出す経路を持たない（表示は `redact()` のマスクのみ）
+- 例外は種別（`e.code`）だけを表示する（例外メッセージにトークンが載る事故を構造で防ぐ）
+
+## 非対話フラグ（テスト・CI 用）
+
+| flag | 意味 |
+|---|---|
+| `--no-verify` | 接続確認を行わない |
+| `--no-init` | `figma-kit init` へ委譲しない |
+| `--home=<dir>` | `~/.npmrc` の代わりに `<dir>/.npmrc` を書く |
+| `--dir=<dir>` | init を実行する案件ディレクトリ（既定は cwd） |

package/bin/setup.js

@@ -0,0 +1,183 @@
+#!/usr/bin/env node
+'use strict';
+/**
+ * @nuwel-dev/setup — 買い手の初日を 1 行で始めるための公開ウィザード（2026-08-23・ADR R2 §3.4 W2）。
+ *
+ *   npx @nuwel-dev/setup
+ *
+ * なぜ公開 npm に置くのか: キット本体 `@nuwel-dev/figma-kit` は GitHub Packages（private）にあり、
+ * **トークンを設定しないと落とせない**。その設定手順自体を private 側に置くと鶏と卵になる。
+ * ここは秘密を 1 バイトも含まず（依存もゼロ）、やることは 4 つだけ:
+ *   ① トークン作成ページの URL を出す → ② 貼ってもらう → ③ ~/.npmrc へ 0600 で書く →
+ *   ④ 接続確認（401/404 を平語で説明）→ ⑤ `npx @nuwel-dev/figma-kit init` へ委譲
+ *
+ * **トークンは stdout・ログ・エラー文へ 1 度も出さない**（表示は lib/wizard.js の redact のみ）。
+ *
+ * flags（テスト・非対話用）:
+ *   --no-verify   接続確認を行わない（ネットワークが無い環境）
+ *   --no-init     figma-kit init へ委譲しない
+ *   --home=<dir>  ~/.npmrc の代わりに <dir>/.npmrc を書く（テスト）
+ *   --dir=<dir>   init を実行する案件ディレクトリ（既定は cwd）
+ */
+const fs = require('fs');
+const os = require('os');
+const path = require('path');
+const readline = require('readline');
+const { spawnSync } = require('child_process');
+const W = require('../lib/wizard');
+
+const argv = process.argv.slice(2);
+const flag = (k) => argv.includes(k);
+const val = (k) => { const a = argv.find((x) => x.startsWith(`${k}=`)); return a ? a.slice(k.length + 1) : null; };
+
+const HOME = val('--home') || os.homedir();
+const NPMRC = path.join(HOME, '.npmrc');
+
+const say = (s) => process.stdout.write(`${s}\n`);
+
+/** 1 行読む。TTY ならエコーを止めて盗み見を防ぐ（パイプ入力＝テストではそのまま読む） */
+function prompt(question) {
+  return new Promise((resolve) => {
+    const rl = readline.createInterface({ input: process.stdin, output: process.stdout, terminal: process.stdin.isTTY === true });
+    let answered = false;
+    const done = (a) => { if (answered) return; answered = true; resolve(a); };
+    // stdin が閉じた（EOF・パイプ・Ctrl-D）: question のコールバックは来ない。放置すると Promise が解決されず
+    // イベントループが空になって**無音で exit 0** する（2026-08-25 change-reviewer が実測で摘発）。
+    // 空回答として返し、下の validateTokenShape が「❌ 入力なし」で exit 1 にする。
+    rl.on('close', () => { if (!answered) process.stdout.write('\n'); done(''); });
+    if (process.stdin.isTTY) {
+      // 入力中の文字を画面に出さない（readline の出力を差し替える古典的な方法）
+      rl.output.write(question);
+      rl._writeToOutput = () => {};
+      // done → close の順（close が先だと 'close' ハンドラが空回答で先に resolve してしまう）
+      rl.question('', (a) => { done(a); rl.close(); process.stdout.write('\n'); });
+    } else {
+      rl.question(question, (a) => { done(a); rl.close(); });
+    }
+  });
+}
+
+/** GitHub Packages に GET して権限を確かめる（応答本文は読み捨て・トークンはヘッダのみ） */
+function probe(token) {
+  return new Promise((resolve) => {
+    // eslint-disable-next-line global-require
+    const https = require('https');
+    const req = https.request({
+      host: 'npm.pkg.github.com', path: W.PROBE_PATH, method: 'GET',
+      headers: { authorization: `Bearer ${token}`, accept: 'application/json' }, timeout: 15000,
+    }, (res) => { res.resume(); resolve(res.statusCode); });
+    req.on('error', () => resolve(null));
+    req.on('timeout', () => { req.destroy(); resolve(null); });
+    req.end();
+  });
+}
+
+function writeNpmrc(token) {
+  // 秘密を書く時の順序（codex R1〜R3 block の封鎖）:
+  //   ① 親ディレクトリが自分の所有で他者書込み不可（差し替え主体を排除）。O_NOFOLLOW / getuid が無い OS は**書かない**
+  //   ② 既存 .npmrc は O_NOFOLLOW で開き **fd に対して** fstat（通常ファイル・自分の所有・nlink 1）してから内容を読む
+  //   ③ **既存 inode には書かない**（他者が先に read fd を握っていれば chmod 後も読める・codex R3）:
+  //      同ディレクトリに O_EXCL|0600 で新 inode を作り → 書く → fsync → rename で置き換える（atomic）
+  const dir = path.dirname(NPMRC);
+  fs.mkdirSync(dir, { recursive: true });
+  if (typeof process.getuid !== 'function' || !fs.constants.O_NOFOLLOW) throw Object.assign(new Error('unsafe-platform'), { code: 'EPLATFORM' });
+  const uid = process.getuid();
+  const dst = fs.lstatSync(dir);
+  if (!dst.isDirectory() || dst.uid !== uid || (dst.mode & 0o022)) throw Object.assign(new Error('parent-dir'), { code: 'EPARENT' });
+  const { O_RDONLY, O_WRONLY, O_CREAT, O_EXCL, O_NOFOLLOW } = fs.constants;
+  // ② 既存内容（あれば）
+  let existing = '';
+  let rfd = null;
+  try { rfd = fs.openSync(NPMRC, O_RDONLY | O_NOFOLLOW); }
+  catch (e) {
+    if (e.code === 'ELOOP' || e.code === 'EMLINK') throw Object.assign(new Error('npmrc-symlink'), { code: 'ESYMLINK' });
+    if (e.code !== 'ENOENT') throw e;
+  }
+  if (rfd !== null) {
+    try {
+      const st = fs.fstatSync(rfd);
+      if (!st.isFile()) throw Object.assign(new Error('npmrc-not-file'), { code: 'ENOTFILE' });
+      if (st.uid !== uid || st.nlink !== 1) throw Object.assign(new Error('npmrc-not-owned'), { code: 'EOWNER' });
+      existing = fs.readFileSync(rfd, 'utf8');
+    } finally { fs.closeSync(rfd); }
+  }
+  // ③ 新 inode に書いて rename
+  const tmp = path.join(dir, `.npmrc.${process.pid}.${Date.now()}.tmp`);
+  const wfd = fs.openSync(tmp, O_WRONLY | O_CREAT | O_EXCL | O_NOFOLLOW, 0o600);
+  try {
+    fs.fchmodSync(wfd, 0o600);
+    const buf = Buffer.from(W.mergeNpmrc(existing, token), 'utf8');
+    let off = 0;
+    while (off < buf.length) off += fs.writeSync(wfd, buf, off, buf.length - off, off);
+    fs.fsyncSync(wfd);
+  } catch (e) { try { fs.unlinkSync(tmp); } catch (_) { /* noop */ } throw e; }
+  finally { fs.closeSync(wfd); }
+  try { fs.renameSync(tmp, NPMRC); } catch (e) { try { fs.unlinkSync(tmp); } catch (_) { /* noop */ } throw e; }
+}
+
+(async () => {
+  say('');
+  say('=== figma-kit セットアップ ===');
+  say('');
+  say('キット本体は GitHub の限定配布（あなたのアカウント＝1 席）です。');
+  say('取得用のトークンを 1 回だけ登録します。所要 2 分。');
+  say('');
+  say('① 次のページを開いて「Generate token」を押してください（read:packages にチェック済みの URL です）:');
+  say(`   ${W.PAT_PAGE}`);
+  say('');
+  say('② 表示されたトークンをコピーして、ここに貼り付けて Enter（画面には表示されません）:');
+
+  const raw = await prompt('   トークン> ');
+  const shape = W.validateTokenShape(raw);
+  if (!shape.ok) { say(`\n❌ ${shape.message}`); process.exit(1); }
+  const token = shape.token;
+
+  try { writeNpmrc(token); } catch (e) {
+    // エラー文にトークンが載る経路を作らない（メッセージは自前で組む）
+    if (e.code === 'ESYMLINK') say(`\n❌ ${NPMRC} がシンボリックリンクです。トークンをリンク先へ書くのは危険なので中止しました。リンクを外してから再実行してください`);
+    else if (e.code === 'ENOTFILE') say(`\n❌ ${NPMRC} が通常ファイルではありません。確認してから再実行してください`);
+    else if (e.code === 'EOWNER') say(`\n❌ ${NPMRC} があなたの所有でないか、ハードリンクされています。確認してから再実行してください`);
+    else if (e.code === 'EPARENT') say(`\n❌ ${path.dirname(NPMRC)} があなたの所有でないか、他のユーザーが書き込めます（安全にトークンを置けません）。権限を直してから再実行してください`);
+    else if (e.code === 'EPLATFORM') say('\n❌ この OS では安全にトークンを保存できません（macOS / Linux で実行してください）');
+    else say(`\n❌ ${NPMRC} に書けませんでした（${e.code || 'エラー'}）。ホームディレクトリの権限を確認してください`);
+    process.exit(1);
+  }
+  say('');
+  say(`✅ ${NPMRC} に登録しました（権限 600・${W.redact(token)}）`);
+
+  if (!flag('--no-verify')) {
+    say('③ 接続を確認しています…');
+    const status = await probe(token);
+    const r = W.explainStatus(status);
+    if (!r.ok) {
+      say(`\n❌ ${r.message}`);
+      if (r.next) say(`   → ${r.next}`);
+      // 再実行の案内: wizard が書いた `@nuwel-dev:registry=npm.pkg.github.com` のせいで素の `npx @nuwel-dev/setup` は
+      // GitHub Packages を見に行って 404 になる（codex R1 major）→ scope registry を npmjs に明示して再実行する
+      say(`   （~/.npmrc には登録済みなので、直したら次で再実行してください）`);
+      say(`   npx --@nuwel-dev:registry=${W.NPMJS} @nuwel-dev/setup`);
+      process.exit(1);
+    }
+    say(`✅ ${r.message}`);
+  } else {
+    say('· 接続確認は省略しました（--no-verify）');
+  }
+
+  if (flag('--no-init')) { say('\n· ここまで（--no-init）。次は `npx @nuwel-dev/figma-kit init` を実行してください'); return; }
+
+  const dir = path.resolve(val('--dir') || process.cwd());
+  say('');
+  say(`④ 案件を配線します: ${dir}`);
+  const r = spawnSync('npx', ['--yes', '@nuwel-dev/figma-kit', 'init', dir], { stdio: 'inherit', env: process.env });
+  if (r.status !== 0) {
+    say('\n❌ init が失敗しました。上の出力を確認してください（やり直しは `npx @nuwel-dev/figma-kit init`）');
+    process.exit(r.status === null ? 1 : r.status);
+  }
+  say('');
+  say('=== 完了 ===');
+  say('最初に打つ 1 行: /figma-kit:intake --figma');
+})().catch((e) => {
+  // 例外の message にトークンが混ざる可能性を排除するため、種別だけを出す
+  say(`\n❌ セットアップが異常終了しました（${(e && e.code) || 'エラー'}）`);
+  process.exit(1);
+});

package/lib/wizard.js

@@ -0,0 +1,97 @@
+'use strict';
+/**
+ * @nuwel-dev/setup の純ロジック（2026-08-23・ADR R2 §3.4 W2）。
+ *
+ * 副作用（stdin 読み・HTTPS・spawn）は bin/setup.js に置き、ここには
+ * 「~/.npmrc をどう書き換えるか」「HTTP ステータスを買い手にどう説明するか」だけを置く。
+ * 依存ゼロ・Node 20+。**トークンは絶対にログ・stdout へ出さない**（`redact` が唯一の表示口）。
+ */
+const SCOPE = '@nuwel-dev';
+/** 公開側（この橋自身の在処）。wizard が scope を GitHub Packages へ向けた後の再実行は scope registry を明示する */
+const NPMJS = 'https://registry.npmjs.org';
+const REGISTRY = 'https://npm.pkg.github.com';
+const REGISTRY_KEY = '//npm.pkg.github.com/:_authToken';
+const PAT_PAGE = 'https://github.com/settings/tokens/new?scopes=read:packages&description=figma-kit';
+const PROBE_PATH = '/@nuwel-dev%2ffigma-kit';
+
+/** 表示用のマスク。**素のトークンを返す経路をここ以外に作らない** */
+function redact(token) {
+  const t = String(token || '');
+  if (!t) return '(空)';
+  return `${t.slice(0, 4)}…${t.slice(-2)}（${t.length} 文字）`;
+}
+
+/**
+ * 貼り付けられた値がトークンとして受け取れる形か。
+ * 「短すぎる」「空白や改行を含む」は貼り付け事故（途中で切れた・URL を貼った）なので弾く。
+ * **正規表現で GitHub の接頭辞を列挙しない** — 接頭辞は増える（ghp_/github_pat_/…）ため、
+ * 列挙は必ず「その外側」を穴にする。ここは形だけ見て、真偽の判定は実際の接続確認に委ねる。
+ */
+function validateTokenShape(raw) {
+  const t = String(raw == null ? '' : raw).trim();
+  if (!t) return { ok: false, message: 'トークンが空です。GitHub の画面でコピーしてから貼り付けてください' };
+  if (/\s/.test(t)) return { ok: false, message: 'トークンに空白・改行が混ざっています（URL や複数行を貼っていませんか）' };
+  if (t.length < 20) return { ok: false, message: `トークンが短すぎます（${t.length} 文字）。途中で切れていないか確認してください` };
+  return { ok: true, token: t };
+}
+
+/**
+ * 既存の ~/.npmrc に「スコープ行」と「authToken 行」を上書き反映する。
+ * 他の行（他社レジストリ・proxy 設定など）は 1 行も壊さない。
+ * @param {string} existing 既存の中身（無ければ ''）
+ * @param {string} token
+ * @returns {string} 書き戻す中身
+ */
+function mergeNpmrc(existing, token) {
+  const keep = String(existing || '')
+    .split('\n')
+    .filter((l) => {
+      const s = l.trim();
+      if (!s) return false;
+      if (s.startsWith(`${SCOPE}:registry=`)) return false;
+      if (s.startsWith(`${REGISTRY_KEY}=`)) return false;
+      return true;
+    });
+  const lines = [...keep, `${SCOPE}:registry=${REGISTRY}`, `${REGISTRY_KEY}=${token}`];
+  return `${lines.join('\n')}\n`;
+}
+
+/**
+ * 接続確認の HTTP ステータスを**平語**にする。
+ * 買い手が最も踏むのは 401（トークンが違う/期限切れ）と 404（招待を受けていない・
+ * read:packages が付いていない）で、生のステータスだけ見せると自力で切り分けられない。
+ * @param {number|null} status  null = 接続そのものができなかった
+ * @returns {{ok:boolean, message:string, next:string}}
+ */
+function explainStatus(status) {
+  if (status === 200) {
+    return { ok: true, message: '接続できました（パッケージの取得権限があります）', next: '' };
+  }
+  if (status === 401) {
+    return {
+      ok: false,
+      message: 'トークンが受け付けられませんでした（401）。値が違うか、期限が切れています',
+      next: `${PAT_PAGE} で作り直して、もう一度貼り付けてください`,
+    };
+  }
+  if (status === 403) {
+    return {
+      ok: false,
+      message: 'トークンは有効ですが、この配布物を読む権限がありません（403）',
+      next: '招待メールを受け取った GitHub アカウントで作ったトークンか確認してください',
+    };
+  }
+  if (status === 404) {
+    return {
+      ok: false,
+      message: '配布物が見つかりませんでした（404）。ほぼ必ず次のどちらかです: ①招待をまだ Accept していない ②トークンに read:packages の権限が付いていない',
+      next: `招待メールの Accept を済ませ、${PAT_PAGE}（read:packages にチェック）で作り直してください`,
+    };
+  }
+  if (status === null) {
+    return { ok: false, message: 'ネットワークに出られませんでした（接続失敗）', next: '社内プロキシ・VPN・オフラインでないか確認してください' };
+  }
+  return { ok: false, message: `想定外の応答でした（HTTP ${status}）`, next: 'この行をそのまま販売元へ連絡してください' };
+}
+
+module.exports = { SCOPE, REGISTRY, NPMJS, REGISTRY_KEY, PAT_PAGE, PROBE_PATH, redact, validateTokenShape, mergeNpmrc, explainStatus };

package/package.json

@@ -0,0 +1,36 @@
+{
+  "name": "@nuwel-dev/setup",
+  "version": "1.0.0",
+  "description": "figma-kit のセットアップウィザード（公開 npm・秘密ゼロ）。GitHub Packages のトークンを ~/.npmrc に置き、@nuwel-dev/figma-kit の init へ橋渡しする。",
+  "license": "MIT",
+  "private": false,
+  "repository": {
+    "type": "git",
+    "url": "git+https://github.com/nuwel-dev/setup.git"
+  },
+  "homepage": "https://nuwel.jp",
+  "publishConfig": {
+    "access": "public",
+    "provenance": true
+  },
+  "bin": {
+    "setup": "bin/setup.js",
+    "nuwel-setup": "bin/setup.js"
+  },
+  "engines": {
+    "node": ">=20"
+  },
+  "files": [
+    "bin/",
+    "lib/",
+    "README.md",
+    "LICENSE"
+  ],
+  "keywords": [
+    "figma",
+    "setup",
+    "nuwel"
+  ],
+  "_design": "依存ゼロ（`dependencies` を持たない）は仕様。これは『private レジストリからは落とせない』鶏と卵を解くためだけの公開パッケージで、秘密を 1 バイトも含まない。依存を足すと供給網が増え、この橋自体が攻撃面になる（ADR R2 §3.4）。provenance は公開レジストリでのみ効くのでここで付ける。",
+  "_repository": "公開リポ nuwel-dev/setup（工場 packages/setup からの履歴レス同期先・tools/setup-publish.js）。provenance はソースリポと一致が要るため、限定配布の figma-kit-dist ではなくこちらを指す（2026-08-25・オーナー決裁 A 案）"
+}