@ripla/godd-mcp 1.0.6 → 1.0.7-canary.2

package/notes/api/.env.example

@@ -1,7 +1,4 @@
-# GitHub API token (PAT — omitted for mock mode; superseded by GitHub App below)
-# GITHUB_TOKEN=
-
-# GitHub App credentials (recommended over PAT for bot authorship of PRs/Issues)
+# GitHub App credentials (required for live GitHub API; PAT / GITHUB_TOKEN is forbidden)
 # GITHUB_APP_ID=
 # GITHUB_APP_PRIVATE_KEY=-----BEGIN RSA PRIVATE KEY-----\n...\n-----END RSA PRIVATE KEY-----
 # GITHUB_APP_INSTALLATION_ID=

package/notes/api/README.md

@@ -7,7 +7,7 @@ FastAPI バックエンド。docs/ のドキュメント閲覧・編集、GitHub
 - Python 3.12+
 - uv
 - PostgreSQL 16（GoDD Registry と共有）
-- GitHub Token（モックモードなら不要）
+- GitHub App credentials（`GITHUB_APP_ID` / `GITHUB_APP_PRIVATE_KEY` / `GITHUB_APP_INSTALLATION_ID`）— 本番 GitHub 連携時。未設定時はモックモード
 
 ## セットアップ
 
@@ -39,10 +39,10 @@ uv run python -m app.main
 
 | 変数 | 必須 | デフォルト | 説明 |
 |------|------|-----------|------|
-| GITHUB_TOKEN | - | (未設定=Mock) | GitHub API PAT（任意。GitHub App 未設定時の write 操作フォールバック） |
 | GITHUB_APP_ID | **Yes** (write) | - | GitHub App ID。PR / Issue 作成時の Bot author に必須 |
 | GITHUB_APP_PRIVATE_KEY | **Yes** (write) | - | GitHub App private key PEM |
 | GITHUB_APP_INSTALLATION_ID | **Yes** (write) | - | GitHub App installation ID |
+| GITHUB_TOKEN | — | — | **禁止（無視）**。PAT は使用不可。設定しても Notes API は参照しない |
 | GITHUB_OWNER | - | ripla-inc | リポジトリオーナー |
 | GITHUB_REPO | - | GoDD | リポジトリ名 |
 | GITHUB_BRANCH | - | main | ベースブランチ |
@@ -52,6 +52,8 @@ uv run python -m app.main
 | NOTES_ADMIN_USERNAME | - | admin | 初期管理者 |
 | NOTES_ADMIN_PASSWORD | - | admin123 | 初期管理者パスワード |
 
+GitHub App 3変数がすべて未設定の場合、Notes API は **モックモード**（GitHub API を呼ばない）で動作します。`GITHUB_TOKEN`（PAT）を設定しても **無視されます**（禁止）。
+
 ## API
 
 - `GET /api/health` - ヘルスチェック（`github_app_configured`, `github_write_author`）

package/notes/api/app/config.py

@@ -73,8 +73,8 @@ class Settings(BaseSettings):
     jwt_access_expires_min: int = Field(default=15, ge=1, le=1440)
     jwt_refresh_expires_days: int = Field(default=7, ge=1, le=365)
 
-    # GitHub
-    github_token: str | None = None
+    # GitHub (PAT / GITHUB_TOKEN is forbidden — ignored if set)
+    github_token: str | None = None  # deprecated: ignored; use GitHub App only
     github_owner: str = "ripla-inc"
     github_repo: str = "GoDD"
     github_branch: str = "main"
@@ -150,9 +150,7 @@ class Settings(BaseSettings):
         )
 
     def is_mock_mode(self) -> bool:
-        """True when neither GITHUB_TOKEN nor GitHub App credentials are set."""
-        if self.github_token:
-            return False
+        """True when GitHub App credentials are not set (PAT is ignored/forbidden)."""
         return not (
             self.github_app_id
             and self.github_app_private_key
@@ -176,6 +174,11 @@ class Settings(BaseSettings):
             warnings.append("DB_PASSWORD is using the default dev value")
         if self.allowed_origins == "*":
             warnings.append("ALLOWED_ORIGINS is set to '*' (all origins)")
+        if self.github_token:
+            warnings.append(
+                "GITHUB_TOKEN is set but ignored — PAT is forbidden; "
+                "use GitHub App credentials only"
+            )
         for w in warnings:
             _logger.warning("SECURITY: %s — override via environment variable for production", w)
         return self

package/notes/api/app/routers/tree.py

@@ -19,12 +19,12 @@ async def get_tree(
     ref: str | None = None,
     _payload: dict = Depends(auth_dependency),
 ):
-    """Get file tree. Pass *ref* to read a specific branch. Mock mode when GITHUB_TOKEN not set."""
+    """Get file tree. Pass *ref* to read a specific branch. Mock mode when GitHub App is not set."""
     if settings.is_mock_mode():
         return {
             "mode": "mock",
             "source": "mock",
-            "reason": "GITHUB_TOKEN が未設定です",
+            "reason": "GitHub App が未設定です",
             "tree": get_mock_tree(),
         }
 
@@ -38,7 +38,7 @@ async def get_tree(
         logger.warning("GitHub API HTTP error %d for tree: %s", code, e)
         if code in (401, 403):
             detail = (
-                "GitHub トークンの権限が不足しています。"
+                "GitHub App の権限が不足しています。"
                 "Organization の承認が必要な場合があります。"
             )
         elif code == 404:

package/notes/api/app/services/github.py

@@ -18,15 +18,15 @@ def _encode_path(path: str) -> str:
 
 
 async def resolve_token(config: dict) -> str:
-    """Return a valid GitHub token: prefer App installation token, fallback to PAT."""
+    """Return a GitHub App installation token. PAT is not allowed."""
     from app.services.github_app_token import get_installation_token, is_app_configured
 
-    if is_app_configured():
-        return await get_installation_token()
-    token = config.get("token")
-    if not token:
-        raise ValueError("No GitHub token available (neither PAT nor App configured)")
-    return token
+    if not is_app_configured():
+        raise ValueError(
+            "GitHub App credentials are required. "
+            "Personal access tokens (GITHUB_TOKEN / PAT) are not allowed."
+        )
+    return await get_installation_token()
 
 
 def _auth_headers(token: str) -> dict[str, str]:
@@ -54,13 +54,14 @@ def get_github_config() -> dict:
     """Get GitHub config from settings."""
     from app.services.github_app_token import is_app_configured
 
-    if not settings.github_token and not is_app_configured():
+    if not is_app_configured():
         raise ValueError(
-            "GITHUB_TOKEN or GitHub App credentials are required. "
-            "Set them in .env or environment variables."
+            "GitHub App credentials are required. "
+            "Set GITHUB_APP_ID, GITHUB_APP_PRIVATE_KEY, and "
+            "GITHUB_APP_INSTALLATION_ID. Personal access tokens (PAT) are not allowed."
         )
     return {
-        "token": settings.github_token or "",
+        "token": "",
         "owner": settings.github_owner,
         "repo": settings.github_repo,
         "branch": settings.github_branch,
@@ -104,8 +105,8 @@ def get_mock_file_content(file_path: str) -> dict:
         "content": (
             f"# {file_path}\n\n"
             "このファイルはモックデータです。\n\n"
-            "GITHUB_TOKEN を設定すると、実際のリポジトリから"
-            "ドキュメントが読み込まれます。"
+            "GitHub App（GITHUB_APP_ID / PRIVATE_KEY / INSTALLATION_ID）を"
+            "設定すると、実際のリポジトリからドキュメントが読み込まれます。"
         ),
         "sha": "mock-sha",
         "size": 100,

package/notes/api/app/services/github_app_token.py

@@ -13,7 +13,7 @@ from app.config import settings
 
 logger = logging.getLogger(__name__)
 
-GitHubWriteAuthor = Literal["bot", "pat", "mock"]
+GitHubWriteAuthor = Literal["bot", "mock"]
 
 _TOKEN_BUFFER_SECONDS = 300
 _JWT_EXPIRY_SECONDS = 600
@@ -35,30 +35,25 @@ def github_write_author_mode() -> GitHubWriteAuthor:
     """How PR/Issue creation will attribute authorship."""
     if is_app_configured():
         return "bot"
-    if settings.github_token:
-        return "pat"
     return "mock"
 
 
-def warn_if_pat_used_for_write(operation: str) -> None:
-    """Warn when a GitHub write will fall back to PAT instead of GitHub App."""
+def warn_if_github_app_missing(operation: str) -> None:
+    """Warn when a GitHub write cannot use GitHub App (PAT is forbidden)."""
     if is_app_configured():
         return
-    if settings.github_token:
-        logger.warning(
-            "GitHub App is not configured. %s will be created under the "
-            "personal account of the GITHUB_TOKEN owner. "
-            "Set GITHUB_APP_ID, GITHUB_APP_PRIVATE_KEY, and "
-            "GITHUB_APP_INSTALLATION_ID to use the Bot account as author.",
-            operation,
-        )
-        return
     logger.warning(
-        "GitHub App is not configured and GITHUB_TOKEN is empty. %s may fail.",
+        "GitHub App is not configured. %s will fail or run in mock mode. "
+        "Set GITHUB_APP_ID, GITHUB_APP_PRIVATE_KEY, and "
+        "GITHUB_APP_INSTALLATION_ID. Personal access tokens (PAT) are not allowed.",
         operation,
     )
 
 
+# Backward-compatible alias (PAT path removed; always warns when App missing).
+warn_if_pat_used_for_write = warn_if_github_app_missing
+
+
 def _generate_jwt() -> str:
     now = int(time.time())
     payload = {

package/notes/api/app/services/github_pr.py

@@ -18,10 +18,13 @@ logger = logging.getLogger(__name__)
 
 
 def _config() -> dict:
-    if not settings.github_token and not is_app_configured():
-        raise ValueError("GITHUB_TOKEN or GitHub App credentials required")
+    if not is_app_configured():
+        raise ValueError(
+            "GitHub App credentials required. "
+            "Personal access tokens (PAT) are not allowed."
+        )
     return {
-        "token": settings.github_token,
+        "token": "",
         "owner": settings.github_owner,
         "repo": settings.github_repo,
         "branch": settings.github_branch,
@@ -31,10 +34,13 @@ def _config() -> dict:
 
 
 async def _resolve_token(config: dict) -> str:
-    """Return the GitHub App installation token if configured, else the PAT."""
-    if is_app_configured():
-        return await get_installation_token()
-    return config["token"]
+    """Return the GitHub App installation token. PAT is not allowed."""
+    if not is_app_configured():
+        raise ValueError(
+            "GitHub App credentials required. "
+            "Personal access tokens (PAT) are not allowed."
+        )
+    return await get_installation_token()
 
 
 def _headers_with_token(token: str) -> dict:
@@ -47,7 +53,7 @@ def _headers_with_token(token: str) -> dict:
 
 
 async def _resolved_headers(config: dict) -> dict:
-    """Resolve token (App or PAT) and return auth headers."""
+    """Resolve GitHub App installation token and return auth headers."""
     token = await _resolve_token(config)
     return _headers_with_token(token)
 

package/notes/api/tests/test_files.py

@@ -15,7 +15,7 @@ class TestGetFile:
         self._headers = auth_headers(viewer_token)
 
     async def test_get_file_mock_mode(self, client: AsyncClient):
-        """Without GITHUB_TOKEN, returns mock file content."""
+        """Without GitHub App credentials, returns mock file content."""
         resp = await client.get("/api/files/docs/README.md", headers=self._headers)
         assert resp.status_code == 200
         data = resp.json()
@@ -49,7 +49,7 @@ class TestGetHistory:
         self._headers = auth_headers(viewer_token)
 
     async def test_history_mock_mode(self, client: AsyncClient):
-        """Without GITHUB_TOKEN, history returns empty list."""
+        """Without GitHub App credentials, history returns empty list."""
         resp = await client.get("/api/history/docs/README.md", headers=self._headers)
         assert resp.status_code == 200
         assert resp.json() == []

package/notes/api/tests/test_github_app_token.py

@@ -50,9 +50,10 @@ class TestGithubWriteAuthorMode:
 
     @patch("app.services.github_app_token.is_app_configured", return_value=False)
     @patch("app.services.github_app_token.settings")
-    def test_pat_when_token_only(self, mock_settings, _mock_app):
+    def test_mock_when_pat_only_pat_forbidden(self, mock_settings, _mock_app):
+        """PAT alone must not enable write mode — mock only."""
         mock_settings.github_token = "ghp_test"
-        assert github_write_author_mode() == "pat"
+        assert github_write_author_mode() == "mock"
 
     @patch("app.services.github_app_token.is_app_configured", return_value=False)
     @patch("app.services.github_app_token.settings")
@@ -133,13 +134,13 @@ class TestWarnIfPatUsedForWrite:
 
     @patch("app.services.github_app_token.is_app_configured", return_value=False)
     @patch("app.services.github_app_token.settings")
-    def test_warns_when_pat_fallback(self, mock_settings, _mock_app):
+    def test_warns_when_app_missing_even_if_pat_set(self, mock_settings, _mock_app):
         mock_settings.github_token = "ghp_test"
         with patch("app.services.github_app_token.logger") as mock_logger:
             warn_if_pat_used_for_write("Issue")
         mock_logger.warning.assert_called_once()
         message = mock_logger.warning.call_args[0][0]
-        assert "GITHUB_TOKEN owner" in message
+        assert "not allowed" in message or "PAT" in message
 
     @patch("app.services.github_app_token.is_app_configured", return_value=False)
     @patch("app.services.github_app_token.settings")
@@ -149,4 +150,4 @@ class TestWarnIfPatUsedForWrite:
             warn_if_pat_used_for_write("Pull request")
         mock_logger.warning.assert_called_once()
         message = mock_logger.warning.call_args[0][0]
-        assert "may fail" in message
+        assert "mock mode" in message or "not allowed" in message

package/notes/api/tests/test_github_service.py

@@ -10,6 +10,32 @@ from app.services.github_issues import create_issue
 from app.services.github_pr import _paginate_pulls, compare_branches
 
 
+@pytest.fixture(autouse=True)
+def _mock_github_app_token():
+    """PAT is forbidden — unit tests use GitHub App installation token mocks."""
+    with (
+        patch(
+            "app.services.github_app_token.is_app_configured",
+            return_value=True,
+        ),
+        patch(
+            "app.services.github_app_token.get_installation_token",
+            new_callable=AsyncMock,
+            return_value="ghs_test",
+        ),
+        patch(
+            "app.services.github_pr.is_app_configured",
+            return_value=True,
+        ),
+        patch(
+            "app.services.github_pr.get_installation_token",
+            new_callable=AsyncMock,
+            return_value="ghs_test",
+        ),
+    ):
+        yield
+
+
 class TestIsBinary:
     def test_xlsx_is_binary(self):
         assert _is_binary("docs/data.xlsx") is True
@@ -217,17 +243,17 @@ class TestPaginatePullsDedup:
         assert [pr["id"] for pr in result] == [10, 20]
 
 
-class TestCreateIssuePatWarning:
+class TestCreateIssueAppWarning:
     @pytest.fixture
     def github_config(self):
         return {
             "owner": "testorg",
             "repo": "testrepo",
             "branch": "main",
-            "token": "ghp_test",
+            "token": "",
         }
 
-    async def test_create_issue_warns_when_pat_fallback(self, github_config):
+    async def test_create_issue_warns_when_app_missing(self, github_config):
         mock_resp = MagicMock()
         mock_resp.raise_for_status = MagicMock()
         mock_resp.json.return_value = {
@@ -249,7 +275,7 @@ class TestCreateIssuePatWarning:
             patch(
                 "app.services.github_issues.resolve_token",
                 new_callable=AsyncMock,
-                return_value="ghp_test",
+                return_value="ghs_test",
             ),
             patch("app.services.github_issues.warn_if_pat_used_for_write") as mock_warn,
         ):

package/notes/api/tests/test_pr_chain.py

@@ -23,7 +23,7 @@ from app.services.pr_chain import (
 )
 
 FAKE_CONFIG = {
-    "token": "ghp_test",
+    "token": "",
     "owner": "test-owner",
     "repo": "test-repo",
     "branch": "main",
@@ -39,6 +39,23 @@ FAKE_PR = {
 }
 
 
+@pytest.fixture(autouse=True)
+def _mock_github_app_token():
+    """PAT is forbidden — unit tests use GitHub App installation token mocks."""
+    with (
+        patch(
+            "app.services.github_pr.is_app_configured",
+            return_value=True,
+        ),
+        patch(
+            "app.services.github_pr.get_installation_token",
+            new_callable=AsyncMock,
+            return_value="ghs_test",
+        ),
+    ):
+        yield
+
+
 class TestFindPrByHead:
     @pytest.mark.asyncio
     async def test_returns_pr_when_found(self):
@@ -530,7 +547,7 @@ class TestCreatePrDraftFlag:
         assert call_json["draft"] is True
 
     @pytest.mark.asyncio
-    async def test_create_pr_warns_when_pat_fallback(self):
+    async def test_create_pr_warns_when_app_missing(self):
         mock_resp = MagicMock()
         mock_resp.status_code = 201
         mock_resp.json.return_value = {**FAKE_PR, "draft": True}
@@ -542,7 +559,13 @@ class TestCreatePrDraftFlag:
         with (
             patch("app.services.github_pr.get_github_client", return_value=mock_client),
             patch("app.services.github_pr.is_app_configured", return_value=False),
+            patch(
+                "app.services.github_pr.get_installation_token",
+                new_callable=AsyncMock,
+                return_value="ghs_test",
+            ),
             patch("app.services.github_pr.warn_if_pat_used_for_write") as mock_warn,
+            pytest.raises(ValueError, match="GitHub App credentials required"),
         ):
             await create_pr("title", "head", "main", "body", [], FAKE_CONFIG)
 

package/notes/api/tests/test_tree.py

@@ -16,7 +16,7 @@ class TestTree:
         self._headers = auth_headers(viewer_token)
 
     async def test_get_tree_mock_mode(self, client: AsyncClient):
-        """Without GITHUB_TOKEN, tree returns mock data with source field."""
+        """Without GitHub App credentials, tree returns mock data with source field."""
         resp = await client.get("/api/tree", headers=self._headers)
         assert resp.status_code == 200
         data = resp.json()

package/notes/app/e2e/pages/login-page.ts

@@ -9,12 +9,18 @@ export class LoginPage {
   readonly passwordInput: Locator;
   readonly submitButton: Locator;
   readonly errorAlert: Locator;
+  /** パスワード表示/非表示トグル（PasswordInput）。aria-label は表示状態で変わるため両方に一致させる。 */
+  readonly passwordToggle: Locator;
+  /** トグル状態を通知する sr-only ライブリージョン（PasswordInput）。 */
+  readonly passwordStatus: Locator;
 
   constructor(private readonly page: Page) {
     this.usernameInput = page.locator("#login-username");
     this.passwordInput = page.locator("#login-password");
     this.submitButton = page.locator('button[type="submit"]');
     this.errorAlert = page.locator('[role="alert"]');
+    this.passwordToggle = page.getByRole("button", { name: /^パスワードを(非表示|表示)$/ });
+    this.passwordStatus = page.getByRole("status");
   }
 
   async goto(): Promise<void> {

package/notes/app/e2e/password-toggle.spec.ts

@@ -0,0 +1,198 @@
+import { test, expect, TEST_USERNAME, TEST_PASSWORD } from "./fixtures";
+
+/**
+ * REQ-UI-AC-13 / REQ-UI-AC-14 / REQ-UI-AC-17（#1140）: ログイン画面のパスワード表示トグル
+ * （`PasswordInput`）を実ブラウザ（Playwright）で検証する。
+ *
+ * 既存の `src/components/PasswordInput.test.tsx` は jsdom のため **className トークン一致**までしか
+ * 検証できない（`pe-10` が付いていること／`focus-visible:ring-2` が付いていること）。以下は jsdom では
+ * 原理的に検証不可能で、本 spec でのみガードできる:
+ *
+ * - `pe-10` が実際にアイコンぶんの領域を確保し、トグルボタンが入力欄のテキスト領域に**重ならない**こと
+ * - 絶対配置（`absolute inset-y-0 end-0`）のトグルボタンが入力欄への**クリックを奪わない**こと（ヒットテスト）
+ * - `outline-none` + `focus-visible:ring-2` が実際にリングを描画し、マウス操作では描画しないこと
+ * - `type="button"` が実ブラウザで本当に submit を誘発しないこと（属性ではなく挙動として）
+ *
+ * ログイン画面は未認証状態が前提のため、`login.spec.ts` と同じく storageState を空にする。
+ */
+
+// 幾何比較の許容差(px)。サブピクセル丸めを吸収する小さな値。
+const GEOMETRY_TOLERANCE_PX = 1;
+
+test.describe("パスワード表示トグル (REQ-UI-AC-13/14/17 / #1140)", () => {
+  test.use({ storageState: { cookies: [], origins: [] } });
+  // トグルの絶対配置は viewport 幅に依存しないが、幾何比較を安定させるため明示する。
+  test.use({ viewport: { width: 1280, height: 720 } });
+
+  test("初期状態では伏字（type=password）で描画される", async ({ loginPage }) => {
+    await loginPage.goto();
+
+    await expect(loginPage.passwordInput).toHaveAttribute("type", "password");
+    await expect(loginPage.passwordToggle).toHaveAccessibleName("パスワードを表示");
+    // 初回描画では何も起きていないため通知しない。
+    await expect(loginPage.passwordStatus).toHaveText("");
+  });
+
+  test("トグルで平文表示に切り替わり、再クリックで伏字に戻る", async ({ loginPage }) => {
+    await loginPage.goto();
+    await loginPage.passwordInput.fill(TEST_PASSWORD);
+
+    await loginPage.passwordToggle.click();
+    await expect(loginPage.passwordInput).toHaveAttribute("type", "text");
+    await expect(loginPage.passwordToggle).toHaveAccessibleName("パスワードを非表示");
+    await expect(loginPage.passwordStatus).toHaveText("パスワードを表示しました");
+    // 表示切替で値が失われないこと。
+    await expect(loginPage.passwordInput).toHaveValue(TEST_PASSWORD);
+
+    await loginPage.passwordToggle.click();
+    await expect(loginPage.passwordInput).toHaveAttribute("type", "password");
+    await expect(loginPage.passwordToggle).toHaveAccessibleName("パスワードを表示");
+    await expect(loginPage.passwordStatus).toHaveText("パスワードを非表示にしました");
+    await expect(loginPage.passwordInput).toHaveValue(TEST_PASSWORD);
+  });
+
+  test("トグルボタンはフォームを送信しない（type=button の実挙動）", async ({ page, loginPage }) => {
+    await loginPage.goto();
+    // 有効な認証情報を入れておく。誤って submit されれば遷移してしまうため、
+    // 「/login に留まる」ことが type=button の強い証拠になる。
+    await loginPage.usernameInput.fill(TEST_USERNAME);
+    await loginPage.passwordInput.fill(TEST_PASSWORD);
+
+    await page.evaluate(() => {
+      document.querySelector("form")?.addEventListener("submit", () => {
+        (window as unknown as { __submitted?: boolean }).__submitted = true;
+      });
+    });
+
+    await loginPage.passwordToggle.click();
+    await expect(loginPage.passwordInput).toHaveAttribute("type", "text");
+
+    const submitted = await page.evaluate(
+      () => (window as unknown as { __submitted?: boolean }).__submitted === true,
+    );
+    expect(submitted).toBe(false);
+    await expect(page).toHaveURL(/\/login/);
+    await expect(loginPage.errorAlert).toHaveCount(0);
+  });
+
+  test("pe-10 がアイコン領域を確保し、トグルが入力テキスト領域に重ならない", async ({
+    loginPage,
+  }) => {
+    await loginPage.goto();
+
+    // 入力欄のコンテンツボックス右端（border + padding-inline-end を除いた、文字が描画され得る右端）。
+    const contentRight = await loginPage.passwordInput.evaluate((el) => {
+      const r = el.getBoundingClientRect();
+      const cs = getComputedStyle(el);
+      return (
+        r.right - Number.parseFloat(cs.paddingInlineEnd) - Number.parseFloat(cs.borderRightWidth)
+      );
+    });
+
+    const toggleBox = await loginPage.passwordToggle.boundingBox();
+    if (!toggleBox) throw new Error("トグルボタンの boundingBox を取得できない");
+
+    // padding が実効していれば、ボタンの左端はコンテンツボックス右端以降にある。
+    // `pe-10` が失われるとボタンが文字領域に食い込み、この比較が red になる。
+    expect(toggleBox.x).toBeGreaterThanOrEqual(contentRight - GEOMETRY_TOLERANCE_PX);
+  });
+
+  test("トグルボタンは入力欄へのクリックを奪わない（ヒットテスト）", async ({
+    page,
+    loginPage,
+  }) => {
+    await loginPage.goto();
+
+    const inputBox = await loginPage.passwordInput.boundingBox();
+    if (!inputBox) throw new Error("パスワード入力欄の boundingBox を取得できない");
+
+    // 入力欄のテキスト領域（左寄り）をクリックすると入力欄がフォーカスされる。
+    await page.mouse.click(inputBox.x + 20, inputBox.y + inputBox.height / 2);
+    await expect(loginPage.passwordInput).toBeFocused();
+    // 入力欄が押されただけで表示状態は変わらない。
+    await expect(loginPage.passwordInput).toHaveAttribute("type", "password");
+
+    // 逆にアイコン位置のクリックは確実にボタンへ届く。
+    const toggleBox = await loginPage.passwordToggle.boundingBox();
+    if (!toggleBox) throw new Error("トグルボタンの boundingBox を取得できない");
+    await page.mouse.click(
+      toggleBox.x + toggleBox.width / 2,
+      toggleBox.y + toggleBox.height / 2,
+    );
+    await expect(loginPage.passwordInput).toHaveAttribute("type", "text");
+  });
+
+  test("キーボードフォーカス時のみ focus-visible リングを描画する", async ({
+    page,
+    loginPage,
+  }) => {
+    await loginPage.goto();
+
+    // マウスクリックでは :focus-visible にならず、リングも描画されない（outline-none のまま）。
+    await loginPage.passwordToggle.click();
+    const shadowAfterMouse = await loginPage.passwordToggle.evaluate(
+      (el) => getComputedStyle(el).boxShadow,
+    );
+    expect(shadowAfterMouse).toBe("none");
+
+    // パスワード入力欄から Tab するとトグルへキーボードフォーカスが移り、リングが描画される。
+    await loginPage.passwordInput.focus();
+    await page.keyboard.press("Tab");
+    await expect(loginPage.passwordToggle).toBeFocused();
+
+    const shadowAfterKeyboard = await loginPage.passwordToggle.evaluate(
+      (el) => getComputedStyle(el).boxShadow,
+    );
+    // `outline-none` で既定リングを消しているため、代替リングの実描画が必須（WCAG 2.4.11 / REQ-UI-AC-11）。
+    expect(shadowAfterKeyboard).not.toBe("none");
+    // ring-inset。外向きリングだと入力欄の丸角（rounded-lg）から角張って食み出す。
+    expect(shadowAfterKeyboard).toContain("inset");
+  });
+
+  // REQ-UI-AC-12 と同じ方針: jsdom は論理プロパティの実反転（物理側の特定）を検証できないため、
+  // `pe-10` / `end-0` が RTL で正しく反転することは E2E でのみガードできる（#1043）。
+  test("RTL ではトグルと入力欄パディングが揃って inline-end 側へ反転する", async ({
+    page,
+    loginPage,
+  }) => {
+    await loginPage.goto();
+
+    const measure = () =>
+      loginPage.passwordInput.evaluate((el) => {
+        const cs = getComputedStyle(el);
+        return {
+          left: el.getBoundingClientRect().left,
+          right: el.getBoundingClientRect().right,
+          paddingLeft: Number.parseFloat(cs.paddingLeft),
+          paddingRight: Number.parseFloat(cs.paddingRight),
+        };
+      });
+
+    const ltrInput = await measure();
+    const ltrToggle = await loginPage.passwordToggle.boundingBox();
+    if (!ltrToggle) throw new Error("トグルボタンの boundingBox を取得できない");
+
+    // LTR: アイコンは物理右、40px のパディングも物理右。
+    expect(ltrToggle.x).toBeGreaterThan(ltrInput.left + ltrInput.right - ltrInput.left - 60);
+    expect(ltrInput.paddingRight).toBeGreaterThan(ltrInput.paddingLeft);
+
+    await page.evaluate(() => document.documentElement.setAttribute("dir", "rtl"));
+
+    const rtlInput = await measure();
+    const rtlToggle = await loginPage.passwordToggle.boundingBox();
+    if (!rtlToggle) throw new Error("RTL 時のトグル boundingBox を取得できない");
+
+    // 入力欄そのものの位置は変わらない（レイアウトが崩れていないことの確認）。
+    expect(rtlInput.left).toBeCloseTo(ltrInput.left, 0);
+    expect(rtlInput.right).toBeCloseTo(ltrInput.right, 0);
+
+    // RTL: アイコンは物理左へ移り、40px のパディングも物理左へ揃って移動する。
+    // 物理プロパティ（right-0 / pr-10）に戻すと、この 2 つが逆側に分かれて red になる。
+    expect(rtlToggle.x).toBeLessThan(ltrToggle.x);
+    expect(rtlToggle.x).toBeCloseTo(rtlInput.left, 0);
+    expect(rtlInput.paddingLeft).toBeGreaterThan(rtlInput.paddingRight);
+    expect(rtlInput.paddingLeft).toBeCloseTo(ltrInput.paddingRight, 0);
+
+    await page.evaluate(() => document.documentElement.removeAttribute("dir"));
+  });
+});