@takagaki/cortex-decisions-viewer 0.12.17 → 0.12.19

package/dist/build.js

@@ -36,7 +36,10 @@ var __importDefault = (this && this.__importDefault) || function (mod) {
     return (mod && mod.__esModule) ? mod : { "default": mod };
 };
 Object.defineProperty(exports, "__esModule", { value: true });
+exports.sanitizeBody = sanitizeBody;
 exports.readFleetSources = readFleetSources;
+exports.readHarnessSchedules = readHarnessSchedules;
+exports.readHarnessShelf = readHarnessShelf;
 exports.readGoldProposals = readGoldProposals;
 exports.buildHomeGrounding = buildHomeGrounding;
 exports.collectMeetings = collectMeetings;
@@ -47,6 +50,7 @@ const node_fs_1 = require("node:fs");
 const path = __importStar(require("node:path"));
 const gray_matter_1 = __importDefault(require("gray-matter"));
 const marked_1 = require("marked");
+const sanitize_html_1 = __importDefault(require("sanitize-html"));
 const repo_1 = require("./repo");
 // 直近のGold昇格で追加されたレコードのパス集合。レコード生成の各所から参照するのでモジュールスコープに置く
 // （引数で引き回すと呼び出し側の改修が広範囲になる）。build() の冒頭で1回だけ解決する。
@@ -102,6 +106,88 @@ function toRelations(value) {
 function externalLinksToNewTab(html) {
     return html.replace(/<a href="(https?:\/\/[^"]*)"/g, '<a target="_blank" rel="noopener" href="$1"');
 }
+/**
+ * 本文HTMLで許可する構造。**Markdown（marked）が生成しうるものだけ**を列挙したホワイトリスト。
+ * ここに無いタグ・属性は落ちる（`<script>`・`on*` ハンドラ・`javascript:` 等）。
+ */
+const SANITIZE_OPTIONS = {
+    allowedTags: [
+        "p", "br", "hr",
+        "h1", "h2", "h3", "h4", "h5", "h6",
+        "strong", "em", "del", "code", "pre",
+        "ul", "ol", "li",
+        "blockquote",
+        "a", "img",
+        "table", "thead", "tbody", "tr", "th", "td",
+        // タスクリスト `- [ ]` / `- [x]` のチェック状態を残すのに要る。
+        // 落とすと**装飾ではなく情報（未完了/完了の別）が消える**
+        "input",
+    ],
+    allowedAttributes: {
+        a: ["href", "target", "rel"],
+        img: ["src", "alt", "title"], // src の許容スキームは allowedSchemesByTag で絞る
+        input: ["type", "checked", "disabled"],
+    },
+    allowedSchemes: ["http", "https", "mailto"],
+    allowedSchemesByTag: {
+        // 🔴 img は http(s) を**許可しない**。この画面は顧客が見るので、ブラウザが自動で
+        // 取りに行く外部参照を置くと「誰がいつ見たか」が参照先のログに残る
+        // （同じ理由で test/no-external-fetch.test.mjs が img を名指しで禁じている）。
+        // 埋め込みの data: 画像はネットワークに出ないので通す（実データに実在する）
+        img: ["data"],
+    },
+    transformTags: {
+        // data: のうち画像以外（data:text/html 等）を弾く。
+        // allowedSchemesByTag はスキーム名しか見ないので、その先を見る二重の防御
+        img: (tagName, attribs) => {
+            if (attribs.src && !/^data:image\//.test(attribs.src)) {
+                const { src, ...rest } = attribs;
+                return { tagName, attribs: rest };
+            }
+            return { tagName, attribs };
+        },
+        // checkbox 以外の input は本文で意味を持たないので無力化する
+        input: (tagName, attribs) => attribs.type === "checkbox" ? { tagName, attribs } : { tagName: "span", attribs: {} },
+    },
+    // 既定値だが明示する。タグを消して中身のテキストだけ残す（"escape" だと未対応のタグが
+    // 文字として画面に見える）。落ち方は test/sanitize-body.test.mjs で固定してある
+    disallowedTagsMode: "discard",
+    // 既定値だが明示する。`//host/` 形式は通るが、img は上でスキームを data: のみに
+    // 絞っているため弾かれ、a は元々 http(s) 外部リンクを許可する設計なので実益がない
+    allowProtocolRelative: true,
+};
+/**
+ * Markdown由来のHTMLを、閲覧者のブラウザに渡す前に無害化する。
+ *
+ * 案件リポジトリの本文（Slack・Backlog・議事録からの転記）は書き込み時の承認フローが無く、
+ * **ここが唯一の関所**。本文HTMLは render 側で `innerHTML` に流し込まれるため、
+ * ビルド時に通していないHTMLが画面へ届く経路を作らないこと。
+ */
+function sanitizeBody(html) {
+    return (0, sanitize_html_1.default)(html, SANITIZE_OPTIONS);
+}
+/**
+ * 詳細ページの本文用。先頭のH1＝タイトルは画面が別途表示するので除去する。
+ *
+ * 🔴 **H1除去を落とさないこと。** 落とすと1,000件超のレコードでタイトルが二重に出る。
+ *
+ * サニタイズ → target=_blank 付与、の順で適用する。`externalLinksToNewTab()` は
+ * 生HTML文字列への正規表現書き換えなので、**サニタイズ後に走らせて初めて**
+ * 「`<a href="http…` という並びがタグ以外の場所に現れない」という前提が保証される
+ * （サニタイズ済みHTMLはテキスト・属性値中の `<` `"` をエスケープ済み）。
+ */
+async function renderRecordBody(markdown) {
+    const html = sanitizeBody(await marked_1.marked.parse(markdown, { async: true }))
+        .replace(/^\s*<h1[^>]*>[\s\S]*?<\/h1>\s*/, "");
+    return externalLinksToNewTab(html);
+}
+/**
+ * Home.mdの自己記述セクション用。見出しはbuild側が別途付与するのでH1除去は要らない。
+ * 順序の理由は renderRecordBody と同じ。
+ */
+async function renderGroundingSection(markdown) {
+    return externalLinksToNewTab(sanitizeBody(await marked_1.marked.parse(markdown, { async: true })));
+}
 /**
  * 本文markdownを、検索用の軽量plaintextに変換する。
  * リッチHTMLはbodyRefへ外出しするため、inlineデータには検索できる最小限のテキストだけを残す。
@@ -362,10 +448,26 @@ async function readFleetSources(repoRoot) {
             const state = c.state != null ? String(c.state) : "";
             if (!state)
                 continue;
+            // アダプタごとの状態（#153・前方互換キー）。単数形は broken > on > その他 の代表値なので、
+            // 複数アダプタの能力ではこちらが各タイルの正本になる。**ここも明示の許可リスト**——
+            // 列挙し忘れたフィールドは静かに消える（このファイル冒頭の罠と同じ）。
+            // 無い・空・要素が壊れている（adapter か state を欠く）ときは載せず、
+            // 単数形の代表値へ倒す（矛盾した載せ方をされても行が消えない側に倒す）
+            const ads = Array.isArray(c.adapters)
+                ? c.adapters
+                    .filter((a) => a != null && typeof a === "object")
+                    .map((a) => ({
+                    adapter: a.adapter != null ? String(a.adapter) : "",
+                    state: a.state != null ? String(a.state) : "",
+                    detail: a.detail != null ? String(a.detail) : undefined,
+                }))
+                    .filter((a) => a.adapter !== "" && a.state !== "")
+                : [];
             out[cap] = {
                 adapter: c.adapter != null ? String(c.adapter) : "",
                 state,
                 detail: c.detail != null ? String(c.detail) : undefined,
+                ...(ads.length ? { adapters: ads } : {}),
             };
         }
         if (Object.keys(out).length)
@@ -433,6 +535,64 @@ async function readFleetSources(repoRoot) {
     }
     return { externalSources, slackWorkspaces, internalSources, pipelines, capabilities, fleetGeneratedAt, secretSources, secretSpaces, checks, githubOwners, backlogTarget };
 }
+/**
+ * いまオンになっているハーネスの機能（リポジトリ直下 `ハーネス連携/schedules.json`）を読む。
+ *
+ * **読み方は readFleetSources と同じ流儀**——素通しはせず、明示の許可リストを通す。
+ * このファイルは engine 側（プラン生成）と画面の両方が読む正本で、engine が先に欄を
+ * 増やすことがある。**知らないものは画面へ載せない**が唯一の安全側。
+ * 篩の実体は render.ts の `sanitizeHarnessSchedules`（画面側の楽観更新と同じ関数を通す
+ * ——写経して2枚にすると、片方だけ語彙を増やしたときに静かに食い違う）。
+ *
+ * **無い・壊れているときは undefined**（＝「何もオンでない」と同じ見え方）。
+ * 壊れの検知はプラン生成（赤で落ちる）と intake の責務で、画面がそれを兼ねると
+ * 「読めないから何も出さない」と「1件もオンでない」の区別が画面に出せない。
+ */
+async function readHarnessSchedules(repoRoot) {
+    let json;
+    try {
+        const raw = await node_fs_1.promises.readFile(path.join(repoRoot, "ハーネス連携", "schedules.json"), "utf8");
+        json = JSON.parse(raw);
+    }
+    catch {
+        return undefined; // 無い・壊れている → キーごと出さない
+    }
+    if (json == null || typeof json !== "object" || Array.isArray(json))
+        return undefined;
+    const rows = json.schedules;
+    if (!Array.isArray(rows))
+        return undefined;
+    return (0, render_1.sanitizeHarnessSchedules)(rows);
+}
+/**
+ * この案件で使う機能の棚（リポジトリ直下 `ハーネス連携/shelf.json`）を読む。
+ *
+ * **読み方は readHarnessSchedules と同じ流儀**（無い/壊れ→undefined・在れば配列）。
+ * ただし**意味が1つ違う**: このファイルは「無い」ことに意味がある（設計 B-1）。
+ *   - 無い     … まだ棚を作っていない → 画面はオン中の行を**注記なしで**並べる
+ *   - 在って空 … 意図した空 → 画面は空状態の文言に倒す
+ * ここで空配列と undefined を同一視すると、**画面がこの2つを言い分けられなくなる**
+ *（導入直後の既存案件が、いきなり「棚に無いがオン」の注記だらけになる）。
+ *
+ * `items` が配列でなければ undefined。**黙って [] にしない**——手で書いた棚を
+ * 「0件の棚」として画面に出すと、空状態の文言が嘘になる（intake 側の2分岐と同じ判断）。
+ */
+async function readHarnessShelf(repoRoot) {
+    let json;
+    try {
+        const raw = await node_fs_1.promises.readFile(path.join(repoRoot, "ハーネス連携", "shelf.json"), "utf8");
+        json = JSON.parse(raw);
+    }
+    catch {
+        return undefined; // 無い・壊れている → キーごと出さない（＝まだ棚を作っていない）
+    }
+    if (json == null || typeof json !== "object" || Array.isArray(json))
+        return undefined;
+    const rows = json.items;
+    if (!Array.isArray(rows))
+        return undefined;
+    return (0, render_1.sanitizeHarnessShelf)(rows);
+}
 /**
  * AIからの更新提案（`.cortex/gold-proposals.json`）を読む。
  *
@@ -596,7 +756,7 @@ async function buildHomeGrounding(rawMarkdown) {
             continue;
         sections.push({
             heading: h,
-            html: externalLinksToNewTab(await marked_1.marked.parse(hit.body, { async: true })),
+            html: await renderGroundingSection(hit.body),
         });
     }
     // 未記入の判定。新形式は「この案件について」と「ゴール」の2つ、旧形式は1つの節を見る。
@@ -618,7 +778,7 @@ async function buildHomeGrounding(rawMarkdown) {
         .filter((p) => !(p.heading != null && dropped.has(p.heading)))
         .map((p) => (p.heading == null ? p.body : `## ${p.heading}\n${p.body}`))
         .join("\n");
-    const restHtml = externalLinksToNewTab((await marked_1.marked.parse(rest, { async: true })).replace(/^\s*<h1[^>]*>[\s\S]*?<\/h1>\s*/, ""));
+    const restHtml = await renderRecordBody(rest);
     return { sections, unfilled, restHtml };
 }
 /** パスがディレクトリとして存在するか */
@@ -672,7 +832,7 @@ async function parseGeneric(raw, fileName, repoRelDir, repoBaseUrl, branch) {
             : data.summary != null
                 ? String(data.summary)
                 : "";
-    const bodyHtml = externalLinksToNewTab((await marked_1.marked.parse(content, { async: true })).replace(/^\s*<h1[^>]*>[\s\S]*?<\/h1>\s*/, ""));
+    const bodyHtml = await renderRecordBody(content);
     const filePath = repoRelDir ? `${repoRelDir}/${fileName}` : fileName;
     const editUrl = repoBaseUrl
         ? `${repoBaseUrl}/edit/${branch}/${encodePath(filePath)}`
@@ -1569,6 +1729,7 @@ async function build(opts) {
     }
     let home = null;
     let homeGrounding;
+    let homeUpdatedAt;
     const sections = [];
     if (knowledgeRoot) {
         try {
@@ -1584,6 +1745,16 @@ async function build(opts) {
         catch {
             // ホーム未作成の案件では着地画面なし（Decisionsタブが既定になる）
         }
+        // タイトル横の「最終更新」。**catch の外に置く**——上の catch は「ホーム未作成」
+        // という単一の意味を持つので、ここの想定外の例外まで飲ませない。
+        // 走る場所は repoRoot（絶対パス）。process.cwd() 起点にしない——Decisions
+        // ディレクトリで実行しても機能が生きるし、テストが本物の経路を通せる。
+        // Home.md 1ファイルへの git 呼び出しが1回増えるだけで、レコード数には依存しない
+        //（下の「git は2回だけ呼ぶ」の不変条件は保っている）
+        if (home) {
+            homeUpdatedAt =
+                (0, repo_1.lastSubstantiveUpdate)(repoRoot, path.basename(knowledgeRoot) + "/Home.md") ?? undefined;
+        }
         const rootEntries = await node_fs_1.promises.readdir(knowledgeRoot, { withFileTypes: true });
         for (const e of rootEntries) {
             if (!e.isDirectory() || e.name === "Decisions")
@@ -1619,6 +1790,10 @@ async function build(opts) {
     computeLayout(graph); // 各ノードに x/y を書き込む（クライアントはこれを初期位置に使いウォームアップ省略）
     // データソースと自動化（fleet-status.json 由来）。無ければ undefined でセクション非表示。
     const fleet = await readFleetSources(repoRoot);
+    // いまオンになっているハーネスの機能。無ければ undefined でタイルは「すべてオフ」
+    const harnessSchedules = await readHarnessSchedules(repoRoot);
+    // この案件で使う機能の棚。**無ければ undefined のまま**（「まだ棚を作っていない」）
+    const harnessShelf = await readHarnessShelf(repoRoot);
     // すでにある会議（投入モーダルの「会議名」の選択肢）。intake の有無に関わらず載せる——
     // 出し分けは表示側の仕事で、ここで絞ると「投入の口を後から付けたら選択肢が空」になる
     const meetings = await collectMeetings(repoRoot);
@@ -1637,6 +1812,7 @@ async function build(opts) {
         decisions,
         home,
         homeGrounding: homeGrounding,
+        homeUpdatedAt: homeUpdatedAt,
         sections,
         graph,
         categories,
@@ -1669,6 +1845,13 @@ async function build(opts) {
         checks: fleet.checks,
         githubOwners: fleet.githubOwners,
         backlogTarget: fleet.backlogTarget,
+        // **短縮記法（`harnessSchedules,`）にしないこと。** fleet-passthrough のテストが
+        // 「画面が読む欄を build.ts が受け渡しているか」を `名前:` の字面で走査しており、
+        // 短縮記法にすると、その守りの外へ静かに落ちる
+        harnessSchedules: harnessSchedules,
+        // 同上（短縮記法にしない）。**undefined のまま渡すのが仕様**——「棚が無い」と
+        // 「棚が空」を画面が言い分けるための材料で、ここで [] へ倒すと区別が消える
+        harnessShelf: harnessShelf,
         // null（無い・壊れ・version違い）は undefined へ落とす——SiteData の
         // 「知らないことはキーが無いことで表す」に合わせる（空の器を通さない）
         // 空の器は通さない（0件なら undefined = キーごと出さない）
@@ -1715,7 +1898,7 @@ async function parseDecision(raw, fileName, repoRelDir, repoBaseUrl, branch, ref
     const references = referencesRaw.map((r) => refs.resolve(r));
     const relations = toRelations(data.relations);
     // 本文先頭の H1 はタイトルと重複するため除去（詳細画面ではタイトルを別途表示する）
-    const bodyHtml = externalLinksToNewTab((await marked_1.marked.parse(content, { async: true })).replace(/^\s*<h1[^>]*>[\s\S]*?<\/h1>\s*/, ""));
+    const bodyHtml = await renderRecordBody(content);
     const filePath = repoRelDir ? `${repoRelDir}/${fileName}` : fileName;
     const editUrl = repoBaseUrl
         ? `${repoBaseUrl}/edit/${branch}/${encodePath(filePath)}`
@@ -1772,8 +1955,15 @@ function createRefResolver(opts) {
         if (!trimmed)
             return { label: trimmed, url: null };
         const mdLink = trimmed.match(/^\[([^\]]+)\]\(([^)]+)\)$/);
-        if (mdLink)
+        if (mdLink) {
+            // 🔴 http(s) 以外（`javascript:` `data:` 等）はリンクにしない。ラベルだけ残す。
+            // **ここは references の表示だけの話ではない。** この url はグラフのノードにも
+            // そのまま載り（addReferenceEdges）、ノードを押すと `window.open(n.url)` される。
+            // 描画側にスキーム検査は無いので、**この1箇所を緩めるとグラフ経由の穴が静かに開く**
+            if (!/^https?:\/\//.test(mdLink[2]))
+                return { label: mdLink[1], url: null };
             return { label: mdLink[1], url: mdLink[2] };
+        }
         if (/^https?:\/\//.test(trimmed))
             return { label: trimmed, url: trimmed };
         // 正本のURL（課題キー・material:・design:・minute:）。**ここが「ツールへ飛ぶ」の本体**