@takagaki/cortex-decisions-viewer 0.12.198 → 0.12.199

package/dist/google-confirm-page.js

@@ -1,47 +1,56 @@
 "use strict";
 /**
- * Drive・Google Chat の追加の確認ページ（cortex-tools #1357・設計 v3 §4）。
+ * Drive・Google Chat の追加の確認ページ（cortex-tools #1357・設計 v3 §4・「一発で Google へ」の改訂）。
  *
- * 追加欄（ビューア本体）は、このページをポップアップで開く。Google のトークンは**このページの中だけ**で扱い、
+ * 追加欄（ビューア本体）は、このページを**小さな窓**で開く（本体のクリックの中・1 回だけ）。Google のトークンは**このページの中だけ**で扱い、
  * intake の呼び出しもこのページが行って、ビューア本体には結果（成功か・画面に出す文言）だけを返す。
  * ビューア全体の CSP は緩めない——このページだけが Google の画面（Picker）を載せるので、ポータルの配信側が
  * このページのパスにだけ専用の CSP を当てる（classmethod-cortex-portal の `ViewerGoogleConfirm…` ポリシー）。
  *
- * ## 流れ
+ * ## 流れ（利用者が押すのは［Google で選ぶ］・アカウント・［許可］・フォルダだけ）
  *
- * 1. ビューア本体が `window.open` で開く → このページが `ready` を返す → 本体が指示（`start`）を返す
- *    （指示には intake の宛先・名乗り券・種別・追加か確認か・Chat の URL か確認したい行の ID が入る）
- * 2. ［Google で確認する］（利用者の操作）→ 承認用のウィンドウを**先に**開く（ポップアップを止められないため）
- * 3. intake に nonce をもらう（`google-nonce`）→ 承認用のウィンドウを Google の承認画面へ送る
- *    （`response_type=id_token token`・`nonce`・`prompt=select_account`）
- * 4. 承認が終わると、ポータルの戻り先の頁（`/google-confirm-callback.html`）が結果を同じオリジンへ返す
- *    （BroadcastChannel と opener の両方。`state` が合うものだけ受ける）
+ * 1. 本体が `window.open` でこのページを開く → このページが `ready` を返す → 本体が指示（`start`）を返す
+ *    （指示には intake の宛先・名乗り券・種別・追加か確認か・Chat の URL か確認したい行の ID・`flow` が入る）
+ * 2. **クリック無しで**そのまま: intake に nonce をもらい、**この窓そのもの**を Google の承認画面へ移す（`location.replace`）。
+ *    `state = flow + "." + base64url(このページの pathname)`。承認用の窓を別に開かない（`window.open` はもう無い）
+ * 3. 承認が終わると、ポータルの戻り先の頁（`/google-confirm-callback.html`）が、state の pathname の確認ページへ
+ *    フラグメントごと転送する（同じオリジンの 1 画面だけ）。このページは戻った最初に URL からフラグメントを消す
+ * 4. Google の窓の切り替えで opener は切れていることがあるので、本体とは `BroadcastChannel("…-v2.<flow>")` で再接続する
+ *    （`resume {flow}` → 本体が flow の一致を確かめて `start` を返す＝state の突き合わせは本体が持つ）。storage は使わない
  * 5. Drive は Picker でフォルダを選ぶ。選んだ ID（Chat は URL）とトークン 2 本と nonce を、op に **1 回で**送る
- * 6. 結果を本体へ返し、成功なら閉じる
+ *    （nonce は返った id_token の `nonce` クレームから読む。サーバが検証済みトークンと台帳で突き合わせる）
+ * 6. 結果を本体へ返し、成功なら閉じる（閉じられなければ［閉じる］）
  *
- * 🔴 トークン・nonce は変数に持つだけ。localStorage・URL・DOM・ログに書かない。戻り先の頁は受け取ったらすぐ URL の
- * フラグメントを消す。postMessage は送り元・送り先のオリジンを確かめる（同じオリジンだけ）。
+ * 🔴 トークン・nonce は変数に持つだけ。storage・DOM・ログに書かない。本体へはトークンを渡さない。
+ * postMessage は送り元・送り先のオリジンを確かめる（同じオリジンだけ）。
  *
  * 文言（画面に出る言葉）の正本は intake の `GOOGLE_CONFIRM_MESSAGES`。ここにあるのは、サーバに届く前の失敗の言葉だけ。
  */
 Object.defineProperty(exports, "__esModule", { value: true });
-exports.GOOGLE_CONFIRM_SCOPES = exports.GOOGLE_CONFIRM_CALLBACK_TYPE = exports.GOOGLE_CONFIRM_CHANNEL = exports.GOOGLE_CONFIRM_CALLBACK_PATH = exports.GOOGLE_CONFIRM_POST_TYPES = exports.GOOGLE_CONFIRM_PAGE_FILE = void 0;
+exports.GOOGLE_CONFIRM_SCOPES = exports.GOOGLE_CONFIRM_WINDOW_FEATURES = exports.GOOGLE_CONFIRM_CHANNEL_PREFIX = exports.GOOGLE_CONFIRM_CALLBACK_PATH = exports.GOOGLE_CONFIRM_POST_TYPES = exports.GOOGLE_CONFIRM_PAGE_FILE = void 0;
 exports.googleConfirmAssetName = googleConfirmAssetName;
 exports.googleConfirmPageJs = googleConfirmPageJs;
 exports.renderGoogleConfirmPage = renderGoogleConfirmPage;
 const node_crypto_1 = require("node:crypto");
 /** ページのファイル名（ビューアの出力の直下。本体からの相対参照で開く） */
 exports.GOOGLE_CONFIRM_PAGE_FILE = "google-confirm.html";
-/** 本体とページの間の postMessage の型（本体の埋め込み JS にも同じ綴りを流し込む） */
+/** 本体とページの間のメッセージの型（本体の埋め込み JS にも同じ綴りを流し込む）。`ready`/`start` は opener、`resume`（チャンネルだけ）・`leaving`/`result`（チャンネルと生きていれば opener）・`start`（返事）は BroadcastChannel */
 exports.GOOGLE_CONFIRM_POST_TYPES = {
     ready: "cortex-google-confirm-ready",
     start: "cortex-google-confirm-start",
     result: "cortex-google-confirm-result",
+    leaving: "cortex-google-confirm-leaving",
+    resume: "cortex-google-confirm-resume",
+    alive: "cortex-google-confirm-alive",
 };
-/** ポータルの戻り先の頁と、同じオリジンの中で結果を運ぶ BroadcastChannel の名前 */
+/**
+ * ポータルの戻り先の頁と、窓が Google から戻ったあとに本体と再接続する BroadcastChannel の名前（`<名前><flow>`）。
+ * 旧版の戻り先の頁が `cortex-google-confirm`（トークン入りの hash）を流すので、別の名前にして本体の受け口に混ざらないようにする
+ */
 exports.GOOGLE_CONFIRM_CALLBACK_PATH = "/google-confirm-callback.html";
-exports.GOOGLE_CONFIRM_CHANNEL = "cortex-google-confirm";
-exports.GOOGLE_CONFIRM_CALLBACK_TYPE = "cortex-google-callback";
+exports.GOOGLE_CONFIRM_CHANNEL_PREFIX = "cortex-google-confirm-v2.";
+/** 本体が確認ページを開く窓の features（小さな窓。`popup` と大きさ） */
+exports.GOOGLE_CONFIRM_WINDOW_FEATURES = "popup=yes,width=520,height=680,resizable=yes,scrollbars=yes";
 /** 種別ごとの承認のスコープ（`openid` は共通）。intake の `GOOGLE_SCOPES` と同じ綴り（テストが突き合わせる） */
 exports.GOOGLE_CONFIRM_SCOPES = {
     drive: "https://www.googleapis.com/auth/drive.file",
@@ -55,15 +64,22 @@ function googleConfirmAssetName(js) {
 function googleConfirmPageJs() {
     return `(function () {
   "use strict";
+  // 🔴 戻ってきたときのフラグメント（トークン入り）は、何よりも先に URL から消して変数にだけ持つ
+  var RETURNED_HASH = location.hash || "";
+  if (RETURNED_HASH) {
+    try { history.replaceState(null, "", location.pathname + location.search); } catch (e) { /* 消せなくても、ここから外へは何も送らない */ }
+  }
   var MSG = ${JSON.stringify(exports.GOOGLE_CONFIRM_POST_TYPES)};
   var CALLBACK_PATH = ${JSON.stringify(exports.GOOGLE_CONFIRM_CALLBACK_PATH)};
-  var CHANNEL = ${JSON.stringify(exports.GOOGLE_CONFIRM_CHANNEL)};
-  var CALLBACK_TYPE = ${JSON.stringify(exports.GOOGLE_CONFIRM_CALLBACK_TYPE)};
+  var CHANNEL_PREFIX = ${JSON.stringify(exports.GOOGLE_CONFIRM_CHANNEL_PREFIX)};
   var SCOPES = ${JSON.stringify(exports.GOOGLE_CONFIRM_SCOPES)};
   var ORIGIN = location.origin;
   var UNFINISHED = "Google での確認が終わっていません。もう一度押してください";
-  var CLOSED_GRACE_MS = 6000;
+  var UNAVAILABLE = "今は確認できません。しばらくしてからもう一度";
+  var NO_PARENT = "元の画面が見つかりません。追加欄からもう一度やり直してください";
+  var RESUME_WAIT_MS = 8000;
   var ADMIN_NOTE = "相手の管理者がこのアプリを許可する必要があります";
+  var FLOW_RE = /^[0-9a-f]{32}$/;
 
   var $ = function (id) { return document.getElementById(id); };
   var titleEl = $("gc-title");
@@ -73,6 +89,8 @@ function googleConfirmPageJs() {
   var closeBtn = $("gc-close");
 
   var ctx = null;
+  var flow = null;
+  var channel = null;
   var busy = false;
   var finished = false;
 
@@ -80,38 +98,52 @@ function googleConfirmPageJs() {
     statusEl.textContent = text || "";
     statusEl.className = "gc-status" + (cls ? " " + cls : "");
   }
-  function randomText(bytes) {
-    var a = new Uint8Array(bytes);
-    crypto.getRandomValues(a);
-    var out = "";
-    for (var i = 0; i < a.length; i++) out += (a[i] < 16 ? "0" : "") + a[i].toString(16);
-    return out;
+  function b64urlEncode(text) {
+    return btoa(text).replace(/\\+/g, "-").replace(/\\//g, "_").replace(/=+$/, "");
   }
-  /** 本体へ結果だけを返す（トークンは載せない）。同じオリジンの opener にだけ */
-  function reportToOpener(result) {
+  /** 本体へ送る。同じ BroadcastChannel（flow 入りの名前）と、生きていれば opener の両方（オリジンは同じものだけ） */
+  function send(message, channelOnly) {
+    var body = Object.assign({ flow: flow }, message);
+    try { if (channel) channel.postMessage(body); } catch (e) { /* 閉じている */ }
+    if (channelOnly) return;
     try {
-      if (window.opener && !window.opener.closed) {
-        window.opener.postMessage(Object.assign({ type: MSG.result }, result), ORIGIN);
-      }
+      if (window.opener && !window.opener.closed) window.opener.postMessage(body, ORIGIN);
     } catch (e) { /* 本体が閉じていても、このページの表示は残す */ }
   }
-  /** 成功: 閉じる。本体へ結果を返す */
+  function openChannel() {
+    if (channel || !flow) return;
+    try {
+      channel = new BroadcastChannel(CHANNEL_PREFIX + flow);
+      channel.onmessage = function (ev) { acceptStart(ev.data); };
+    } catch (e) { channel = null; }
+  }
+  /** 成功: 本体へ結果を返し、閉じる（閉じられなければ［閉じる］と案内が残る） */
   function succeed(message, extra) {
     finished = true;
     busy = false;
     goBtn.hidden = true;
     closeBtn.hidden = false;
-    setStatus("✓ " + message, "is-ok");
-    reportToOpener(Object.assign({ ok: true, message: message }, extra || {}));
+    setStatus("✓ " + message + "。このウィンドウは閉じて構いません", "is-ok");
+    send(Object.assign({ type: MSG.result, ok: true, message: message }, extra || {}));
     setTimeout(function () { try { window.close(); } catch (e) { /* 閉じられなくても表示は残る */ } }, 1200);
   }
   /** 失敗: 理由を出し、押し直せるように戻す（別のアカウントでやり直す人のため）。本体にも理由を渡す */
   function retryable(message, extra) {
     busy = false;
+    goBtn.hidden = false;
     goBtn.disabled = false;
     goBtn.textContent = "もう一度 Google で確認する";
+    closeBtn.hidden = false;
+    setStatus("✗ " + message, "is-error");
+    send(Object.assign({ type: MSG.result, ok: false, message: message }, extra || {}));
+  }
+  /** 続けられない（本体が見つからない・結果が読めない）: 理由と［閉じる］だけ */
+  function dead(message) {
+    busy = false;
+    finished = true;
+    goBtn.hidden = true;
+    closeBtn.hidden = false;
     setStatus("✗ " + message, "is-error");
-    reportToOpener(Object.assign({ ok: false, message: message }, extra || {}));
   }
 
   /** intake を 1 回呼ぶ。戻り値は { status, body }（body は JSON か、文字列のとき { message } に直す） */
@@ -133,50 +165,11 @@ function googleConfirmPageJs() {
     var intake = ctx.intake;
     var url = intake.url + (intake.url.indexOf("?") === -1 ? "?" : "&") + "op=google-confirm-info&t=" + encodeURIComponent(intake.token);
     return fetch(url, { method: "POST", headers: { "content-type": "application/json" }, body: JSON.stringify(ctx.ticket ? { actor: ctx.ticket } : {}) })
-      .then(function (res) { return res.json().catch(function () { return {}; }); });
-  }
-
-  /** 承認の結果を待つ。BroadcastChannel と opener の両方を聞き、state が合うものだけを受ける */
-  function waitForCallback(state, authWin) {
-    return new Promise(function (resolve) {
-      var done = false;
-      var bc = null;
-      var timer = null;
-      function settle(value) {
-        if (done) return;
-        done = true;
-        clearInterval(timer);
-        window.removeEventListener("message", onMessage);
-        try { if (bc) bc.close(); } catch (e) { /* 閉じられなくても害は無い */ }
-        resolve(value);
-      }
-      function accept(data) {
-        if (!data || data.type !== CALLBACK_TYPE || typeof data.hash !== "string") return;
-        var params = new URLSearchParams(data.hash.replace(/^#/, ""));
-        // 別の流れの結果（古い承認・別のタブ）は受けない
-        if (params.get("state") !== state) return;
-        settle({ params: params });
-      }
-      function onMessage(ev) {
-        // 🔴 送り元のオリジンと、開いた承認用のウィンドウであることを確かめる
-        if (ev.origin !== ORIGIN || ev.source !== authWin) return;
-        accept(ev.data);
-      }
-      window.addEventListener("message", onMessage);
-      try {
-        bc = new BroadcastChannel(CHANNEL);
-        bc.onmessage = function (ev) { accept(ev.data); };
-      } catch (e) { bc = null; }
-      // 承認のウィンドウが（結果を返さずに）閉じられた
-      // ブラウザによっては、承認の途中で Google 側の設定によりウィンドウの所属が切り替わり、こちらから見て closed が真になる。
-      // すぐ失敗にせず、結果（BroadcastChannel）を少し待つ
-      var closedAt = 0;
-      timer = setInterval(function () {
-        if (!authWin.closed) { closedAt = 0; return; }
-        if (!closedAt) closedAt = Date.now();
-        if (Date.now() - closedAt >= CLOSED_GRACE_MS) settle({ closed: true });
-      }, 500);
-    });
+      .then(function (res) { return res.json().catch(function () { return {}; }); })
+      .then(function (i) {
+        if (!i || i.enabled !== true || i.ready !== true) throw { message: UNAVAILABLE };
+        return i;
+      });
   }
 
   function authUrl(info, nonce, state) {
@@ -192,6 +185,15 @@ function googleConfirmPageJs() {
     ];
     return "https://accounts.google.com/o/oauth2/v2/auth?" + q.map(function (kv) { return kv[0] + "=" + encodeURIComponent(kv[1]); }).join("&");
   }
+  /** 返った id_token の nonce クレーム（検証はサーバ。ここは送り返すために読むだけ） */
+  function nonceOfIdToken(idToken) {
+    try {
+      var payload = idToken.split(".")[1].replace(/-/g, "+").replace(/_/g, "/");
+      var nonce = JSON.parse(atob(payload)).nonce;
+      if (typeof nonce === "string" && nonce) return nonce;
+    } catch (e) { /* 読めない */ }
+    throw { message: UNFINISHED };
+  }
 
   function loadScript(src) {
     return new Promise(function (resolve, reject) {
@@ -235,22 +237,21 @@ function googleConfirmPageJs() {
     }
     return UNFINISHED;
   }
+  function failureMessage(e) {
+    // 通信そのものの失敗（Error）の英語の文面は画面に出さない
+    return Object.prototype.toString.call(e) === "[object Error]" ? UNAVAILABLE : e && e.message ? e.message : UNFINISHED;
+  }
 
-  /** ［Google で確認する］を押したあとの全部 */
-  function run() {
+  /** 🔴 クリック無しで進む: nonce をもらい、この窓そのものを Google の承認画面へ移す */
+  function go() {
     if (busy || finished || !ctx) return;
     busy = true;
-    goBtn.disabled = true;
-    setStatus("Google の画面で確認してください…", "");
-    // 🔴 承認用のウィンドウは、押した直後（同期）に開く。後ろへ回すとポップアップとして止められる
-    var authWin = window.open("about:blank", "cortex-google-auth", "popup,width=500,height=680");
-    if (!authWin) { retryable("ポップアップが開けませんでした。ブラウザのポップアップを許可して、もう一度押してください"); return; }
+    goBtn.hidden = true;
+    closeBtn.hidden = true;
+    setStatus("Google の画面へ移動しています…", "");
     var info = null;
-    var nonce = null;
-    var tokens = null;
     loadInfo()
       .then(function (i) {
-        if (!i || i.enabled !== true || i.ready !== true) throw { message: "今は確認できません。しばらくしてからもう一度" };
         info = i;
         var body = { op: "google-nonce", kind: ctx.kind };
         if (ctx.kind === "google-chat") body.url = ctx.url || ctx.id;
@@ -258,24 +259,38 @@ function googleConfirmPageJs() {
         return callIntake(body);
       })
       .then(function (r) {
-        if (r.status !== 200 || !r.body.nonce) throw { message: r.body.message || "今は確認できません。しばらくしてからもう一度" };
-        nonce = r.body.nonce;
-        var state = randomText(16);
-        var waiting = waitForCallback(state, authWin);
-        authWin.location.href = authUrl(info, nonce, state);
-        return waiting;
+        if (r.status !== 200 || !r.body.nonce) throw { message: r.body.message || UNAVAILABLE };
+        var state;
+        try { state = flow + "." + b64urlEncode(location.pathname); } catch (e) { throw { message: UNAVAILABLE }; }
+        // 本体へ「これから Google へ移る」と知らせる（窓の見張りを、Google にいる間は失敗にしないため）
+        send({ type: MSG.leaving });
+        location.replace(authUrl(info, r.body.nonce, state));
       })
-      .then(function (cb) {
-        try { authWin.close(); } catch (e) { /* もう閉じている */ }
-        if (cb.closed) throw { message: UNFINISHED };
-        var p = cb.params;
-        if (p.get("error")) throw { message: authErrorMessage(p.get("error")) };
-        var access = p.get("access_token");
-        var idToken = p.get("id_token");
+      .catch(function (e) { retryable(failureMessage(e)); });
+  }
+
+  /** Google から戻ったあと: フラグメントのトークンで、Picker（Drive）→ op を 1 回 */
+  function afterReturn(params) {
+    if (busy || finished || !ctx) return;
+    busy = true;
+    goBtn.hidden = true;
+    closeBtn.hidden = true;
+    setStatus("確認しています…", "");
+    var tokens = null;
+    var info = null;
+    Promise.resolve()
+      .then(function () {
+        if (params.get("error")) throw { message: authErrorMessage(params.get("error")) };
+        var access = params.get("access_token");
+        var idToken = params.get("id_token");
         if (!access || !idToken) throw { message: UNFINISHED };
-        tokens = { googleToken: access, googleIdToken: idToken, googleNonce: nonce };
+        tokens = { googleToken: access, googleIdToken: idToken, googleNonce: nonceOfIdToken(idToken) };
+        return loadInfo();
+      })
+      .then(function (i) {
+        info = i;
         // Drive の追加と確認は、承認のあとに本人が Picker で選ぶ（drive.file はここで選んだものだけが読める）
-        if (ctx.kind === "drive") return pickFolder(info, access);
+        if (ctx.kind === "drive") return pickFolder(info, tokens.googleToken);
         return null;
       })
       .then(function (picked) {
@@ -302,20 +317,17 @@ function googleConfirmPageJs() {
       })
       .catch(function (e) {
         tokens = null;
-        try { authWin.close(); } catch (e2) { /* もう閉じている */ }
-        // 通信そのものの失敗（Error）の英語の文面は画面に出さない
-        var message = Object.prototype.toString.call(e) === "[object Error]" ? "今は確認できません。しばらくしてからもう一度" : e && e.message ? e.message : UNFINISHED;
-        retryable(message);
+        retryable(failureMessage(e));
       });
   }
 
-  function onStart(ev) {
-    // 🔴 同じオリジンの、このページを開いた本体からの指示だけを受ける
-    if (ev.origin !== ORIGIN || ev.source !== window.opener) return;
-    var d = ev.data;
+  /** 本体からの指示（opener か BroadcastChannel）。flow が合うものだけを 1 回だけ受ける */
+  function acceptStart(d) {
     if (!d || d.type !== MSG.start || ctx) return;
+    if (typeof d.flow !== "string" || !FLOW_RE.test(d.flow) || (flow && d.flow !== flow)) return;
     if (!d.intake || typeof d.intake.url !== "string" || typeof d.intake.token !== "string") return;
     if (d.kind !== "drive" && d.kind !== "google-chat") return;
+    flow = d.flow;
     ctx = { intake: d.intake, ticket: typeof d.ticket === "string" ? d.ticket : null, kind: d.kind, mode: d.mode === "confirm" ? "confirm" : "add", url: typeof d.url === "string" ? d.url : "", id: typeof d.id === "string" ? d.id : "" };
     var isDrive = ctx.kind === "drive";
     var what = isDrive ? "Drive のフォルダ" : "Google Chat のスペース";
@@ -323,16 +335,48 @@ function googleConfirmPageJs() {
     leadEl.textContent = isDrive
       ? "あなたの Google アカウントで、追加するフォルダを選びます。選んだフォルダだけを Cortex が確認に使います。「このアプリは Google で確認されていません」と出たら、「詳細」から進めます。"
       : "あなたの Google アカウントで、このスペースを開けるかを確認します。メッセージは読みません。";
-    goBtn.textContent = "Google で確認する";
-    goBtn.hidden = false;
-    setStatus("", "");
+    openChannel();
+    // 作業中（Picker の選択など）は本体へ生存の合図を送る。本体は、窓が閉じたように見えても、合図が続いている間は失敗にしない
+    setInterval(function () { if (!finished) send({ type: MSG.alive }, true); }, 3000);
+    if (returned) afterReturn(returned.params);
+    else go();
+  }
+  function onOpenerMessage(ev) {
+    // 🔴 同じオリジンの、このページを開いた本体からの指示だけを受ける
+    if (ev.origin !== ORIGIN || ev.source !== window.opener) return;
+    acceptStart(ev.data);
   }
 
-  goBtn.addEventListener("click", run);
+  /** 戻ってきたとき: state から flow を取り出す（取れなければ続けられない） */
+  var returned = null;
+  if (RETURNED_HASH) {
+    var params = new URLSearchParams(RETURNED_HASH.replace(/^#/, ""));
+    var returnedState = params.get("state") || "";
+    var returnedFlow = returnedState.split(".")[0];
+    if (FLOW_RE.test(returnedFlow)) returned = { params: params, flow: returnedFlow };
+  }
+
+  goBtn.addEventListener("click", function () { go(); });
   closeBtn.addEventListener("click", function () { try { window.close(); } catch (e) { /* 閉じられなければそのまま */ } });
-  window.addEventListener("message", onStart);
-  // このページは本体から開かれたときだけ使える
-  if (window.opener) {
+  window.addEventListener("message", onOpenerMessage);
+
+  if (returned) {
+    // 窓が Google から戻ってきた。opener は切れていることがあるので、flow 入りのチャンネルで本体を呼び、指示をもらう
+    flow = returned.flow;
+    openChannel();
+    setStatus("確認の続きを準備しています…", "");
+    var asked = 0;
+    var timer = setInterval(function () {
+      if (ctx) { clearInterval(timer); return; }
+      asked += 1;
+      if (asked * 1000 > RESUME_WAIT_MS) { clearInterval(timer); dead(NO_PARENT); return; }
+      send({ type: MSG.resume }, true);
+    }, 1000);
+    send({ type: MSG.resume }, true);
+  } else if (RETURNED_HASH) {
+    dead("確認の結果を読み取れませんでした。追加欄からもう一度やり直してください");
+  } else if (window.opener) {
+    // このページは本体から開かれたときだけ使える
     try { window.opener.postMessage({ type: MSG.ready }, ORIGIN); } catch (e) { /* 本体が閉じた */ }
   } else {
     setStatus("このページは、追加欄の［Google で選ぶ］などから開きます。", "");

package/dist/render.js

@@ -6248,6 +6248,14 @@ const CLIENT_JS = `
   // 注: ここは埋め込みJSのテンプレートリテラル内。コメントでもバッククォートを使わない
   var GC_PAGE = ${JSON.stringify(google_confirm_page_1.GOOGLE_CONFIRM_PAGE_FILE)};
   var GC_MSG = ${JSON.stringify(google_confirm_page_1.GOOGLE_CONFIRM_POST_TYPES)};
+  var GC_CHANNEL = ${JSON.stringify(google_confirm_page_1.GOOGLE_CONFIRM_CHANNEL_PREFIX)};
+  var GC_FEATURES = ${JSON.stringify(google_confirm_page_1.GOOGLE_CONFIRM_WINDOW_FEATURES)};
+  var GC_CLOSED_GRACE_MS = 6000;
+  var GC_LEFT_GRACE_MS = 15000;
+  var GC_TIMEOUT_MS = 600000;
+  var GC_START_MAX = 5;
+  // 進行中の確認は 1 つだけ（全ボタン共通）
+  var gcPending = null;
   var GC_UNFINISHED = "Google での確認が終わっていません。もう一度押してください";
   var GC_UNAVAILABLE = "今は確認できません。しばらくしてからもう一度";
   // サーバの op=state が返す googleConfirm（栓が切なら無い＝null＝今の追加欄のまま）。取れていない間も null
@@ -6273,45 +6281,122 @@ const CLIENT_JS = `
     return !!c && Array.isArray(c[kind]) && c[kind].indexOf(id) >= 0;
   }
   /**
-   * 確認ページをポップアップで開き、結果を待つ。**ここで受け取るのは結果だけ**（トークンは来ない）。
-   * 🔴 メッセージは同じオリジンの、いま開いたウィンドウからのものだけを受ける。閉じられたら、最後の失敗の理由（無ければ「終わっていません」）
+   * 確認ページを小さな窓で開き、結果を待つ。**ここで受け取るのは結果だけ**（トークンは来ない）。
+   * 窓は Google へ移って戻ってくる間に opener が切れることがあるので、戻りは BroadcastChannel（flow 入りの名前）で受ける。
+   * 🔴 flow は本体と確認ページしか知らない乱数。flow の合わないメッセージ・型の違うメッセージは捨てる。読むのは type・flow・ok・message・changed だけ。
+   * 窓が閉じても、Google へ移ったあと（leaving を受けたあと）は失敗にしない。終わりは result・10 分の期限・次のクリックでの置き換え。
    */
+  function gcRandomFlow() {
+    var a = new Uint8Array(16);
+    crypto.getRandomValues(a);
+    var out = "";
+    for (var i = 0; i < a.length; i++) out += (a[i] < 16 ? "0" : "") + a[i].toString(16);
+    return out;
+  }
+  function gcWindowFeatures() {
+    var w = 520, h = 680;
+    var left = Math.max(0, Math.round((window.screenX || 0) + ((window.outerWidth || w) - w) / 2));
+    var top = Math.max(0, Math.round((window.screenY || 0) + ((window.outerHeight || h) - h) / 3));
+    return GC_FEATURES + ",left=" + left + ",top=" + top;
+  }
   function openGoogleConfirm(opts) {
     return new Promise(function (resolve) {
+      // 前の確認が残っていれば、窓が生きている間は前面に出すだけ。閉じていれば捨てて新しく始める
+      if (gcPending) {
+        try { if (gcPending.win && !gcPending.win.closed) { gcPending.win.focus(); resolve({ ok: false, message: "開いている Google の窓で続けてください" }); return; } } catch (e) { /* 捨てて続ける */ }
+        gcPending.discard();
+      }
       var intake = SITE.intake;
-      var win = window.open(new URL(GC_PAGE, location.href).href, "cortex-google-confirm", "popup,width=520,height=640");
+      var flow = gcRandomFlow();
+      var win = window.open(new URL(GC_PAGE, location.href).href, "cortex-google-confirm", gcWindowFeatures());
       if (!win) { resolve({ ok: false, message: "ポップアップが開けませんでした。ブラウザのポップアップを許可して、もう一度押してください" }); return; }
-      var done = false;
+      var done = false; // 後始末まで済んだ
+      var resolved = false; // 呼び手へ結果を返した（Google にいる間に失敗として返しても、flow は期限まで生かす）
+      var left = false;
+      var resumes = 0;
+      var readySent = false;
       var last = null;
+      var closedAt = 0;
+      var channel = null;
       var timer = null;
-      function end(r) {
+      var startedAt = Date.now();
+      function settle(r) {
+        if (resolved) return;
+        resolved = true;
+        resolve(r);
+      }
+      function finish() {
         if (done) return;
         done = true;
-        window.removeEventListener("message", onMsg);
+        window.removeEventListener("message", onOpenerMsg);
+        try { if (channel) channel.close(); } catch (e) { /* 閉じ済み */ }
         clearInterval(timer);
-        resolve(r);
+        if (gcPending && gcPending.flow === flow) gcPending = null;
       }
-      function onMsg(ev) {
-        if (ev.origin !== location.origin || ev.source !== win || !ev.data) return;
-        if (ev.data.type === GC_MSG.ready) {
-          win.postMessage({
-            type: GC_MSG.start,
-            intake: { url: intake.url, token: intake.token },
-            ticket: actorTicket(),
-            kind: opts.kind,
-            mode: opts.mode,
-            url: opts.url || "",
-            id: opts.id || "",
-          }, location.origin);
-        } else if (ev.data.type === GC_MSG.result) {
-          if (ev.data.ok) end({ ok: true, message: ev.data.message, changed: ev.data.changed });
-          else last = ev.data;
+      function end(r) {
+        settle(r);
+        finish();
+      }
+      function sendStart(target) {
+        // 名乗り券は、Google で時間がかかっても切れないよう、払い出すたびに作り直す
+        target({
+          type: GC_MSG.start,
+          flow: flow,
+          intake: { url: intake.url, token: intake.token },
+          ticket: actorTicket(),
+          kind: opts.kind,
+          mode: opts.mode,
+          url: opts.url || "",
+          id: opts.id || "",
+        });
+      }
+      function handle(data, replyTo) {
+        if (done || !data || typeof data !== "object" || data.flow !== flow) return;
+        closedAt = 0;
+        if (data.type === GC_MSG.resume) {
+          // 戻ってきた窓が指示をもらい直す（Google から戻るたび。上限つき）
+          if (resumes < GC_START_MAX) { resumes += 1; sendStart(replyTo); }
+        } else if (data.type === GC_MSG.leaving) left = true;
+        else if (data.type === GC_MSG.result) {
+          if (data.ok) {
+            // 失敗として返したあとに成功が届いたら、一覧だけ取り直す
+            if (resolved) afterGoogleConfirm();
+            end({ ok: true, message: data.message, changed: data.changed });
+          } else if (!resolved) last = { message: typeof data.message === "string" ? data.message : null };
         }
       }
-      window.addEventListener("message", onMsg);
+      function viaChannel(msg) { try { if (channel) channel.postMessage(msg); } catch (e) { /* 閉じている */ } }
+      function viaWindow(msg) { try { win.postMessage(msg, location.origin); } catch (e) { /* 閉じている */ } }
+      function onOpenerMsg(ev) {
+        if (ev.origin !== location.origin || ev.source !== win || !ev.data) return;
+        // 最初の ready だけは flow を持たない（開いたばかり）。1 回だけ指示を返す
+        if (ev.data.type === GC_MSG.ready) { closedAt = 0; if (!readySent) { readySent = true; sendStart(viaWindow); } return; }
+        // resume はチャンネルで受けるので、opener 経由の複製は捨てる（払い出しの二重消費を避ける）
+        if (ev.data.type === GC_MSG.resume) return;
+        handle(ev.data, viaWindow);
+      }
+      try {
+        channel = new BroadcastChannel(GC_CHANNEL + flow);
+        channel.onmessage = function (ev) { handle(ev.data, viaChannel); };
+      } catch (e) { channel = null; }
+      window.addEventListener("message", onOpenerMsg);
       timer = setInterval(function () {
-        if (win.closed) end({ ok: false, message: last && last.message ? last.message : GC_UNFINISHED });
+        var now = Date.now();
+        var failure = last && last.message ? last.message : GC_UNFINISHED;
+        if (now - startedAt >= GC_TIMEOUT_MS) { end({ ok: false, message: failure }); return; }
+        var closed = false;
+        try { closed = win.closed; } catch (e) { closed = true; }
+        if (!closed) { closedAt = 0; return; }
+        if (!closedAt) closedAt = now;
+        if (left) {
+          // Google へ移ったあと: 窓の所属が切り替わって closed に見えることがある。呼び手には押し直せる形で返すが、
+          // flow は期限まで生かす（窓が実は生きていて、戻って resume してくる場合に備える）
+          if (now - closedAt >= GC_LEFT_GRACE_MS) settle({ ok: false, message: failure });
+        } else if (now - closedAt >= GC_CLOSED_GRACE_MS) {
+          end({ ok: false, message: failure });
+        }
       }, 500);
+      gcPending = { flow: flow, win: win, discard: function () { end({ ok: false, message: GC_UNFINISHED }); } };
     });
   }
   /** 確認が済んだあとの後始末: 登録の一覧と確認済みの一覧（どちらも op=state）を取り直し、開いている一覧を描き直す */

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@takagaki/cortex-decisions-viewer",
-  "version": "0.12.198",
+  "version": "0.12.199",
   "description": "Cortexの意思決定記録（Decisions/*.md）を静的サイトにビルドして閲覧する。各レコードに「Edit on GitHub」リンクを付与する。",
   "license": "UNLICENSED",
   "private": false,