@takagaki/cortex-decisions-viewer 0.12.73 → 0.12.75

package/dist/build.js

@@ -57,9 +57,35 @@ const marked_1 = require("marked");
 const sanitize_html_1 = __importDefault(require("sanitize-html"));
 const repo_1 = require("./repo");
 const rederivation_1 = require("./rederivation");
+const person_redact_1 = require("./person-redact");
 // 直近のGold昇格で追加されたレコードのパス集合。レコード生成の各所から参照するのでモジュールスコープに置く
 // （引数で引き回すと呼び出し側の改修が広範囲になる）。build() の冒頭で1回だけ解決する。
 let LATEST_PATHS = new Set();
+/**
+ * メンバーの記録から落としたメールアドレス・外の ID の件数（#681）。
+ *
+ * **ビルドログに出す。** 実データ（案件リポジトリ）はこのリポジトリから触れないので、
+ * 「どれだけ隠したか」を数えられる口はここしかない。配布後に Actions のログから
+ * 全案件ぶんが拾える（発注書 3 の「見つけた数だけ報告する」）。
+ */
+const memberRedaction = {
+    records: 0,
+    dropped: 0,
+    reset() {
+        this.records = 0;
+        this.dropped = 0;
+    },
+    record(dropped) {
+        this.records++;
+        this.dropped += dropped;
+    },
+    report() {
+        // 落とすものが 1 つも無かった案件では黙る（毎晩「0 個落としました」を出さない）
+        if (!this.dropped)
+            return;
+        console.warn(`メンバーの記録 ${this.records} 件から、メールアドレスと外の ID を ${this.dropped} 個落としました（画面にも配るデータにも出しません）`);
+    },
+};
 /**
  * このレコードが「直近のGold昇格で追加されたもの」か。
  *
@@ -676,13 +702,16 @@ function attachRederived(records, recordsRel, ctx, nowIso) {
     if (!ctx)
         return records;
     const pathOf = (r) => (recordsRel ? `${recordsRel}/${r.fileName}` : r.fileName);
+    // 🔴 **「確認済み」は `status` だけで決まる**（#667）。帯も並びも同じ `rstatus` を見る
+    // ——ここで別のものを渡すと、画面の札と食い違う（「未確認」の札が付いた記録に帯が出る）
+    const statusOf = (r) => r.rstatus;
     for (const r of records) {
-        const band = (0, rederivation_1.rederivedBandOf)(pathOf(r), ctx.ledgers, ctx.identities, ctx.miss);
+        const band = (0, rederivation_1.rederivedBandOf)(pathOf(r), statusOf(r), ctx.ledgers, ctx.identities, ctx.miss);
         // **帯が立たないレコードにはキーごと付けない**（空の器を通さない）
         if (band)
             r.rederived = band;
     }
-    return (0, rederivation_1.orderByActivity)(records, pathOf, ctx.ledgers, nowIso);
+    return (0, rederivation_1.orderByActivity)(records, pathOf, statusOf, ctx.ledgers, nowIso);
 }
 /**
  * AIからの更新提案（`.cortex/gold-proposals.json`）を読む。
@@ -917,7 +946,10 @@ async function loadGenericRecords(dirAbs, exclude, repoBaseUrl, branch) {
         if (exclude.has(e.name.toLowerCase()))
             continue;
         const raw = await node_fs_1.promises.readFile(path.join(dirAbs, e.name), "utf8");
-        records.push(await parseGeneric(raw, e.name, repoRelDir, repoBaseUrl, branch));
+        // 区画のディレクトリ名（`records` の親）を**絶対パスから**渡す。メンバーの判定に使う
+        // ——`repoRelDir` は `process.cwd()` 相対で、cwd 次第で前置きが落ちる（#681）
+        const sectionDir = path.basename(path.dirname(path.resolve(dirAbs)));
+        records.push(await parseGeneric(raw, e.name, repoRelDir, repoBaseUrl, branch, sectionDir));
     }
     // 日付降順 → タイトル昇順（用語集のように日付が同一でも安定して並ぶ）
     records.sort((a, b) => {
@@ -927,7 +959,7 @@ async function loadGenericRecords(dirAbs, exclude, repoBaseUrl, branch) {
     });
     return records;
 }
-async function parseGeneric(raw, fileName, repoRelDir, repoBaseUrl, branch) {
+async function parseGeneric(raw, fileName, repoRelDir, repoBaseUrl, branch, sectionDir) {
     const { data, content } = (0, gray_matter_1.default)(raw);
     const h1 = content.match(/^#\s+(.+)$/m);
     const id = String(data.id ?? fileName.replace(/\.md$/i, ""));
@@ -947,6 +979,14 @@ async function parseGeneric(raw, fileName, repoRelDir, repoBaseUrl, branch) {
     const editUrl = repoBaseUrl
         ? `${repoBaseUrl}/edit/${branch}/${encodePath(filePath)}`
         : null;
+    // メンバーの記録は、メールアドレスと外の ID を**配るデータに載せない**（#681）。
+    // 画面側ではなくここで落とす——`fm` は `JSON.stringify` でページのソースに丸ごと埋まる
+    const sanitized = sanitizeFm(data);
+    const isMember = (0, person_redact_1.isMemberRecord)(data.type, data.id, sectionDir);
+    const redacted = isMember ? (0, person_redact_1.redactMemberFm)(sanitized) : null;
+    if (redacted)
+        memberRedaction.record(redacted.dropped);
+    const proposals = takeProposals(filePath);
     return {
         id,
         title,
@@ -961,11 +1001,13 @@ async function parseGeneric(raw, fileName, repoRelDir, repoBaseUrl, branch) {
         rtype: data.type != null ? String(data.type) : "",
         rstatus: data.status != null ? String(data.status) : "",
         isLatest: isLatestPath(filePath),
-        proposals: takeProposals(filePath),
+        proposals: isMember && proposals ? (0, person_redact_1.redactMemberProposals)(proposals) : proposals,
+        // 🔴 `relations` / `source` には形の判定を当てない。中身は内側の参照（`minute:` 等）で、
+        // 当てるとメンバー → 議事録・共有資料・デザインの線がまるごと消える（設計レビュー🔴2）
         relations: toRelations(data.relations),
         source: data.source != null ? String(data.source) : "",
         bodyLinks: extractBodyLinks(content),
-        fm: sanitizeFm(data),
+        fm: redacted ? redacted.fm : sanitized,
         fmErrors: validateFm(data),
     };
 }
@@ -1898,6 +1940,7 @@ async function build(opts) {
     // 同一プロセスで2回ビルドしても前回の値が残らないよう、毎回入れ替える
     PROPOSALS_BY_PATH = await readGoldProposals(repoRoot);
     PROPOSAL_PATHS_MATCHED = new Set();
+    memberRedaction.reset();
     // 再導出の 3 帳簿（#665 便 12b）。**帳簿が無い案件では帯も並び替えも作らない**ので、
     // 読めたときだけ git の素性を取りに行く（帳簿を持たない 44 案件で git の呼び出しを増やさない）
     const ledgers = await (0, rederivation_1.readRederivationLedgers)(repoRoot);
@@ -1927,7 +1970,8 @@ async function build(opts) {
     if (knowledgeRoot) {
         try {
             const raw = await node_fs_1.promises.readFile(path.join(knowledgeRoot, "Home.md"), "utf8");
-            home = await parseGeneric(raw, "Home.md", toRepoRelative(knowledgeRoot), repo.baseUrl, repo.branch);
+            // Home.md は区画の下ではなく Gold の根に置く（＝メンバーの記録では絶対に無い）
+            home = await parseGeneric(raw, "Home.md", toRepoRelative(knowledgeRoot), repo.baseUrl, repo.branch, path.basename(path.resolve(knowledgeRoot)));
             // 自己記述の節を取り出し、**本文からは抜く**（最上部に出すので、残すと2度出る）。
             // 旧い使い方の説明もここで落ちる（説明はビューアが持つようになった）
             const grounding = await buildHomeGrounding(raw);
@@ -1993,6 +2037,7 @@ async function build(opts) {
             `（浅い clone か履歴の窓の外。人か機械か見分けられないので帯は出しません）: ` +
             shas.slice(0, 3).map((s) => s.slice(0, 8)).join(", ") + (shas.length > 3 ? " ほか" : ""));
     }
+    memberRedaction.report();
     const unmatched = [...PROPOSALS_BY_PATH.keys()].filter((k) => !PROPOSAL_PATHS_MATCHED.has(k));
     if (unmatched.length) {
         console.warn(`gold-proposals.json: レコードに突き合わない提案が ${unmatched.length} 件ありました（表示しません）: ` +
@@ -2010,7 +2055,10 @@ async function build(opts) {
     // git が無い・浅い clone・該当0件なら空で、履歴の節が出ないだけ（他の表示は壊れない）。
     // 走るのは latestGeneratedPaths と同じ **リポジトリルート**（process.cwd()）——
     // Decisions ディレクトリで実行すると pathspec に一致せず常に空になる
-    const aiHistory = (0, repo_1.collectAiChangeHistory)(process.cwd());
+    // 🔴 **伏せるのは repo.ts ではなくここ。** `isFrontmatterKeyRename` は before/after の値が
+    // 全部一致したらエントリを丸ごと捨てるので、収集の側で伏せると**別々の ID が全部
+    // 「（伏せた値）」になって一致し、本物の書き換えが履歴から黙って消える**（#681）
+    const aiHistory = (0, person_redact_1.redactAiHistory)((0, repo_1.collectAiChangeHistory)(process.cwd()));
     // 案件アイコン（#348）。Cortex構成でなければ undefined（旧レイアウトには置き場が無い）
     const projectIcon = await findProjectIcon(knowledgeRoot);
     const site = {

package/dist/person-redact.js

@@ -0,0 +1,244 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.REDACTED = void 0;
+exports.isExternalId = isExternalId;
+exports.redactText = redactText;
+exports.isMemberRecord = isMemberRecord;
+exports.isMemberRecordPath = isMemberRecordPath;
+exports.redactMemberFm = redactMemberFm;
+exports.redactMemberProposals = redactMemberProposals;
+exports.redactAiHistory = redactAiHistory;
+/**
+ * このリポジトリの内側の呼び名。外の ID と見なさない。
+ *
+ * 前半は記録の id の種類（`build.ts` の `GOLD_TYPES` と同じ）、後半は Silver の参照
+ * （`build.ts` の `classifyTarget` が正本の URL に解決する 3 つ）。
+ */
+const INSIDE_KINDS = new Set([
+    "decision", "term", "member", "rule", "report", "overview",
+    "minute", "material", "design",
+]);
+/**
+ * 欄ごと落とす（中身が外の ID の形でなくても落とす）。
+ *
+ * 形の判定だけに任せない——`email: "しらべ中"` のような書きかけの値は形に当たらないが、
+ * **この欄は配らない**という決まりは中身に依らず効かせる（変異検証 M1）。
+ */
+const DROP_KEYS = new Set(["email"]);
+/**
+ * 形の判定を当てない欄。
+ *
+ * 🔴 **`relations` / `references` / `source` の行き先には当てない。** `classifyTarget`
+ * （`build.ts`）は `https://…` を外部ノードとして正本の URL に解決しており、外の ID の形の
+ * 判定は `https` も外の ID と見なす——当てると**外部リンクの線が図から消える**。
+ * `id` を外すのは、落とすと「レコード情報」から id の行だけが黙って消え、
+ * **配るデータの `id` とは食い違う**ため（落とすなら両方・残すなら両方）。
+ */
+const KEEP_KEYS = new Set(["id", "relations", "references", "source"]);
+/** 伏せた値の代わりに出す字。**空欄にしない**（消えたのか元から無いのかが読めなくなる） */
+exports.REDACTED = "（伏せた値）";
+/**
+ * `<種類>:<値>` 1 つぶん。
+ *
+ * 🔴 **コロンの直後に空白があるものは当てない。** `[a-z_]+:` ＋ 1 文字以上は YAML の
+ * `キー: 値` そのものの形なので、空白を許すと差分の `title: 山田 太郎` まで潰して、
+ * 「何が変わったのか」が読めなくなる（設計レビュー🔴3）。
+ */
+const TYPED_ID_SRC = "([A-Za-z][A-Za-z0-9_]*):([^\\s,\"'\\[\\]、。，）)]+)";
+/** メールアドレスの形（`email:` を付けずに書かれたもの） */
+const EMAIL_SRC = "[^\\s,\"'<>\\[\\]、。，）)]+@[^\\s,\"'<>\\[\\]、。，）)]+";
+const TYPED_ID_WHOLE = new RegExp("^" + TYPED_ID_SRC + "$");
+const EMAIL_WHOLE = new RegExp("^" + EMAIL_SRC + "$");
+/**
+ * 全角コロンを半角に寄せる。人が名簿を手で書く欄なので、日本語入力のまま
+ * `slack_user：…` と区切りだけ全角になった行を取りこぼさない。
+ *
+ * ⚠ **寄せるのは区切りだけ**（`redactText` は元の字面を返すので、全部を寄せると
+ * 差分の見た目まで書き換わる）。種類まで全角の `ｓｌａｃｋ＿ｕｓｅｒ：…` は、
+ * 文のなかでは取りこぼす——欄の要素としては `isExternalId` が全角ごと寄せて当てる
+ */
+function normalizeSeparators(s) {
+    return s.replace(/：/g, ":");
+}
+/**
+ * その文字列ぜんたいが外の ID か（`aliases` の 1 要素の判定）。
+ *
+ * 判定に使うだけで中身を書き戻さないので、ここでは**全角を丸ごと半角に寄せて**から当てる
+ * （`ｓｌａｃｋ＿ｕｓｅｒ：Ｕ０Ｘ` のように、種類まで全角で書かれた行を取りこぼさない）。
+ * 文のなかを伏せる `redactText` は元の字面を返す必要があるので、そちらはコロンだけを寄せる。
+ */
+function isExternalId(v) {
+    if (typeof v !== "string")
+        return false;
+    const s = v.normalize("NFKC").trim();
+    if (s === "")
+        return false;
+    // 外のサービスの呼び名を `@名前` の形で書いたもの
+    if (/^@\S+$/.test(s))
+        return true;
+    // ドットの無い社内アドレス（`taro@example`）も隠す側に入れる
+    if (EMAIL_WHOLE.test(s))
+        return true;
+    const m = TYPED_ID_WHOLE.exec(s);
+    return m != null && !INSIDE_KINDS.has(m[1].toLowerCase());
+}
+/**
+ * 文のなかの外の ID とメールアドレスを、**種類を残したまま**伏せる。
+ *
+ * 🔴 **`<種類>:<値>` を先に当てる。** 先にメールアドレスを当てると `email:taro@…` が
+ * まるごと消えて、「どの欄の話か」まで読めなくなる。
+ */
+function redactText(s) {
+    const typed = normalizeSeparators(s).replace(new RegExp(TYPED_ID_SRC, "g"), (whole, kind) => (INSIDE_KINDS.has(kind.toLowerCase()) ? whole : kind + ":" + exports.REDACTED));
+    return typed.replace(new RegExp(EMAIL_SRC, "g"), exports.REDACTED);
+}
+/**
+ * メンバーの記録か。
+ *
+ * 🔴 **パスの文字列だけで判定しない。** `toRepoRelative` は `process.cwd()` 相対で、
+ * cwd がリポジトリルートでないと `records` に倒れる——判定が外れると**静かに漏れる側**に
+ * 倒れる（設計レビュー🟡1）。だから cwd に依存しない印を 3 つ見る。
+ *
+ * @param type      frontmatter の `type`
+ * @param id        frontmatter の `id`（engine は `member:{氏名}` を必須にしている）
+ * @param sectionDir 区画のディレクトリ名（`records` の親。絶対パスから取る）
+ */
+function isMemberRecord(type, id, sectionDir) {
+    if (typeof type === "string" && type.trim() === "member")
+        return true;
+    if (typeof id === "string" && id.startsWith("member:"))
+        return true;
+    return sectionDir === "Members";
+}
+/** そのリポジトリ相対パスがメンバーの記録の置き場か（git のパスは cwd に依存しない） */
+function isMemberRecordPath(repoPath) {
+    return /(^|\/)Members\/records\/[^/]+\.md$/.test(repoPath);
+}
+/**
+ * 値の中を再帰して外の ID を落とす（`sanitizeFm` と同じ形で降りる）。
+ *
+ * 🔴 **欄の名前で拾わない。** 欄を列挙すると、engine が欄を足した晩に静かに漏れる
+ * ——`not_aliases` 自体が後から足された欄で、同じことは必ずまた起きる。リストの要素も
+ * 入れ子の値も同じ形の判定で落とす。
+ */
+function redactValue(v) {
+    if (Array.isArray(v)) {
+        const out = [];
+        let dropped = 0;
+        for (const e of v) {
+            if (isExternalId(e)) {
+                dropped++;
+                continue;
+            }
+            const r = redactValue(e);
+            dropped += r.dropped;
+            out.push(r.value);
+        }
+        return { value: out, dropped };
+    }
+    if (v && typeof v === "object") {
+        const out = {};
+        let dropped = 0;
+        for (const [k, val] of Object.entries(v)) {
+            if (isExternalId(val)) {
+                dropped++;
+                continue;
+            }
+            const r = redactValue(val);
+            dropped += r.dropped;
+            out[k] = r.value;
+        }
+        return { value: out, dropped };
+    }
+    return { value: v, dropped: 0 };
+}
+/**
+ * メンバーの frontmatter から、メールアドレスと外の ID を落とす。
+ *
+ * @returns 落としたあとの frontmatter と、落とした要素の数（ビルドログの件数に使う）
+ */
+function redactMemberFm(fm) {
+    const out = {};
+    let dropped = 0;
+    for (const [k, v] of Object.entries(fm)) {
+        if (KEEP_KEYS.has(k)) {
+            out[k] = v;
+            continue;
+        }
+        if (DROP_KEYS.has(k)) {
+            if (v != null && String(v).trim() !== "")
+                dropped++;
+            continue;
+        }
+        if (isExternalId(v)) {
+            dropped++;
+            continue;
+        }
+        const r = redactValue(v);
+        dropped += r.dropped;
+        // **中身が全部落ちたリストは欄ごと出さない**（`aliases` が外の ID だけだった形）。
+        // もとから空だった欄はそのまま残す——消えたのか元から無いのかを変えない
+        if (Array.isArray(v) && v.length > 0 && Array.isArray(r.value) && r.value.length === 0)
+            continue;
+        out[k] = r.value;
+    }
+    return { fm: out, dropped };
+}
+/**
+ * メンバーの提案（`field: "aliases"` 等）の値を伏せる。**提案そのものは落とさない**
+ * ——落とすと「機械が何を結ぼうとしているのか」が画面から消える。
+ *
+ * 🔴 伏せた提案には `redacted` の印を付ける。画面はこの印を見て**「AIで適用」を出さない**。
+ * 伏せたまま適用させると、AI が `（伏せた値）` という文字列を `aliases` に書き、engine が
+ * それを `<id_kind>:<id>` の宣言として読む——**台帳のいちばん強い段に偽の結び付きが立つ**
+ * （設計レビュー🔴4）。
+ */
+function redactMemberProposals(ps) {
+    return ps.map((p) => {
+        const current = redactText(p.current);
+        const proposed = redactText(p.proposed);
+        const reason = redactText(p.reason);
+        const evidence = p.evidence.map((e) => ({
+            source: redactText(e.source),
+            quote: e.quote == null ? e.quote : redactText(e.quote),
+        }));
+        const changed = current !== p.current ||
+            proposed !== p.proposed ||
+            reason !== p.reason ||
+            evidence.some((e, i) => e.source !== p.evidence[i].source || e.quote !== p.evidence[i].quote);
+        // **短縮記法にしない**（fleet-passthrough のテストが `名前:` の字面を走査している。
+        // 画面が読む欄をこのファイルで組み立てているので、走査の対象にも入れてある）
+        return {
+            field: p.field,
+            current: current,
+            proposed: proposed,
+            evidence: evidence,
+            reason: reason,
+            createdAt: p.createdAt,
+            // 空の器は通さない——伏せていない提案では `undefined` にして、配る JSON から
+            // キーごと落とす（画面は「印があるか」だけを見る）
+            redacted: changed ? true : undefined,
+        };
+    });
+}
+/**
+ * メンバーの記録の git 差分から、値だけを伏せる（どの欄が変わったかは残す）。
+ *
+ * 鍵は git が出すリポジトリ相対パスなので、`process.cwd()` に依存しない。
+ */
+function redactAiHistory(history) {
+    const out = {};
+    for (const [p, entries] of Object.entries(history)) {
+        out[p] = isMemberRecordPath(p)
+            ? entries.map((e) => ({
+                ...e,
+                // 件名も同じ行に置く——engine の名簿のコミットは今は定型文だが、
+                // 「`<種類>:<値>` を結合」のような件名になった日に、ここだけ素で残る
+                subject: redactText(e.subject),
+                before: redactText(e.before),
+                after: redactText(e.after),
+            }))
+            : entries;
+    }
+    return out;
+}

package/dist/rederivation.js

@@ -4,6 +4,7 @@ var __importDefault = (this && this.__importDefault) || function (mod) {
 };
 Object.defineProperty(exports, "__esModule", { value: true });
 exports.emptyLedgers = exports.LEDGER_VERSION = void 0;
+exports.isConfirmedStatus = isConfirmedStatus;
 exports.parseLedger = parseLedger;
 exports.readRederivationLedgers = readRederivationLedgers;
 exports.parseInjectedNow = parseInjectedNow;
@@ -49,6 +50,24 @@ const ACTR_DECAY = 0.5;
  * 0.5 日＝「今日触れられた」を半日前として数える（ACT-R の実装で普通に使う丸め）。
  */
 const MIN_ELAPSED_DAYS = 0.5;
+/**
+ * その記録が「確認済み」か。**「AI生成・未確認」の札（`render.ts` の `draftBadge`）の裏返し**
+ * ——札が出ない記録が確認済み側（#667 のオーナー決定「確認済みは `status` だけで判断する」）。
+ *
+ * 🔴 **trim も小文字化もしない。** 札は `rec.rstatus === "draft"` の厳密比較なので、こちらを
+ * 1 文字でも緩めると「札は出ないのに未確認扱い」「札は出るのに確認済み扱い」が生まれる。
+ * `status` 欄が無い記録（`rstatus` が `""`）と `superseded` は**確認済み側**——札が出ないから。
+ *
+ * 🔴 **渡すのは `String()` 済みの `rstatus` だけ**（`build.ts:1048`）。生の frontmatter
+ * （`rec.fm.status`）を渡さない——YAML は真偽値も配列も返すので、札と同じ文字列にならない。
+ *
+ * ⚠️ **「確認済み」の門はもう 1 つある。** 削除の口の出し分けは `render.ts` の
+ * `humanConfirmedStatus`（`active|superseded|inactive` の列挙）で、`""` の扱いがここと逆。
+ * 揃えるかどうかは別の便（実データでは全 721 件が `status` を持つので今日の差は 0 件）。
+ */
+function isConfirmedStatus(status) {
+    return status !== "draft";
+}
 const emptyLedgers = () => ({
     confirmation: new Map(),
     rederivation: new Map(),
@@ -107,8 +126,11 @@ async function readRederivationLedgers(repoRoot) {
             if (!confirmed)
                 continue;
             // 🔴 **基準コミットが空の行も持つ**（実装レビュー）。帯は作れない（差分も戻すも
-            // 指す先が無い）が、**「人が確認した」という事実は並びが使う**——ここで落とすと、
-            // 確認済みなのに先頭群から黙って外れる。帯の側（`rederivedBandOf`）で落とす
+            // 指す先が無い）が、行そのものは落とさずに持つ——落とす判断は帯の側
+            // （`rederivedBandOf`）に 1 か所で寄せる。
+            // ⚠️ #667 より前は「並びが『人が確認した』事実として使う」ためでもあったが、**並びは
+            // もう帳簿を見ない**（確認済みかどうかは `status` だけで決まる・`orderByActivity`）。
+            // この帳簿の役目は「どの版に戻すか」で、「確認済みかどうか」ではない
             const commit = confirmed.commit != null ? String(confirmed.commit) : "";
             const changedBy = Array.isArray(row?.changed_by)
                 ? row.changed_by.map((s) => String(s)).filter((s) => s !== "")
@@ -233,6 +255,7 @@ function activityScore(entry, nowIso) {
  *
  * | 順 | 条件 | 結果 |
  * | --- | --- | --- |
+ * | **0** | **その記録の `status` が `draft`（＝「AI生成・未確認」の札が出る）** | **立てない**（#667） |
  * | 1 | path が用語・メンバーのレコードでない | 立てない |
  * | 2 | `confirmation` に行が無い／基準コミットが空／確認日が日時として読めない | 立てない |
  * | 3 | `changed_by` が空 | 立てない |
@@ -246,9 +269,15 @@ function activityScore(entry, nowIso) {
  * | 6 | 根拠は、帳簿の行の `commit` が `changed_by` に入っているときだけ出す | 出す／出さない |
  * | 7 | 基準コミットが削除のコミットなら「戻す」を出さない（`baseDeleted`） | — |
  *
+ * @param status その記録の `rstatus`（`String()` 済み）。**2 番目の必須引数**にしてある——
+ *   末尾の任意引数にすると、渡し忘れが「行 0 の門が静かに開く」になる（設計レビュー 🔴3）
  * @param miss 立たなかった理由を数える器（呼び出し側で 1 つ作って全レコードで共有する）
  */
-function rederivedBandOf(recordPath, ledgers, identities, miss) {
+function rederivedBandOf(recordPath, status, ledgers, identities, miss) {
+    // 0. 「AI生成・未確認」の札が出る記録には帯を重ねない（#667）。**綴りは 1 か所**
+    //（ここで `status === "draft"` と直書きすると、判定が 2 つに増えて一致が崩れる）
+    if (!isConfirmedStatus(status))
+        return null;
     if (!BAND_SECTION_RE.test(recordPath))
         return null;
     const conf = ledgers.confirmation.get(recordPath);
@@ -318,7 +347,11 @@ function rederivedBandOf(recordPath, ledgers, identities, miss) {
     const baseDeleted = base ? commit_classify_1.DELETE_SUBJECT_RE.test(base.subject) : false;
     return {
         confirmedAt: conf.at,
-        confirmedBy: conf.by,
+        // 🔴 **券の無い確認では名前を器に入れない**（設計レビュー 🟡4）。画面が出さないだけだと、
+        // 名前は `site-data` の JSON として全案件のページに配られ続ける（`commit-classify.ts`
+        // の `Operated-By`「値そのものを持ち回さない」と同じ流儀）。しかも engine の `by` は
+        // `confirmer || authorName` の合成で、**券が無ければ「ただ触った人」でしかない**
+        confirmedBy: conf.verified ? conf.by : "",
         confirmedVerified: conf.verified,
         baseCommit: conf.commit,
         changedAt: newest.at,
@@ -329,13 +362,23 @@ function rederivedBandOf(recordPath, ledgers, identities, miss) {
 /**
  * 用語集の並び（#432 裁定 5-5）。**確認済みは先頭群・群の中は活性度の降順。**
  *
+ * 🔴 **「確認済み」は `status` だけで決まる**（#667 のオーナー決定）。**帳簿は見ない**
+ * ——先頭群に来るのは「AI生成・未確認」の札が付かない記録で、画面の札と 1 文字も同じ判定
+ * （`isConfirmedStatus`）を使う。前は `ledgers.confirmation.has(p)`（＝人が 1 度でも触ったか）
+ * で決めていたので、**札は「未確認」なのに先頭群に居る**記録が出ていた（実測: cortex-context
+ * の用語集で 25 件）。帳簿の役目は「どの版に戻すか」だけになった。
+ *
  * - 活性度を持つレコードが 1 件も無い区画は **1 バイトも触らない**（帳簿が無い案件は従来順）
  * - 活性度を知らないレコードは群の末尾へ、**元の並びのまま**（安定）
  * - 用語集だけ（メンバーの並びは便 14・Decisions と Rules は対象外）
  *
+ * ℹ️ `ledgers` は活性度のために引き続き受け取る（`ledgers.activity` だけを渡す形にすると
+ * 「帳簿の判定に戻す」退行がコンパイルで止まる代わりに、**変異検証でそれを実演できなくなる**）。
+ *
  * @param records 区画のレコード（`repoPathOf` で引けるパスを持つもの。並びは変えずに新しい配列を返す）
+ * @param statusOf そのレコードの `rstatus`（`String()` 済み）を引く関数
  */
-function orderByActivity(records, pathOf, ledgers, nowIso) {
+function orderByActivity(records, pathOf, statusOf, ledgers, nowIso) {
     if (!records.length)
         return records;
     // この区画が並べ替えの対象か（用語集で、活性度の行が 1 件以上あるか）
@@ -345,7 +388,7 @@ function orderByActivity(records, pathOf, ledgers, nowIso) {
         return {
             r: r,
             i: i,
-            confirmed: inSection && ledgers.confirmation.has(p),
+            confirmed: inSection && isConfirmedStatus(statusOf(r)),
             score: inSection ? activityScore(ledgers.activity.get(p), nowIso) : null,
         };
     });

package/dist/render.js

@@ -6236,13 +6236,20 @@ ${calendarAddUrl.toString()}
    * 「AI による最近の変更」が変わった行そのものを持っている。
    */
 
-  /** 帯に出す 1 行。券の無い確認（自己申告）は名前を権威として出さない（#432 5-A） */
+  /**
+   * 帯に出す 1 行。**帯は起きたこと（機械が書き直した日）を言う。**
+   *
+   * 🔴 **確認した人と日は、券のある確認（confirmedVerified）のときだけ添える**（#667）。
+   * 「確認済み」は frontmatter の status だけで決まるようになり、その大半は
+   * 「AIで編集」か直接編集で active になったもの＝**画面から確認したわけではない**。
+   * そこに「○○さんが 9/1 に確認」と書くと、起きていないことを言い切ることになる。
+   * 券があるときだけ名前と日を出すので、「自己申告」の断り書きは要らなくなった。
+   */
   function rederivedMetaText(b) {
     var parts = [];
-    var who = b.confirmedBy
-      ? "（" + b.confirmedBy + (b.confirmedVerified ? "" : "・自己申告") + "）"
-      : "";
-    parts.push("確認 " + ahDate(b.confirmedAt) + who);
+    if (b.confirmedVerified) {
+      parts.push("確認 " + ahDate(b.confirmedAt) + (b.confirmedBy ? "（" + b.confirmedBy + "）" : ""));
+    }
     parts.push("書き直し " + ahDate(b.changedAt));
     // **「根拠」は言えるときだけ**（この帯のコミットの記録が帳簿に無ければ出さない）
     if (typeof b.evidence === "number") parts.push("根拠 " + b.evidence + " 件");
@@ -6699,6 +6706,11 @@ ${calendarAddUrl.toString()}
     if (!g) return null;
     var ps = (rec && rec.proposals) || [];
     if (!ps.length) return null;
+    // 🔴 **伏せた値をAIに渡さない**（#681）。メンバーの提案はメールアドレスと外の ID を
+    // 伏せてあるので、この文面をそのまま適用させると **AIが「（伏せた値）」という文字列を
+    // aliases に書き**、engine がそれを識別子の宣言として読む（台帳のいちばん強い段に
+    // 偽の結び付きが立つ）。直すのは GitHub の記録の側（提案カードは読めるまま残す）
+    if (ps.some(function (p) { return p.redacted; })) return null;
     var pathRef = repoPathOf(rec);
     var target = (pathRef ? pathRef + " と " : "") + g.dir + "/README.md";
     // 🔴 **提案データは境界宣言で挟む。** 引用（quote）は外部ソースの本文がそのまま入る値で、
@@ -6755,9 +6767,14 @@ ${calendarAddUrl.toString()}
     var apply = aiApplyBtn(rec, sectionName, rec.title);
     if (apply) head.appendChild(apply);
     box.appendChild(head);
+    var hidden = ps.some(function (p) { return p.redacted; });
     box.appendChild(el("p", {
       class: "proposals-lead",
-      text: "夜間の取り込みで、この記録と食い違う内容が見つかりました。根拠を確かめたうえで、直すときは「AIで適用」から反映してください。",
+      text: hidden
+        // 伏せた提案には「AIで適用」が出ない（aiApplyBtn が null を返す）ので、
+        // **どこで直せるのかを 1 行で言う**。帯は症状・行は一手（画面の文言の決まり）
+        ? "夜間の取り込みで、この記録と食い違う内容が見つかりました。メールアドレスと外のIDは伏せてあるため、ここからは適用できません。直すときはGitHubでこの記録を開いてください。"
+        : "夜間の取り込みで、この記録と食い違う内容が見つかりました。根拠を確かめたうえで、直すときは「AIで適用」から反映してください。",
     }));
     ps.forEach(function (p) {
       var item = el("div", { class: "proposal" }, [

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@takagaki/cortex-decisions-viewer",
-  "version": "0.12.73",
+  "version": "0.12.75",
   "description": "Cortexの意思決定記録（Decisions/*.md）を静的サイトにビルドして閲覧する。各レコードに「Edit on GitHub」リンクを付与する。",
   "license": "UNLICENSED",
   "private": false,