@takagaki/cortex-decisions-viewer 0.12.74 → 0.12.75

package/dist/build.js

@@ -57,9 +57,35 @@ const marked_1 = require("marked");
 const sanitize_html_1 = __importDefault(require("sanitize-html"));
 const repo_1 = require("./repo");
 const rederivation_1 = require("./rederivation");
+const person_redact_1 = require("./person-redact");
 // 直近のGold昇格で追加されたレコードのパス集合。レコード生成の各所から参照するのでモジュールスコープに置く
 // （引数で引き回すと呼び出し側の改修が広範囲になる）。build() の冒頭で1回だけ解決する。
 let LATEST_PATHS = new Set();
+/**
+ * メンバーの記録から落としたメールアドレス・外の ID の件数（#681）。
+ *
+ * **ビルドログに出す。** 実データ（案件リポジトリ）はこのリポジトリから触れないので、
+ * 「どれだけ隠したか」を数えられる口はここしかない。配布後に Actions のログから
+ * 全案件ぶんが拾える（発注書 3 の「見つけた数だけ報告する」）。
+ */
+const memberRedaction = {
+    records: 0,
+    dropped: 0,
+    reset() {
+        this.records = 0;
+        this.dropped = 0;
+    },
+    record(dropped) {
+        this.records++;
+        this.dropped += dropped;
+    },
+    report() {
+        // 落とすものが 1 つも無かった案件では黙る（毎晩「0 個落としました」を出さない）
+        if (!this.dropped)
+            return;
+        console.warn(`メンバーの記録 ${this.records} 件から、メールアドレスと外の ID を ${this.dropped} 個落としました（画面にも配るデータにも出しません）`);
+    },
+};
 /**
  * このレコードが「直近のGold昇格で追加されたもの」か。
  *
@@ -920,7 +946,10 @@ async function loadGenericRecords(dirAbs, exclude, repoBaseUrl, branch) {
         if (exclude.has(e.name.toLowerCase()))
             continue;
         const raw = await node_fs_1.promises.readFile(path.join(dirAbs, e.name), "utf8");
-        records.push(await parseGeneric(raw, e.name, repoRelDir, repoBaseUrl, branch));
+        // 区画のディレクトリ名（`records` の親）を**絶対パスから**渡す。メンバーの判定に使う
+        // ——`repoRelDir` は `process.cwd()` 相対で、cwd 次第で前置きが落ちる（#681）
+        const sectionDir = path.basename(path.dirname(path.resolve(dirAbs)));
+        records.push(await parseGeneric(raw, e.name, repoRelDir, repoBaseUrl, branch, sectionDir));
     }
     // 日付降順 → タイトル昇順（用語集のように日付が同一でも安定して並ぶ）
     records.sort((a, b) => {
@@ -930,7 +959,7 @@ async function loadGenericRecords(dirAbs, exclude, repoBaseUrl, branch) {
     });
     return records;
 }
-async function parseGeneric(raw, fileName, repoRelDir, repoBaseUrl, branch) {
+async function parseGeneric(raw, fileName, repoRelDir, repoBaseUrl, branch, sectionDir) {
     const { data, content } = (0, gray_matter_1.default)(raw);
     const h1 = content.match(/^#\s+(.+)$/m);
     const id = String(data.id ?? fileName.replace(/\.md$/i, ""));
@@ -950,6 +979,14 @@ async function parseGeneric(raw, fileName, repoRelDir, repoBaseUrl, branch) {
     const editUrl = repoBaseUrl
         ? `${repoBaseUrl}/edit/${branch}/${encodePath(filePath)}`
         : null;
+    // メンバーの記録は、メールアドレスと外の ID を**配るデータに載せない**（#681）。
+    // 画面側ではなくここで落とす——`fm` は `JSON.stringify` でページのソースに丸ごと埋まる
+    const sanitized = sanitizeFm(data);
+    const isMember = (0, person_redact_1.isMemberRecord)(data.type, data.id, sectionDir);
+    const redacted = isMember ? (0, person_redact_1.redactMemberFm)(sanitized) : null;
+    if (redacted)
+        memberRedaction.record(redacted.dropped);
+    const proposals = takeProposals(filePath);
     return {
         id,
         title,
@@ -964,11 +1001,13 @@ async function parseGeneric(raw, fileName, repoRelDir, repoBaseUrl, branch) {
         rtype: data.type != null ? String(data.type) : "",
         rstatus: data.status != null ? String(data.status) : "",
         isLatest: isLatestPath(filePath),
-        proposals: takeProposals(filePath),
+        proposals: isMember && proposals ? (0, person_redact_1.redactMemberProposals)(proposals) : proposals,
+        // 🔴 `relations` / `source` には形の判定を当てない。中身は内側の参照（`minute:` 等）で、
+        // 当てるとメンバー → 議事録・共有資料・デザインの線がまるごと消える（設計レビュー🔴2）
         relations: toRelations(data.relations),
         source: data.source != null ? String(data.source) : "",
         bodyLinks: extractBodyLinks(content),
-        fm: sanitizeFm(data),
+        fm: redacted ? redacted.fm : sanitized,
         fmErrors: validateFm(data),
     };
 }
@@ -1901,6 +1940,7 @@ async function build(opts) {
     // 同一プロセスで2回ビルドしても前回の値が残らないよう、毎回入れ替える
     PROPOSALS_BY_PATH = await readGoldProposals(repoRoot);
     PROPOSAL_PATHS_MATCHED = new Set();
+    memberRedaction.reset();
     // 再導出の 3 帳簿（#665 便 12b）。**帳簿が無い案件では帯も並び替えも作らない**ので、
     // 読めたときだけ git の素性を取りに行く（帳簿を持たない 44 案件で git の呼び出しを増やさない）
     const ledgers = await (0, rederivation_1.readRederivationLedgers)(repoRoot);
@@ -1930,7 +1970,8 @@ async function build(opts) {
     if (knowledgeRoot) {
         try {
             const raw = await node_fs_1.promises.readFile(path.join(knowledgeRoot, "Home.md"), "utf8");
-            home = await parseGeneric(raw, "Home.md", toRepoRelative(knowledgeRoot), repo.baseUrl, repo.branch);
+            // Home.md は区画の下ではなく Gold の根に置く（＝メンバーの記録では絶対に無い）
+            home = await parseGeneric(raw, "Home.md", toRepoRelative(knowledgeRoot), repo.baseUrl, repo.branch, path.basename(path.resolve(knowledgeRoot)));
             // 自己記述の節を取り出し、**本文からは抜く**（最上部に出すので、残すと2度出る）。
             // 旧い使い方の説明もここで落ちる（説明はビューアが持つようになった）
             const grounding = await buildHomeGrounding(raw);
@@ -1996,6 +2037,7 @@ async function build(opts) {
             `（浅い clone か履歴の窓の外。人か機械か見分けられないので帯は出しません）: ` +
             shas.slice(0, 3).map((s) => s.slice(0, 8)).join(", ") + (shas.length > 3 ? " ほか" : ""));
     }
+    memberRedaction.report();
     const unmatched = [...PROPOSALS_BY_PATH.keys()].filter((k) => !PROPOSAL_PATHS_MATCHED.has(k));
     if (unmatched.length) {
         console.warn(`gold-proposals.json: レコードに突き合わない提案が ${unmatched.length} 件ありました（表示しません）: ` +
@@ -2013,7 +2055,10 @@ async function build(opts) {
     // git が無い・浅い clone・該当0件なら空で、履歴の節が出ないだけ（他の表示は壊れない）。
     // 走るのは latestGeneratedPaths と同じ **リポジトリルート**（process.cwd()）——
     // Decisions ディレクトリで実行すると pathspec に一致せず常に空になる
-    const aiHistory = (0, repo_1.collectAiChangeHistory)(process.cwd());
+    // 🔴 **伏せるのは repo.ts ではなくここ。** `isFrontmatterKeyRename` は before/after の値が
+    // 全部一致したらエントリを丸ごと捨てるので、収集の側で伏せると**別々の ID が全部
+    // 「（伏せた値）」になって一致し、本物の書き換えが履歴から黙って消える**（#681）
+    const aiHistory = (0, person_redact_1.redactAiHistory)((0, repo_1.collectAiChangeHistory)(process.cwd()));
     // 案件アイコン（#348）。Cortex構成でなければ undefined（旧レイアウトには置き場が無い）
     const projectIcon = await findProjectIcon(knowledgeRoot);
     const site = {

package/dist/person-redact.js

@@ -0,0 +1,244 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.REDACTED = void 0;
+exports.isExternalId = isExternalId;
+exports.redactText = redactText;
+exports.isMemberRecord = isMemberRecord;
+exports.isMemberRecordPath = isMemberRecordPath;
+exports.redactMemberFm = redactMemberFm;
+exports.redactMemberProposals = redactMemberProposals;
+exports.redactAiHistory = redactAiHistory;
+/**
+ * このリポジトリの内側の呼び名。外の ID と見なさない。
+ *
+ * 前半は記録の id の種類（`build.ts` の `GOLD_TYPES` と同じ）、後半は Silver の参照
+ * （`build.ts` の `classifyTarget` が正本の URL に解決する 3 つ）。
+ */
+const INSIDE_KINDS = new Set([
+    "decision", "term", "member", "rule", "report", "overview",
+    "minute", "material", "design",
+]);
+/**
+ * 欄ごと落とす（中身が外の ID の形でなくても落とす）。
+ *
+ * 形の判定だけに任せない——`email: "しらべ中"` のような書きかけの値は形に当たらないが、
+ * **この欄は配らない**という決まりは中身に依らず効かせる（変異検証 M1）。
+ */
+const DROP_KEYS = new Set(["email"]);
+/**
+ * 形の判定を当てない欄。
+ *
+ * 🔴 **`relations` / `references` / `source` の行き先には当てない。** `classifyTarget`
+ * （`build.ts`）は `https://…` を外部ノードとして正本の URL に解決しており、外の ID の形の
+ * 判定は `https` も外の ID と見なす——当てると**外部リンクの線が図から消える**。
+ * `id` を外すのは、落とすと「レコード情報」から id の行だけが黙って消え、
+ * **配るデータの `id` とは食い違う**ため（落とすなら両方・残すなら両方）。
+ */
+const KEEP_KEYS = new Set(["id", "relations", "references", "source"]);
+/** 伏せた値の代わりに出す字。**空欄にしない**（消えたのか元から無いのかが読めなくなる） */
+exports.REDACTED = "（伏せた値）";
+/**
+ * `<種類>:<値>` 1 つぶん。
+ *
+ * 🔴 **コロンの直後に空白があるものは当てない。** `[a-z_]+:` ＋ 1 文字以上は YAML の
+ * `キー: 値` そのものの形なので、空白を許すと差分の `title: 山田 太郎` まで潰して、
+ * 「何が変わったのか」が読めなくなる（設計レビュー🔴3）。
+ */
+const TYPED_ID_SRC = "([A-Za-z][A-Za-z0-9_]*):([^\\s,\"'\\[\\]、。，）)]+)";
+/** メールアドレスの形（`email:` を付けずに書かれたもの） */
+const EMAIL_SRC = "[^\\s,\"'<>\\[\\]、。，）)]+@[^\\s,\"'<>\\[\\]、。，）)]+";
+const TYPED_ID_WHOLE = new RegExp("^" + TYPED_ID_SRC + "$");
+const EMAIL_WHOLE = new RegExp("^" + EMAIL_SRC + "$");
+/**
+ * 全角コロンを半角に寄せる。人が名簿を手で書く欄なので、日本語入力のまま
+ * `slack_user：…` と区切りだけ全角になった行を取りこぼさない。
+ *
+ * ⚠ **寄せるのは区切りだけ**（`redactText` は元の字面を返すので、全部を寄せると
+ * 差分の見た目まで書き換わる）。種類まで全角の `ｓｌａｃｋ＿ｕｓｅｒ：…` は、
+ * 文のなかでは取りこぼす——欄の要素としては `isExternalId` が全角ごと寄せて当てる
+ */
+function normalizeSeparators(s) {
+    return s.replace(/：/g, ":");
+}
+/**
+ * その文字列ぜんたいが外の ID か（`aliases` の 1 要素の判定）。
+ *
+ * 判定に使うだけで中身を書き戻さないので、ここでは**全角を丸ごと半角に寄せて**から当てる
+ * （`ｓｌａｃｋ＿ｕｓｅｒ：Ｕ０Ｘ` のように、種類まで全角で書かれた行を取りこぼさない）。
+ * 文のなかを伏せる `redactText` は元の字面を返す必要があるので、そちらはコロンだけを寄せる。
+ */
+function isExternalId(v) {
+    if (typeof v !== "string")
+        return false;
+    const s = v.normalize("NFKC").trim();
+    if (s === "")
+        return false;
+    // 外のサービスの呼び名を `@名前` の形で書いたもの
+    if (/^@\S+$/.test(s))
+        return true;
+    // ドットの無い社内アドレス（`taro@example`）も隠す側に入れる
+    if (EMAIL_WHOLE.test(s))
+        return true;
+    const m = TYPED_ID_WHOLE.exec(s);
+    return m != null && !INSIDE_KINDS.has(m[1].toLowerCase());
+}
+/**
+ * 文のなかの外の ID とメールアドレスを、**種類を残したまま**伏せる。
+ *
+ * 🔴 **`<種類>:<値>` を先に当てる。** 先にメールアドレスを当てると `email:taro@…` が
+ * まるごと消えて、「どの欄の話か」まで読めなくなる。
+ */
+function redactText(s) {
+    const typed = normalizeSeparators(s).replace(new RegExp(TYPED_ID_SRC, "g"), (whole, kind) => (INSIDE_KINDS.has(kind.toLowerCase()) ? whole : kind + ":" + exports.REDACTED));
+    return typed.replace(new RegExp(EMAIL_SRC, "g"), exports.REDACTED);
+}
+/**
+ * メンバーの記録か。
+ *
+ * 🔴 **パスの文字列だけで判定しない。** `toRepoRelative` は `process.cwd()` 相対で、
+ * cwd がリポジトリルートでないと `records` に倒れる——判定が外れると**静かに漏れる側**に
+ * 倒れる（設計レビュー🟡1）。だから cwd に依存しない印を 3 つ見る。
+ *
+ * @param type      frontmatter の `type`
+ * @param id        frontmatter の `id`（engine は `member:{氏名}` を必須にしている）
+ * @param sectionDir 区画のディレクトリ名（`records` の親。絶対パスから取る）
+ */
+function isMemberRecord(type, id, sectionDir) {
+    if (typeof type === "string" && type.trim() === "member")
+        return true;
+    if (typeof id === "string" && id.startsWith("member:"))
+        return true;
+    return sectionDir === "Members";
+}
+/** そのリポジトリ相対パスがメンバーの記録の置き場か（git のパスは cwd に依存しない） */
+function isMemberRecordPath(repoPath) {
+    return /(^|\/)Members\/records\/[^/]+\.md$/.test(repoPath);
+}
+/**
+ * 値の中を再帰して外の ID を落とす（`sanitizeFm` と同じ形で降りる）。
+ *
+ * 🔴 **欄の名前で拾わない。** 欄を列挙すると、engine が欄を足した晩に静かに漏れる
+ * ——`not_aliases` 自体が後から足された欄で、同じことは必ずまた起きる。リストの要素も
+ * 入れ子の値も同じ形の判定で落とす。
+ */
+function redactValue(v) {
+    if (Array.isArray(v)) {
+        const out = [];
+        let dropped = 0;
+        for (const e of v) {
+            if (isExternalId(e)) {
+                dropped++;
+                continue;
+            }
+            const r = redactValue(e);
+            dropped += r.dropped;
+            out.push(r.value);
+        }
+        return { value: out, dropped };
+    }
+    if (v && typeof v === "object") {
+        const out = {};
+        let dropped = 0;
+        for (const [k, val] of Object.entries(v)) {
+            if (isExternalId(val)) {
+                dropped++;
+                continue;
+            }
+            const r = redactValue(val);
+            dropped += r.dropped;
+            out[k] = r.value;
+        }
+        return { value: out, dropped };
+    }
+    return { value: v, dropped: 0 };
+}
+/**
+ * メンバーの frontmatter から、メールアドレスと外の ID を落とす。
+ *
+ * @returns 落としたあとの frontmatter と、落とした要素の数（ビルドログの件数に使う）
+ */
+function redactMemberFm(fm) {
+    const out = {};
+    let dropped = 0;
+    for (const [k, v] of Object.entries(fm)) {
+        if (KEEP_KEYS.has(k)) {
+            out[k] = v;
+            continue;
+        }
+        if (DROP_KEYS.has(k)) {
+            if (v != null && String(v).trim() !== "")
+                dropped++;
+            continue;
+        }
+        if (isExternalId(v)) {
+            dropped++;
+            continue;
+        }
+        const r = redactValue(v);
+        dropped += r.dropped;
+        // **中身が全部落ちたリストは欄ごと出さない**（`aliases` が外の ID だけだった形）。
+        // もとから空だった欄はそのまま残す——消えたのか元から無いのかを変えない
+        if (Array.isArray(v) && v.length > 0 && Array.isArray(r.value) && r.value.length === 0)
+            continue;
+        out[k] = r.value;
+    }
+    return { fm: out, dropped };
+}
+/**
+ * メンバーの提案（`field: "aliases"` 等）の値を伏せる。**提案そのものは落とさない**
+ * ——落とすと「機械が何を結ぼうとしているのか」が画面から消える。
+ *
+ * 🔴 伏せた提案には `redacted` の印を付ける。画面はこの印を見て**「AIで適用」を出さない**。
+ * 伏せたまま適用させると、AI が `（伏せた値）` という文字列を `aliases` に書き、engine が
+ * それを `<id_kind>:<id>` の宣言として読む——**台帳のいちばん強い段に偽の結び付きが立つ**
+ * （設計レビュー🔴4）。
+ */
+function redactMemberProposals(ps) {
+    return ps.map((p) => {
+        const current = redactText(p.current);
+        const proposed = redactText(p.proposed);
+        const reason = redactText(p.reason);
+        const evidence = p.evidence.map((e) => ({
+            source: redactText(e.source),
+            quote: e.quote == null ? e.quote : redactText(e.quote),
+        }));
+        const changed = current !== p.current ||
+            proposed !== p.proposed ||
+            reason !== p.reason ||
+            evidence.some((e, i) => e.source !== p.evidence[i].source || e.quote !== p.evidence[i].quote);
+        // **短縮記法にしない**（fleet-passthrough のテストが `名前:` の字面を走査している。
+        // 画面が読む欄をこのファイルで組み立てているので、走査の対象にも入れてある）
+        return {
+            field: p.field,
+            current: current,
+            proposed: proposed,
+            evidence: evidence,
+            reason: reason,
+            createdAt: p.createdAt,
+            // 空の器は通さない——伏せていない提案では `undefined` にして、配る JSON から
+            // キーごと落とす（画面は「印があるか」だけを見る）
+            redacted: changed ? true : undefined,
+        };
+    });
+}
+/**
+ * メンバーの記録の git 差分から、値だけを伏せる（どの欄が変わったかは残す）。
+ *
+ * 鍵は git が出すリポジトリ相対パスなので、`process.cwd()` に依存しない。
+ */
+function redactAiHistory(history) {
+    const out = {};
+    for (const [p, entries] of Object.entries(history)) {
+        out[p] = isMemberRecordPath(p)
+            ? entries.map((e) => ({
+                ...e,
+                // 件名も同じ行に置く——engine の名簿のコミットは今は定型文だが、
+                // 「`<種類>:<値>` を結合」のような件名になった日に、ここだけ素で残る
+                subject: redactText(e.subject),
+                before: redactText(e.before),
+                after: redactText(e.after),
+            }))
+            : entries;
+    }
+    return out;
+}

package/dist/render.js

@@ -6706,6 +6706,11 @@ ${calendarAddUrl.toString()}
     if (!g) return null;
     var ps = (rec && rec.proposals) || [];
     if (!ps.length) return null;
+    // 🔴 **伏せた値をAIに渡さない**（#681）。メンバーの提案はメールアドレスと外の ID を
+    // 伏せてあるので、この文面をそのまま適用させると **AIが「（伏せた値）」という文字列を
+    // aliases に書き**、engine がそれを識別子の宣言として読む（台帳のいちばん強い段に
+    // 偽の結び付きが立つ）。直すのは GitHub の記録の側（提案カードは読めるまま残す）
+    if (ps.some(function (p) { return p.redacted; })) return null;
     var pathRef = repoPathOf(rec);
     var target = (pathRef ? pathRef + " と " : "") + g.dir + "/README.md";
     // 🔴 **提案データは境界宣言で挟む。** 引用（quote）は外部ソースの本文がそのまま入る値で、
@@ -6762,9 +6767,14 @@ ${calendarAddUrl.toString()}
     var apply = aiApplyBtn(rec, sectionName, rec.title);
     if (apply) head.appendChild(apply);
     box.appendChild(head);
+    var hidden = ps.some(function (p) { return p.redacted; });
     box.appendChild(el("p", {
       class: "proposals-lead",
-      text: "夜間の取り込みで、この記録と食い違う内容が見つかりました。根拠を確かめたうえで、直すときは「AIで適用」から反映してください。",
+      text: hidden
+        // 伏せた提案には「AIで適用」が出ない（aiApplyBtn が null を返す）ので、
+        // **どこで直せるのかを 1 行で言う**。帯は症状・行は一手（画面の文言の決まり）
+        ? "夜間の取り込みで、この記録と食い違う内容が見つかりました。メールアドレスと外のIDは伏せてあるため、ここからは適用できません。直すときはGitHubでこの記録を開いてください。"
+        : "夜間の取り込みで、この記録と食い違う内容が見つかりました。根拠を確かめたうえで、直すときは「AIで適用」から反映してください。",
     }));
     ps.forEach(function (p) {
       var item = el("div", { class: "proposal" }, [

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@takagaki/cortex-decisions-viewer",
-  "version": "0.12.74",
+  "version": "0.12.75",
   "description": "Cortexの意思決定記録（Decisions/*.md）を静的サイトにビルドして閲覧する。各レコードに「Edit on GitHub」リンクを付与する。",
   "license": "UNLICENSED",
   "private": false,