@takagaki/cortex-decisions-viewer 0.12.75 → 0.12.77

package/dist/build.js

@@ -57,35 +57,9 @@ const marked_1 = require("marked");
 const sanitize_html_1 = __importDefault(require("sanitize-html"));
 const repo_1 = require("./repo");
 const rederivation_1 = require("./rederivation");
-const person_redact_1 = require("./person-redact");
 // 直近のGold昇格で追加されたレコードのパス集合。レコード生成の各所から参照するのでモジュールスコープに置く
 // （引数で引き回すと呼び出し側の改修が広範囲になる）。build() の冒頭で1回だけ解決する。
 let LATEST_PATHS = new Set();
-/**
- * メンバーの記録から落としたメールアドレス・外の ID の件数（#681）。
- *
- * **ビルドログに出す。** 実データ（案件リポジトリ）はこのリポジトリから触れないので、
- * 「どれだけ隠したか」を数えられる口はここしかない。配布後に Actions のログから
- * 全案件ぶんが拾える（発注書 3 の「見つけた数だけ報告する」）。
- */
-const memberRedaction = {
-    records: 0,
-    dropped: 0,
-    reset() {
-        this.records = 0;
-        this.dropped = 0;
-    },
-    record(dropped) {
-        this.records++;
-        this.dropped += dropped;
-    },
-    report() {
-        // 落とすものが 1 つも無かった案件では黙る（毎晩「0 個落としました」を出さない）
-        if (!this.dropped)
-            return;
-        console.warn(`メンバーの記録 ${this.records} 件から、メールアドレスと外の ID を ${this.dropped} 個落としました（画面にも配るデータにも出しません）`);
-    },
-};
 /**
  * このレコードが「直近のGold昇格で追加されたもの」か。
  *
@@ -698,16 +672,61 @@ async function readFleetSources(repoRoot) {
  * 🔴 **突き合わせはビルド時にここで閉じる**（`proposals` と同じ）。画面側でパスを組み立て直すと、
  * `repoPathOf` が `editUrl` 由来なので **`repoBaseUrl` が無い案件で帯が黙って消える**。
  */
-function attachRederived(records, recordsRel, ctx, nowIso) {
+async function attachRederived(records, recordsDir, ctx, nowIso) {
     if (!ctx)
         return records;
+    // 🔴 **レコードのパスは `repoRoot` から作る**（`toRepoRelative` の `process.cwd()` 起点で
+    // 作らない）。帳簿のキーは常にリポジトリルート相対（`Cortex/Glossary/records/…`）なので、
+    // Decisions ディレクトリから CLI を叩いた案件では cwd 起点だと 1 件も突き合わない
+    const recordsRel = path.relative(ctx.repoRoot, recordsDir).split(path.sep).join("/");
     const pathOf = (r) => (recordsRel ? `${recordsRel}/${r.fileName}` : r.fileName);
     // 🔴 **「確認済み」は `status` だけで決まる**（#667）。帯も並びも同じ `rstatus` を見る
     // ——ここで別のものを渡すと、画面の札と食い違う（「未確認」の札が付いた記録に帯が出る）
     const statusOf = (r) => r.rstatus;
+    // 決定表の行 8（中身が変わったか）の材料。**印の候補になったレコードのぶんだけ**、
+    // `<基準コミット>:<path>` をまとめて 1 回引く。
+    // 🔴 **キーが 0 件の区画では git を起こさない**（この関数は区画ごとに呼ばれる）
+    const keyOf = new Map();
+    for (const r of records) {
+        const key = (0, rederivation_1.rederivedContentKey)(pathOf(r), statusOf(r), ctx.ledgers);
+        if (key)
+            keyOf.set(r, key);
+    }
+    const bases = keyOf.size ? (0, repo_1.readBlobsAt)(ctx.repoRoot, [...keyOf.values()]) : new Map();
+    // 今の版は**作業ツリーから読む**——画面が描いているのはこのファイルであって HEAD ではない
+    const now = new Map();
+    for (const r of keyOf.keys()) {
+        try {
+            now.set(pathOf(r), await node_fs_1.promises.readFile(path.join(ctx.repoRoot, pathOf(r)), "utf8"));
+        }
+        catch {
+            // 読めなければ「引けなかった」側（下の verdict が unknown に倒す）
+        }
+    }
+    const verdict = (p, baseCommit) => {
+        const nowRaw = now.get(p);
+        if (nowRaw == null) {
+            ctx.miss.unreadable.add(p);
+            return "unknown";
+        }
+        // 🔴 **帳簿が中身の指紋を持つならそれを先に使う**（engine が後の便で書く予定）。
+        // 一致したときだけ「変わっていない」と言い、食い違ったら git の二段目へ落とす——
+        // engine が別の綴りで指紋を作っていた場合に、全レコードへ誤報が出るのを避ける
+        const conf = ctx.ledgers.confirmation.get(p);
+        if (conf && conf.contentSha && conf.contentSha === (0, rederivation_1.contentShaOf)(nowRaw))
+            return "same";
+        const baseRaw = bases.get(`${baseCommit}:${p}`);
+        if (baseRaw == null) {
+            // 浅い clone の窓の外・確認の後に改名された・基準コミットにこの path が無い。
+            // **印は立てない**（誤報より無言）が、静かに消える経路なのでログの器に数える
+            ctx.miss.unreadable.add(p);
+            return "unknown";
+        }
+        return (0, rederivation_1.sameRederivedContent)(baseRaw, nowRaw) ? "same" : "changed";
+    };
     for (const r of records) {
-        const band = (0, rederivation_1.rederivedBandOf)(pathOf(r), statusOf(r), ctx.ledgers, ctx.identities, ctx.miss);
-        // **帯が立たないレコードにはキーごと付けない**（空の器を通さない）
+        const band = (0, rederivation_1.rederivedBandOf)(pathOf(r), statusOf(r), ctx.ledgers, ctx.identities, verdict, ctx.miss);
+        // **印が立たないレコードにはキーごと付けない**（空の器を通さない）
         if (band)
             r.rederived = band;
     }
@@ -946,10 +965,7 @@ async function loadGenericRecords(dirAbs, exclude, repoBaseUrl, branch) {
         if (exclude.has(e.name.toLowerCase()))
             continue;
         const raw = await node_fs_1.promises.readFile(path.join(dirAbs, e.name), "utf8");
-        // 区画のディレクトリ名（`records` の親）を**絶対パスから**渡す。メンバーの判定に使う
-        // ——`repoRelDir` は `process.cwd()` 相対で、cwd 次第で前置きが落ちる（#681）
-        const sectionDir = path.basename(path.dirname(path.resolve(dirAbs)));
-        records.push(await parseGeneric(raw, e.name, repoRelDir, repoBaseUrl, branch, sectionDir));
+        records.push(await parseGeneric(raw, e.name, repoRelDir, repoBaseUrl, branch));
     }
     // 日付降順 → タイトル昇順（用語集のように日付が同一でも安定して並ぶ）
     records.sort((a, b) => {
@@ -959,7 +975,7 @@ async function loadGenericRecords(dirAbs, exclude, repoBaseUrl, branch) {
     });
     return records;
 }
-async function parseGeneric(raw, fileName, repoRelDir, repoBaseUrl, branch, sectionDir) {
+async function parseGeneric(raw, fileName, repoRelDir, repoBaseUrl, branch) {
     const { data, content } = (0, gray_matter_1.default)(raw);
     const h1 = content.match(/^#\s+(.+)$/m);
     const id = String(data.id ?? fileName.replace(/\.md$/i, ""));
@@ -979,14 +995,6 @@ async function parseGeneric(raw, fileName, repoRelDir, repoBaseUrl, branch, sect
     const editUrl = repoBaseUrl
         ? `${repoBaseUrl}/edit/${branch}/${encodePath(filePath)}`
         : null;
-    // メンバーの記録は、メールアドレスと外の ID を**配るデータに載せない**（#681）。
-    // 画面側ではなくここで落とす——`fm` は `JSON.stringify` でページのソースに丸ごと埋まる
-    const sanitized = sanitizeFm(data);
-    const isMember = (0, person_redact_1.isMemberRecord)(data.type, data.id, sectionDir);
-    const redacted = isMember ? (0, person_redact_1.redactMemberFm)(sanitized) : null;
-    if (redacted)
-        memberRedaction.record(redacted.dropped);
-    const proposals = takeProposals(filePath);
     return {
         id,
         title,
@@ -1001,13 +1009,11 @@ async function parseGeneric(raw, fileName, repoRelDir, repoBaseUrl, branch, sect
         rtype: data.type != null ? String(data.type) : "",
         rstatus: data.status != null ? String(data.status) : "",
         isLatest: isLatestPath(filePath),
-        proposals: isMember && proposals ? (0, person_redact_1.redactMemberProposals)(proposals) : proposals,
-        // 🔴 `relations` / `source` には形の判定を当てない。中身は内側の参照（`minute:` 等）で、
-        // 当てるとメンバー → 議事録・共有資料・デザインの線がまるごと消える（設計レビュー🔴2）
+        proposals: takeProposals(filePath),
         relations: toRelations(data.relations),
         source: data.source != null ? String(data.source) : "",
         bodyLinks: extractBodyLinks(content),
-        fm: redacted ? redacted.fm : sanitized,
+        fm: sanitizeFm(data),
         fmErrors: validateFm(data),
     };
 }
@@ -1940,7 +1946,6 @@ async function build(opts) {
     // 同一プロセスで2回ビルドしても前回の値が残らないよう、毎回入れ替える
     PROPOSALS_BY_PATH = await readGoldProposals(repoRoot);
     PROPOSAL_PATHS_MATCHED = new Set();
-    memberRedaction.reset();
     // 再導出の 3 帳簿（#665 便 12b）。**帳簿が無い案件では帯も並び替えも作らない**ので、
     // 読めたときだけ git の素性を取りに行く（帳簿を持たない 44 案件で git の呼び出しを増やさない）
     const ledgers = await (0, rederivation_1.readRederivationLedgers)(repoRoot);
@@ -1951,8 +1956,9 @@ async function build(opts) {
             // あちらは「リポジトリルートで実行すること」が前提の既存の制約だが、こちらは repoRoot を
             // 既に知っている（帳簿をそこから読んでいる）。Decisions ディレクトリから CLI を叩いた
             // ときも pathspec が当たり、帯が黙って消えない
+            repoRoot: repoRoot,
             identities: ledgers.confirmation.size ? (0, repo_1.collectGoldCommitIdentities)(repoRoot) : new Map(),
-            miss: { unresolved: new Set() },
+            miss: { unresolved: new Set(), unreadable: new Set() },
         }
         : null;
     const decisions = [];
@@ -1970,8 +1976,7 @@ async function build(opts) {
     if (knowledgeRoot) {
         try {
             const raw = await node_fs_1.promises.readFile(path.join(knowledgeRoot, "Home.md"), "utf8");
-            // Home.md は区画の下ではなく Gold の根に置く（＝メンバーの記録では絶対に無い）
-            home = await parseGeneric(raw, "Home.md", toRepoRelative(knowledgeRoot), repo.baseUrl, repo.branch, path.basename(path.resolve(knowledgeRoot)));
+            home = await parseGeneric(raw, "Home.md", toRepoRelative(knowledgeRoot), repo.baseUrl, repo.branch);
             // 自己記述の節を取り出し、**本文からは抜く**（最上部に出すので、残すと2度出る）。
             // 旧い使い方の説明もここで落ちる（説明はビューアが持つようになった）
             const grounding = await buildHomeGrounding(raw);
@@ -2000,7 +2005,7 @@ async function build(opts) {
             const records = await loadGenericRecords(recordsDir, exclude, repo.baseUrl, repo.branch);
             // 「人が確認した版から変わりました」の帯と、用語集の並び（#665 便 12b）。
             // **帳簿を持たない案件では 1 件も付かず、並びもそのまま**（下の attachRederived）
-            const ordered = attachRederived(records, toRepoRelative(recordsDir), rederive, opts.generatedAt);
+            const ordered = await attachRederived(records, recordsDir, rederive, opts.generatedAt);
             // レコード0件でもタブは出す（空状態から「＋AIで登録」できる導線になる）。
             // records/ 自体が無いディレクトリ（その区画が未導入の案件）はタブにしない
             if (records.length || (await isDirectory(recordsDir))) {
@@ -2037,7 +2042,15 @@ async function build(opts) {
             `（浅い clone か履歴の窓の外。人か機械か見分けられないので帯は出しません）: ` +
             shas.slice(0, 3).map((s) => s.slice(0, 8)).join(", ") + (shas.length > 3 ? " ほか" : ""));
     }
-    memberRedaction.report();
+    // 🔴 **印が静かに消えるもう 1 つの経路を 1 行残す。** 人が確認した版の中身を git から
+    // 引けないと「説明文が変わったか」を言えないので、印は出さない（誤報より無言）。
+    // 出さないと「印が出ない」の原因を「中身が変わっていない」と切り分けられない
+    if (rederive && rederive.miss.unreadable.size) {
+        const paths = [...rederive.miss.unreadable];
+        console.warn(`gold-confirmation.json: 人が確認した版の中身を ${paths.length} 件引けませんでした` +
+            `（浅い clone か、確認の後に改名・削除された。変わったかを言えないので印は出しません）: ` +
+            paths.slice(0, 3).join(", ") + (paths.length > 3 ? " ほか" : ""));
+    }
     const unmatched = [...PROPOSALS_BY_PATH.keys()].filter((k) => !PROPOSAL_PATHS_MATCHED.has(k));
     if (unmatched.length) {
         console.warn(`gold-proposals.json: レコードに突き合わない提案が ${unmatched.length} 件ありました（表示しません）: ` +
@@ -2055,10 +2068,7 @@ async function build(opts) {
     // git が無い・浅い clone・該当0件なら空で、履歴の節が出ないだけ（他の表示は壊れない）。
     // 走るのは latestGeneratedPaths と同じ **リポジトリルート**（process.cwd()）——
     // Decisions ディレクトリで実行すると pathspec に一致せず常に空になる
-    // 🔴 **伏せるのは repo.ts ではなくここ。** `isFrontmatterKeyRename` は before/after の値が
-    // 全部一致したらエントリを丸ごと捨てるので、収集の側で伏せると**別々の ID が全部
-    // 「（伏せた値）」になって一致し、本物の書き換えが履歴から黙って消える**（#681）
-    const aiHistory = (0, person_redact_1.redactAiHistory)((0, repo_1.collectAiChangeHistory)(process.cwd()));
+    const aiHistory = (0, repo_1.collectAiChangeHistory)(process.cwd());
     // 案件アイコン（#348）。Cortex構成でなければ undefined（旧レイアウトには置き場が無い）
     const projectIcon = await findProjectIcon(knowledgeRoot);
     const site = {

package/dist/external-id.js

@@ -0,0 +1,148 @@
+"use strict";
+/**
+ * 外の ID の「形」の判定（#686）。
+ *
+ * 🔴 **伏せるためではなく、`<種類>:<値>` の形の ID を見分けて画面で解釈するための判定。**
+ * 関係者の記録には `slack_user:U0…` のような外のサービスの ID が並ぶ。画面はこれを
+ * 「種類」と「値」に割って読ませたい（どのサービスの ID なのかが分からないと、人は
+ * 結び付きが正しいかを確かめられない）。そのための見分けをここに置く。
+ *
+ * #681 で入れた伏せの実装（`person-redact.ts`）は #686 で撤去した。**形の判定だけを残して
+ * ある**——判定そのものは伏せとは関係なく要るもので、書き直すと同じ取りこぼしを踏む。
+ *
+ * ## 種類を列挙しない
+ *
+ * 外の ID は `<種類>:<値>` の形で書かれる（engine `docs/observations.md` の `<id_kind>:<id>`）。
+ * **種類を列挙すると、engine が新しい種類を足した晩に見分けられなくなる**ので、形だけで
+ * 判定する。種類の大文字小文字は問わない。
+ *
+ * 逆に、**このリポジトリの内側の呼び名は外の ID と見なさない**（`INSIDE_KINDS`）。
+ * `member:山田太郎` は名前そのもので、`minute:` / `material:` / `design:` は
+ * つながりの図が正本の URL を引く行き先（`build.ts` の `classifyTarget`）。
+ */
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.INSIDE_KIND_LIST = exports.TYPED_ID_WHOLE_SRC = exports.FM_LINKED_IDS = void 0;
+exports.normalizeSeparators = normalizeSeparators;
+exports.isExternalId = isExternalId;
+exports.splitTypedId = splitTypedId;
+exports.isMemberRecord = isMemberRecord;
+exports.isMemberRecordPath = isMemberRecordPath;
+/**
+ * このリポジトリの内側の呼び名。外の ID と見なさない。
+ *
+ * 前半は記録の id の種類（`build.ts` の `GOLD_TYPES` と同じ）、後半は Silver の参照
+ * （`build.ts` の `classifyTarget` が正本の URL に解決する 3 つ）。
+ */
+const INSIDE_KINDS = new Set([
+    "decision", "term", "member", "rule", "report", "overview",
+    "minute", "material", "design",
+]);
+/**
+ * `<種類>:<値>` 1 つぶん。
+ *
+ * 🔴 **コロンの直後に空白があるものは当てない。** `[a-z_]+:` ＋ 1 文字以上は YAML の
+ * `キー: 値` そのものの形なので、空白を許すと `title: 山田 太郎` のような行まで
+ * 「外の ID」と見なしてしまう。
+ */
+const TYPED_ID_SRC = "([A-Za-z][A-Za-z0-9_]*):([^\\s,\"'\\[\\]、。，）)]+)";
+/** メールアドレスの形（`email:` を付けずに書かれたもの） */
+const EMAIL_SRC = "[^\\s,\"'<>\\[\\]、。，）)]+@[^\\s,\"'<>\\[\\]、。，）)]+";
+const TYPED_ID_WHOLE = new RegExp("^" + TYPED_ID_SRC + "$");
+const EMAIL_WHOLE = new RegExp("^" + EMAIL_SRC + "$");
+/**
+ * 全角コロンを半角に寄せる。人が名簿を手で書く欄なので、日本語入力のまま
+ * `slack_user：…` と区切りだけ全角になった行を取りこぼさない。
+ */
+function normalizeSeparators(s) {
+    return s.replace(/：/g, ":");
+}
+/**
+ * その文字列ぜんたいが外の ID か（`aliases` の 1 要素の判定）。
+ *
+ * 判定に使うだけで中身を書き戻さないので、ここでは**全角を丸ごと半角に寄せて**から当てる
+ * （`ｓｌａｃｋ＿ｕｓｅｒ：Ｕ０Ｘ` のように、種類まで全角で書かれた行を取りこぼさない）。
+ */
+function isExternalId(v) {
+    if (typeof v !== "string")
+        return false;
+    const s = v.normalize("NFKC").trim();
+    if (s === "")
+        return false;
+    // 外のサービスの呼び名を `@名前` の形で書いたもの
+    if (/^@\S+$/.test(s))
+        return true;
+    // ドットの無い社内アドレス（`taro@example`）も外の ID に入れる
+    if (EMAIL_WHOLE.test(s))
+        return true;
+    const m = TYPED_ID_WHOLE.exec(s);
+    return m != null && !INSIDE_KINDS.has(m[1].toLowerCase());
+}
+/**
+ * `<種類>:<値>` を種類と値に割る。画面が「どのサービスの ID か」を出すための口。
+ *
+ * 内側の呼び名（`member:` / `minute:` 等）と、形に当たらない値は `null` を返す
+ * ——外の ID として解釈してはいけないものを、呼び出し側が取り違えないようにする。
+ * 全角で書かれていても割れるよう、`isExternalId` と同じく先に半角へ寄せてから当てる
+ * （返す種類・値も寄せたあとの字面）。
+ */
+function splitTypedId(v) {
+    if (typeof v !== "string")
+        return null;
+    const m = TYPED_ID_WHOLE.exec(normalizeSeparators(v.normalize("NFKC").trim()));
+    if (!m)
+        return null;
+    if (INSIDE_KINDS.has(m[1].toLowerCase()))
+        return null;
+    return { kind: m[1], value: m[2] };
+}
+/**
+ * 関係者の記録で「つながっている ID」を載せるフロントマターの欄の名前（#686）。
+ *
+ * 🔴 **この綴りを他所に書かない。** 欄名は engine 側でまだ確定していない
+ *（`identities` か `linked_ids` か未裁定）。読む側（画面の「つながっている ID」の節と
+ * レコード情報のパネル）と、書く側（AIで編集の下書き）が別々に綴りを持つと、
+ * engine が改名した日に**片方だけが追随して静かに食い違う**。定数はここ 1 本にして、
+ * 両方がこれを引く。
+ *
+ * 🔴 画面の中では `identities` と呼ばない（`linkedIds` / `.linked-ids` / `.li-*`）。
+ * `identities` という語は、このリポジトリでは既に `GoldCommitIdentity`
+ *（帯のコミットの筆者）の意味で使っている——同じ語を 2 つの意味で使わない。
+ */
+exports.FM_LINKED_IDS = "identities";
+/**
+ * 関係者（Members）の記録か。
+ *
+ * 🔴 **パスの文字列だけで判定しない。** `toRepoRelative` は `process.cwd()` 相対で、
+ * cwd がリポジトリルートでないと `records` に倒れる——判定が外れると**関係者の記録なのに
+ * 関係者として扱われない**側に倒れる。だから cwd に依存しない印を 3 つ見る。
+ *
+ * #681 の伏せの実装（`person-redact.ts`）は #686 で撤去したが、**この判定だけは残す**
+ * ——伏せとは関係なく「関係者の記録か」は要るもので、書き直すと同じ取りこぼしを踏む。
+ *
+ * @param type      frontmatter の `type`
+ * @param id        frontmatter の `id`（engine は `member:{氏名}` を必須にしている）
+ * @param sectionDir 区画のディレクトリ名（`records` の親。絶対パスから取る）
+ */
+function isMemberRecord(type, id, sectionDir) {
+    if (typeof type === "string" && type.trim() === "member")
+        return true;
+    if (typeof id === "string" && id.startsWith("member:"))
+        return true;
+    return sectionDir === "Members";
+}
+/** そのリポジトリ相対パスが関係者の記録の置き場か（git のパスは cwd に依存しない） */
+function isMemberRecordPath(repoPath) {
+    return /(^|\/)Members\/records\/[^/]+\.md$/.test(repoPath);
+}
+/**
+ * `<種類>:<値>` 1 つぶんの形（文字列ぜんたい）の**正規表現の素**（#686）。
+ *
+ * 🔴 **画面の埋め込み JS に同じ形を 2 度書かないために出す。** 名寄せの提案を
+ * 「同じ人ですか」の問いに変えてよいかの門は、この形だけで見分ける
+ *（`isExternalId` の「`@名前`」「素のメール」の枝は門に使わない——`aliases` には
+ * ハンドル名が普通に入るので、`@yamada` が門を通ると、engine が永久に読まない行を
+ * 記録に書くことになる）。綴りを写すと、engine の形が変わった日に画面だけが取り残される。
+ */
+exports.TYPED_ID_WHOLE_SRC = "^" + TYPED_ID_SRC + "$";
+/** 内側の呼び名の一覧（同上。埋め込み JS が `splitTypedId` と同じ除外を持つため） */
+exports.INSIDE_KIND_LIST = [...INSIDE_KINDS];

package/dist/rederivation.js

@@ -9,6 +9,10 @@ exports.parseLedger = parseLedger;
 exports.readRederivationLedgers = readRederivationLedgers;
 exports.parseInjectedNow = parseInjectedNow;
 exports.activityScore = activityScore;
+exports.comparableContent = comparableContent;
+exports.sameRederivedContent = sameRederivedContent;
+exports.contentShaOf = contentShaOf;
+exports.rederivedContentKey = rederivedContentKey;
 exports.rederivedBandOf = rederivedBandOf;
 exports.orderByActivity = orderByActivity;
 /**
@@ -34,8 +38,10 @@ exports.orderByActivity = orderByActivity;
  * 引数で注入する（`generatedAt`）——`new Date()` を中で読むと、固定日付のテストが
  * 実時間と比べられて**ある日から赤くなる**（作業規約「日付爆弾」）。
  */
+const node_crypto_1 = __importDefault(require("node:crypto"));
 const promises_1 = __importDefault(require("node:fs/promises"));
 const node_path_1 = __importDefault(require("node:path"));
+const gray_matter_1 = __importDefault(require("gray-matter"));
 const commit_classify_1 = require("./commit-classify");
 /** 帳簿の版（違ったら空として扱う・engine `LEDGER_VERSION`） */
 exports.LEDGER_VERSION = 1;
@@ -135,12 +141,15 @@ async function readRederivationLedgers(repoRoot) {
             const changedBy = Array.isArray(row?.changed_by)
                 ? row.changed_by.map((s) => String(s)).filter((s) => s !== "")
                 : [];
+            // 中身の指紋は**文字列のときだけ**持つ（engine がまだ書かないので、いまは常に無い）
+            const contentSha = typeof confirmed.content_sha === "string" ? confirmed.content_sha : "";
             out.confirmation.set(p, {
                 at: confirmed.at != null ? String(confirmed.at) : "",
                 by: confirmed.by != null ? String(confirmed.by) : "",
                 verified: confirmed.verified === true,
                 commit: commit,
                 changedBy: changedBy,
+                ...(contentSha ? { contentSha: contentSha } : {}),
             });
         }
     }
@@ -250,6 +259,84 @@ function activityScore(entry, nowIso) {
     // 未来の日付（時計のずれ・手で書いた帳簿）は上の下限で潰れるので、ここは最後の網
     return Number.isFinite(score) ? score : null;
 }
+/**
+ * 比較のための正規化。**末尾の改行・行末の空白を落とし、NFC にそろえる。**
+ *
+ * 改行コード（CRLF / CR）も LF にそろえる——「説明文が変わりましたか」の問いに対して、
+ * 改行コードだけの差を「変わった」と答えるのは嘘に近い。
+ */
+function normalizeForCompare(text) {
+    return String(text ?? "")
+        .replace(/\r\n?/g, "\n")
+        .split("\n")
+        .map((line) => line.replace(/[ \t\u3000]+$/, ""))
+        .join("\n")
+        .replace(/\n+$/, "")
+        .normalize("NFC");
+}
+/**
+ * レコードの生テキストから、**人が読むところだけ**を取り出す（印の判定の材料）。
+ *
+ * 🔴 **`description` のフォールバックを使わない**（用語集の `synonyms` の補足行・旧 `summary`）。
+ * 画面の要約はそれらを継ぎ足して作るが、この印が言うのは「**説明文が変わった**」なので、
+ * `description` の欄そのものだけを見る。継ぎ足すと「別名を 1 つ足しただけ」で印が立つ。
+ *
+ * 🔴 **frontmatter の他の欄は 1 つも見ない。** 今回の誤報（関係者 11 人に出た回）の原因は
+ * 使われない 1 行（`side: cm`）が移行で消えたことだった。`identities` のような欄が
+ * 足された晩に、説明文が 1 文字も変わっていないのに印を立てない。
+ */
+function comparableContent(raw) {
+    let data = {};
+    let content = String(raw ?? "");
+    try {
+        const parsed = (0, gray_matter_1.default)(String(raw ?? ""));
+        data = (parsed.data ?? {});
+        content = parsed.content;
+    }
+    catch {
+        // frontmatter が壊れているレコードは**本文として丸ごと比べる**（読めないことを
+        // 「変わった」の側に倒さない。壊れた形のまま両方同じなら印は立たない）
+    }
+    return {
+        description: normalizeForCompare(String(data.description ?? "")),
+        body: normalizeForCompare(content),
+    };
+}
+/** 2 つの版で「説明文と本文」が同じか（frontmatter の他の欄の差は見ない） */
+function sameRederivedContent(a, b) {
+    const x = comparableContent(a);
+    const y = comparableContent(b);
+    return x.description === y.description && x.body === y.body;
+}
+/**
+ * 「説明文と本文」の指紋。**帳簿の `confirmed.content_sha` と突き合わせる綴り**。
+ *
+ * 🔴 engine がこの欄を書き始めるまで、この値と比べる相手は存在しない。**一致したときだけ
+ * 「変わっていない」と言い、食い違ったら git へ落とす**（`attachRederived`）——engine が
+ * 別の綴りで指紋を作っていた場合に、全レコードへ誤報が出るのを避けるため。
+ */
+function contentShaOf(raw) {
+    const c = comparableContent(raw);
+    return node_crypto_1.default.createHash("sha256").update(c.description + "\u0000" + c.body, "utf8").digest("hex");
+}
+/**
+ * そのレコードが印の**候補**なら、人が確認した版を git から引くための key
+ * （`<基準コミット>:<path>`）。候補でなければ null。
+ *
+ * 🔴 **決定表の行 0〜3 と同じ門**（`rederivedBandOf` の手前の安い行だけ）。ここで候補を
+ * 絞ってから `readBlobsAt` に**まとめて 1 回**渡す——全レコードぶんの key を作ると、
+ * 用語が 1400 件ある案件で毎晩 1400 個の blob を読むことになる。
+ */
+function rederivedContentKey(recordPath, status, ledgers) {
+    if (!isConfirmedStatus(status))
+        return null;
+    if (!BAND_SECTION_RE.test(recordPath))
+        return null;
+    const conf = ledgers.confirmation.get(recordPath);
+    if (!conf || !conf.commit || !conf.changedBy.length)
+        return null;
+    return `${conf.commit}:${recordPath}`;
+}
 /**
  * そのレコードに帯を立てるか（#665 の**決定表**・上から順に評価し、当たった行で終わる）。
  *
@@ -265,15 +352,24 @@ function activityScore(entry, nowIso) {
  * | 4c | 分類が「人」または「不明」 | 落とす |
  * | 4d | **どちらかの綴りで引っ越し** | 落とす |
  * | 4e | author 日付が確認日**以前**（epoch 比較） | 落とす |
- * | 5 | 残りのうち最も新しい author 日付を「書き直した日」にする | **立てる** |
+ * | 5 | 残りのうち最も新しい author 日付を「書き直した日」にする | 候補になる |
+ * | **8** | **人が確認した版から「説明文（`description`）か本文」が変わったか**（`verdict`） | **`changed` のときだけ立てる** |
  * | 6 | 根拠は、帳簿の行の `commit` が `changed_by` に入っているときだけ出す | 出す／出さない |
  * | 7 | 基準コミットが削除のコミットなら「戻す」を出さない（`baseDeleted`） | — |
  *
+ * 🔴 **行 8 がこの機能の本丸**（2026-09-20 の誤報）。前はここが無く、「確認の基準コミットより
+ * 後に機械のコミットがその path に 1 件でもあるか」だけで立てていた——**ファイルの中身を
+ * 1 バイトも見ていなかった**ので、移行でフロントマターの使わない 1 行（`side: cm`）が
+ * 消えただけの回にも、関係者 11 人の画面に「変わりました」が出た。
+ *
  * @param status その記録の `rstatus`（`String()` 済み）。**2 番目の必須引数**にしてある——
  *   末尾の任意引数にすると、渡し忘れが「行 0 の門が静かに開く」になる（設計レビュー 🔴3）
+ * @param verdict 行 8 の答えを引く関数（`(recordPath, baseCommit) => ContentVerdict`）。
+ *   🔴 **必須引数**にしてある——任意にすると、渡し忘れが「中身を見ない昔の判定」に静かに戻る。
+ *   `changed` 以外（`same` / `unknown`）は**立てない**
  * @param miss 立たなかった理由を数える器（呼び出し側で 1 つ作って全レコードで共有する）
  */
-function rederivedBandOf(recordPath, status, ledgers, identities, miss) {
+function rederivedBandOf(recordPath, status, ledgers, identities, verdict, miss) {
     // 0. 「AI生成・未確認」の札が出る記録には帯を重ねない（#667）。**綴りは 1 か所**
     //（ここで `status === "draft"` と直書きすると、判定が 2 つに増えて一致が崩れる）
     if (!isConfirmedStatus(status))
@@ -336,6 +432,12 @@ function rederivedBandOf(recordPath, status, ledgers, identities, miss) {
     // いちばん重い壊れ方なので、既定（立てない側）に倒す。engine が次の夜に基準点を動かす
     if (newestHuman > newest.ms)
         return null;
+    // 8. 🔴 **中身が変わったか。** ここまでは「機械がこの path を触ったか」しか見ていない。
+    // 触っただけ（フロントマターの使わない欄が移行で消えた・`identities` の欄が足された）で
+    // 印を立てると、説明文が 1 文字も変わっていない回に「変わりました」が出る（2026-09-20 の誤報）。
+    // 引けないとき（`unknown`）も立てない——誤報より無言
+    if (verdict(recordPath, conf.commit) !== "changed")
+        return null;
     // 6. 根拠の件数は「この帯のコミットの記録」から出す（別の夜の数字を並べない）
     const red = ledgers.rederivation.get(recordPath);
     const evidence = red && red.evidence != null && red.commit && conf.changedBy.includes(red.commit)
@@ -360,23 +462,39 @@ function rederivedBandOf(recordPath, status, ledgers, identities, miss) {
     };
 }
 /**
- * 用語集の並び（#432 裁定 5-5）。**確認済みは先頭群・群の中は活性度の降順。**
+ * 用語集の並び（#432 裁定 5-5 → #690 で群分けを撤廃）。**活性度の降順だけで決める。**
+ *
+ * 🔴 **確認済みかどうかは並びに使わない**（便 #690・オーナー決定 2026-09-21 逐語
+ * 「触れられた回数とか、携わってる人、携わってる回数が多い人が上に出てくる方がいい。
+ * **アクティブ、ドラフト関係なく**」）。engine の関係者の並び（`scripts/engagement/tiers.mjs`
+ * の `order`・便 #543）に当てたのと同じ形で、**同じ画面の中で並び方を揃える**。
+ *
+ * 前はここで「確認済みが先頭群」を先に見ていたので、**群の境目が活性度より強く**、
+ * ほとんど触られていない確認済みの語が先頭に並び、**いま出てきたばかりの下書きが下に沈んだ**。
+ * 理由は 2 つ:
+ * - 「確認済みかどうか」は**札で分かる**（`render.ts` の「AI生成・未確認」）ので、
+ *   並びで二重に表現する必要がない。下書きが上に来るのは「**新しく出てきた言葉**」なので、
+ *   むしろ見たいもの
+ * - 🔴 **この並びは「索引の上から N 件だけを AI に読ませる」構想の土台**（engine #544）。
+ *   「上に来るものが重要」でなければ、その仕組みが成り立たない
  *
- * 🔴 **「確認済み」は `status` だけで決まる**（#667 のオーナー決定）。**帳簿は見ない**
- * ——先頭群に来るのは「AI生成・未確認」の札が付かない記録で、画面の札と 1 文字も同じ判定
- * （`isConfirmedStatus`）を使う。前は `ledgers.confirmation.has(p)`（＝人が 1 度でも触ったか）
- * で決めていたので、**札は「未確認」なのに先頭群に居る**記録が出ていた（実測: cortex-context
- * の用語集で 25 件）。帳簿の役目は「どの版に戻すか」だけになった。
+ * 🔴 **`isConfirmedStatus` は消さない**——このファイルの**印の門（`rederivedContentKey`）と
+ * 帯の門（`rederivedBandOf`）**が使う。`render.ts` の札は `rec.rstatus === "draft"` の
+ * **別実装**で、2 つが一致していることは `rederived-mark-ui.test.mjs` の `[札との一致]` が見る。
+ * ここで変えるのは**並びだけ**で、札・帯・印・プロンプトに渡る材料は 1 つも変えていない。
  *
  * - 活性度を持つレコードが 1 件も無い区画は **1 バイトも触らない**（帳簿が無い案件は従来順）
- * - 活性度を知らないレコードは群の末尾へ、**元の並びのまま**（安定）
+ * - 活性度を知らないレコードは**末尾**へ、**元の並びのまま**（安定）
+ * - 同じ活性度なら元の並び（日付降順 → タイトル昇順がそのまま残る）
  * - 用語集だけ（メンバーの並びは便 14・Decisions と Rules は対象外）
  *
- * ℹ️ `ledgers` は活性度のために引き続き受け取る（`ledgers.activity` だけを渡す形にすると
- * 「帳簿の判定に戻す」退行がコンパイルで止まる代わりに、**変異検証でそれを実演できなくなる**）。
+ * ℹ️ `ledgers` と `statusOf` は**受け取り続ける**。`ledgers` は活性度のために要る。
+ * `statusOf` は並びに使わなくなったが、**引数から落とすと「群分けを足し戻す」退行が
+ * コンパイルで止まる代わりに、変異検証でそれを実演できなくなる**（`ledgers` と同じ流儀）。
+ * 番人（`rederivation-ledgers.test.mjs` の `[並び]`）はこの 1 行の足し戻しで赤くなる。
  *
  * @param records 区画のレコード（`repoPathOf` で引けるパスを持つもの。並びは変えずに新しい配列を返す）
- * @param statusOf そのレコードの `rstatus`（`String()` 済み）を引く関数
+ * @param statusOf そのレコードの `rstatus`（`String()` 済み）を引く関数。**並びには使わない**（上の ℹ️）
  */
 function orderByActivity(records, pathOf, statusOf, ledgers, nowIso) {
     if (!records.length)
@@ -388,7 +506,6 @@ function orderByActivity(records, pathOf, statusOf, ledgers, nowIso) {
         return {
             r: r,
             i: i,
-            confirmed: inSection && isConfirmedStatus(statusOf(r)),
             score: inSection ? activityScore(ledgers.activity.get(p), nowIso) : null,
         };
     });
@@ -397,15 +514,12 @@ function orderByActivity(records, pathOf, statusOf, ledgers, nowIso) {
     return scored
         .slice()
         .sort((a, b) => {
-        // 1. 確認済みは先頭群（群の境目は活性度より強い）
-        if (a.confirmed !== b.confirmed)
-            return a.confirmed ? -1 : 1;
-        // 2. 群の中は活性度の降順。知らないものは群の末尾
+        // 1. 活性度の降順だけ（便 #690・確認済みかどうかでは分けない）。知らないものは末尾
         if (a.score != null && b.score != null && a.score !== b.score)
             return b.score - a.score;
         if ((a.score == null) !== (b.score == null))
             return a.score == null ? 1 : -1;
-        // 3. 同点は元の並び（安定・日付降順 → タイトル昇順がそのまま残る）
+        // 2. 同点は元の並び（安定・日付降順 → タイトル昇順がそのまま残る）
         return a.i - b.i;
     })
         .map((s) => s.r);