aizuchi 0.1.0

package/dist/server/app.js

@@ -0,0 +1,817 @@
+import { promises as fs, existsSync } from 'node:fs';
+import path from 'node:path';
+import { Hono } from 'hono';
+import { bodyLimit } from 'hono/body-limit';
+import { HTTPException } from 'hono/http-exception';
+import { streamSSE } from 'hono/streaming';
+import { commentInputSchema, configSchema, fileSaveInputSchema, renameInputSchema, findMemberViolations, moveInputSchema, newTaskInputSchema, NEW_TASK_BODY, rejectInputSchema, saveInputSchema, summarizeZodError, taskFrontmatterSchema, taskIdSchema, } from '../shared/schema.js';
+import { loadArchive, loadBoard, loadConfig, loadTaskView } from './board.js';
+import { createEventBus } from './events.js';
+import { allocateNextId, createSerialQueue } from './lib/id.js';
+import { assertDirInsideKanban, FileExistsError, PathValidationError, readKanbanFile, resolveKanbanReal, safeWriteFile, statKanbanFile, } from './lib/fs-safe.js';
+import { buildDocsTree, readDoc } from './lib/docs.js';
+import { findCommitsForTask } from './lib/git.js';
+import { buildCatalog, buildFileTree, fileMtime, readConfigFile, saveConfigFile } from './lib/files.js';
+import { applyPinpointPatch, renameTaskId, replaceDependsOnId, verifyPinpointResult, verifyRename, } from './lib/pinpoint.js';
+import { appendCommentLine, appendWorkLogLine, replaceBody } from './lib/proposal.js';
+import { parseTaskFile, serializeTaskFile, TaskFileParseError } from './lib/task-file.js';
+import { archiveMonth, nowIso, workLogTimestamp } from './lib/time.js';
+/**
+ * Hono アプリ (REST API + SSE)。要件 §6.7 のうち Phase 1 スコープの
+ * board / tasks / events のみを実装する (アーカイブ・承認・却下 API は Phase 2)。
+ *
+ * ログ方針 (N-8): タスク本文・設定ファイル内容をレスポンス以外 (サーバーログ) に出さない。
+ * エラーメッセージにはパスと操作種別までを含める。
+ */
+/** ダッシュボード起票時の既定ステータス (人間の起票は free 扱い。提案ワークフローは Phase 2) */
+const NEW_TASK_STATUS = 'todo';
+/** Host ヘッダ (`<hostname>[:port]`) が loopback を指すかを判定する (DNS rebinding 緩和)。overview モードと共有 */
+export function isLoopbackHost(host) {
+    // IPv6 リテラルは "[::1]:port"。括弧内を取り出し、無ければ末尾 ":port" を外す
+    const bracket = host.match(/^\[([^\]]+)\]/);
+    const hostname = bracket ? bracket[1] : host.replace(/:\d+$/, '');
+    if (hostname === 'localhost' || hostname === '::1')
+        return true;
+    // 127.0.0.0/8 は全て loopback
+    return /^127\.\d{1,3}\.\d{1,3}\.\d{1,3}$/.test(hostname);
+}
+/**
+ * board / overview の両アプリに共通のセキュリティミドルウェアを適用する (R14-5)。
+ * (1) 全レスポンスに CSP / X-Frame-Options / nosniff (多層防御・clickjacking 対策)
+ * (2) /api/* に Host ヘッダ検証 (DNS rebinding 緩和)
+ * (3) /api/* の状態変更系に CSRF 対策 (Content-Type 厳格 415 + Sec-Fetch-Site 403)
+ * (4) /api/* に bodyLimit (巨大ボディ 413)
+ * overview は現状 GET のみだが、将来 API が増えた時の非対称 (CSRF 欠落等) を防ぐため board と同一にする。
+ * N=3 (board CSP/Host/CSRF + overview CSP/Host) で共通化 (LEARN#8b)。
+ */
+export function applySecurityMiddleware(app) {
+    // セキュリティヘッダ (R4-2): 全レスポンスに付与する多層防御。
+    // ローカル SPA なので self 由来のみ許可。Vite ビルドは外部 JS バンドル + inline style のため
+    // style-src のみ unsafe-inline を許す。clickjacking 対策に X-Frame-Options: DENY も付ける。
+    app.use('*', async (c, next) => {
+        await next();
+        c.res.headers.set('content-security-policy', "default-src 'self'; style-src 'self' 'unsafe-inline'; img-src 'self' data:; connect-src 'self'; frame-ancestors 'none'; base-uri 'self'; object-src 'none'");
+        c.res.headers.set('x-frame-options', 'DENY');
+        c.res.headers.set('x-content-type-options', 'nosniff');
+    });
+    // Host ヘッダ検証 (N-1 補完): 127.0.0.1 バインドはネット越しを防ぐが、ブラウザ起点の
+    // DNS rebinding は防げない。Host が loopback (localhost / 127.x / ::1) / 任意ポート 以外なら 403。
+    // 攻撃 (DNS rebinding) はブラウザが必ず付ける Host が攻撃者ドメインになる点を突くため、
+    // Host 不在 (HTTP/1.1 では必須。CLI ツールや app.request テストは付けないことがある) は許可する。
+    app.use('/api/*', async (c, next) => {
+        const host = c.req.header('host');
+        if (host !== undefined && host !== '' && !isLoopbackHost(host)) {
+            return c.json({ error: '許可されていない Host ヘッダ' }, 403);
+        }
+        await next();
+    });
+    // CSRF 対策 (R4-1): 状態変更系 (POST/PUT/PATCH) で simple-request CSRF を防ぐ。
+    // (1) Content-Type を application/json 厳密必須化 → text/plain 等の simple request が成立せず
+    //     preflight 強制 → 悪意ページは CORS ヘッダ無しで失敗する
+    // (2) Sec-Fetch-Site (ブラウザが必ず付与) が same-origin / none 以外なら 403
+    // GET は読出専用 (CORS ヘッダ無しでクロスオリジン読出不可) なので対象外。
+    app.use('/api/*', async (c, next) => {
+        const method = c.req.method;
+        if (method === 'POST' || method === 'PUT' || method === 'PATCH') {
+            const contentType = c.req.header('content-type') ?? '';
+            // "application/json" / "application/json; charset=utf-8" を許可。それ以外は 415
+            const mediaType = contentType.split(';')[0].trim().toLowerCase();
+            if (mediaType !== 'application/json') {
+                return c.json({ error: 'Content-Type は application/json が必須です' }, 415);
+            }
+            // Sec-Fetch-Site があり same-origin / none 以外 (cross-site / same-site) なら拒否
+            const fetchSite = c.req.header('sec-fetch-site');
+            if (fetchSite !== undefined && fetchSite !== 'same-origin' && fetchSite !== 'none') {
+                return c.json({ error: 'クロスオリジンからの操作は許可されていません' }, 403);
+            }
+        }
+        await next();
+    });
+    // 書込系の巨大ボディを 413 で拒否する (ローカル前提だが防御を一段足す)
+    app.use('/api/*', bodyLimit({ maxSize: 1024 * 1024 }));
+}
+export function createApp(options) {
+    const projectRoot = path.resolve(options.projectRoot);
+    const kanbanDir = path.join(projectRoot, '.kanban');
+    const tasksDir = path.join(kanbanDir, 'tasks');
+    const bus = options.bus ?? createEventBus();
+    const enqueue = createSerialQueue();
+    const app = new Hono();
+    // R17-D: .kanban の realpath 信頼境界を確立する。各ルートの .kanban 直 read はこれを取得して
+    // statKanbanFile / readKanbanFile に渡し、中間 dir symlink (.kanban/tasks 等) 経由の外部漏洩を防ぐ。
+    // .kanban 自体が symlink / 不在なら throw する (呼び出し側で 404 / 既定値に倒す)。
+    const getKanbanReal = () => resolveKanbanReal(projectRoot);
+    /**
+     * タスクファイル本文 (content) を archive/<YYYY-MM>/<id>.md へ排他移動し、元 (tasks/) を削除する。
+     * 「archive 排他書込 → 成功後に元 rm」順序でタスク消失を防ぐ (reject / archive で共用)。
+     * archive に同 ID があれば FileExistsError を投げる (呼び出し側で 409)。archive の相対パスを返す。
+     *
+     * R17-F (M2): mkdir 前に archive の realpath containment を検査する。旧実装は `fs.mkdir(recursive)` が
+     * lexical な archive symlink を辿り root 外に空ディレクトリを作れた (ファイル書込は safeWriteFile が遮断済み
+     * だが空 dir は残る)。.kanban が symlink / archive 自体が外部 symlink なら PathValidationError で中止する。
+     */
+    const moveToArchive = async (id, content) => {
+        const kanbanReal = await getKanbanReal(); // .kanban 自体が symlink なら throw
+        const archiveDir = path.join(kanbanReal, 'archive');
+        // archive 自体が外部 dir への symlink でないことを realpath で検査 (mkdir で symlink 先に空 dir を作らせない)。
+        // archive 不在は許容 (mkdir recursive が正規に作る) ため、存在する場合のみ containment を確認する。
+        if (existsSync(archiveDir)) {
+            await assertDirInsideKanban(archiveDir, kanbanReal);
+        }
+        const monthDir = path.join(archiveDir, archiveMonth());
+        await fs.mkdir(monthDir, { recursive: true });
+        const archivePath = path.join(monthDir, `${id}.md`);
+        await safeWriteFile(archivePath, content, [kanbanDir], { exclusive: true });
+        await fs.rm(path.join(tasksDir, `${id}.md`), { force: true });
+        return path.relative(projectRoot, archivePath);
+    };
+    // セキュリティミドルウェア (CSP / Host / CSRF / bodyLimit) は overview と共通 (R14-5)
+    applySecurityMiddleware(app);
+    app.onError((error, c) => {
+        // hono の HTTPException (bodyLimit の 413 等) は自前のレスポンスを尊重する
+        // (一律 500 に丸めると 413 等の意味が失われる)
+        if (error instanceof HTTPException) {
+            return error.getResponse();
+        }
+        if (error instanceof PathValidationError) {
+            return c.json({ error: error.message }, 400);
+        }
+        // 原因調査用に種別のみログへ出す (N-8: タスク本文・設定内容・エラー詳細は出さない)
+        console.error('[aizuchi]', c.req.method, c.req.path, error.name);
+        return c.json({ error: 'サーバー内部エラー' }, 500);
+    });
+    // ---------------------------------------------------------------------
+    // GET /api/mode — SPA の起動時分岐用 (波 VII: serve=board / overview=overview)
+    // ---------------------------------------------------------------------
+    app.get('/api/mode', (c) => {
+        return c.json({ mode: 'board' });
+    });
+    // ---------------------------------------------------------------------
+    // GET /api/board — 全タスク + config + 警告
+    // ---------------------------------------------------------------------
+    app.get('/api/board', async (c) => {
+        return c.json(await loadBoard(projectRoot));
+    });
+    // ---------------------------------------------------------------------
+    // GET /api/archive — アーカイブ済みタスクの本文 (日次ダイジェストの集計用・読出専用)
+    // ---------------------------------------------------------------------
+    app.get('/api/archive', async (c) => {
+        return c.json({ tasks: await loadArchive(projectRoot) });
+    });
+    // ---------------------------------------------------------------------
+    // POST /api/tasks — 起票 (採番はプロセス内キューで直列化)
+    // ---------------------------------------------------------------------
+    app.post('/api/tasks', async (c) => {
+        const body = await c.req.json().catch(() => null);
+        const input = newTaskInputSchema.safeParse(body);
+        if (!input.success) {
+            return c.json({ error: '入力が不正', issues: summarizeZodError(input.error) }, 400);
+        }
+        const { config } = await loadConfig(projectRoot);
+        const violations = findMemberViolations({ created_by: input.data.created_by, assignee: input.data.assignee ?? null }, config);
+        if (violations.length > 0) {
+            return c.json({ error: violations.join(' / ') }, 400);
+        }
+        // 走査 → 採番 → 書込 をアトミックに直列化する (同時起票の ID 重複防止)。
+        // 書込は排他作成 (exclusive) にし、採番後の窓で AI が同 ID を直書きしていた場合は
+        // 上書きせず再採番 retry する (N-3: POST が外部データを silent 上書きするのを防ぐ)
+        const view = await enqueue(async () => {
+            const MAX_RETRY = 5;
+            for (let attempt = 0;; attempt++) {
+                const id = await allocateNextId(kanbanDir, config.idPrefix);
+                const now = nowIso();
+                const frontmatter = taskFrontmatterSchema.parse({
+                    id,
+                    title: input.data.title,
+                    status: NEW_TASK_STATUS,
+                    assignee: input.data.assignee ?? null,
+                    created_by: input.data.created_by,
+                    priority: input.data.priority ?? 'medium',
+                    labels: input.data.labels ?? [],
+                    blocked_type: null,
+                    blocked_reason: null,
+                    created: now,
+                    updated: now,
+                });
+                // 本文: テンプレート由来の body があればそれを、無ければ既定本文テンプレートを使う (波 VI)。
+                // R11-6: serializeTaskFile は `---\n` 直後に body を置くため、先頭が改行でない body は
+                // frontmatter に密着する。NEW_TASK_BODY (先頭改行あり) と対称にするため \n を前置する
+                const rawBody = input.data.body;
+                const taskBody = rawBody !== undefined && rawBody.length > 0
+                    ? rawBody.startsWith('\n')
+                        ? rawBody
+                        : `\n${rawBody}`
+                    : NEW_TASK_BODY;
+                const filePath = path.join(tasksDir, `${id}.md`);
+                try {
+                    await safeWriteFile(filePath, serializeTaskFile(frontmatter, taskBody), [kanbanDir], {
+                        exclusive: true,
+                    });
+                    return loadTaskView(projectRoot, filePath);
+                }
+                catch (error) {
+                    // 採番後に AI が同 ID を作っていた場合は再採番してやり直す
+                    if (error instanceof FileExistsError && attempt < MAX_RETRY)
+                        continue;
+                    throw error;
+                }
+            }
+        });
+        return c.json(view, 201);
+    });
+    // ---------------------------------------------------------------------
+    // PATCH /api/tasks/:id — D&D のステータス変更 (行置換のみ・本文保全)
+    // ---------------------------------------------------------------------
+    app.patch('/api/tasks/:id', async (c) => {
+        const idResult = taskIdSchema.safeParse(c.req.param('id'));
+        if (!idResult.success) {
+            return c.json({ error: '不正なタスク ID' }, 400);
+        }
+        const input = moveInputSchema.safeParse(await c.req.json().catch(() => null));
+        if (!input.success) {
+            return c.json({ error: '入力が不正', issues: summarizeZodError(input.error) }, 400);
+        }
+        const filePath = path.join(tasksDir, `${idResult.data}.md`);
+        // 読込 → 行置換 → 書込 をキューで直列化する (プロセス内の write-write 競合の窓を閉じる)
+        return enqueue(async () => {
+            let raw;
+            try {
+                // R17-D: realpath containment + symlink 非追従で読む。symlink タスク / 中間 dir symlink は 404 に倒す
+                raw = await readKanbanFile(filePath, await getKanbanReal());
+            }
+            catch {
+                return c.json({ error: `タスクが見つからない: ${idResult.data}` }, 404);
+            }
+            // 破損ファイルは移動先カラムに依らず 409 + 理由 (内容抜粋なし) を返す
+            let current;
+            try {
+                current = parseTaskFile(raw);
+            }
+            catch (error) {
+                const message = error instanceof TaskFileParseError ? error.message : 'タスクファイルを解析できない';
+                return c.json({ error: `更新できない (${message})` }, 409);
+            }
+            const patch = { status: input.data.status, updated: nowIso() };
+            if (input.data.status === 'pending') {
+                // pending 行きはダイアログで取得した blocked_* を同梱する (技術決定⑥)
+                patch.blocked_type = input.data.blocked_type ?? null;
+                patch.blocked_reason = input.data.blocked_reason ?? null;
+            }
+            else if (current.data.blocked_type != null || current.data.blocked_reason != null) {
+                // pending 以外への移動では blocked_* が残っていれば null へ戻す (経緯は作業ログに残る前提)
+                patch.blocked_type = null;
+                patch.blocked_reason = null;
+            }
+            let patched;
+            let patchedParsed;
+            try {
+                patched = applyPinpointPatch(raw, patch);
+                patchedParsed = parseTaskFile(patched);
+            }
+            catch (error) {
+                const message = error instanceof TaskFileParseError ? error.message : error instanceof Error ? error.message : '更新に失敗';
+                return c.json({ error: `更新できない (${message})` }, 409);
+            }
+            // verify-after-patch ガード: 行置換が「意図した frontmatter フィールドだけを意図どおりに変え、
+            // 本文は不変」かを再 parse で検証する。block scalar / 特殊表記で取りこぼし・巻き添え・本文破壊が
+            // 出た場合は壊れた内容を書き込まず 409 で拒否する (PM Round 1 #2/#3/#6 + Round 2 R2-2)
+            const drift = verifyPinpointResult(current, patchedParsed, patch);
+            if (drift !== null) {
+                return c.json({ error: `更新できない (${drift})` }, 409);
+            }
+            // 書換後の frontmatter がスキーマを満たすか検証する (pending なのに blocked 無し等は 400)
+            const check = taskFrontmatterSchema.safeParse(patchedParsed.data);
+            if (!check.success) {
+                return c.json({ error: 'ステータス変更後のタスクが不正', issues: summarizeZodError(check.error) }, 400);
+            }
+            await safeWriteFile(filePath, patched, [kanbanDir]);
+            return c.json(await loadTaskView(projectRoot, filePath));
+        });
+    });
+    // ---------------------------------------------------------------------
+    // PUT /api/tasks/:id — 本文を含む全体更新 (mtime 厳密比較で競合検知)
+    // ---------------------------------------------------------------------
+    app.put('/api/tasks/:id', async (c) => {
+        const idResult = taskIdSchema.safeParse(c.req.param('id'));
+        if (!idResult.success) {
+            return c.json({ error: '不正なタスク ID' }, 400);
+        }
+        const input = saveInputSchema.safeParse(await c.req.json().catch(() => null));
+        if (!input.success) {
+            return c.json({ error: '入力が不正', issues: summarizeZodError(input.error) }, 400);
+        }
+        const filePath = path.join(tasksDir, `${idResult.data}.md`);
+        // mtime 検査 → 検証 → 書込 をキューで直列化する (プロセス内の write-write 競合の窓を閉じる)
+        return enqueue(async () => {
+            let stat;
+            let serverContent;
+            try {
+                // R17-D: realpath containment + symlink 非追従で stat/read する。symlink task / 中間 dir symlink は
+                // 404 に倒し、409 の serverContent に外部ファイル全文が載るのを防ぐ (read 面 containment の最重要箇所)
+                const kanbanReal = await getKanbanReal();
+                stat = await statKanbanFile(filePath, kanbanReal);
+                serverContent = await readKanbanFile(filePath, kanbanReal);
+            }
+            catch {
+                return c.json({ error: `タスクが見つからない: ${idResult.data}` }, 404);
+            }
+            // mtimeMs は数値のまま厳密比較する (N-3)
+            if (stat.mtimeMs !== input.data.baseMtimeMs) {
+                return c.json({ error: '外部で変更されています', serverContent, serverMtimeMs: stat.mtimeMs }, 409);
+            }
+            // 保存時のスキーマ検証 (F-2-2)
+            let parsed;
+            try {
+                parsed = parseTaskFile(input.data.content);
+            }
+            catch (error) {
+                const message = error instanceof TaskFileParseError ? error.message : '本文を解析できない';
+                return c.json({ error: message }, 400);
+            }
+            const check = taskFrontmatterSchema.safeParse(parsed.data);
+            if (!check.success) {
+                return c.json({ error: 'frontmatter が不正', issues: summarizeZodError(check.error) }, 400);
+            }
+            if (check.data.id !== idResult.data) {
+                return c.json({ error: `frontmatter の id (${check.data.id}) は変更できない` }, 400);
+            }
+            await safeWriteFile(filePath, input.data.content, [kanbanDir]);
+            return c.json(await loadTaskView(projectRoot, filePath));
+        });
+    });
+    // ---------------------------------------------------------------------
+    // POST /api/tasks/:id/approve — 提案の承認 (proposed → todo) (F-3-3)
+    // ---------------------------------------------------------------------
+    app.post('/api/tasks/:id/approve', async (c) => {
+        const idResult = taskIdSchema.safeParse(c.req.param('id'));
+        if (!idResult.success) {
+            return c.json({ error: '不正なタスク ID' }, 400);
+        }
+        const filePath = path.join(tasksDir, `${idResult.data}.md`);
+        return enqueue(async () => {
+            let raw;
+            try {
+                raw = await readKanbanFile(filePath, await getKanbanReal()); // R17-D: containment + symlink 非追従 (symlink/中間dirは 404)
+            }
+            catch {
+                return c.json({ error: `タスクが見つからない: ${idResult.data}` }, 404);
+            }
+            let current;
+            try {
+                current = parseTaskFile(raw);
+            }
+            catch (error) {
+                const message = error instanceof TaskFileParseError ? error.message : 'タスクファイルを解析できない';
+                return c.json({ error: `承認できない (${message})` }, 409);
+            }
+            // 承認は proposed のタスクにのみ許す (提案ワークフローの状態遷移)
+            if (current.data.status !== 'proposed') {
+                return c.json({ error: 'proposed のタスクのみ承認できます' }, 409);
+            }
+            // status を todo に行置換 (本文・他フィールドは保全)。verify-after-patch ガードを通す
+            const patch = { status: 'todo', updated: nowIso() };
+            let patched;
+            let patchedParsed;
+            try {
+                patched = applyPinpointPatch(raw, patch);
+                patchedParsed = parseTaskFile(patched);
+            }
+            catch (error) {
+                const message = error instanceof Error ? error.message : '承認に失敗';
+                return c.json({ error: `承認できない (${message})` }, 409);
+            }
+            const drift = verifyPinpointResult(current, patchedParsed, patch);
+            if (drift !== null) {
+                return c.json({ error: `承認できない (${drift})` }, 409);
+            }
+            const check = taskFrontmatterSchema.safeParse(patchedParsed.data);
+            if (!check.success) {
+                return c.json({ error: '承認後のタスクが不正', issues: summarizeZodError(check.error) }, 400);
+            }
+            // 承認痕跡を作業ログに残す (F-3-4 の誤検知防止 R6-1)。pinpoint の frontmatter 検証を
+            // 通した後に body だけ更新する。これで「proposed→approve した正規タスク」は承認痕跡を持ち、
+            // モード違反検知 (board.ts) の対象から外れる
+            const logLine = `${workLogTimestamp()} [approve] 承認: proposed → todo`;
+            const finalRaw = replaceBody(patched, appendWorkLogLine(patchedParsed.body, logLine));
+            await safeWriteFile(filePath, finalRaw, [kanbanDir]);
+            return c.json(await loadTaskView(projectRoot, filePath));
+        });
+    });
+    // ---------------------------------------------------------------------
+    // POST /api/tasks/:id/reject — 提案の却下 (作業ログに理由 → archive へ移動) (F-3-3)
+    // ---------------------------------------------------------------------
+    app.post('/api/tasks/:id/reject', async (c) => {
+        const idResult = taskIdSchema.safeParse(c.req.param('id'));
+        if (!idResult.success) {
+            return c.json({ error: '不正なタスク ID' }, 400);
+        }
+        const input = rejectInputSchema.safeParse(await c.req.json().catch(() => null));
+        if (!input.success) {
+            return c.json({ error: '入力が不正', issues: summarizeZodError(input.error) }, 400);
+        }
+        const filePath = path.join(tasksDir, `${idResult.data}.md`);
+        return enqueue(async () => {
+            let raw;
+            try {
+                raw = await readKanbanFile(filePath, await getKanbanReal()); // R17-D: containment + symlink 非追従 (symlink/中間dirは 404)
+            }
+            catch {
+                return c.json({ error: `タスクが見つからない: ${idResult.data}` }, 404);
+            }
+            let current;
+            try {
+                current = parseTaskFile(raw);
+            }
+            catch (error) {
+                const message = error instanceof TaskFileParseError ? error.message : 'タスクファイルを解析できない';
+                return c.json({ error: `却下できない (${message})` }, 409);
+            }
+            if (current.data.status !== 'proposed') {
+                return c.json({ error: 'proposed のタスクのみ却下できます' }, 409);
+            }
+            // 作業ログに却下理由を 1 行追記する (本文の更新なので raw 全体を再構成する)。
+            // frontmatter ブロックは行置換せずそのまま残し、本文 (body) だけに追記する
+            const logLine = `${workLogTimestamp()} [reject] 却下: ${input.data.reason}`;
+            const newBody = appendWorkLogLine(current.body, logLine);
+            // raw の frontmatter 部分 (先頭〜 2 つ目の ---) を保持し、body だけ差し替える
+            const rebuilt = replaceBody(raw, newBody);
+            try {
+                const archived = await moveToArchive(idResult.data, rebuilt);
+                return c.json({ id: idResult.data, archived });
+            }
+            catch (error) {
+                if (error instanceof FileExistsError) {
+                    return c.json({ error: `archive に同じ ID が既に存在します: ${idResult.data}` }, 409);
+                }
+                throw error;
+            }
+        });
+    });
+    // ---------------------------------------------------------------------
+    // POST /api/tasks/:id/archive — done タスクを archive へ移動 (F-1-10)
+    // ---------------------------------------------------------------------
+    app.post('/api/tasks/:id/archive', async (c) => {
+        const idResult = taskIdSchema.safeParse(c.req.param('id'));
+        if (!idResult.success) {
+            return c.json({ error: '不正なタスク ID' }, 400);
+        }
+        const filePath = path.join(tasksDir, `${idResult.data}.md`);
+        return enqueue(async () => {
+            let raw;
+            try {
+                raw = await readKanbanFile(filePath, await getKanbanReal()); // R17-D: containment + symlink 非追従 (symlink/中間dirは 404)
+            }
+            catch {
+                return c.json({ error: `タスクが見つからない: ${idResult.data}` }, 404);
+            }
+            let current;
+            try {
+                current = parseTaskFile(raw);
+            }
+            catch (error) {
+                const message = error instanceof TaskFileParseError ? error.message : 'タスクファイルを解析できない';
+                return c.json({ error: `アーカイブできない (${message})` }, 409);
+            }
+            // done のみアーカイブ可 (要件 §5.4: アーカイブは完了タスクの所在移動)
+            if (current.data.status !== 'done') {
+                return c.json({ error: 'done のタスクのみアーカイブできます' }, 409);
+            }
+            try {
+                const archived = await moveToArchive(idResult.data, raw); // 本文は変更せずそのまま移動
+                return c.json({ id: idResult.data, archived });
+            }
+            catch (error) {
+                if (error instanceof FileExistsError) {
+                    return c.json({ error: `archive に同じ ID が既に存在します: ${idResult.data}` }, 409);
+                }
+                throw error;
+            }
+        });
+    });
+    // ---------------------------------------------------------------------
+    // POST /api/tasks/:id/rename — 重複 ID を空き番号へリネーム (F-6-5)
+    // ---------------------------------------------------------------------
+    app.post('/api/tasks/:id/rename', async (c) => {
+        const idResult = taskIdSchema.safeParse(c.req.param('id'));
+        if (!idResult.success) {
+            return c.json({ error: '不正なタスク ID' }, 400);
+        }
+        // body は空オブジェクトのみ許可 (R8 Minor: 余計なキーを strict で弾く)
+        const input = renameInputSchema.safeParse(await c.req.json().catch(() => ({})));
+        if (!input.success) {
+            return c.json({ error: '入力が不正', issues: summarizeZodError(input.error) }, 400);
+        }
+        const oldId = idResult.data;
+        const oldPath = path.join(tasksDir, `${oldId}.md`);
+        return enqueue(async () => {
+            let raw;
+            try {
+                raw = await readKanbanFile(oldPath, await getKanbanReal()); // R17-D: containment + symlink 非追従 (symlink/中間dirは 404)
+            }
+            catch {
+                return c.json({ error: `タスクが見つからない: ${oldId}` }, 404);
+            }
+            // 破損ファイルはリネーム前に弾く (壊れた id を作って元削除しないように)
+            let before;
+            try {
+                before = parseTaskFile(raw);
+            }
+            catch (error) {
+                const message = error instanceof TaskFileParseError ? error.message : 'タスクファイルを解析できない';
+                return c.json({ error: `リネームできない (${message})` }, 409);
+            }
+            const { config } = await loadConfig(projectRoot);
+            // 空き番号を採番し、id 行を書き換える
+            const newId = await allocateNextId(kanbanDir, config.idPrefix);
+            const renamed = renameTaskId(raw, newId);
+            // verify-after-rename ガード (R8-4): 新 id がファイル名と一致 & 他フィールド/body 不変かを
+            // 書込・削除の前に検証する。drift なら元ファイルを残し 409 (壊れた id 表記で消失させない)
+            let after;
+            try {
+                after = parseTaskFile(renamed);
+            }
+            catch (error) {
+                const message = error instanceof TaskFileParseError ? error.message : 'リネーム結果を解析できない';
+                return c.json({ error: `リネームできない (${message})` }, 409);
+            }
+            const drift = verifyRename(before, after, newId);
+            if (drift !== null) {
+                return c.json({ error: `リネームできない (${drift})` }, 409);
+            }
+            const newPath = path.join(tasksDir, `${newId}.md`);
+            try {
+                await safeWriteFile(newPath, renamed, [kanbanDir], { exclusive: true });
+            }
+            catch (error) {
+                if (error instanceof FileExistsError) {
+                    return c.json({ error: `採番した ID が既に存在します: ${newId}` }, 409);
+                }
+                throw error;
+            }
+            await fs.rm(oldPath, { force: true });
+            // 他タスクの depends_on に含まれる旧 ID を新 ID へ更新する (F-6-5 連鎖更新)
+            let names = [];
+            const chainKanbanReal = await getKanbanReal(); // ループ前に realpath 信頼境界を一度確立
+            try {
+                names = await fs.readdir(tasksDir);
+            }
+            catch {
+                names = [];
+            }
+            for (const name of names) {
+                if (!name.endsWith('.md') || name === `${newId}.md`)
+                    continue;
+                const p = path.join(tasksDir, name);
+                let content;
+                try {
+                    content = await readKanbanFile(p, chainKanbanReal); // R17-D: containment + symlink 非追従 (symlink は連鎖更新対象外)
+                }
+                catch {
+                    continue;
+                }
+                const updated = replaceDependsOnId(content, oldId, newId);
+                if (updated !== content) {
+                    await safeWriteFile(p, updated, [kanbanDir]);
+                }
+            }
+            return c.json({ oldId, newId });
+        });
+    });
+    // ---------------------------------------------------------------------
+    // GET /api/config — 生 config JSON を返す (設定画面 F-5 の編集元)
+    // ---------------------------------------------------------------------
+    app.get('/api/config', async (c) => {
+        const configPath = path.join(kanbanDir, 'config.json');
+        try {
+            // mtime → read の順 (loadTaskView と同じ理由: 不整合を誤 409 側に倒す)。
+            // mtime はヘッダ x-config-mtime-ms で返し、PUT の競合検知 (N-3) に使う。
+            // 生テキストはそのまま返す (ユーザーの独自フィールド・整形を保つ) ため body には載せない
+            // R17-D: realpath containment + symlink 非追従で stat/read する。symlinked config.json /
+            // .kanban の中間 dir symlink による外部全文漏洩を防ぐ (symlink/不在なら catch で既定値へ)
+            const kanbanReal = await getKanbanReal();
+            const stat = await statKanbanFile(configPath, kanbanReal);
+            const raw = await readKanbanFile(configPath, kanbanReal);
+            return c.body(raw, 200, {
+                'content-type': 'application/json; charset=utf-8',
+                'x-config-mtime-ms': String(stat.mtimeMs),
+            });
+        }
+        catch {
+            // config が無い / symlink なら既定値を返す (N-6)。ファイルが無いので mtime は付けない (新規保存は素通り)
+            const { config } = await loadConfig(projectRoot);
+            return c.json(config);
+        }
+    });
+    // ---------------------------------------------------------------------
+    // PUT /api/config — config 保存。schema は「検証のみ」で生 JSON を書く (R1 方針)
+    // ---------------------------------------------------------------------
+    app.put('/api/config', async (c) => {
+        const body = await c.req.json().catch(() => undefined);
+        if (body === undefined) {
+            return c.json({ error: 'JSON として読めない本文' }, 400);
+        }
+        // 空 {} / 配列 / 非オブジェクトを拒否する (R6 Minor: 空 config で全消去できないように)。
+        // configSchema は全フィールド default 持ちのため {} でも parse は通るが、意味ある保存ではない
+        if (typeof body !== 'object' || body === null || Array.isArray(body) || Object.keys(body).length === 0) {
+            return c.json({ error: 'config が空または不正です (少なくとも 1 つのフィールドが必要)' }, 400);
+        }
+        // 検証のみ: schema を満たすか確認するが、strip 後の値ではなく生 JSON を書き戻す
+        // (configSchema は unknown キーを strip するため、書き戻すとユーザーの独自フィールドが消える)
+        const parsed = configSchema.safeParse(body);
+        if (!parsed.success) {
+            return c.json({ error: 'config が不正', issues: summarizeZodError(parsed.error) }, 400);
+        }
+        const configPath = path.join(kanbanDir, 'config.json');
+        // baseMtimeMs (ヘッダ x-base-mtime-ms) があれば mtime 競合検知 (N-3、PUT /api/tasks と同方式)。
+        // 空文字 / 未送信のみ skip し競合検知なしで保存する (後方互換: 旧クライアント・新規 config 作成)。
+        // R10-5: 非空かつ非数値 (例 "abc") は fail-open で握りつぶさず 400 (PUT /api/tasks が非数値を弾くのと対称)
+        const baseHeader = c.req.header('x-base-mtime-ms');
+        let baseMtimeMs = null;
+        if (baseHeader !== undefined && baseHeader !== '') {
+            const n = Number(baseHeader);
+            if (!Number.isFinite(n)) {
+                return c.json({ error: 'x-base-mtime-ms ヘッダは数値が必要です' }, 400);
+            }
+            baseMtimeMs = n;
+        }
+        // mtime 検査 → 書込 をキューで直列化する (プロセス内 write-write 競合の窓を閉じる)
+        return enqueue(async () => {
+            if (baseMtimeMs !== null) {
+                let stat;
+                let serverContent;
+                try {
+                    // R17-D: realpath containment + symlink 非追従で stat/read する。symlinked config.json /
+                    // 中間 dir symlink の外部全文が 409 の serverContent に載るのを防ぐ (symlink/不在は「競合なし」へ)
+                    const kanbanReal = await getKanbanReal();
+                    stat = await statKanbanFile(configPath, kanbanReal);
+                    serverContent = await readKanbanFile(configPath, kanbanReal);
+                }
+                catch {
+                    // 既存ファイルが無い / symlink (= 競合のしようがない)。素通りで新規作成へ
+                    stat = null;
+                    serverContent = '';
+                }
+                // mtimeMs は数値のまま厳密比較 (N-3)。drift なら 409 + サーバー側内容
+                if (stat !== null && stat.mtimeMs !== baseMtimeMs) {
+                    return c.json({ error: '外部で変更されています', serverContent, serverMtimeMs: stat.mtimeMs }, 409);
+                }
+            }
+            await safeWriteFile(configPath, `${JSON.stringify(body, null, 2)}\n`, [kanbanDir]);
+            return c.json({ ok: true });
+        });
+    });
+    // ---------------------------------------------------------------------
+    // AI 設定ファイル管理 F-4 (書込先が .kanban の外に広がる・N-2 の本丸)
+    // ---------------------------------------------------------------------
+    // GET /api/files?path=... — 許可リスト内ファイルの内容 (F-4-1 / F-4-6)
+    app.get('/api/files', async (c) => {
+        const relPath = c.req.query('path');
+        if (relPath === undefined || relPath === '') {
+            return c.json({ error: 'path クエリが必要です' }, 400);
+        }
+        const { config } = await loadConfig(projectRoot);
+        try {
+            return c.json(await readConfigFile(projectRoot, config, relPath));
+        }
+        catch (error) {
+            if (error instanceof PathValidationError)
+                return c.json({ error: error.message }, 403);
+            if (error.code === 'ENOENT')
+                return c.json({ error: 'ファイルが見つかりません' }, 404);
+            throw error;
+        }
+    });
+    // PUT /api/files — 許可リスト内ファイルの保存 (.bak + mode 保全 + mtime 競合検知)
+    app.put('/api/files', async (c) => {
+        const input = fileSaveInputSchema.safeParse(await c.req.json().catch(() => null));
+        if (!input.success) {
+            return c.json({ error: '入力が不正', issues: summarizeZodError(input.error) }, 400);
+        }
+        const { config } = await loadConfig(projectRoot);
+        // 直列化キューで mtime 検査 → 保存 (プロセス内 write-write 競合を閉じる)
+        return enqueue(async () => {
+            try {
+                const current = await fileMtime(projectRoot, config, input.data.path);
+                // 既存ファイルの場合のみ mtime 厳密比較 (新規作成は current=null で素通り)
+                if (current !== null && current !== input.data.baseMtimeMs) {
+                    return c.json({ error: '外部で変更されています', serverMtimeMs: current }, 409);
+                }
+                const saved = await saveConfigFile(projectRoot, config, input.data.path, input.data.content);
+                return c.json(saved);
+            }
+            catch (error) {
+                if (error instanceof PathValidationError)
+                    return c.json({ error: error.message }, 403);
+                throw error;
+            }
+        });
+    });
+    // GET /api/files/tree — browseDirs 配下のファイルツリー (F-4-2)
+    app.get('/api/files/tree', async (c) => {
+        const { config } = await loadConfig(projectRoot);
+        return c.json({ trees: await buildFileTree(projectRoot, config) });
+    });
+    // GET /api/files/catalog — skill / agent の frontmatter カタログ (F-4-4)
+    app.get('/api/files/catalog', async (c) => {
+        const { config } = await loadConfig(projectRoot);
+        return c.json({ items: await buildCatalog(projectRoot, config) });
+    });
+    // ---------------------------------------------------------------------
+    // 関連資料 (波 VIII)。読取専用 2 API のみ・書込経路ゼロ。containment 監査は S-6
+    // ---------------------------------------------------------------------
+    // GET /api/docs/tree — docsDirs 配下の .md ツリー (symlink 非追従)
+    app.get('/api/docs/tree', async (c) => {
+        const { config } = await loadConfig(projectRoot);
+        return c.json({ trees: await buildDocsTree(projectRoot, config) });
+    });
+    // GET /api/docs?path=... — 資料本文 (読取専用)。範囲外 403 / 不在 404
+    app.get('/api/docs', async (c) => {
+        const relPath = c.req.query('path');
+        if (relPath === undefined || relPath === '') {
+            return c.json({ error: 'path クエリが必要です' }, 400);
+        }
+        const { config } = await loadConfig(projectRoot);
+        try {
+            return c.json(await readDoc(projectRoot, config, relPath));
+        }
+        catch (error) {
+            if (error instanceof PathValidationError)
+                return c.json({ error: error.message }, 403);
+            if (error.code === 'ENOENT')
+                return c.json({ error: '資料が見つかりません' }, 404);
+            throw error;
+        }
+    });
+    // ---------------------------------------------------------------------
+    // GET /api/tasks/:id/commits — タスク ID を含む git コミット (S-1・read-only)
+    // ID をパスから取得 → taskIdSchema で検証 → git.ts が更に厳格バリデーション + execFile (シェル非経由)。
+    // 非 git / git 未インストール / 該当なしは [] (graceful degradation・N-1 はローカル subprocess のみ)。
+    // ---------------------------------------------------------------------
+    app.get('/api/tasks/:id/commits', async (c) => {
+        const idResult = taskIdSchema.safeParse(c.req.param('id'));
+        if (!idResult.success) {
+            return c.json({ error: '不正なタスク ID' }, 400);
+        }
+        const commits = await findCommitsForTask(projectRoot, idResult.data);
+        return c.json({ commits });
+    });
+    // ---------------------------------------------------------------------
+    // POST /api/tasks/:id/comment — タスクコメント (往復・本文 ## やりとり に追記)
+    // ---------------------------------------------------------------------
+    app.post('/api/tasks/:id/comment', async (c) => {
+        const idResult = taskIdSchema.safeParse(c.req.param('id'));
+        if (!idResult.success) {
+            return c.json({ error: '不正なタスク ID' }, 400);
+        }
+        const input = commentInputSchema.safeParse(await c.req.json().catch(() => null));
+        if (!input.success) {
+            return c.json({ error: '入力が不正', issues: summarizeZodError(input.error) }, 400);
+        }
+        // コメントの member は config.members に登録済みであること (作業ログ / 起票と揃える、R8 Minor)
+        const { config } = await loadConfig(projectRoot);
+        if (!config.members.some((m) => m.id === input.data.member)) {
+            return c.json({ error: `member "${input.data.member}" は config.members に未登録` }, 400);
+        }
+        const filePath = path.join(tasksDir, `${idResult.data}.md`);
+        return enqueue(async () => {
+            let raw;
+            try {
+                raw = await readKanbanFile(filePath, await getKanbanReal()); // R17-D: containment + symlink 非追従 (symlink/中間dirは 404)
+            }
+            catch {
+                return c.json({ error: `タスクが見つからない: ${idResult.data}` }, 404);
+            }
+            let current;
+            try {
+                current = parseTaskFile(raw);
+            }
+            catch (error) {
+                const message = error instanceof TaskFileParseError ? error.message : 'タスクファイルを解析できない';
+                return c.json({ error: `コメントできない (${message})` }, 409);
+            }
+            // 本文の ## やりとり セクションに `- 時刻 [member] msg` を追記する (frontmatter はバイト保全)
+            const line = `${workLogTimestamp()} [${input.data.member}] ${input.data.message}`;
+            const newBody = appendCommentLine(current.body, line);
+            await safeWriteFile(filePath, replaceBody(raw, newBody), [kanbanDir]);
+            return c.json(await loadTaskView(projectRoot, filePath));
+        });
+    });
+    // ---------------------------------------------------------------------
+    // GET /api/events — SSE (通知のみ。クライアントは board を再取得する)
+    // ---------------------------------------------------------------------
+    app.get('/api/events', (c) => {
+        return streamSSE(c, async (stream) => {
+            let unsubscribe = () => { };
+            const closed = new Promise((resolve) => {
+                stream.onAbort(() => resolve());
+            });
+            unsubscribe = bus.subscribe((event) => {
+                void stream.writeSSE({ data: JSON.stringify(event) });
+            });
+            await stream.writeSSE({ data: JSON.stringify({ type: 'connected' }) });
+            await closed;
+            unsubscribe();
+        });
+    });
+    return { app, bus };
+}