aizuchi 0.4.0 → 0.7.2

package/dist/server/lib/proposal.js

@@ -3,14 +3,45 @@
  */
 // 作業ログ見出し: 日本語テンプレ (`## 作業ログ`) と英語 (`## Work log`) の両方を許容する
 const WORK_LOG_HEADING_RE = /^#{1,6}\s*(?:作業ログ|work log)\s*$/i;
-// 承認痕跡: approve API が作業ログに残す `[approve]` タグ行 (F-3-4 誤検知防止 R6-1)
-const APPROVE_TRACE_RE = /^\s*-\s*\S.*\[approve\]/m;
+// 任意の Markdown 見出し行 (作業ログセクションの終端検出に使う)
+const ANY_HEADING_RE = /^#{1,6}\s/;
+// 承認痕跡: approve API (app.ts) が作業ログに残す固定文言のみにマッチする (I1: `## やりとり` の
+// 自由記述コメントや CLI `aizuchi log` の任意メッセージによる誤検知バイパスを防ぐため、行頭
+// `- <timestamp>` 直後のアクター角括弧位置が `[approve]` で、続くメッセージが承認 API の固定文言
+// `承認: proposed → todo` (app.ts:549) と完全一致する場合のみマッチする)
+const APPROVE_TRACE_RE = /^-\s*\d{4}-\d{2}-\d{2}\s+\d{2}:\d{2}\s+\[approve\]\s+承認: proposed → todo\s*$/m;
 /**
- * 作業ログに承認痕跡 (`[approve]` を含むログ行) があるかを判定する。
+ * body から `## 作業ログ` セクション (見出し直後 〜 次の見出し行 or EOF) だけを切り出す。
+ * 見出しが無ければ空文字列を返す (承認痕跡は正規の approve API 書込みでのみ作業ログ内に残るため、
+ * セクション自体が無いタスクに承認痕跡はあり得ない = 空扱いで安全側に倒す)。
+ */
+function workLogSection(body) {
+    const eol = body.includes('\r\n') ? '\r\n' : '\n';
+    const lines = body.split(eol);
+    let start = -1;
+    for (let i = 0; i < lines.length; i++) {
+        if (WORK_LOG_HEADING_RE.test(lines[i].replace(/\r$/, '').trim())) {
+            start = i + 1;
+            break;
+        }
+    }
+    if (start === -1)
+        return '';
+    const out = [];
+    for (let i = start; i < lines.length; i++) {
+        if (ANY_HEADING_RE.test(lines[i]))
+            break;
+        out.push(lines[i]);
+    }
+    return out.join('\n');
+}
+/**
+ * 作業ログセクションに承認痕跡 (approve API 固定文言のログ行) があるかを判定する。
  * proposed→approve した正規タスクと、AI が proposed を経ず直接 todo 起票した違反を区別するために使う。
+ * I1: 検索対象を `## 作業ログ` セクション内に限定する (`## やりとり` コメント経由のバイパスを防ぐ)。
  */
 export function hasApprovalTrace(body) {
-    return APPROVE_TRACE_RE.test(body);
+    return APPROVE_TRACE_RE.test(workLogSection(body));
 }
 /**
  * frontmatter ブロック (先頭 `---` 〜 2 つ目の `---` の行) を header として保持したまま、

package/dist/server/lib/related-docs-validate.js

@@ -0,0 +1,37 @@
+import path from 'node:path';
+import { isSecretPath, isStrictlyInside, PathValidationError, sanitizeConfigDirEntries, } from './fs-safe.js';
+/**
+ * 資料からの起票 (波 VIII) で frontmatter に保存して良い related_docs パスかを検証する純ロジック。
+ *
+ * - 対象ディレクトリ = config.docsDirs ∪ config.docsWriteDirs を sanitizeConfigDirEntries で
+ *   root 配下に正規化し、.kanban 配下 / 秘匿パスを除外したもの (docs.ts の effectiveDocsDirs と同思想)。
+ * - 各要素は「.md 拡張子」「root 配下の相対パス (絶対 / .. を弾く)」「許可ディレクトリ配下」
+ *   「秘匿パスでない」を満たす必要がある。1 つでも違反すれば PathValidationError を投げる。
+ * - 同期判定のみ (fs.realpath は呼ばない): これは「読取」ではなく「frontmatter に書いて良い参照値か」の
+ *   妥当性チェック。symlink / TOCTOU 防御は読取時 (docs.ts resolveDocPath / readFileNoFollow) が担保する。
+ */
+export function assertRelatedDocsAllowed(projectRoot, config, docs) {
+    if (docs.length === 0)
+        return;
+    const root = path.resolve(projectRoot);
+    const kanbanDir = path.join(root, '.kanban');
+    const allowedDirs = sanitizeConfigDirEntries(root, [...config.docsDirs, ...config.docsWriteDirs]).filter((dir) => dir !== kanbanDir && !isStrictlyInside(kanbanDir, dir) && !isSecretPath(dir));
+    for (const rel of docs) {
+        if (!rel.endsWith('.md')) {
+            throw new PathValidationError('related_docs は .md ファイルのみ指定できます');
+        }
+        if (path.isAbsolute(rel)) {
+            throw new PathValidationError('related_docs に絶対パスは指定できません');
+        }
+        const resolved = path.resolve(root, rel);
+        if (resolved !== root && !resolved.startsWith(root + path.sep)) {
+            throw new PathValidationError('related_docs にプロジェクトルート外のパスは指定できません');
+        }
+        if (isSecretPath(resolved)) {
+            throw new PathValidationError('related_docs に秘匿ファイルは指定できません');
+        }
+        if (!allowedDirs.some((dir) => isStrictlyInside(dir, resolved))) {
+            throw new PathValidationError('related_docs は docsDirs / docsWriteDirs 配下の資料のみ指定できます');
+        }
+    }
+}

package/dist/server/lib/task-ops.js

@@ -1,14 +1,14 @@
-import { promises as fs } from 'node:fs';
 import path from 'node:path';
 import { findMemberViolations, moveInputSchema, newTaskInputSchema, NEW_TASK_BODY, summarizeZodError, taskFrontmatterSchema, taskIdSchema, } from '../../shared/schema.js';
 import { loadConfig, loadTaskView } from '../board.js';
 import { allocateNextId, createSerialQueue } from './id.js';
-import { FileExistsError, resolveKanbanReal, safeWriteFile } from './fs-safe.js';
+import { FileExistsError, PathValidationError, readKanbanFile, resolveKanbanReal, safeWriteFile } from './fs-safe.js';
 import { applyPinpointPatch, verifyPinpointResult } from './pinpoint.js';
 import { appendCommentLine, appendWorkLogLine, replaceBody, reviseWorkLogText } from './proposal.js';
+import { assertRelatedDocsAllowed } from './related-docs-validate.js';
 import { parseTaskFile, serializeTaskFile, TaskFileParseError } from './task-file.js';
 import { nowIso, workLogTimestamp } from './time.js';
-import { DEFAULT_TRASH_KEEP, snapshotToTrash } from './trash.js';
+import { DEFAULT_TRASH_KEEP, snapshotBestEffort } from './trash.js';
 /**
  * タスク操作のコアロジック (AI 用 CLI F-6-3 が使う)。
  *
@@ -60,13 +60,16 @@ export class TaskOps {
      * 破壊的書込 (move / revise) の直前に現内容を `.kanban/.trash/<id>.<epoch_ms>.md` へコピー退避する
      * 安全網 (ごみ箱)。HTTP ルート (app.ts) の snapshot ヘルパーと同型・同 trashKeep。
      * ベストエフォート (退避失敗は本処理を止めない)。退避は元を消さない「コピー」。
+     *
+     * M9 (LEARN#8b): 実際の退避握り潰しは snapshotBestEffort (trash.ts) に集約。resolveKanbanReal は
+     * ここでも throw しうるため (呼び出し元で既に成功済みだが再解決する) 従来どおり try/catch を維持する。
      */
     async snapshot(id, currentContent) {
         try {
             const kanbanReal = await resolveKanbanReal(this.projectRoot);
             const { config } = await loadConfig(this.projectRoot);
             const keep = config.trashKeep ?? DEFAULT_TRASH_KEEP;
-            await snapshotToTrash(id, currentContent, this.kanbanDir, kanbanReal, keep);
+            await snapshotBestEffort(id, currentContent, this.kanbanDir, kanbanReal, keep);
         }
         catch {
             // 退避はベストエフォート安全網。失敗しても本処理 (破壊的書込) は止めない
@@ -87,6 +90,17 @@ export class TaskOps {
         if (violations.length > 0) {
             throw new TaskOpError('unregistered_member', violations.join(' / '));
         }
+        // 波 VIII: related_docs は docsDirs / docsWriteDirs 配下の妥当な .md 相対パスのみ受け付ける
+        // (I3: app.ts の POST /api/tasks と同型の検証。HTTP 経路と非対称な許可リスト検証欠落を解消する)
+        if (parsed.data.related_docs !== undefined && parsed.data.related_docs.length > 0) {
+            try {
+                assertRelatedDocsAllowed(this.projectRoot, config, parsed.data.related_docs);
+            }
+            catch (error) {
+                const message = error instanceof PathValidationError ? error.message : 'related_docs が不正です';
+                throw new TaskOpError('invalid_input', message);
+            }
+        }
         return this.enqueue(async () => {
             const MAX_RETRY = 5;
             for (let attempt = 0;; attempt++) {
@@ -100,6 +114,7 @@ export class TaskOps {
                     created_by: parsed.data.created_by,
                     priority: parsed.data.priority ?? 'medium',
                     labels: parsed.data.labels ?? [],
+                    related_docs: parsed.data.related_docs,
                     blocked_type: null,
                     blocked_reason: null,
                     created: now,
@@ -138,7 +153,10 @@ export class TaskOps {
         return this.enqueue(async () => {
             let raw;
             try {
-                raw = await fs.readFile(filePath, 'utf8');
+                // R17-D: .kanban の realpath 信頼境界を経由して読む (symlink / 中間 dir symlink は
+                // PathValidationError → 404 相当の not_found に倒す。C1: 生 fs.readFile は symlink を辿り
+                // 外部ファイル内容を .trash へ実体コピーしてリークするため使わない)
+                raw = await readKanbanFile(filePath, await resolveKanbanReal(this.projectRoot));
             }
             catch {
                 throw new TaskOpError('not_found', `タスクが見つからない: ${id}`);
@@ -204,7 +222,10 @@ export class TaskOps {
         return this.enqueue(async () => {
             let raw;
             try {
-                raw = await fs.readFile(filePath, 'utf8');
+                // R17-D: .kanban の realpath 信頼境界を経由して読む (symlink / 中間 dir symlink は
+                // PathValidationError → 404 相当の not_found に倒す。C1: 生 fs.readFile は symlink を辿り
+                // 外部ファイル内容を .trash へ実体コピーしてリークするため使わない)
+                raw = await readKanbanFile(filePath, await resolveKanbanReal(this.projectRoot));
             }
             catch {
                 throw new TaskOpError('not_found', `タスクが見つからない: ${id}`);
@@ -273,7 +294,10 @@ export class TaskOps {
         return this.enqueue(async () => {
             let raw;
             try {
-                raw = await fs.readFile(filePath, 'utf8');
+                // R17-D: .kanban の realpath 信頼境界を経由して読む (symlink / 中間 dir symlink は
+                // PathValidationError → 404 相当の not_found に倒す。C1: 生 fs.readFile は symlink を辿り
+                // 外部ファイル内容を .trash へ実体コピーしてリークするため使わない)
+                raw = await readKanbanFile(filePath, await resolveKanbanReal(this.projectRoot));
             }
             catch {
                 throw new TaskOpError('not_found', `タスクが見つからない: ${id}`);

package/dist/server/lib/trash.js

@@ -100,6 +100,27 @@ export async function snapshotToTrash(id, currentContent, kanbanDir, kanbanReal,
     await pruneTrash(id, kanbanDir, kanbanReal, trashKeep);
     return written;
 }
+/**
+ * 破壊的書込 (move/revise/append/overwrite 等) の直前に呼ぶ、ベストエフォートな退避ラッパー
+ * (LEARN#8b N=3・app.ts の snapshot クロージャ / TaskOps.snapshot / docs.ts writeDoc overwrite 分岐の
+ * 3 箇所で重複していたロジックを集約。過去に片側ハードコード drift が実際に起きた実績あり)。
+ *
+ * `snapshotToTrash` を呼び、失敗 (containment 違反・.trash 書込不能等) は try/catch で握り潰して
+ * 呼び出し側の本処理 (破壊的書込) を止めない。**kanbanReal / trashKeep は呼び出し側で解決済みの値を渡すこと**
+ * (このヘルパー自体は config 読込や realpath 解決の失敗を吸収しない。呼び出し側がそれらを行うタイミング・
+ * try/catch 範囲を変えないことで既存 3 箇所の挙動を一切変えずに委譲できる)。
+ *
+ * fail-closed な削除経路 (DELETE /api/tasks・docs.ts の deleteDoc) はこのヘルパーの対象外
+ * (退避失敗を呼び出し側へ伝搬させて処理を中止する必要があるため、直接 `snapshotToTrash` を呼ぶ)。
+ */
+export async function snapshotBestEffort(id, content, kanbanDir, kanbanReal, trashKeep = DEFAULT_TRASH_KEEP) {
+    try {
+        await snapshotToTrash(id, content, kanbanDir, kanbanReal, trashKeep);
+    }
+    catch {
+        // 退避はベストエフォート安全網。失敗しても本処理 (破壊的書込) は止めない
+    }
+}
 /**
  * 同 id の退避世代が trashKeep を超えていれば古い順 (epoch 昇順) に削除する。
  * trashKeep 以下なら何もしない。削除失敗 (残骸) はスキップして続行する (ベストエフォート)。

package/dist/shared/activity-heatmap.js

@@ -0,0 +1,39 @@
+/**
+ * AI 稼働ヒートマップ (F-8) の派生ロジック。
+ * 全タスクの作業ログ行の時刻を「曜日 × 時間帯」で集計する純関数。
+ * read-only・新データ源・新依存・新 API はゼロ。server/web の双方が型を共有する。
+ *
+ * 作業ログ行の parse は shared/digest.ts の parseWorkLogLines を流用する (再実装しない)。
+ * タイムゾーン近似: 作業ログ時刻は offset 無し (ローカル解釈)。stats.ts R10-4 の近似を継承する。
+ * member 別の絞りは不要 (全体集計でよい)。
+ */
+import { parseWorkLogLines } from './digest.js';
+/**
+ * 全タスクの作業ログ行の時刻を「曜日 × 時間帯」で集計する純関数。
+ * - 空のグリッド (7×24 の全ゼロ) を初期値にし、各ログ行の `YYYY-MM-DD HH:mm` を
+ *   Date.parse でパースして曜日 (getDay) と時間 (getHours) を取得する。
+ * - parse 不能な行は静かにスキップ (誤計上を避ける)。
+ * - タイムゾーン近似: 作業ログは offset 無し (= ローカル / Date 組込の解釈)。
+ *   R10-4 の既知近似を継承しコメントで明示する (JST 運用なら実害小)。
+ */
+export function deriveActivityHeatmap(tasks) {
+    // 7 行 (dow) × 24 列 (hour) の全ゼログリッド
+    const grid = Array.from({ length: 7 }, () => new Array(24).fill(0));
+    let total = 0;
+    for (const task of tasks) {
+        for (const { date, time } of parseWorkLogLines(task.body)) {
+            // タイムゾーン近似 (R10-4 継承): `YYYY-MM-DDThh:mm` は offset 無しのためローカル解釈される。
+            // 非 JST ブラウザでは実際の入力時刻とズレる可能性があるが、JST 運用なら実害小。
+            const ms = Date.parse(`${date}T${time}`);
+            if (Number.isNaN(ms))
+                continue;
+            const d = new Date(ms);
+            const dow = d.getDay(); // 0=日曜 … 6=土曜
+            const hour = d.getHours(); // 0 … 23
+            grid[dow][hour]++;
+            total++;
+        }
+    }
+    const maxCount = grid.reduce((m, row) => Math.max(m, ...row), 0);
+    return { grid, maxCount, total };
+}

package/dist/shared/ai-health.js

@@ -0,0 +1,78 @@
+/**
+ * AI オンボーディング診断 (TASK-023)。
+ * board の warnings を AI メンバー別に集計し、各 warning kind に「直し方」の説明を付けた
+ * 構造を返す純関数。新データ源・新依存・永続化なし。
+ *
+ * now は引数注入 (Date.now ハードコード禁止・テスト再現性)。
+ */
+/**
+ * warnings を AI メンバー別・kind 別に group-by する。
+ *
+ * - warning が特定の AI メンバーに紐付くか判定: taskId が null でない場合はタスクのパスから
+ *   直接判定できないため、メンバー ID を message 内から照合する (unregistered_member / mode_violation)。
+ *   それ以外の kind (invalid_task / duplicate_id / invalid_config) は AI に特定紐付けできないため
+ *   全 AI メンバーに共通の「設定上の問題」として集約する。
+ * - assignee / created_by 別の精細な帰属は taskView へのアクセスが必要で pure fn では難しいため、
+ *   警告の message 文字列に含まれる member id を照合する簡易戦略を取る。
+ *
+ * @param warnings  board.warnings (GET /api/board の warnings)
+ * @param members   config.members (全メンバー)
+ */
+export function deriveAiHealth(warnings, members) {
+    const aiMembers = members.filter((m) => m.type === 'ai');
+    if (aiMembers.length === 0) {
+        return { members: [], noAiMembers: true };
+    }
+    const results = aiMembers.map((member) => {
+        // このメンバーに紐付く warning を収集する
+        const memberWarnings = warnings.filter((w) => isWarningForMember(w, member.id));
+        // kind 別にグループ化する
+        const kindMap = new Map();
+        for (const w of memberWarnings) {
+            const existing = kindMap.get(w.kind);
+            if (existing) {
+                existing.push(w);
+            }
+            else {
+                kindMap.set(w.kind, [w]);
+            }
+        }
+        const groups = Array.from(kindMap.entries()).map(([kind, ws]) => ({
+            kind,
+            warnings: ws,
+        }));
+        return {
+            member,
+            groups,
+            totalWarnings: memberWarnings.length,
+        };
+    });
+    return { members: results, noAiMembers: false };
+}
+/**
+ * warning が特定のメンバー ID に関係するか判定する。
+ *
+ * 帰属ルール:
+ * - `mode_violation`: message に memberId が含まれる (board.ts が `AI (${created_by})` と書く)
+ * - `unregistered_member`: message に `"${memberId}"` が含まれる (board.ts が `created_by "${id}"` / `assignee "${id}"` と書く)
+ * - `invalid_task` / `duplicate_id`: タスク起票者を message から特定できないが、メンバーが 1 人なら
+ *   そのメンバーに帰属させる。複数の AI メンバーがいる場合は全員に共通の問題として扱う (= 全員に紐付ける)
+ * - `invalid_config`: config 全体の問題なので全 AI メンバーに共通 (= 全員に紐付ける)
+ */
+function isWarningForMember(warning, memberId) {
+    switch (warning.kind) {
+        case 'mode_violation':
+            // board.ts: `AI (${frontmatter.created_by}) が ...`
+            return warning.message.includes(`(${memberId})`);
+        case 'unregistered_member':
+            // board.ts: `created_by "${id}" は config.members に未登録` / `assignee "${id}" ...`
+            return warning.message.includes(`"${memberId}"`);
+        case 'invalid_task':
+        case 'duplicate_id':
+        case 'invalid_config':
+            // task/config 全体の問題。AI メンバー全員に共通の診断事項として表示する
+            return true;
+        default:
+            return false;
+    }
+}

package/dist/shared/related-docs.js

@@ -1,3 +1,4 @@
+import { setFrontmatterField } from './task-setters.js';
 /** 指定資料パスを related_docs に含むタスクを ID 昇順で返す (完全一致・正規化は呼び出し側責務) */
 export function tasksForDoc(tasks, docPath) {
     return tasks
@@ -5,15 +6,9 @@ export function tasksForDoc(tasks, docPath) {
         .map(({ id, title, status }) => ({ id, title, status }))
         .sort((a, b) => a.id.localeCompare(b.id, 'en', { numeric: true }));
 }
-// frontmatter 境界: 先頭の `---` 行 (行末空白を許容し parseTaskFile の判定と揃える、R13-1)
-const FM_OPEN = /^---[ \t]*\r?\n/;
-// 閉じ `---` 行 (行末空白許容)
-const FM_CLOSE = /^---[ \t]*$/;
-// BOM は literal 禁止 (LEARN#13: invisible unicode は \uXXXX escape で書く)
-const BOM = '\uFEFF';
 /**
  * raw (frontmatter + 本文) の related_docs 行を docs で差し替えた raw を返す。
- * - 先頭 BOM は剥がして処理し、戻り値で復元する (parseTaskFile / applyPinpointPatch と同じ規約、R13-1)
+ * - 先頭 BOM は剥がして処理し、戻り値で復元する (R13-1)
  * - docs が空: related_docs 行 (flow 形式 1 行 or block 形式の key 行 + 続く `- ` 行) を除去
  * - docs が非空: JSON 文字列化した flow 形式 1 行 (`related_docs: ["a", "b"]`) に置換。
  *   既存行が無ければ `created:` 行の直前 (無ければ閉じ `---` の直前) に挿入する。
@@ -22,56 +17,7 @@ const BOM = '\uFEFF';
  * frontmatter が見つからない raw はそのまま返す (呼び出し側は「変化なし」を検出してエラー表示する)。
  */
 export function setRelatedDocsInRaw(raw, docs) {
-    // BOM を剥がして処理し、最後に復元する (R13-1: BOM 付きタスクで silent no-op にしない)
-    const hasBom = raw.startsWith(BOM);
-    const body = hasBom ? raw.slice(1) : raw;
-    const result = setRelatedDocsInner(body, docs);
-    return hasBom ? BOM + result : result;
-}
-function setRelatedDocsInner(raw, docs) {
-    if (!FM_OPEN.test(raw))
-        return raw;
-    const lines = raw.split('\n');
-    // 閉じ `---` を探す (行 0 は開き `---`)
-    let closeIdx = -1;
-    for (let i = 1; i < lines.length; i++) {
-        if (FM_CLOSE.test(lines[i].replace(/\r$/, ''))) {
-            closeIdx = i;
-            break;
-        }
-    }
-    if (closeIdx === -1)
-        return raw;
-    // 既存 related_docs 行 (flow 1 行 or block 形式) を frontmatter 内から除去
-    const kept = [];
-    let i = 1;
-    while (i < closeIdx) {
-        const line = lines[i].replace(/\r$/, '');
-        if (/^related_docs\s*:/.test(line)) {
-            i++;
-            // block 形式: 続く `- ` 行も取り除く。ゼロインデント (PyYAML 既定・valid YAML) も対象 (R13-4)。
-            // 次のトップレベル key 行は `- ` で始まらないため、この条件で安全に打ち切れる
-            while (i < closeIdx && /^\s*-\s/.test(lines[i].replace(/\r$/, '')))
-                i++;
-            continue;
-        }
-        kept.push(lines[i]);
-        i++;
-    }
-    // 挿入する新しい行 (docs 非空のときのみ)。JSON.stringify は YAML double-quoted として valid
-    const newLine = docs.length > 0 ? `related_docs: [${docs.map((d) => JSON.stringify(d)).join(', ')}]` : null;
-    if (newLine !== null) {
-        const createdIdx = kept.findIndex((l) => /^created\s*:/.test(l.replace(/\r$/, '')));
-        if (createdIdx !== -1) {
-            kept.splice(createdIdx, 0, newLine);
-        }
-        else {
-            kept.push(newLine);
-        }
-    }
-    const head = [lines[0], ...kept].join('\n');
-    const tail = lines.slice(closeIdx).join('\n');
-    // 改行コードは元 raw のものが保たれる (split('\n') で \r が各行末に残るため CRLF はそのまま。
-    // 新規挿入行のみ LF になるが、混在しても YAML としては valid)
-    return `${head}\n${tail}`;
+    // JSON.stringify flow 形式: YAML double-quoted として常に valid (特殊文字を含むパスも安全)
+    const serialized = docs.length > 0 ? `[${docs.map((d) => JSON.stringify(d)).join(', ')}]` : null;
+    return setFrontmatterField(raw, 'related_docs', serialized);
 }

package/dist/shared/schema.js

@@ -15,6 +15,11 @@ export const UI_LANGS = ['en', 'ja'];
 export const DEFAULT_PORT = 5151;
 /** overview モードの既定ポート (波 VII)。serve の 5151 と衝突しない値・1 箇所集約 */
 export const DEFAULT_OVERVIEW_PORT = 5152;
+/**
+ * serve のポート自動フォールバック試行回数。起点 (--port 明示時を除く) が使用中なら
+ * 起点〜起点+この数-1 まで順に空きを探す。複数プロジェクトの同時 serve 用 (例: 5151〜5170)。
+ */
+export const PORT_FALLBACK_ATTEMPTS = 20;
 // 日付は文字列のまま扱い、Date 化しない (js-yaml JSON_SCHEMA エンジンと対になる規則)。
 // zod の datetime({ offset: true }) を使い、月 13 / 時 25 のような実在しない日時を弾く
 // (自前正規表現は桁数だけ見て実在性を見ず、経過時間表示が NaN になりうる — PM Round 1 Minor #8)。
@@ -28,8 +33,9 @@ export const taskIdSchema = z
 // 1 行テキスト (title 等。改行を含むと行ベースの frontmatter 処理が壊れる)
 const singleLineString = z.string().min(1).regex(/^[^\r\n]+$/, '1 行で書く (改行不可)');
 export const memberSchema = z.object({
-    // スラッグ (タスクファイルの created_by / assignee に書かれる安定 ID)
-    id: z.string().min(1),
+    // スラッグ (タスクファイルの created_by / assignee に書かれる安定 ID)。
+    // M3: `]` と改行を禁止する (parseWorkLogLines の `\[([^\]]+)\]` が member/message を誤分割しないため)
+    id: z.string().min(1).regex(/^[^\]\r\n]+$/, 'member id に ] や改行は使えません'),
     // 表示名 (任意)。未指定は id を表示 (columns label と同じパターン)。表示名の変更は id に影響しない
     label: z.string().min(1).optional(),
     type: z.enum(MEMBER_TYPES),
@@ -145,6 +151,9 @@ export const configSchema = z.object({
     views: z.array(z.object({ id: z.string().min(1), hidden: z.boolean().optional() })).default([]),
     // 関連資料ディレクトリ (波 VIII)。プロジェクトルートからの相対パス。既定は空 = 機能オフ (UI 非表示)
     docsDirs: z.array(z.string().min(1)).default([]),
+    // 資料の書込先ディレクトリ (資料エディタ MVP)。読取 (docsDirs) と分離し、既定は空 = 書込オフ。
+    // 書込 API (POST/PUT/DELETE /api/docs) はこの配下のみ許可する (root 配下相対)。
+    docsWriteDirs: z.array(z.string().min(1)).default([]),
     // ごみ箱 (.kanban/.trash) の同 id あたり退避世代の保持件数。任意・後方互換 (未設定は DEFAULT_TRASH_KEEP)。
     // 破壊的書込の直前に旧版を .trash へコピー退避し、この件数を超えた古い世代を刈り取る (誤上書きの安全網)
     trashKeep: z.number().int().positive().optional(),
@@ -201,7 +210,7 @@ export const taskFrontmatterSchema = z
             message: 'pending のタスクは blocked_type (decision / external / dependency) が必須',
         });
     }
-    if (task.blocked_reason === null) {
+    if (task.blocked_reason === null || task.blocked_reason.trim().length === 0) {
         ctx.addIssue({
             code: z.ZodIssueCode.custom,
             path: ['blocked_reason'],
@@ -275,6 +284,9 @@ export const newTaskInputSchema = z
     labels: z.array(z.string().min(1)).optional(),
     // 本文 (波 VI: テンプレートからのプリフィル用)。省略時はサーバーが既定本文テンプレートを使う
     body: z.string().optional(),
+    // 波 VIII: 関連資料 (プロジェクトルートからの相対パス配列)。任意・後方互換。
+    // 範囲 (docsDirs / docsWriteDirs 配下か) はサーバー側 assertRelatedDocsAllowed が検証する
+    related_docs: z.array(z.string().min(1)).optional(),
 })
     .strict();
 /**
@@ -290,9 +302,19 @@ export const moveInputSchema = z
 })
     .strict()
     .superRefine((input, ctx) => {
-    // 非 pending 行きへの blocked_* 同梱はクライアントのバグの兆候なので黙殺せず 400 にする
-    if (input.status === 'pending')
+    if (input.status === 'pending') {
+        // M1: 空白のみの blocked_reason は無効 (taskFrontmatterSchema の pending 必須チェックと同じ基準。
+        // ここで弾くのは入力検証段階のフェイルファストのためで、自動 trim 保存はしない)
+        if (input.blocked_reason != null && input.blocked_reason.trim().length === 0) {
+            ctx.addIssue({
+                code: z.ZodIssueCode.custom,
+                path: ['blocked_reason'],
+                message: 'blocked_reason は空白のみでは指定できません',
+            });
+        }
         return;
+    }
+    // 非 pending 行きへの blocked_* 同梱はクライアントのバグの兆候なので黙殺せず 400 にする
     if (input.blocked_type != null) {
         ctx.addIssue({
             code: z.ZodIssueCode.custom,

package/dist/shared/stats.js

@@ -154,7 +154,10 @@ function isCompletionRecord(message) {
 }
 /**
  * done タスクの完了時刻を決める (epoch ms)。
- * 優先順位: (1) 完了記録 (isCompletionRecord) を満たす作業ログ最終行の日時 → 無ければ (2) updated。
+ * 優先順位: (1) 完了記録 (isCompletionRecord) を満たす作業ログ行のうち「時刻が最大」のもの →
+ * 無ければ (2) updated。出現位置の末尾ではなく時刻最大で選ぶ (lastActivity と同方針、I5: 手編集で
+ * 過去日付の完了記録を後から追記するバックフィルがあると、末尾一致では新しい完了記録より古い
+ * バックフィル行を誤って採用しうるため)。
  * 作業ログは `YYYY-MM-DD HH:mm` (タイムゾーン無し) なので、updated のタイムゾーンに合わせず
  * ローカル解釈の差を避けるため UTC ではなく Date.parse に委ねる (日別ビンは日付文字列で行う)。
  * R10-4 既知近似: 作業ログ時刻はローカル解釈・created/updated はオフセット付き絶対時刻のため、
@@ -163,13 +166,18 @@ function isCompletionRecord(message) {
 function completionMs(task) {
     // `## やりとり` のコメント行に完了キーワードがあっても拾わないよう、作業ログセクションに限定する (R-review #3)。
     const logs = parseWorkLogLines(workLogBody(task.body));
-    for (let i = logs.length - 1; i >= 0; i--) {
-        if (isCompletionRecord(logs[i].message)) {
-            const ms = Date.parse(`${logs[i].date}T${logs[i].time}`);
-            if (!Number.isNaN(ms))
-                return ms;
-        }
+    let best = null;
+    for (const log of logs) {
+        if (!isCompletionRecord(log.message))
+            continue;
+        const ms = Date.parse(`${log.date}T${log.time}`);
+        if (Number.isNaN(ms))
+            continue;
+        if (best === null || ms > best)
+            best = ms;
     }
+    if (best !== null)
+        return best;
     return parseIsoMs(task.updated);
 }
 /** 完了時刻 ms から日別ビンのキー (`YYYY-MM-DD`) を作る (ローカル日付) */
@@ -249,7 +257,8 @@ export function deriveStats(tasks, now, options = {}) {
             return { status, count: group.length, avgDays: null, maxDays: null };
         }
         const avgMs = dwells.reduce((s, v) => s + v, 0) / dwells.length;
-        return { status, count: group.length, avgDays: toDays(avgMs), maxDays: toDays(Math.max(...dwells)) };
+        const maxMs = dwells.reduce((m, v) => (v > m ? v : m), dwells[0]);
+        return { status, count: group.length, avgDays: toDays(avgMs), maxDays: toDays(maxMs) };
     });
     // 4. member 別完了数 (件数降順 → member 名昇順、未割当は最後)
     const completionsByMember = [...byMember.entries()]