aizuchi 0.5.0 → 0.7.2

package/dist/server/lib/docs.js

@@ -1,7 +1,28 @@
 import { promises as fs } from 'node:fs';
 import path from 'node:path';
-import { isSecretPath, isStrictlyInside, PathValidationError, readFileNoFollow, resolveKanbanReal, safeWriteFile, sanitizeConfigDirEntries, } from './fs-safe.js';
-import { snapshotToTrash, DEFAULT_TRASH_KEEP } from './trash.js';
+import { DOC_BASENAME_RE, isSecretPath, isStrictlyInside, PathValidationError, readFileNoFollow, resolveKanbanReal, safeWriteFile, sanitizeConfigDirEntries, } from './fs-safe.js';
+import { snapshotToTrash, snapshotBestEffort, DEFAULT_TRASH_KEEP } from './trash.js';
+/**
+ * deleteDoc の fail-closed 用エラー。退避 (.kanban/.trash へのコピー) に失敗したため削除を中止したことを表す。
+ * 呼び出し側 (DELETE /api/docs) はこれを 500 にマップする (PathValidationError=403 / ENOENT=404 と区別するため別型)。
+ */
+export class TrashSnapshotError extends Error {
+    constructor(message) {
+        super(message);
+        this.name = 'TrashSnapshotError';
+    }
+}
+/**
+ * docsWriteDir 相対の canonical からごみ箱退避 ID を組み立てる。
+ * rootReal からの相対パスをサニタイズ (`[^A-Za-z0-9._-]` → `_`) して含めることで、
+ * 別ディレクトリの同名資料 (docs/a/notes.md と docs/b/notes.md) が同 trashId に潰れて
+ * 世代が混在 (pruneTrash の巻き添え削除 / 復元取り違え) するのを防ぐ。
+ * `.md` 拡張子は除いてから組み立てる。writeDoc(overwrite) と deleteDoc で同一ロジックを共有する。
+ */
+function docTrashId(canonical, rootReal) {
+    const relNoExt = path.relative(rootReal, canonical).replace(/\.md$/i, '');
+    return `doc-${relNoExt.replace(/[^A-Za-z0-9._-]/g, '_')}`;
+}
 /**
  * 関連資料 (波 VIII) の読取専用ファイル I/O。
  * config.docsDirs に列挙されたディレクトリ配下の .md のみを対象にする。
@@ -211,6 +232,14 @@ export async function resolveDocWritePath(projectRoot, config, requestedRelPath)
     // 親 (や中間 dir) が未作成なら「最も近い実在祖先」で containment を判定する (config-paths.ts と同方式)。
     const rootReal = await fs.realpath(root).catch(() => root);
     const { real: ancestorReal, missing } = await resolveNearestExistingAncestor(path.dirname(resolved));
+    // 新規作成される中間フォルダ名も basename と同じ規則 (DOC_BASENAME_RE) で検証する (I2)。
+    // containment (下の realpath 判定) とは別軸の「名前」検査で、これを通さないと mkdir recursive で
+    // `.hidden` や bidi 偽装のフォルダ名が docsWriteDirs 配下に作られうる。
+    for (const segment of missing) {
+        if (!DOC_BASENAME_RE.test(segment)) {
+            throw new PathValidationError('作成するフォルダ名に使用できない文字が含まれています');
+        }
+    }
     if (ancestorReal !== rootReal && !ancestorReal.startsWith(rootReal + path.sep)) {
         throw new PathValidationError('symlink 経由でプロジェクトルート外を指しています');
     }
@@ -271,42 +300,47 @@ export async function writeDoc(projectRoot, config, relPath, content, mode, base
             return { conflict: { serverContent: serverContent ?? '', serverMtimeMs } };
         }
         // 上書き前に旧版を .kanban/.trash へ退避する (ベストエフォート安全網・deleteDoc と同方式)。
+        // M9 (LEARN#8b): 実際の退避握り潰しは snapshotBestEffort (trash.ts) に集約。resolveKanbanReal は
+        // throw しうるため従来どおり try/catch で包む。
         try {
             const kanbanDir = path.join(rootReal, '.kanban');
             const kanbanReal = await resolveKanbanReal(path.resolve(projectRoot));
-            const stem = path.basename(canonical).replace(/\.md$/i, '');
-            const trashId = `doc-${stem.replace(/[^A-Za-z0-9._-]/g, '_')}`;
-            await snapshotToTrash(trashId, serverContent ?? '', kanbanDir, kanbanReal, config.trashKeep ?? DEFAULT_TRASH_KEEP);
+            const trashId = docTrashId(canonical, rootReal);
+            await snapshotBestEffort(trashId, serverContent ?? '', kanbanDir, kanbanReal, config.trashKeep ?? DEFAULT_TRASH_KEEP);
         }
         catch {
             // 退避できなくても上書きは進める (安全網のベストエフォート)
         }
-        await safeWriteFile(canonical, content, writeDirs);
+        // I2: docsWriteDirs は一般ドキュメント用途のため DOC_BASENAME_RE (Unicode 許可) で basename を検証する
+        // (`.kanban/` システム生成用の ASCII 限定 SAFE_BASENAME_RE とは分離)。
+        await safeWriteFile(canonical, content, writeDirs, {}, DOC_BASENAME_RE);
     }
     else {
         await ensureDir(canonical);
-        await safeWriteFile(canonical, content, writeDirs, { exclusive: true });
+        await safeWriteFile(canonical, content, writeDirs, { exclusive: true }, DOC_BASENAME_RE);
     }
     const mtimeMs = (await fs.lstat(canonical)).mtimeMs;
     return { path: path.relative(rootReal, canonical), mtimeMs };
 }
 /**
  * docsWriteDirs 配下の資料を削除する。unlink の前に現内容を .kanban/.trash へコピー退避する (誤削除の安全網)。
- * 退避はベストエフォート (失敗しても削除は進む)。対象不在は ENOENT を投げる (呼び出し側で 404)。
+ * 削除は **fail-closed** (DELETE /api/tasks と対称): 退避が「唯一の生き残りコピー」になるため、退避に失敗したら
+ * TrashSnapshotError を投げて削除を中止する (呼び出し側で 500・静かな完全消失を防ぐ)。対象不在は ENOENT (404)。
  */
 export async function deleteDoc(projectRoot, config, relPath) {
     const { canonical, rootReal } = await resolveDocWritePath(projectRoot, config, relPath);
     // 現内容を読む (不在なら ENOENT → 呼び出し側 404)。symlink は resolveDocWritePath が既に拒否済み。
     const content = await readFileNoFollow(canonical);
+    // 退避に成功したときだけ削除する (退避失敗は TrashSnapshotError で中止)。
     try {
         const kanbanDir = path.join(rootReal, '.kanban');
         const kanbanReal = await resolveKanbanReal(projectRoot);
-        const stem = path.basename(canonical).replace(/\.md$/i, '');
-        const trashId = `doc-${stem.replace(/[^A-Za-z0-9._-]/g, '_')}`;
+        const trashId = docTrashId(canonical, rootReal);
         await snapshotToTrash(trashId, content, kanbanDir, kanbanReal, config.trashKeep ?? DEFAULT_TRASH_KEEP);
     }
     catch {
-        // 退避できなくても削除は進める (安全網のベストエフォート)
+        // .kanban 未作成 / .trash 退避不能等で退避できなかった場合は削除を中止する (fail-closed)
+        throw new TrashSnapshotError('ごみ箱への退避に失敗したため削除を中止しました');
     }
     await fs.rm(canonical, { force: false }); // 不在なら ENOENT (404)。symlink は事前拒否済み
     return { path: path.relative(rootReal, canonical) };

package/dist/server/lib/files.js

@@ -2,7 +2,7 @@ import { promises as fs } from 'node:fs';
 import matter from 'gray-matter';
 import path from 'node:path';
 import { GLOBAL_BROWSE_DIRS, resolveConfigPath, resolveGlobalConfigPath } from './config-paths.js';
-import { hasSafeConfigExt, isSecretPath, PathValidationError, readFileNoFollow, sanitizeConfigDirEntries, writeFileAtomic, } from './fs-safe.js';
+import { hasSafeConfigExt, isSecretPath, PathValidationError, readFileNoFollow, resolveAllowedReals, sanitizeConfigDirEntries, writeFileAtomic, } from './fs-safe.js';
 /**
  * AI 設定ファイル管理 (F-4) のファイル I/O。
  * 全ての読み書きは resolveConfigPath で aiConfigPaths 許可リストを通す (N-2)。
@@ -41,21 +41,35 @@ export async function readGlobalConfigFile(homeDir, relPath) {
  * - 既存があれば `.bak` を作成 (上書き前のバックアップ・mode 保全 R8-2)
  * - 本体も mode 保全 (秘匿ファイルの権限が緩まないように、N-8 / Round 1 #7)
  * mtime 不一致は呼び出し側で 409 にする (この関数は検証済み前提で書く)。
+ *
+ * 呼び出し側 (saveConfigFile / saveGlobalConfigFile) は resolveConfigPath / resolveGlobalConfigPath で
+ * 検証済みの absPath と、その検証に用いた containment root (projectRoot / homeDir) を渡す。
+ * export は containment 再検査の白箱回帰テスト用 (app-files の API 統合テストと併せて固定する)。
  */
-async function writeResolved(root, absPath, content) {
+export async function writeResolved(root, absPath, content) {
     // absPath は resolveConfigPath / resolveGlobalConfigPath で検証済み (root 配下・許可リスト内・symlink 非経由)
     await fs.mkdir(path.dirname(absPath), { recursive: true });
+    // resolveConfigPath / resolveGlobalConfigPath は親 realpath が root の realpath 配下であることを検証する
+    // (config-paths.ts: ancestorReal が rootReal 配下か)。検証〜rename の窓で親 dir を root 外 symlink へ
+    // 差し替えると root 外へ着地しうるため、同じ root 境界を containmentReals として writeFileAtomic に渡し、
+    // rename / link 直前の containment 再検査を効かせる (Task 1 の writeFileAtomic 再検査を config 書込経路にも適用)。
+    // .bak (同一親 dir 配下) も同じ境界を渡す。
+    // root の realpath が解決できない (理論上の init 前など) ときは [] になる。空配列を渡すと再検査が全 reject に
+    // 倒れてしまうため、その場合は containmentReals を渡さず (undefined) hard-deny のみの従来挙動に戻す (後方互換)。
+    // 実運用では projectRoot / homeDir は常に存在し非空配列になる。
+    const reals = await resolveAllowedReals([root]);
+    const containmentReals = reals.length > 0 ? reals : undefined;
     try {
         const prevStat = await fs.stat(absPath);
         // R14-4 再修正 (#5): prev 読取も O_NOFOLLOW に統一 (config 読取経路の TOCTOU を docs と対称に塞ぐ)
         const prev = await readFileNoFollow(absPath);
-        await writeFileAtomic(`${absPath}.bak`, prev, { mode: prevStat.mode & 0o777 });
+        await writeFileAtomic(`${absPath}.bak`, prev, { mode: prevStat.mode & 0o777, containmentReals });
     }
     catch (error) {
         if (error.code !== 'ENOENT')
             throw error;
     }
-    await writeFileAtomic(absPath, content, { preserveMode: true });
+    await writeFileAtomic(absPath, content, { preserveMode: true, containmentReals });
     const stat = await fs.stat(absPath);
     return { path: await relPathFromRealRoot(root, absPath), content, mtimeMs: stat.mtimeMs };
 }

package/dist/server/lib/fs-safe.js

@@ -21,8 +21,28 @@ export class FileExistsError extends Error {
         this.name = 'FileExistsError';
     }
 }
-// パス区切り・制御文字・先頭ドットを含むファイル名を拒否する (ファイル名サニタイズ)
+// パス区切り・制御文字・先頭ドットを含むファイル名を拒否する (ファイル名サニタイズ)。
+// `.kanban/` 配下のシステム生成ファイル名 (task/config/trash) 専用。ASCII 限定。
 const SAFE_BASENAME_RE = /^[A-Za-z0-9][A-Za-z0-9._-]*$/;
+/**
+ * 一般ドキュメント (docsWriteDirs) 用の basename 検証 (I2)。SAFE_BASENAME_RE と異なり
+ * 日本語・全角等の Unicode 文字を許可する (このリポ自身が日本語ファイル名を運用しているため)。
+ * 拒否するのは危険側のみ (LEARN#13: 不可視 unicode は regex literal に直書きせず \uXXXX escape で書く):
+ * - 先頭ドット (`(?!\.)`): 隠しファイル化・`..` 系を防ぐ
+ * - パス区切り (`/` `\`): POSIX の `path.basename` は `\` を区切りと解釈せず素通りしうるため、
+ *   Windows 由来の混乱・ツール間差異を避けるため明示的に拒否する
+ * - 制御・書式・区切りを Unicode プロパティで網羅拒否 (列挙 denylist では \p{Cf} 全体を塞げず
+ *   tag 文字等が素通りしたため切替。敵対的検証 wej3c4m14):
+ *   \p{Cc} (C0/C1/DEL) / \p{Zl} (U+2028) / \p{Zp} (U+2029) /
+ *   \p{Cf} (bidi 制御 U+202A-202E・U+2066-2069、方向マーク、zero-width、WORD JOINER、
+ *   tag 文字 U+E0000-E007F、SOFT HYPHEN U+00AD、interlinear 等の不可視 format 全般)
+ * - Hangul filler (U+115F/U+1160/U+3164/U+FFA0): \p{Lo} だが不可視スペース状のため明示拒否
+ * - `u` フラグで supplementary plane (tag 文字) も 1 code point として判定する
+ * - 許可の非対称: 単体絵文字・国旗・VS16 付き絵文字は許可するが、ZWJ 合成絵文字は結合子
+ *   U+200D (\p{Cf}) を含むため拒否 (spoofing 耐性優先の許容トレードオフ)
+ * - 空文字 (`+` により 1 文字以上を要求)
+ */
+export const DOC_BASENAME_RE = /^(?!\.)[^/\\\p{Cc}\p{Cf}\p{Zl}\p{Zp}\u115f\u1160\u3164\uffa0]+$/u;
 /**
  * 解決済み絶対パスが root の「真の配下」かを判定する (root 自身は含めない)。
  * config 由来の許可リスト (browseDirs / docsDirs / settingsFiles / rootFiles) の各エントリが
@@ -126,14 +146,37 @@ export function sanitizeConfigDirEntries(root, entries) {
     }
     return result;
 }
+/**
+ * 許可ディレクトリ群を realpath 解決した配列を返す (assertWritablePath と writeFileAtomic の
+ * containment 再検査で共有するヘルパ)。realpath に失敗するもの (init 前で未存在など) は
+ * 候補から外す。返り値は writeFileAtomic に containmentReals として渡し、rename / link 直前の
+ * 再検査でも同じ許可境界を使うことで、検証〜書込間の親 dir 差し替え (TOCTOU) を遮断する。
+ *
+ * files.ts:writeResolved (config 書込経路) も resolveConfigPath が validate した containment 境界
+ * (= root の realpath) を渡すために本ヘルパを再利用する (realpath 解決の単一ソース化)。
+ */
+export async function resolveAllowedReals(allowedDirs) {
+    const allowedReals = [];
+    for (const dir of allowedDirs) {
+        try {
+            allowedReals.push(await fs.realpath(path.resolve(dir)));
+        }
+        catch {
+            // 許可ディレクトリ自体が無い場合は候補から外す (init 前など)
+        }
+    }
+    return allowedReals;
+}
 /**
  * 書込先パスを検証し、正規化済みの絶対パスを返す。
  * allowedDirs は書込を許可するディレクトリの一覧 (Phase 1 は `.kanban/` のみ)。
+ * basenameRe は basename 検証に使う正規表現 (I2: 既定は `.kanban/` システム生成用の ASCII 限定
+ * `SAFE_BASENAME_RE`。docsWriteDirs 書込 (docs.ts) は日本語等を許可する `DOC_BASENAME_RE` を渡す)。
  */
-export async function assertWritablePath(targetPath, allowedDirs) {
+export async function assertWritablePath(targetPath, allowedDirs, basenameRe = SAFE_BASENAME_RE) {
     const resolved = path.resolve(targetPath);
     const base = path.basename(resolved);
-    if (!SAFE_BASENAME_RE.test(base)) {
+    if (!basenameRe.test(base)) {
         throw new PathValidationError(`不正なファイル名のため書込を拒否: ${JSON.stringify(base)}`);
     }
     let parentReal;
@@ -144,15 +187,7 @@ export async function assertWritablePath(targetPath, allowedDirs) {
         // R17-F (M3): エラー文に絶対パスを出さない (home/username の info leak 防止)
         throw new PathValidationError('書込先の親ディレクトリが存在しません');
     }
-    const allowedReals = [];
-    for (const dir of allowedDirs) {
-        try {
-            allowedReals.push(await fs.realpath(path.resolve(dir)));
-        }
-        catch {
-            // 許可ディレクトリ自体が無い場合は候補から外す (init 前など)
-        }
-    }
+    const allowedReals = await resolveAllowedReals(allowedDirs);
     const inside = allowedReals.some((dir) => parentReal === dir || parentReal.startsWith(dir + path.sep));
     if (!inside) {
         // R17-F (M3): 絶対パス (targetPath) を出さない
@@ -185,10 +220,14 @@ export async function writeFileAtomic(filePath, content, options = {}) {
     const dir = path.dirname(filePath);
     // .tmp 拡張子にして watcher の .md フィルタに掛からないようにする
     const tmpPath = path.join(dir, `.${path.basename(filePath)}.${randomUUID()}.tmp`);
-    // R17-C (#C-1): rename / link 直前に親 realpath を再解決し、書込先 canonical を秘匿 deny で再評価する。
-    // resolveConfigPath の検証〜ここまでの窓で親ディレクトリが .git/hooks への symlink へ差し替えられると、
-    // canonical 文字列に `.git` が現れず deny を素通りしたまま rename が .git/hooks/pre-commit に着地しうる (RCE)。
-    // 直前再検証で「秘匿パスへの差し替え」を検知して中止する。
+    // R17-C (#C-1) + Task 1: rename / link 直前に親 realpath を再解決し、書込先 canonical を
+    // (1) 秘匿 deny (hard-deny) と (2) 許可リスト containment の両方で再評価する。
+    // resolveConfigPath / assertWritablePath の検証〜ここまでの窓で親ディレクトリが差し替えられると、
+    // - .git/hooks への symlink: canonical 文字列に `.git` が現れず deny を素通りし rename が
+    //   .git/hooks/pre-commit に着地しうる (RCE)。→ hard-deny 再検査で遮断。
+    // - 許可リスト外 dir への symlink: assertWritablePath が確認した親が rename 時には root 外を指し、
+    //   root 外へ書込が着地しうる。→ containmentReals 再検査で遮断 (containmentReals 指定時のみ)。
+    // 直前再検証で「秘匿パス / 許可リスト外への差し替え」を検知して中止する。
     // micro-window: 再 realpath〜rename の間は残存する (Node に renameat (fd ベース atomic rename) が無く、
     // パス文字列ベースの rename しか使えないため完全封じは標準 API 外)。実害は極小だが受容する。
     const reCheckHardDeny = async () => {
@@ -203,6 +242,15 @@ export async function writeFileAtomic(filePath, content, options = {}) {
         if (isHardDeniedConfigPath(reCanonical)) {
             throw new PathValidationError('書込直前に秘匿パスへの差し替えを検知したため中止しました');
         }
+        // containmentReals が渡されていれば許可リスト containment も再検査する (Task 1)。
+        // 未指定 (CLI 固定パス・テスト直叩き) では従来どおり hard-deny のみで後方互換。
+        const containmentReals = options.containmentReals;
+        if (containmentReals !== undefined) {
+            const stillInside = containmentReals.some((d) => reParent === d || reParent.startsWith(d + path.sep));
+            if (!stillInside) {
+                throw new PathValidationError('書込直前に許可リスト外への差し替えを検知したため中止しました');
+            }
+        }
     };
     try {
         await fs.writeFile(tmpPath, content, 'utf8');
@@ -249,10 +297,17 @@ export async function writeFileAtomic(filePath, content, options = {}) {
         throw error;
     }
 }
-/** 許可リスト検証 + アトミック書込。書き込んだ正規化済みパスを返す */
-export async function safeWriteFile(targetPath, content, allowedDirs, options = {}) {
-    const canonical = await assertWritablePath(targetPath, allowedDirs);
-    await writeFileAtomic(canonical, content, options);
+/**
+ * 許可リスト検証 + アトミック書込。書き込んだ正規化済みパスを返す。
+ * basenameRe は assertWritablePath へそのまま渡す (I2: 既定は SAFE_BASENAME_RE。docs.ts は
+ * DOC_BASENAME_RE を渡して日本語等の basename を許可する)。
+ */
+export async function safeWriteFile(targetPath, content, allowedDirs, options = {}, basenameRe = SAFE_BASENAME_RE) {
+    const canonical = await assertWritablePath(targetPath, allowedDirs, basenameRe);
+    // Task 1: 検証で使った許可境界 (realpath) を writeFileAtomic に渡し、rename / link 直前の
+    // containment 再検査で同じ境界を使う (検証〜書込間の親 dir 差し替え TOCTOU を遮断)。
+    const allowedReals = await resolveAllowedReals(allowedDirs);
+    await writeFileAtomic(canonical, content, { ...options, containmentReals: allowedReals });
     return canonical;
 }
 /**
@@ -352,13 +407,18 @@ export async function statKanbanFile(absPath, kanbanReal) {
     return stat;
 }
 /**
- * `.kanban/` 配下のファイルを symlink を辿らずに読む (R17-D・#A-1/#D-2)。
+ * `.kanban/` 配下のファイルを symlink を辿らずに読む (R17-D・#A-1/#D-2 + Task 1: 親 symlink TOCTOU 緩和)。
  * statKanbanFile (親 realpath containment で中間 dir symlink を捕捉 + lstat で最終成分 symlink を
  * PathValidationError 拒否) を通してから readFileNoFollow (O_NOFOLLOW) で読む。最終成分は lstat と
  * O_NOFOLLOW の両方で弾き、lstat→open の窓の TOCTOU も二重化する。
+ * さらに open 直前に assertInsideKanban で親 realpath を再確認し、statKanbanFile〜open の窓で
+ * 中間 dir が外部 symlink へ差し替えられても root 外を読まないようにする (書込側 reCheckHardDeny と
+ * 同じ micro-window 強度)。残存 micro-window は受容する (Node に openat (fd ベース atomic open) が
+ * 無く、パス文字列ベースの open しか使えないため完全封じは標準 API 外)。
  */
 export async function readKanbanFile(absPath, kanbanReal) {
     await statKanbanFile(absPath, kanbanReal); // 中間 dir symlink + 最終成分 symlink を捕捉 (PathValidationError)
+    await assertInsideKanban(absPath, kanbanReal); // open 直前に親 realpath を再確認 (中間 dir 差し替えの TOCTOU 緩和)
     return readFileNoFollow(absPath); // 最終成分 symlink を O_NOFOLLOW でも捕捉 (TOCTOU 二重化)
 }
 /**

package/dist/server/lib/proposal.js

@@ -3,14 +3,45 @@
  */
 // 作業ログ見出し: 日本語テンプレ (`## 作業ログ`) と英語 (`## Work log`) の両方を許容する
 const WORK_LOG_HEADING_RE = /^#{1,6}\s*(?:作業ログ|work log)\s*$/i;
-// 承認痕跡: approve API が作業ログに残す `[approve]` タグ行 (F-3-4 誤検知防止 R6-1)
-const APPROVE_TRACE_RE = /^\s*-\s*\S.*\[approve\]/m;
+// 任意の Markdown 見出し行 (作業ログセクションの終端検出に使う)
+const ANY_HEADING_RE = /^#{1,6}\s/;
+// 承認痕跡: approve API (app.ts) が作業ログに残す固定文言のみにマッチする (I1: `## やりとり` の
+// 自由記述コメントや CLI `aizuchi log` の任意メッセージによる誤検知バイパスを防ぐため、行頭
+// `- <timestamp>` 直後のアクター角括弧位置が `[approve]` で、続くメッセージが承認 API の固定文言
+// `承認: proposed → todo` (app.ts:549) と完全一致する場合のみマッチする)
+const APPROVE_TRACE_RE = /^-\s*\d{4}-\d{2}-\d{2}\s+\d{2}:\d{2}\s+\[approve\]\s+承認: proposed → todo\s*$/m;
 /**
- * 作業ログに承認痕跡 (`[approve]` を含むログ行) があるかを判定する。
+ * body から `## 作業ログ` セクション (見出し直後 〜 次の見出し行 or EOF) だけを切り出す。
+ * 見出しが無ければ空文字列を返す (承認痕跡は正規の approve API 書込みでのみ作業ログ内に残るため、
+ * セクション自体が無いタスクに承認痕跡はあり得ない = 空扱いで安全側に倒す)。
+ */
+function workLogSection(body) {
+    const eol = body.includes('\r\n') ? '\r\n' : '\n';
+    const lines = body.split(eol);
+    let start = -1;
+    for (let i = 0; i < lines.length; i++) {
+        if (WORK_LOG_HEADING_RE.test(lines[i].replace(/\r$/, '').trim())) {
+            start = i + 1;
+            break;
+        }
+    }
+    if (start === -1)
+        return '';
+    const out = [];
+    for (let i = start; i < lines.length; i++) {
+        if (ANY_HEADING_RE.test(lines[i]))
+            break;
+        out.push(lines[i]);
+    }
+    return out.join('\n');
+}
+/**
+ * 作業ログセクションに承認痕跡 (approve API 固定文言のログ行) があるかを判定する。
  * proposed→approve した正規タスクと、AI が proposed を経ず直接 todo 起票した違反を区別するために使う。
+ * I1: 検索対象を `## 作業ログ` セクション内に限定する (`## やりとり` コメント経由のバイパスを防ぐ)。
  */
 export function hasApprovalTrace(body) {
-    return APPROVE_TRACE_RE.test(body);
+    return APPROVE_TRACE_RE.test(workLogSection(body));
 }
 /**
  * frontmatter ブロック (先頭 `---` 〜 2 つ目の `---` の行) を header として保持したまま、

package/dist/server/lib/task-ops.js

@@ -1,14 +1,14 @@
-import { promises as fs } from 'node:fs';
 import path from 'node:path';
 import { findMemberViolations, moveInputSchema, newTaskInputSchema, NEW_TASK_BODY, summarizeZodError, taskFrontmatterSchema, taskIdSchema, } from '../../shared/schema.js';
 import { loadConfig, loadTaskView } from '../board.js';
 import { allocateNextId, createSerialQueue } from './id.js';
-import { FileExistsError, resolveKanbanReal, safeWriteFile } from './fs-safe.js';
+import { FileExistsError, PathValidationError, readKanbanFile, resolveKanbanReal, safeWriteFile } from './fs-safe.js';
 import { applyPinpointPatch, verifyPinpointResult } from './pinpoint.js';
 import { appendCommentLine, appendWorkLogLine, replaceBody, reviseWorkLogText } from './proposal.js';
+import { assertRelatedDocsAllowed } from './related-docs-validate.js';
 import { parseTaskFile, serializeTaskFile, TaskFileParseError } from './task-file.js';
 import { nowIso, workLogTimestamp } from './time.js';
-import { DEFAULT_TRASH_KEEP, snapshotToTrash } from './trash.js';
+import { DEFAULT_TRASH_KEEP, snapshotBestEffort } from './trash.js';
 /**
  * タスク操作のコアロジック (AI 用 CLI F-6-3 が使う)。
  *
@@ -60,13 +60,16 @@ export class TaskOps {
      * 破壊的書込 (move / revise) の直前に現内容を `.kanban/.trash/<id>.<epoch_ms>.md` へコピー退避する
      * 安全網 (ごみ箱)。HTTP ルート (app.ts) の snapshot ヘルパーと同型・同 trashKeep。
      * ベストエフォート (退避失敗は本処理を止めない)。退避は元を消さない「コピー」。
+     *
+     * M9 (LEARN#8b): 実際の退避握り潰しは snapshotBestEffort (trash.ts) に集約。resolveKanbanReal は
+     * ここでも throw しうるため (呼び出し元で既に成功済みだが再解決する) 従来どおり try/catch を維持する。
      */
     async snapshot(id, currentContent) {
         try {
             const kanbanReal = await resolveKanbanReal(this.projectRoot);
             const { config } = await loadConfig(this.projectRoot);
             const keep = config.trashKeep ?? DEFAULT_TRASH_KEEP;
-            await snapshotToTrash(id, currentContent, this.kanbanDir, kanbanReal, keep);
+            await snapshotBestEffort(id, currentContent, this.kanbanDir, kanbanReal, keep);
         }
         catch {
             // 退避はベストエフォート安全網。失敗しても本処理 (破壊的書込) は止めない
@@ -87,6 +90,17 @@ export class TaskOps {
         if (violations.length > 0) {
             throw new TaskOpError('unregistered_member', violations.join(' / '));
         }
+        // 波 VIII: related_docs は docsDirs / docsWriteDirs 配下の妥当な .md 相対パスのみ受け付ける
+        // (I3: app.ts の POST /api/tasks と同型の検証。HTTP 経路と非対称な許可リスト検証欠落を解消する)
+        if (parsed.data.related_docs !== undefined && parsed.data.related_docs.length > 0) {
+            try {
+                assertRelatedDocsAllowed(this.projectRoot, config, parsed.data.related_docs);
+            }
+            catch (error) {
+                const message = error instanceof PathValidationError ? error.message : 'related_docs が不正です';
+                throw new TaskOpError('invalid_input', message);
+            }
+        }
         return this.enqueue(async () => {
             const MAX_RETRY = 5;
             for (let attempt = 0;; attempt++) {
@@ -139,7 +153,10 @@ export class TaskOps {
         return this.enqueue(async () => {
             let raw;
             try {
-                raw = await fs.readFile(filePath, 'utf8');
+                // R17-D: .kanban の realpath 信頼境界を経由して読む (symlink / 中間 dir symlink は
+                // PathValidationError → 404 相当の not_found に倒す。C1: 生 fs.readFile は symlink を辿り
+                // 外部ファイル内容を .trash へ実体コピーしてリークするため使わない)
+                raw = await readKanbanFile(filePath, await resolveKanbanReal(this.projectRoot));
             }
             catch {
                 throw new TaskOpError('not_found', `タスクが見つからない: ${id}`);
@@ -205,7 +222,10 @@ export class TaskOps {
         return this.enqueue(async () => {
             let raw;
             try {
-                raw = await fs.readFile(filePath, 'utf8');
+                // R17-D: .kanban の realpath 信頼境界を経由して読む (symlink / 中間 dir symlink は
+                // PathValidationError → 404 相当の not_found に倒す。C1: 生 fs.readFile は symlink を辿り
+                // 外部ファイル内容を .trash へ実体コピーしてリークするため使わない)
+                raw = await readKanbanFile(filePath, await resolveKanbanReal(this.projectRoot));
             }
             catch {
                 throw new TaskOpError('not_found', `タスクが見つからない: ${id}`);
@@ -274,7 +294,10 @@ export class TaskOps {
         return this.enqueue(async () => {
             let raw;
             try {
-                raw = await fs.readFile(filePath, 'utf8');
+                // R17-D: .kanban の realpath 信頼境界を経由して読む (symlink / 中間 dir symlink は
+                // PathValidationError → 404 相当の not_found に倒す。C1: 生 fs.readFile は symlink を辿り
+                // 外部ファイル内容を .trash へ実体コピーしてリークするため使わない)
+                raw = await readKanbanFile(filePath, await resolveKanbanReal(this.projectRoot));
             }
             catch {
                 throw new TaskOpError('not_found', `タスクが見つからない: ${id}`);

package/dist/server/lib/trash.js

@@ -100,6 +100,27 @@ export async function snapshotToTrash(id, currentContent, kanbanDir, kanbanReal,
     await pruneTrash(id, kanbanDir, kanbanReal, trashKeep);
     return written;
 }
+/**
+ * 破壊的書込 (move/revise/append/overwrite 等) の直前に呼ぶ、ベストエフォートな退避ラッパー
+ * (LEARN#8b N=3・app.ts の snapshot クロージャ / TaskOps.snapshot / docs.ts writeDoc overwrite 分岐の
+ * 3 箇所で重複していたロジックを集約。過去に片側ハードコード drift が実際に起きた実績あり)。
+ *
+ * `snapshotToTrash` を呼び、失敗 (containment 違反・.trash 書込不能等) は try/catch で握り潰して
+ * 呼び出し側の本処理 (破壊的書込) を止めない。**kanbanReal / trashKeep は呼び出し側で解決済みの値を渡すこと**
+ * (このヘルパー自体は config 読込や realpath 解決の失敗を吸収しない。呼び出し側がそれらを行うタイミング・
+ * try/catch 範囲を変えないことで既存 3 箇所の挙動を一切変えずに委譲できる)。
+ *
+ * fail-closed な削除経路 (DELETE /api/tasks・docs.ts の deleteDoc) はこのヘルパーの対象外
+ * (退避失敗を呼び出し側へ伝搬させて処理を中止する必要があるため、直接 `snapshotToTrash` を呼ぶ)。
+ */
+export async function snapshotBestEffort(id, content, kanbanDir, kanbanReal, trashKeep = DEFAULT_TRASH_KEEP) {
+    try {
+        await snapshotToTrash(id, content, kanbanDir, kanbanReal, trashKeep);
+    }
+    catch {
+        // 退避はベストエフォート安全網。失敗しても本処理 (破壊的書込) は止めない
+    }
+}
 /**
  * 同 id の退避世代が trashKeep を超えていれば古い順 (epoch 昇順) に削除する。
  * trashKeep 以下なら何もしない。削除失敗 (残骸) はスキップして続行する (ベストエフォート)。

package/dist/shared/activity-heatmap.js

@@ -0,0 +1,39 @@
+/**
+ * AI 稼働ヒートマップ (F-8) の派生ロジック。
+ * 全タスクの作業ログ行の時刻を「曜日 × 時間帯」で集計する純関数。
+ * read-only・新データ源・新依存・新 API はゼロ。server/web の双方が型を共有する。
+ *
+ * 作業ログ行の parse は shared/digest.ts の parseWorkLogLines を流用する (再実装しない)。
+ * タイムゾーン近似: 作業ログ時刻は offset 無し (ローカル解釈)。stats.ts R10-4 の近似を継承する。
+ * member 別の絞りは不要 (全体集計でよい)。
+ */
+import { parseWorkLogLines } from './digest.js';
+/**
+ * 全タスクの作業ログ行の時刻を「曜日 × 時間帯」で集計する純関数。
+ * - 空のグリッド (7×24 の全ゼロ) を初期値にし、各ログ行の `YYYY-MM-DD HH:mm` を
+ *   Date.parse でパースして曜日 (getDay) と時間 (getHours) を取得する。
+ * - parse 不能な行は静かにスキップ (誤計上を避ける)。
+ * - タイムゾーン近似: 作業ログは offset 無し (= ローカル / Date 組込の解釈)。
+ *   R10-4 の既知近似を継承しコメントで明示する (JST 運用なら実害小)。
+ */
+export function deriveActivityHeatmap(tasks) {
+    // 7 行 (dow) × 24 列 (hour) の全ゼログリッド
+    const grid = Array.from({ length: 7 }, () => new Array(24).fill(0));
+    let total = 0;
+    for (const task of tasks) {
+        for (const { date, time } of parseWorkLogLines(task.body)) {
+            // タイムゾーン近似 (R10-4 継承): `YYYY-MM-DDThh:mm` は offset 無しのためローカル解釈される。
+            // 非 JST ブラウザでは実際の入力時刻とズレる可能性があるが、JST 運用なら実害小。
+            const ms = Date.parse(`${date}T${time}`);
+            if (Number.isNaN(ms))
+                continue;
+            const d = new Date(ms);
+            const dow = d.getDay(); // 0=日曜 … 6=土曜
+            const hour = d.getHours(); // 0 … 23
+            grid[dow][hour]++;
+            total++;
+        }
+    }
+    const maxCount = grid.reduce((m, row) => Math.max(m, ...row), 0);
+    return { grid, maxCount, total };
+}

package/dist/shared/related-docs.js

@@ -1,3 +1,4 @@
+import { setFrontmatterField } from './task-setters.js';
 /** 指定資料パスを related_docs に含むタスクを ID 昇順で返す (完全一致・正規化は呼び出し側責務) */
 export function tasksForDoc(tasks, docPath) {
     return tasks
@@ -5,15 +6,9 @@ export function tasksForDoc(tasks, docPath) {
         .map(({ id, title, status }) => ({ id, title, status }))
         .sort((a, b) => a.id.localeCompare(b.id, 'en', { numeric: true }));
 }
-// frontmatter 境界: 先頭の `---` 行 (行末空白を許容し parseTaskFile の判定と揃える、R13-1)
-const FM_OPEN = /^---[ \t]*\r?\n/;
-// 閉じ `---` 行 (行末空白許容)
-const FM_CLOSE = /^---[ \t]*$/;
-// BOM は literal 禁止 (LEARN#13: invisible unicode は \uXXXX escape で書く)
-const BOM = '\uFEFF';
 /**
  * raw (frontmatter + 本文) の related_docs 行を docs で差し替えた raw を返す。
- * - 先頭 BOM は剥がして処理し、戻り値で復元する (parseTaskFile / applyPinpointPatch と同じ規約、R13-1)
+ * - 先頭 BOM は剥がして処理し、戻り値で復元する (R13-1)
  * - docs が空: related_docs 行 (flow 形式 1 行 or block 形式の key 行 + 続く `- ` 行) を除去
  * - docs が非空: JSON 文字列化した flow 形式 1 行 (`related_docs: ["a", "b"]`) に置換。
  *   既存行が無ければ `created:` 行の直前 (無ければ閉じ `---` の直前) に挿入する。
@@ -22,56 +17,7 @@ const BOM = '\uFEFF';
  * frontmatter が見つからない raw はそのまま返す (呼び出し側は「変化なし」を検出してエラー表示する)。
  */
 export function setRelatedDocsInRaw(raw, docs) {
-    // BOM を剥がして処理し、最後に復元する (R13-1: BOM 付きタスクで silent no-op にしない)
-    const hasBom = raw.startsWith(BOM);
-    const body = hasBom ? raw.slice(1) : raw;
-    const result = setRelatedDocsInner(body, docs);
-    return hasBom ? BOM + result : result;
-}
-function setRelatedDocsInner(raw, docs) {
-    if (!FM_OPEN.test(raw))
-        return raw;
-    const lines = raw.split('\n');
-    // 閉じ `---` を探す (行 0 は開き `---`)
-    let closeIdx = -1;
-    for (let i = 1; i < lines.length; i++) {
-        if (FM_CLOSE.test(lines[i].replace(/\r$/, ''))) {
-            closeIdx = i;
-            break;
-        }
-    }
-    if (closeIdx === -1)
-        return raw;
-    // 既存 related_docs 行 (flow 1 行 or block 形式) を frontmatter 内から除去
-    const kept = [];
-    let i = 1;
-    while (i < closeIdx) {
-        const line = lines[i].replace(/\r$/, '');
-        if (/^related_docs\s*:/.test(line)) {
-            i++;
-            // block 形式: 続く `- ` 行も取り除く。ゼロインデント (PyYAML 既定・valid YAML) も対象 (R13-4)。
-            // 次のトップレベル key 行は `- ` で始まらないため、この条件で安全に打ち切れる
-            while (i < closeIdx && /^\s*-\s/.test(lines[i].replace(/\r$/, '')))
-                i++;
-            continue;
-        }
-        kept.push(lines[i]);
-        i++;
-    }
-    // 挿入する新しい行 (docs 非空のときのみ)。JSON.stringify は YAML double-quoted として valid
-    const newLine = docs.length > 0 ? `related_docs: [${docs.map((d) => JSON.stringify(d)).join(', ')}]` : null;
-    if (newLine !== null) {
-        const createdIdx = kept.findIndex((l) => /^created\s*:/.test(l.replace(/\r$/, '')));
-        if (createdIdx !== -1) {
-            kept.splice(createdIdx, 0, newLine);
-        }
-        else {
-            kept.push(newLine);
-        }
-    }
-    const head = [lines[0], ...kept].join('\n');
-    const tail = lines.slice(closeIdx).join('\n');
-    // 改行コードは元 raw のものが保たれる (split('\n') で \r が各行末に残るため CRLF はそのまま。
-    // 新規挿入行のみ LF になるが、混在しても YAML としては valid)
-    return `${head}\n${tail}`;
+    // JSON.stringify flow 形式: YAML double-quoted として常に valid (特殊文字を含むパスも安全)
+    const serialized = docs.length > 0 ? `[${docs.map((d) => JSON.stringify(d)).join(', ')}]` : null;
+    return setFrontmatterField(raw, 'related_docs', serialized);
 }