bizboost 6.4.13 → 6.6.8

package/README.md

@@ -1,11 +1,11 @@
-# bluelamp-neo
+# bluelamp
 
-BlueLamp Neo CLI — Claude Code 用 MCP セットアップ + 200 個の `bluelamp1` 〜 `bluelamp200` コマンドを提供する npm パッケージ。
+BlueLamp CLI — Claude Code 用 MCP セットアップ + 200 個の `bluelamp1` 〜 `bluelamp200` コマンドを提供する npm パッケージ。
 
 ## インストール (受講生向け)
 
 ```bash
-npm install -g bluelamp-neo
+npm install -g bluelamp
 ```
 
 インストール後、 `bluelamp1` 〜 `bluelamp200` のいずれかを実行すると Claude Code が起動し、 対応する slot の MCP 設定がロードされます。
@@ -16,6 +16,68 @@ bluelamp42    # slot #42
 # ...
 ```
 
+## 配布物が難読化されていることについて
+
+npm で配布している `bluelamp` の `dist/` は、**意図的に難読化してあります**。中身がそのまま読めないのはビルドの設計であって、隠しごとではありません。以下にその理由と、正規のビルドであることの確かめ方を記します。
+
+### なぜ難読化しているのか
+
+- **認証とトークンの取り扱いを守るため。** この CLI は利用者の資格情報とアクセストークンを端末上で扱います。その取り回しを読める形のまま配ると、なりすましやトークンの窃取を試みる側に手順を渡すことになります。
+- **当社の知的資産を守るため。** BlueLamp の価値は積み上げてきた設計そのものにあり、配布物はその一部を含みます。
+
+難読化が掛かるのは配布物 (`dist/`) だけです。**ソースは非公開です。** そのうえで、配布物が当社の CI が出した正規ビルドであることは、第三者の立場で検証できます (下の「正規のビルドであることの確かめ方」)。ビルドの段取りそのものは下の「ビルド出力」の節のとおりです。
+
+### 利用者にとって何が変わらないのか
+
+- **機能・挙動は変わりません。** 難読化は publish 用ビルドの最終工程で、実行される処理は tsc が出したものと同じです。
+- **通信先は増えません。** CLI が接続するのは当社ポータルの API と、起動する Claude Code だけです。送信先はコードに固定されており、設定で任意の URL に向け替えることはできません。
+- **第三者の解析サービスへの送信はありません。** テレメトリ / 解析 SDK を同梱していません。当社ポータルとの通信は認証と機能提供のためのものです。
+- **認証トークンは利用者の端末内 (`~/.musuhi/portal-token.enc`) にのみ保存されます。**
+
+### 正規のビルドであることの確かめ方
+
+公開されている tarball が当社の CI が出した正規ビルドであることは、**第三者の立場で検証できます**。署名は cosign の keyless 署名で行い、その記録は公開の透明性ログ (Rekor) に載ります。
+
+🔑 **下の手順 1・2 で参照するのは npm registry と公開 Rekor だけで、当社のサーバーは一切登場しません。** 当社を信用しなくても確かめられる、というのがこの手順の要点です。必要なのは `curl` / `openssl` / `node` だけで、**cosign のインストールは要りません**。
+
+**1. registry が配っている tarball を取得し、ハッシュを出す**
+
+```bash
+V=<インストールした版>          # npm ls -g bluelamp で確認できます
+curl -sSL "https://registry.npmjs.org/bluelamp/-/bluelamp-$V.tgz" -o "bluelamp-$V.tgz"
+shasum -a 256 "bluelamp-$V.tgz"
+```
+
+**2. そのハッシュで公開透明性ログ (Rekor) を引く**
+
+```bash
+SHA=<手順 1 で出た 64 桁>
+curl -s -X POST -H 'Content-Type: application/json' \
+  -d "{\"hash\":\"sha256:$SHA\"}" \
+  https://rekor.sigstore.dev/api/v1/index/retrieve
+```
+
+エントリが返れば、その tarball が当社の GitHub Actions によって署名され、公開ログに記録されていることを意味します。
+
+**3. さらに厳密に確かめる場合** — 証明書チェーンと署名者の固定まで検証するスクリプトをパッケージに同梱しています。グローバルインストールなら次の 1 行で実行できます (依存は上と同じ `curl` / `openssl` / `node` だけです)。
+
+```bash
+"$(npm root -g)/bluelamp/verify-release.sh" "$V"
+```
+
+⚠️ **信頼の起点は手順 1・2** — ご自身の手で公開ログを引き、目で読む記録 — の側にあります。検証を代行するスクリプトを配布物に同梱しても、それは信頼の起点にはなりません (改ざんされた tarball は、改ざんされた検証器を同梱することもできるためです)。
+
+📌 署名が付くのは、この README を同梱した版以降のリリースです。それより前の版では手順 2 でエントリが返りませんが、改ざんを意味するものではありません。
+
+### ウイルス対策ソフトが反応した場合
+
+難読化されたコードは、その形からヒューリスティックに検知されることがあります (誤検知)。お使いのウイルス対策製品が `bluelamp` を検知した場合は、下記の窓口から誤検知として報告できます。
+
+- **各ウイルス対策ベンダーの窓口一覧**: https://docs.virustotal.com/docs/false-positive-contacts
+  VirusTotal 自身は判定を出さず、誤検知は各エンジンのベンダーへ直接報告する形になっています。上記ページに 150 社以上の窓口がまとまっているので、検知した製品の窓口から報告してください。
+- **Microsoft Defender (Windows)**: https://www.microsoft.com/en-us/wdsi/filesubmission
+  サインイン不要でファイルを送信でき、誤検知として申告できます。
+
 ## 構成
 
 - `src/auth/` — Portal API auth client + token manager + interactive login
@@ -69,7 +131,9 @@ cloud_proxy（portal 転送）では触れない **ローカル操作**（token
 
 別 npm パッケージも、ユーザーの設定編集も不要。これが「`npm install -g bluelamp` だけで MCP が増える」の実体。
 
-> **実装済み（Phase 151）**: 第1号が `lib/account-mcp/index.cjs`（MCP 名 `bluelamp-account`）。tool = `logout`（`~/.musuhi/portal-token.enc` を削除＝別アカウント切替の起点）/ `update_cli`（`npm i -g bluelamp@latest`）。`createMCPConfig()` に登録済み。効果はどちらも **次回 `bluelampN` 起動から**（起動中の gateway は起動時 token を保持するため in-session では切り替わらない）。
+> **実装済み（Phase 151）**: 第1号が `lib/account-mcp/index.cjs`（MCP 名 `bluelamp-account`）。tool = `logout`（`~/.musuhi/portal-token.enc` を削除＝別アカウント切替の起点）/ `update_cli`（`npm i -g bluelamp@latest`）。`createMCPConfig()` に登録済み。
+> `update_cli` の効果は **次回 `bluelampN` 起動から**（実行中のプロセスは差し替わらない）。`logout`／トークン差し替えが効くタイミングは**版で異なる**——6.6.0 までは次回起動から、板#341 N1 以降は gateway がトークンを毎回読み直すため**次の tool 呼び出しから**。
+> 📌 利用者向けの手順・失効時の復旧・罹患判定は `docs/support-knowledge/account-operations.md` が正本（ここには書き写さない）。
 
 ### `@bluelamp/mcp-shim` との違い
 
@@ -83,11 +147,11 @@ cloud_proxy（portal 転送）では触れない **ローカル操作**（token
 
 ```bash
 pnpm install                                                # workspace root で 1 回
-pnpm --filter bluelamp-neo run build:tsc                    # tsc emit のみ
-pnpm --filter bluelamp-neo run build                        # tsc emit → 難読化 (publish 用)
-pnpm --filter bluelamp-neo run tsc                          # 型チェックのみ
-pnpm --filter bluelamp-neo run test                         # node --test (auth + bin)
-pnpm --filter bluelamp-neo run generate:bins                # bin/bluelamp1-200.mjs 再生成
+pnpm --filter bluelamp run build:tsc                    # tsc emit のみ
+pnpm --filter bluelamp run build                        # tsc emit → 難読化 (publish 用)
+pnpm --filter bluelamp run tsc                          # 型チェックのみ
+pnpm --filter bluelamp run test                         # node --test (auth + bin)
+pnpm --filter bluelamp run generate:bins                # bin/bluelamp1-200.mjs 再生成
 ```
 
 ## ビルド出力
@@ -113,10 +177,32 @@ publish 対象は `dist/` + `README.md` のみ (`package.json files` で制限)
 | `bin/bluelamp-vscode-base` (CommonJS)            | `bin/bluelamp-vscode-base.mjs` (ESM)                  |
 | `bin/bluelamp1`〜200 (CommonJS)                  | `bin/bluelamp1.mjs`〜200 (ESM trampoline)             |
 | `scripts/generate-commands.js`                   | `scripts/generate-commands.ts` (`dist/scripts/...js`) |
-| `scripts/setup-mcps.js` (postinstall)            | `scripts/setup-mcps.ts` (**postinstall hook 無し**)   |
+| `scripts/setup-mcps.js` (postinstall)            | **廃止** (#358 で削除。理由は下記「`~/.mcp.json` を書かない」) |
 | `scripts/build.js` (354 行、 CJS)                | `scripts/build-obfuscate.mjs` (ESM、 同等難読化)     |
 
 ## 既知の制約
 
 - `bin/bluelamp-vscode-base.mjs` は内部で旧 `lib/mcp-server/portal-api-client.cjs` を `require` するが、 monorepo にはまだ移植されていないため **slot 設定の動的取得は無効**。 `DEFAULT_PROMPT_MAPPING` (18 個のデフォルト) にフォールバックする。
-- `setup-mcps.ts` は `~/.bluelamp/` / `~/.mcp.json` をユーザーホームに書き込むが、 `pnpm install` で自動実行されないよう **postinstall hook は意図的に外している**。 グローバル install で必要な場合は `node dist/scripts/setup-mcps.js` を手動実行する。
+## `~/.mcp.json` を書かない (postinstall 廃止の理由)
+
+**このパッケージは `~/.mcp.json` に定義を追加しない。** MCP は起動のたび launcher が一時 config を作って `--mcp-config` で渡す (上記「MCP 配布の仕組み」)。
+
+過去 (公開版 4.3.4〜6.4.1) は postinstall (`scripts/setup-mcps.js`) が `~/.mcp.json` を書き換えていたが、次の 2 つの実害を出したので廃止した (監査: 2026-07-30):
+
+1. 6.0.2〜6.4.1 が `bluelamp: {command: "bluelamp1"}` を書いていた。`bluelamp1` は MCP サーバーではなく launcher なので、素の `claude` から MCP として起動されると接続不能になる (`--mcp-config` が勝つ launcher 経由では症状が出ないため切り分けが極端に難しい)。→ 現在は launcher 起動時に **この 1 キーだけ** 自己修復で削除する (`src/lib/mcpJsonSelfHeal.ts`)。
+2. 4.3.4〜6.4.1 が `playwright` / `gmail` 等をキー名だけで無条件 delete していた。利用者が自分で登録した同名 MCP を黙って消しうる。
+
+**ルール: 今後 `~/.mcp.json` に触る処理を足す場合は、我々が書いた entry だと確認できるものだけを対象にする** (キー名一致だけで削除しない。他人の設定を消さない)。
+
+## 開発時の注意: ソースツリーから直接動かさない
+
+`lib/mcp-server/` は **`dist/` レイアウト前提**です（`require('../../utils/logger')` は
+`dist/lib/mcp-server/` に置かれたときにだけ解決します）。ソースツリーの `lib/` を直接
+起動すると `MODULE_NOT_FOUND` になり、スロット設定の取得が既定へ degrade します。
+
+```bash
+pnpm run build   # dist/ を作ってから
+```
+
+⛔ require パスの二重化はしません（板 #442 ④）。ソースから動かしたときは、
+エラーメッセージが真因（＝ソースツリー直実行）を指します。