takt 0.46.0 → 0.48.0

package/builtins/ja/facets/knowledge/backend.md

@@ -65,7 +65,7 @@ data class Order(
 
 ## API層設計（Controller）
 
-Controller は薄く保つ。リクエスト受信 → UseCase委譲 → レスポンス返却のみ。
+Controller は薄く保つ。リクエスト受信、DTO変換、認証・認可境界の解決、UseCaseまたは問い合わせ層への委譲、レスポンス返却に集中する。
 
 ```kotlin
 // CORRECT - Controller は薄い
@@ -208,6 +208,21 @@ fun confirm(confirmedBy: String): OrderConfirmedEvent {
 | 構造バリデーション（@NotBlank等）がドメインにある | REJECT。API層で |
 | UseCase層のバリデーションがAggregate内にある | REJECT。Read Model参照はUseCase層 |
 
+### 読み取りと書き込みの入口
+
+読み取りと書き込みは入口で分離する。読み取り用の問い合わせ層は副作用を持たず、書き込みはコマンドまたはUseCaseで扱う。
+
+| 基準 | 判定 |
+|------|------|
+| 問い合わせ層が保存・削除・外部呼び出し・コマンド送信を行う | REJECT |
+| 読み取り用のクラス名やメソッド名なのに副作用を持つ | REJECT |
+| 単純な参照APIが問い合わせ層を呼び、レスポンスDTOに変換するだけ | OK |
+| 単純な状態変更APIが構造検証と認可境界の解決後にコマンドを1つ送るだけ | OK |
+| Controller向けの読み取り調整役が認可境界、複数Read Model、ページング等を扱う | ApplicationService または ReadService として表現 |
+| QueryHandler と同じ領域に QueryService という名前の送信側・調整側コンポーネントを置く | 警告。クエリ受信側と混同しやすい |
+| 複数のRead Model参照、外部連携、複数コマンド、結果待機をControllerに置く | REJECT。UseCase層に分離 |
+| UseCaseが別サービスへの薄い委譲だけでドメイン上の判断や調整を持たない | 削除を検討 |
+
 ## エラーハンドリング
 
 ### 例外階層設計
@@ -245,6 +260,17 @@ class OrderExceptionHandler {
 | try-catch の空 catch | REJECT |
 | Controller 内で例外を握りつぶして 200 を返す | REJECT |
 
+### 例外変換のスコープ
+
+HTTPステータスへの例外変換は、HTTP adapter 境界の例外変換レイヤに分離する。グローバルな変換は認証・入力検証・共通エラー形状など真に横断的なものに限り、特定 API やリソース固有の変換は、その API スコープに閉じた境界で扱う。
+
+| 基準 | 判定 |
+|------|------|
+| 各 endpoint が同じ try-catch や wrapper で例外を HTTP 表現に変換している | REJECT。HTTP adapter 境界の例外変換レイヤに分離 |
+| 特定 API 固有の例外変換を global handler に追加する | スコープ過大。対象 API の境界へ閉じる |
+| 認証失敗、入力検証、共通エラー形状など全 API 共通の変換 | OK。global な境界で扱う |
+| 例外型から HTTP 表現への変換が application/domain 層にある | REJECT。HTTP adapter 境界で扱う |
+
 ## ドメインモデル設計
 
 ### イミュータブル + require

package/builtins/ja/facets/knowledge/cqrs-es.md

@@ -361,6 +361,8 @@ UseCaseが必要なケース:
 
 UseCaseが不要なケース:
 - Controllerからコマンドを1つ送るだけで完結する単純な操作
+- ControllerからQuery側へ問い合わせてレスポンスへ変換するだけの単純な参照
+- 既存リソースの存在確認・スコープ確認後にコマンドを1つ送るだけの操作
 
 | 基準 | 判定 |
 |------|------|
@@ -368,6 +370,7 @@ UseCaseが不要なケース:
 | UseCaseがHTTPリクエスト/レスポンスに依存 | REJECT。UseCaseはプロトコル非依存 |
 | UseCaseがAggregate内部状態を直接変更 | REJECT。CommandGateway経由 |
 | UseCaseがSubscription Queryで結果を待機 | REJECT。分散環境で動作しない。リアクティブポーリングを使う |
+| UseCaseが別の問い合わせ層やコマンド送信への薄い委譲だけで終わる | 削除を検討 |
 
 ## プロジェクション設計
 
@@ -435,6 +438,19 @@ class InventoryReleaseHandler(private val commandGateway: CommandGateway) {
 | EventHandler 内で Repository に save | REJECT。Projection に分離 |
 | 1クラスに Projection と EventHandler の責務が混在 | REJECT。クラスを分離 |
 
+### 外部処理の起動
+
+外部ワーカーや非同期処理の起動は、Aggregate が確定したドメインイベントを起点にする。Application Service や Coordinator が、コマンド送信と外部副作用を同じ制御フローで束ねない。
+
+| 基準 | 判定 |
+|------|------|
+| Application Service や Coordinator がコマンド送信直後に同じ状態遷移の外部処理を起動する | REJECT。確定済みイベントの EventHandler に分離 |
+| Aggregate が生成開始・処理開始を表すイベントを発行し、EventHandler が外部処理を起動する | OK |
+| 外部処理の起動失敗を EventHandler が失敗コマンドとして Aggregate に戻す | OK |
+| 外部処理に必要な入力がイベントまたは安定したIDから再取得できるデータで表現されている | OK |
+| 外部処理の入力がコマンド処理中のローカル変数にしか存在しない | REJECT。イベントまたは再取得可能な参照へ移す |
+| 競合や補償を持たない単純な外部処理起動に Saga を使う | REJECT。EventHandler で十分 |
+
 ## Query側の設計
 
 Query側はイベント駆動のPubSubモデルで動作する。Projection が EventHandler でRead Modelを更新し、Query側はRead Modelを参照する。
@@ -451,6 +467,21 @@ Query側はイベント駆動のPubSubモデルで動作する。Projection が
 | Controller から Repository を直接参照 | REJECT。UseCase層を経由 |
 | Query側が Command Model を参照 | REJECT |
 | QueryHandler がコマンドを発行 | REJECT |
+| Query側のサービスやハンドラが保存・削除・外部API呼び出しを行う | REJECT |
+| Command と Query を同じサービスに混在させる | REJECT。責務と命名を分離 |
+| Query側で存在確認やスコープ確認を行い、呼び出し元がコマンドを送る | OK |
+
+### QueryHandler と ApplicationService の命名
+
+CQRSではクエリを受けるコンポーネントを QueryHandler と呼び、クエリを送る入口は QueryGateway / QueryBus として扱う。Controller から読み取りユースケースを呼ぶ facade は、QueryHandler と混同しないよう ApplicationService または ReadService と名付ける。
+
+| 基準 | 判定 |
+|------|------|
+| Query を受けて Read Model を参照し、Query結果の型を返す | QueryHandler |
+| Controller から複数Query、認可境界、ページング、DTO組み立てを調整する | ApplicationService または ReadService |
+| Query送信や読み取り調整だけのクラスを QueryService と呼ぶ | 警告。QueryHandler と混同しやすい |
+| QueryHandler がHTTPリクエスト/レスポンスやController都合のエラー変換を知る | REJECT |
+| 追加判断のない単純な読み取り wrapper を作る | 削除を検討。Controller から QueryGateway 直でもよい |
 
 レイヤー間の型:
 - `application/query/` - Query結果の型（例: `OrderDetail`）
@@ -503,6 +534,18 @@ Aggregate → Event Bus → Projection(@EventHandler) → Repository(Read Model)
                                           QueryHandler がここを参照
 ```
 
+### 非同期コールバックと並行制御
+
+非同期処理の完了通知は重複・遅延・順序逆転を前提に設計する。Controller や単一プロセス内のロックではなく、Aggregate の状態遷移とコマンドの冪等性で守る。
+
+| 基準 | 判定 |
+|------|------|
+| Controllerやアプリケーションプロセス内のロックで重複callbackを防ぐ | REJECT。複数インスタンスで効かない |
+| 処理中かどうかをAggregate状態で判断する | OK |
+| callbackの試行IDや世代をAggregateが検証する | OK |
+| 古いcallbackや重複callbackを状態遷移で冪等に無視する | OK |
+| 並行制御がController、UseCase、Aggregateに重複して散らばる | REJECT |
+
 ## 結果整合性
 
 コマンド発行後に同期的なレスポンスが必要な場合、リアクティブポーリングで Projection の更新を待機する。

package/builtins/ja/facets/knowledge/e2e-testing.md

@@ -28,6 +28,18 @@ E2Eテストはユーザーから見える振る舞いを観測する。設定
 | 設定や内部状態だけを確認してユーザー-visible な結果を見ていない | REJECT |
 | 実外部環境に依存する確認しかなく、主要境界の deterministic test がない | 警告またはREJECT |
 
+## 否定契約の観測
+
+E2E で権限、実行時に選択される能力・バックエンド・オプション、設定、拒否、隔離を確認する場合、出力全体への文字列否定は証拠として弱い。
+対象の行、イベント、レコード、フィールド、呼び出し引数などを取り出し、禁止値ごとに検査することで、順序、大小文字、空白、区切り、部分漏れによる見逃しを防ぐ。
+
+| 基準 | 判定 |
+|------|------|
+| 「特定の一文が出ていない」だけで拒否・非継承・隔離を検証した扱いにする | REJECT |
+| 許可された値の表示だけを確認し、禁止値が末端処理へ渡っていないことを見ていない | REJECT |
+| 観測単位を抽出して、禁止値・拒否値・非継承値が含まれないことを値単位で確認する | OK |
+| 同じシナリオで許可側と拒否側、継承側と非継承側を比較できる | OK |
+
 ## UXルートの洗い出し
 
 E2Eテストの網羅性はユーザー操作ルートの洗い出しに依存する。ドキュメントではなくコードから起点を特定する。
@@ -77,6 +89,7 @@ E2Eテストは非決定的な要因で失敗しやすい。
 | プロセスリーク | タイムアウトと強制終了を設定する |
 | 環境依存 | テスト実行に必要な前提条件を明示的にセットアップする |
 | 実行順序依存 | 各テストが独立して実行できるよう、状態を初期化する |
+| 既存規約から外れた timeout/cleanup | 同種 E2E の既存規約に合わせる |
 
 ```typescript
 // NG - 固定 sleep でタイミングを合わせる

package/builtins/ja/facets/knowledge/existing-system.md

@@ -40,9 +40,9 @@
 
 | 状況 | 判断 |
 |------|------|
-| コンポーネント分割した方がきれいだが、今回の修正に不要 | 変更しない |
+| コンポーネント分割した方がきれいだが、要求と因果関係がない | 変更しない |
 | Props 型名や配置を一般作法へ寄せたいだけ | 変更しない |
-| 既存構造のままだと要求を満たせない | 最小範囲で変更する |
+| 既存構造のままだと要求を満たせない | 因果関係のある範囲で変更する |
 | 既存構造が不具合原因そのもの | 理由と影響範囲を明記して変更する |
 
 ## コメントとテストの意味

package/builtins/ja/facets/knowledge/takt.md

@@ -77,6 +77,17 @@ ProviderAgent.call(prompt, options) → AgentResponse
 4. config.yaml（プロバイダー一致時）
 5. プロバイダーデフォルト
 
+## 補助入口の契約
+
+TAKT では workflow 実行経路だけでなく、preview、doctor、workflow summary、validation、report も利用者に見える契約入口である。設定値、provider、model、tool、権限、出力契約を表示・検証する補助入口は、runtime と同じ正規化済み入力、resolver、override 順を使う。
+
+| 基準 | 判定 |
+|------|------|
+| runtime と preview が別々の入力で provider、model、tool、権限を解決している | REJECT |
+| preview に値が表示されるだけで、runtime と同じ override 条件を検証していない | REJECT |
+| doctor や validation が正常とする設定が runtime では別条件により失敗する | 警告 |
+| runtime と補助入口が同じ正規化済み入力または同じ resolver を共有している | OK |
+
 ## ファセット組み立て
 
 faceted-prompting モジュールは TAKT 本体に依存しない独立モジュール。

package/builtins/ja/facets/output-contracts/ai-antipattern-review-finding-contract.md

@@ -0,0 +1,31 @@
+```markdown
+# AI生成コードレビュー
+
+## 結果: APPROVE / REJECT
+
+## サマリー
+{1文で結果を要約}
+
+## 検証した項目
+| 観点 | 結果 | 備考 |
+|------|------|------|
+| 仮定の妥当性 | ✅ | - |
+| API/ライブラリの実在 | ✅ | - |
+| コンテキスト適合 | ✅ | - |
+| スコープ | ✅ | - |
+
+期待される `family_tag` 値: `hallucination`, `unvalidated-assumption`, `off-by-one`, `api-mismatch`, `missing-edge-case`, `logic-error`, `scope-creep`.
+structured raw findings を要求された場合は、この表の `family_tag` 値を structured output の `familyTag` フィールドへコピーする。
+
+## 観測した指摘
+| # | family_tag | カテゴリ | 重大度 | 場所 | 問題 | 修正案 |
+|---|------------|---------|--------|------|------|--------|
+| 1 | hallucination | 幻覚API | high / medium / low | `src/file.ts:23` | 存在しないメソッド | 実在APIへ置換 |
+
+## REJECT判定条件
+- ブロッキング指摘が1件以上ある場合のみ REJECT 可
+```
+
+**認知負荷軽減ルール:**
+- 問題なし → サマリー + チェック表 + 空の指摘セクション（10行以内）
+- 問題あり → 該当セクションのみ行追加（30行以内）

package/builtins/ja/facets/output-contracts/architecture-review-finding-contract.md

@@ -0,0 +1,35 @@
+```markdown
+# アーキテクチャレビュー
+
+## 結果: APPROVE / IMPROVE / REJECT
+
+## サマリー
+{1-2文で結果を要約}
+
+## 確認した観点
+- [x] 構造・設計
+- [x] コード品質
+- [x] 変更スコープ
+- [x] テストカバレッジ
+- [x] デッドコード
+- [x] 呼び出しチェーン検証
+
+## 観測した指摘
+| # | family_tag | スコープ | 重大度 | 場所 | 問題 | 修正案 |
+|---|------------|---------|--------|------|------|--------|
+| 1 | design-violation | スコープ内 | high / medium / low | `src/file.ts:42` | 問題の説明 | 修正方法 |
+
+スコープ: 「スコープ内」（今回修正可能）/ 「スコープ外」（既存問題・非ブロッキング）
+
+## 検証証跡
+- ビルド: {確認対象・確認内容・結果。未確認ならその旨}
+- テスト: {確認対象・確認内容・結果。未確認ならその旨}
+- 動作確認: {確認対象・確認内容・結果。未確認ならその旨}
+
+## REJECT判定条件
+- スコープ内のブロッキング指摘が1件以上ある場合のみ REJECT 可
+```
+
+**認知負荷軽減ルール:**
+- APPROVE → サマリーのみ（5行以内）
+- REJECT → 該当指摘のみ表で記載（30行以内）

package/builtins/ja/facets/output-contracts/coding-review-finding-contract.md

@@ -0,0 +1,25 @@
+```markdown
+# コーディングレビュー
+
+## 結果: APPROVE / REJECT
+
+## サマリー
+{1-2文でレビュー結果を要約}
+
+## 観測した指摘
+| # | family_tag | 重大度 | 場所 | 問題 | 影響 | 修正案 |
+|---|------------|--------|------|------|------|--------|
+| 1 | bug | High / Medium / Low | `src/file.ts:42` | {問題} | {影響} | {修正案} |
+
+## 検証証跡
+- 差分確認: {確認内容}
+- ビルド: {結果。未確認ならその旨}
+- テスト: {結果。未確認ならその旨}
+
+## REJECT判定条件
+- ブロッキング指摘が1件以上ある場合のみ REJECT
+```
+
+**認知負荷軽減ルール:**
+- APPROVE → サマリーのみ（5行以内）
+- REJECT → 該当指摘のみ表で記載（30行以内）

package/builtins/ja/facets/output-contracts/coding-review.md

@@ -6,6 +6,13 @@
 ## サマリー
 {1-2文でレビュー結果を要約}
 
+## 契約入口チェック
+ID、名前、メタデータ、設定、環境変数、出力契約の追加・変更がある場合は記載する。
+
+| 入口・経路 | 元要件 | 実装根拠 | テスト根拠 | 判定 | 例外・未確認の根拠 |
+|-----------|--------|----------|------------|------|-------------------|
+| {通常入口 / 派生条件 / 検証 / 評価 / 出力 / 再注入など} | {要件} | `src/file.ts:42` | `src/file.test.ts:10` | ✅/❌/⚠️ | {なし / 根拠} |
+
 ## 今回の指摘（new）
 | # | finding_id | family_tag | 重大度 | 場所 | 問題 | 影響 | 修正案 |
 |---|------------|------------|--------|------|------|------|--------|
@@ -17,9 +24,9 @@
 | 1 | CODE-PERSIST-src-file-L77 | regression | `src/file.ts:77` | `src/file.ts:77` | {未解消の問題} | {修正案} |
 
 ## 解消済み（resolved）
-| finding_id | 解消根拠 |
-|------------|----------|
-| CODE-RESOLVED-src-file-L10 | `src/file.ts:10` で解消 |
+| finding_id | 元の期待結果 | 解消根拠 |
+|------------|--------------|----------|
+| CODE-RESOLVED-src-file-L10 | {元 finding の受入条件} | `src/file.ts:10` で解消 |
 
 ## 再開指摘（reopened）
 | # | finding_id | family_tag | 解消根拠（前回） | 再発根拠 | 問題 | 修正案 |
@@ -37,5 +44,5 @@
 ```
 
 **認知負荷軽減ルール:**
-- APPROVE → サマリーのみ（5行以内）
+- APPROVE → サマリーと、必要な場合のみ契約入口チェック（合計10行以内）
 - REJECT → 該当指摘のみ表で記載（30行以内）

package/builtins/ja/facets/output-contracts/cqrs-es-review-finding-contract.md

@@ -0,0 +1,31 @@
+```markdown
+# CQRS+ESレビュー
+
+## 結果: APPROVE / REJECT
+
+## サマリー
+{1-2文で結果を要約}
+
+## 確認した観点
+| 観点 | 結果 | 備考 |
+|------|------|------|
+| Aggregate設計 | ✅ | - |
+| イベント設計 | ✅ | - |
+| Command/Query分離 | ✅ | - |
+| プロジェクション | ✅ | - |
+| 結果整合性 | ✅ | - |
+
+## 観測した指摘
+| # | family_tag | 重大度 | スコープ | 場所 | 問題 | 影響 | 修正案 |
+|---|------------|--------|---------|------|------|------|--------|
+| 1 | cqrs-violation | High / Medium / Low | スコープ内 | `src/file.ts:42` | 問題の説明 | ドメイン整合性・保守性への影響 | 修正方法 |
+
+スコープ: 「スコープ内」（今回修正可能）/ 「スコープ外」（既存問題・非ブロッキング）
+
+## REJECT判定条件
+- ブロッキング指摘が1件以上ある場合のみ REJECT
+```
+
+**認知負荷軽減ルール:**
+- APPROVE → サマリーのみ（5行以内）
+- REJECT → 該当指摘のみ表で記載（30行以内）

package/builtins/ja/facets/output-contracts/findings-manager.md

@@ -0,0 +1,45 @@
+```json
+{
+  "matches": [
+    {
+      "findingId": "F-0001",
+      "rawFindingIds": ["raw-1"],
+      "evidence": "同一問題と判断した根拠"
+    }
+  ],
+  "newFindings": [
+    {
+      "rawFindingIds": ["raw-2"],
+      "title": "新規指摘の短い題名",
+      "severity": "high"
+    }
+  ],
+  "resolvedFindings": [
+    {
+      "findingId": "F-0002",
+      "rawFindingIds": ["raw-previous-1"],
+      "evidence": "解消を確認した根拠"
+    }
+  ],
+  "reopenedFindings": [
+    {
+      "findingId": "F-0003",
+      "rawFindingIds": ["raw-3"],
+      "evidence": "再発と判断した根拠"
+    }
+  ],
+  "conflicts": [
+    {
+      "findingIds": [],
+      "rawFindingIds": ["raw-4", "raw-5"],
+      "description": "レビュワー間の矛盾"
+    }
+  ],
+  "resolvedConflicts": [
+    {
+      "conflictId": "C-012345ABCDEF",
+      "evidence": "調停済みと判断した根拠"
+    }
+  ]
+}
+```

package/builtins/ja/facets/output-contracts/frontend-review-finding-contract.md

@@ -0,0 +1,30 @@
+```markdown
+# フロントエンドレビュー
+
+## 結果: APPROVE / REJECT
+
+## サマリー
+{1-2文で結果を要約}
+
+## 確認した観点
+| 観点 | 結果 | 備考 |
+|------|------|------|
+| コンポーネント設計 | ✅ | - |
+| 状態管理 | ✅ | - |
+| 正規状態と派生状態 | ✅ | - |
+| パフォーマンス | ✅ | - |
+| アクセシビリティ | ✅ | - |
+| 型安全性 | ✅ | - |
+
+## 観測した指摘
+| # | family_tag | 重大度 | 場所 | 問題 | 影響 | 修正案 |
+|---|------------|--------|------|------|------|--------|
+| 1 | component-design | High / Medium / Low | `src/file.tsx:42` | 問題の説明 | ユーザー体験・保守性への影響 | 修正方法 |
+
+## REJECT判定条件
+- ブロッキング指摘が1件以上ある場合のみ REJECT
+```
+
+**認知負荷軽減ルール:**
+- APPROVE → サマリーのみ（5行以内）
+- REJECT → 該当指摘のみ表で記載（30行以内）

package/builtins/ja/facets/output-contracts/pure-review-finding-contract.md

@@ -0,0 +1,45 @@
+```markdown
+# Pure Review
+
+## 結果: APPROVE / REJECT
+
+## サマリー
+{この修正がマージ可能な品質かを1-2文で要約。REJECT の場合は最大のブロッカーを先に書く}
+
+## マージ可否チェック
+| # | 観点 | 状態 | 根拠（ファイル:行 / テスト / 実行証跡） | コメント |
+|---|------|------|---------------------------------------|----------|
+| 1 | 要求充足 | 充足 / 未充足 / 未確認 | `src/file.ts:42` | {補足} |
+| 2 | 既存契約・既存フローへの影響 | 問題なし / 問題あり / 未確認 | `src/file.ts:42` | {補足} |
+| 3 | テスト・検証 | 十分 / 不足 / 未確認 | `npm test` | {補足} |
+| 4 | 要求外変更・スコープクリープ | 問題なし / 問題あり / 未確認 | `src/file.ts:42` | {補足} |
+| 5 | 明白なセキュリティ・データ保護・運用リスク | 問題なし / 問題あり / 未確認 | `src/file.ts:42` | {補足} |
+
+## 要求照合
+| # | 要求（タスクから抽出） | 状態 | 根拠（ファイル:行） | コメント |
+|---|-------------------|------|-------------------|----------|
+| 1 | {要件1} | 充足 / 未充足 / 未確認 | `src/file.ts:42` | {補足} |
+
+## 要求外変更・既存影響
+| # | 変更 | ファイル | 判定 | コメント |
+|---|------|---------|------|----------|
+| 1 | {要求にない変更または既存影響} | `src/file.ts` | 妥当 / 要再確認 / 不要 / 問題あり | {理由} |
+
+## 観測した指摘
+| # | family_tag | カテゴリ | 重大度 | 場所 | 問題 | 修正案 |
+|---|------------|---------|--------|------|------|--------|
+| 1 | mergeability | 回帰 / 要求未充足 / テスト不足 / 契約破壊 / スコープクリープ | high / medium / low | `src/file.ts:42` | 問題の説明 | 修正方法 |
+
+## 検証証跡
+- ビルド: {確認対象・確認内容・結果。未確認ならその旨}
+- テスト: {確認対象・確認内容・結果。未確認ならその旨}
+- 動作確認: {確認対象・確認内容・結果。未確認ならその旨}
+
+## REJECT判定条件
+- マージを止めるべき観測指摘が1件以上ある場合は REJECT
+- 未確認項目は、それがマージ可否に影響する場合のみ REJECT 根拠にする
+```
+
+**認知負荷軽減ルール:**
+- APPROVE → サマリー + マージ可否チェックのみ（10行以内）
+- REJECT → ブロッカー指摘を優先（40行以内）

package/builtins/ja/facets/output-contracts/pure-review.md

@@ -16,9 +16,9 @@
 | 5 | 明白なセキュリティ・データ保護・運用リスク | 問題なし / 問題あり / 未確認 | `src/file.ts:42` | {補足} |
 
 ## 要求照合
-| # | 要求（タスクから抽出） | 状態 | 根拠（ファイル:行） | コメント |
-|---|-------------------|------|-------------------|----------|
-| 1 | {要件1} | 充足 / 未充足 / 未確認 | `src/file.ts:42` | {補足} |
+| # | 要求（タスクから抽出） | 元要件の出典 | 状態 | 根拠（ファイル:行） | 例外・未確認の根拠 |
+|---|-------------------|--------------|------|-------------------|-------------------|
+| 1 | {要件1} | `order.md:10` | 充足 / 未充足 / 未確認 | `src/file.ts:42` | {なし / 根拠} |
 
 ## 要求外変更・既存影響
 | # | 変更 | ファイル | 判定 | コメント |
@@ -36,9 +36,9 @@
 | 1 | PURE-PERSIST-src-file-L77 | mergeability | `file:line` | `file:line` | 未解消 | 修正方法 |
 
 ## 解消済み（resolved）
-| finding_id | 解消根拠 |
-|------------|----------|
-| PURE-RESOLVED-src-file-L10 | `file:line` で解消 |
+| finding_id | 元の期待結果 | 解消根拠 |
+|------------|--------------|----------|
+| PURE-RESOLVED-src-file-L10 | {元 finding の受入条件} | `file:line` で解消 |
 
 ## 再開指摘（reopened）
 | # | finding_id | family_tag | 解消根拠（前回） | 再発根拠 | 問題 | 修正案 |

package/builtins/ja/facets/output-contracts/qa-review-finding-contract.md

@@ -0,0 +1,35 @@
+```markdown
+# QAレビュー
+
+## 結果: APPROVE / REJECT
+
+## サマリー
+{1-2文で結果を要約}
+
+## 確認した観点
+| 観点 | 結果 | 備考 |
+|------|------|------|
+| テストカバレッジ | ✅ | - |
+| テスト品質 | ✅ | - |
+| エラーハンドリング | ✅ | - |
+| ドキュメント | ✅ | - |
+| 保守性 | ✅ | - |
+
+## 観測した指摘
+| # | family_tag | カテゴリ | 重大度 | 場所 | 問題 | 修正案 |
+|---|------------|---------|--------|------|------|--------|
+| 1 | test-coverage | テスト | high / medium / low | `src/test.ts:42` | 異常系テスト不足 | 失敗系ケースを追加 |
+
+## 検証証跡
+- ビルド: {確認対象・確認内容・結果。未確認ならその旨}
+- テスト: {確認対象・確認内容・結果。未確認ならその旨}
+- 動作確認: {確認対象・確認内容・結果。未確認ならその旨}
+
+## 未確認範囲
+| 項目 | 理由 | 判定への影響 |
+|------|------|--------------|
+| {未確認の範囲。なければ「なし」} | {未確認の理由} | {APPROVE可 / REJECT理由} |
+
+## REJECT判定条件
+- ブロッキング指摘が1件以上ある場合のみ REJECT 可
+```

package/builtins/ja/facets/output-contracts/qa-review.md

@@ -15,6 +15,13 @@
 | ドキュメント | ✅ | - |
 | 保守性 | ✅ | - |
 
+## 契約入口チェック
+ID、名前、メタデータ、設定、環境変数、出力契約の追加・変更がある場合は記載する。
+
+| 入口・経路 | 元要件 | 実装根拠 | テスト根拠 | 判定 | 例外・未確認の根拠 |
+|-----------|--------|----------|------------|------|-------------------|
+| {通常入口 / 派生条件 / 検証 / 評価 / 出力 / 再注入など} | {要件} | `src/file.ts:42` | `src/file.test.ts:10` | ✅/❌/⚠️ | {なし / 根拠} |
+
 ## 今回の指摘（new）
 | # | finding_id | family_tag | カテゴリ | 場所 | 問題 | 修正案 |
 |---|------------|------------|---------|------|------|--------|
@@ -26,9 +33,9 @@
 | 1 | QA-PERSIST-src-test-L77 | test-coverage | `src/test.ts:77` | `src/test.ts:77` | 不安定なまま | アサーションとセットアップを安定化 |
 
 ## 解消済み（resolved）
-| finding_id | 解消根拠 |
-|------------|----------|
-| QA-RESOLVED-src-test-L10 | `src/test.ts:10` で異常系が網羅済み |
+| finding_id | 元の期待結果 | 解消根拠 |
+|------------|--------------|----------|
+| QA-RESOLVED-src-test-L10 | {元 finding の受入条件} | `src/test.ts:10` で異常系が網羅済み |
 
 ## 再開指摘（reopened）
 | # | finding_id | family_tag | 解消根拠（前回） | 再発根拠 | 問題 | 修正案 |

package/builtins/ja/facets/output-contracts/security-review-finding-contract.md

@@ -0,0 +1,36 @@
+```markdown
+# セキュリティレビュー
+
+## 結果: APPROVE / REJECT
+
+## 重大度: None / Low / Medium / High / Critical
+
+## チェック結果
+| カテゴリ | 結果 | 備考 |
+|---------|------|------|
+| インジェクション | ✅ | - |
+| 認証・認可 | ✅ | - |
+| データ保護 | ✅ | - |
+| 依存関係 | ✅ | - |
+
+## 観測した指摘
+| # | family_tag | 重大度 | 種類 | 場所 | 問題 | 修正案 |
+|---|------------|--------|------|------|------|--------|
+| 1 | injection-risk | High | SQLi | `src/db.ts:42` | 生SQL文字列 | パラメータ化クエリを使用 |
+
+## 検証証跡
+- ビルド: {確認対象・確認内容・結果。未確認ならその旨}
+- テスト: {確認対象・確認内容・結果。未確認ならその旨}
+- 動作確認: {確認対象・確認内容・結果。未確認ならその旨}
+
+## 警告（非ブロッキング）
+- {セキュリティに関する推奨事項}
+
+## REJECT判定条件
+- ブロッキング脆弱性が1件以上ある場合のみ REJECT 可
+```
+
+**認知負荷軽減ルール:**
+- 問題なし → チェック表のみ（10行以内）
+- 警告のみ → + 警告1-2行（15行以内）
+- 脆弱性あり → + 指摘表（30行以内）