今日は雨の日曜日・・・6/1に提供されたが6/5には提供禁止となってしまった、現在最高性能を持つというClaude Fable5が7/1から再び提供されて、7/7まで使えるという・・・これは、是非とも一番課題で問題が多いシステム全体の成熟性を確認しなければ、熱も下がって少し調子も上がったので、さっそく取り掛かる
0.前提条件
- まずFable5には修正・削除・リファクタリングは一切行わなず検証を実施する
- 対応済みの事項は以下の内容（再確認は必要）
- AuthorizesTenantAccessトレイトによるコントローラのテナント認可
- SecurityHeadersMiddleware、HTTPS 強制、セッション強化、不審ログイン検知
- CSP 対応の途中経過（インラインイベントハンドラの addEventListener 化、@alpinejs/csp 採用）
1.作業フェーズ
- フェーズ1: セキュリティ検証（ファイル別）
- フェーズ2: 保守性・コード品質の改善提案（全体）
- フェーズ3: バグおよびバグの可能性の検出（全体）
2.フェーズ1: セキュリティ検証
2-1. 検証観点（チェックリスト）
A. テナント分離（最優先）
- クエリに tenant_id 等のスコープ漏れがないか（Eloquent 直接呼び出し、find($id)、DB:: 生クエリ含む）
- AuthorizesTenantAccess トレイトの適用漏れコントローラ・メソッド
- ルートモデルバインディングでの他テナントリソース参照可能性（IDOR）
- グローバルスコープの回避箇所（withoutGlobalScopes 等）の妥当性
B. 認証・認可
- ミドルウェア（auth, verified 等）の適用漏れルート
- Policy / Gate 未適用のまま操作可能なアクション
- 権限昇格の可能性（ロール判定の抜け）
C. 入力検証・インジェクション
- バリデーション未実施・不十分なリクエスト処理
- SQL インジェクション（whereRaw, DB::raw, DB::select 等の変数連結）
- マスアサインメント（$fillable/$guarded の不備、$request->all() の直接渡し）
- パストラバーサル（ファイルパスにユーザー入力を使用している箇所）
D. XSS・出力エスケープ
- Blade の {!! !!} 使用箇所の妥当性
- SVG ダイアグラムエディタ（約3,600行の JS）: ユーザー入力の SVG/DOM への挿入方法（innerHTML、属性直接代入等）、保存された SVG データの再表示時のサニタイズ
- リッチテキストバー（RTB）経由の HTML 挿入のサニタイズ
E. CSP 対応
- 残存するインラインイベントハンドラ（onclick 等）・インライン script/style
- SecurityHeadersMiddleware の CSP ディレクティブの妥当性（unsafe-inline / unsafe-eval の残存有無）
F. CSRF・セッション・Cookie
- CSRF 保護の除外ルート（$except）の妥当性
- Ajax/fetch 呼び出しの CSRF トークン付与漏れ
- セッション・Cookie 設定（secure, httponly, samesite）と Xserver リバースプロキシ構成（TrustProxies）との整合
G. ファイルアップロード
- 拡張子・MIME タイプ検証、サイズ制限
- 保存先（public 直下への保存有無）、実行可能ファイルの拒否
- ダウンロード時のテナント認可
H. 情報漏洩
- ログ・例外メッセージへの機密情報出力
- .env 値のハードコード、デバッグコードの残存（dd, dump, console.log の機密出力）
- API レスポンスの過剰な属性返却（Resource 未使用でのモデル直接返却）
I. 依存パッケージ
- composer audit および npm audit を実行し、既知脆弱性を報告する（アップデートは実施しない）
3.フェーズ2: 保守性・改善提案
3-1. 検証観点
- 重複コード: コントローラ・JS 間の重複ロジック（サービスクラス / 共通モジュールへの抽出候補）
- 肥大化: 長大なコントローラメソッド・Blade ファイル・JS ファイル（特に SVG エディタ約3,600行の分割方針）
- 命名・構成: Laravel 標準構成からの逸脱、命名の不統一（日本語/英語混在の規則性含む）
- 設定のハードコード: config/env に逃がすべきマジックナンバー・文字列
- テスト: 自動テストのカバレッジ状況、テナント分離・認可まわりのテスト欠落箇所
- フロントエンド: Blade 内 JS の構造（モジュール化、イベント委譲の一貫性、Alpine.js との役割分担）
- DB: マイグレーションとスキーマの整合、インデックス欠落（tenant_id 複合インデックス等）、N+1 クエリ
- ドキュメント: CLAUDE.md / README の実態との乖離
4.フェーズ3: バグおよびバグの可能性
4-1. 検証観点
- 明確なバグ: 未定義変数・null 参照、型不整合、到達不能コード、条件式の誤り（=/==/=== 等）
- JS 側: SVG エディタのイベントリスナー解除漏れ（メモリリーク）、tblMergeCells/tblSplitCell 等テーブル操作の境界条件、undo/redo の状態不整合、非同期処理の競合
- 境界条件: 空配列・null・0件データ時の挙動、日付境界（年度・和暦処理があれば特に）
- トランザクション: 複数テーブル更新時のトランザクション欠落、失敗時のロールバック不備
- 並行性: 同一テナント内の同時編集での上書き・競合（楽観ロックの有無）
- 環境差異: MariaDB（ローカル）と MySQL（本番）の差異に起因する潜在問題、Xserver 固有設定への依存
- エラー処理: try-catch の握りつぶし、失敗時にユーザーへ誤った成功表示をする箇所
5.実行手順
- リポジトリ構成を把握する（app/, routes/, resources/views/, resources/js/, database/, config/, public/ を中心に全体を読む。vendor/, node_modules/ は除外）
- フェーズ1を実行し、レポートを出力して停止・確認を待つ
- 承認後フェーズ2を実行し、レポートを出力して停止
- 承認後フェーズ3を実行し、レポートを出力して完了報告
- 各フェーズの完了報告には「検証したファイル数」「読み飛ばした箇所とその理由」を必ず含める（検証の網羅性を判断できるようにするため）
