# 改善計画書 ## 概要 match_12 プロジェクト（Laravel 12）のコード品質・パフォーマンス・セキュリティを分析し、改善すべき課題を洗い出した。 --- ## 0. 2026-05 セキュリティ修正（対応済み） 以下の項目はコードレビューで検出し、修正済み: | 重要度 | 内容 | 対応 | |--------|------|------| | Critical | `hyperliquid-bot.js` トレード履歴・autofixログの innerHTML XSS | `escapeHtml()` で全動的値をエスケープ | | High | `civitai.js` トリガーワード onclick XSS | `data-copy-text` 属性 + イベント委譲に変更 | | High | `civitai.js` model.description innerHTML XSS | `sanitizeHtml()` で script/iframe/on*/javascript:/data: URI 除去 | | High | `hl_bot.py` / `hl_pair_bot.py` Discord エラー通知の完全無効化 | 10分レート制限付きで再有効化 | | High | `HyperliquidBotController` SSRF リスク | `botRemoteUrl()` で http/https スキーマのみ許可 | | High | 内部API経由の再帰プロキシループ | `isInternalApiRequest()` で内部APIルートからのプロキシをスキップ | | High | `bootstrap/app.php` ConnectionException 一律抑制 | Shopping/PriceCompare/Comic 関連のみに限定 | | Medium | `CivitaiService` ダウンロード URL 未検証 | `civitai.com` / `civitai.red` ホストのみ許可（サブドメイン偽装対策済み） | | Medium | `CivitaiService` timeout(0) 無期限ハング | timeout(1800) に変更 | | Medium | `proxyGet()` 例外の握りつぶし | デバッグログを追加 | | Medium | `civitai.js` resumeActiveDownloads クロージャバグ | `var` → `let` に変更 | | Medium | `hl_bot.py` pnl==0 が loss_count に加算 | `elif pnl < 0` に修正（ゼロはカウント外） | | Medium | `civitai.js` `sanitizeHtml()` 重複定義 | デッドコードの1つ目を削除 | | Medium | `hyperliquid-bot.js` 未使用 `escapeHtmlBot()` | 削除 | | Medium | シェアトークン検証が非タイミングセーフ | `hash_equals()` に統一 + `verifyShareToken()` にリファクタ | | Low | `proxyGet` の `Log` が完全修飾名 | import 済みの `Log` ファサードを使用 | | Low | `HyperliquidSigningService` の `ltrim('0x')` が `'0'`+`'x'` を個別除去 | `str_starts_with()` + `substr()` に修正 | | Low | `civitai.js` `sanitizeHtml()` に `data:` URI 未対処 | `data:` で始まる属性値も除去対象に追加 | | Medium | `affiliate_link()` / `setLink()` もしもURL の `url=` パラメータ未エンコード | PHP: `urlencode()`、JS: `encodeURIComponent()` を追加 | | Low | `config/services.php` 環境変数名 typo（`AFIILIATE` → `AFFILIATE`） | 正しいスペルに修正 | | Low | `.env.example` に新規環境変数が未登録 | `MERCARI_AFFILIATE_ID` / `MOSHIMO_*` / `DISCORD_HEALTH_CHECK_WEBHOOK_URL` を追加 | | Low | `affiliate_link()` mercari の `afid` パラメータ未エンコード | `urlencode($aid)` / `encodeURIComponent(aid)` を追加 | --- ## 1. セキュリティ（緊急度: 高） ### 1-1. SQLインジェクションリスク | ファイル | 行 | 問題 | |---------|-----|------| | `app/Http/Controllers/Comic/ComicController.php` | 386 | `orderByRaw("FIELD(id, {$ids_str}")` — 文字列を直接埋め込み | | `app/Http/Controllers/App/FrimaPrize/Item/ItemsController.php` | 123 | `orderByRaw(DB::raw("FIELD(id, {$ids}) ASC"))` — 同上 | **対策:** パラメータバインディングを使用する、または `orderByRaw("FIELD(id, " . implode(',', array_fill(0, count($ids), '?')) . ")", $ids)` のようにプレースホルダを使う。 ### 1-2. XSSリスク（未エスケープHTML出力） | ファイル | 内容 | |---------|------| | `resources/views/content/user_posts/public/show.blade.php` | `{!! MatomeFormatter::format($post->body) !!}` — ユーザー投稿をそのまま出力 | | `resources/views/core/docs/show.blade.php` | `{!! $html !!}` — 生HTML出力 | | `resources/views/real_estate/estate/view.blade.php` | `{!! $product->description !!}` — スクレイピングデータをそのまま出力 | **対策:** `MatomeFormatter` 内でHTMLPurifierなどのサニタイザーを通す。外部データは必ずエスケープしてから出力する。 ### 1-3. Webhook認証の欠如 | エンドポイント | 問題 | |---------------|------| | `POST /api/qa/chatwork-webhook` | 署名検証なし | | `POST /api/qa/github-webhook` | HMAC-SHA256検証なし | | `GET /api/price-compare/mercari-pending` | 認証なし | **対策:** Chatworkトークン検証、GitHub Webhook署名検証を実装。Mercariエンドポイントにも認証を追加。 ### 1-4. 認可チェックの不足 - 管理者ルート (`/admin/*`) が `auth` ミドルウェアのみで保護されており、ロール/権限チェックがない - Policyクラス、Gateが未定義 **対策:** Laravel Policyまたは権限パッケージ（spatie/laravel-permission等）を導入し、管理者と一般ユーザーを分離する。 --- ## 2. パフォーマンス（緊急度: 中〜高） ### 2-1. データベースインデックスの不足 #### `suumo_properties` テーブル（影響大） | カラム | 用途 | 状態 | |--------|------|------| | `price_man` | WHERE / ORDER BY | インデックスなし | | `land_area_m2` | WHERE / ORDER BY | インデックスなし | | `building_area_m2` | WHERE / ORDER BY | インデックスなし | | `building_year` | WHERE（CAST使用） | インデックスなし | | `ai_rating` | WHERE | インデックスなし | | `created_at` | ORDER BY | インデックスなし | #### `comic_comments` テーブル - `comic_id`, `ip`, `(comic_id, created_at)` の複合インデックスが全て欠如 #### `user_posts` テーブル - `user_id`, `user_post_category_id` のインデックスが欠如 **対策:** マイグレーションを追加してインデックスを作成する。 ### 2-2. N+1クエリ問題 | ファイル | 箇所 | 問題 | |---------|------|------| | `ComicController.php` | 161行 | ループ内で `$comic->comicSites` にアクセス | | `ErrorLogController.php` | 64行 | `$errorLog->load('user')` — 取得後にリレーション読み込み | | `SuumoPropertyController.php` | 93, 127行 | `favoriteSuumoProperties()` を複数回呼び出し | **対策:** `with()` によるEager Loadingを徹底する。Laravel Debugbarでクエリ数を監視する。 ### 2-3. 大量データ処理の非効率性 | ファイル | 行 | 問題 | |---------|-----|------| | `DataPortController.php` | 180-186 | `DB::table($table)->get()->toArray()` — テーブル全件をメモリに読み込み | | `DataPortController.php` | 151-153 | テーブルごとに `count()` を個別実行（ループ内でN回のDBクエリ） | | `DataPortController.php` | 262-270 | upsertモードで1行ずつ処理（バッチ処理すべき） | | `DataPortController.php` | 209 | `file_get_contents()` でファイル全体をメモリに展開 | **対策:** - `->get()` を `->chunk()` または `->lazy()` に変更 - テーブルカウントは `INFORMATION_SCHEMA` から一括取得 - upsertは `upsert()` メソッドでバッチ処理 - 大きなファイルはストリーム処理 ### 2-4. キャッシュ・キュー・セッションがすべてデータベース ``` QUEUE_CONNECTION=database CACHE_STORE=database SESSION_DRIVER=database ``` **対策:** 本番環境ではRedisに切り替える。DB負荷を大幅に軽減できる。 ### 2-5. 同期処理すべきでない重い処理 | ファイル | 行 | 問題 | |---------|-----|------| | `ErrorLogController.php` | 183-187 | `bulkAnalyze()` — AI分析をリクエスト内でループ実行 | | `ComicController.php` | 146 | `ComicView::create()` — リクエスト内で同期的にログ作成 | **対策:** Jobにディスパッチしてバックグラウンドで処理する。 --- ## 3. コード品質（緊急度: 中） ### 3-1. バリデーション不足 | ファイル | 問題 | |---------|------| | `FrimaPrize/Item/ItemsController.php` | `$request->...` を検証なしで使用（52, 60, 117, 120行） | | `AccessLogController.php` | フィルタリング入力の検証なし | **対策:** `$request->validate()` または FormRequest を使用する。 ### 3-2. エラーハンドリング不足 | ファイル | 問題 | |---------|------| | `DataPortController.php:209` | `file_get_contents()` が try-catch なし | | `ZundamonVoiceController.php:159` | ZIP作成失敗時のロールバックなし | | `SuumoPropertyController.php:179-191` | スクレイピング・駅保存のエラーハンドリング不足 | ### 3-3. APIレート制限の不足 - `/site-chat` — レート制限なし（AI APIコスト増大リスク） - ショッピング検索エンドポイント — レート制限なし - コミックAPIエンドポイント — レート制限なし **対策:** `throttle` ミドルウェアを追加する。特にAI API呼び出しが絡むルートは必須。 --- ## 4. テスト（緊急度: 中） ### 現状 テストファイルは15個のみ。70以上のコントローラーに対してカバレッジが大幅に不足。 ### 不足しているテスト | 対象 | 必要なテスト | |------|-------------| | 認証・認可 | ログイン、権限チェック、管理者ページへのアクセス制御 | | APIエンドポイント | Webhook処理、Mercari API | | セキュリティ | CSRF、XSS防止、SQLインジェクション防止 | | 金融機能 | 家計簿、クレジットカード明細パース、仮想通貨取引 | | 不動産機能 | SUUMOクロール、住宅ローン計算 | | データポート | インポート/エクスポートの正常系・異常系 | --- ## 5. フロントエンド（緊急度: 低〜中） ### 5-1. Viteエントリーポイントが多すぎる（130以上） - 同一ドメインのCSSファイルを統合可能（例: comic関連の6ファイルを1ファイルに） - コード分割（code splitting）の設定が未導入 ### 5-2. jQueryの使用 - モダンなバニラJSまたはAlpine.jsへの段階的な移行を検討 ### 5-3. innerHTML の直接使用 - `resources/js/app/youtube-pdca-show.js` で `innerHTML` を直接操作 — XSSリスクあり - `textContent` または DOMPurify の使用を推奨 --- ## 6. インフラ・設定（緊急度: 中） ### 6-1. 本番環境設定 | 項目 | 現状 | 推奨 | |------|------|------| | `APP_DEBUG` | `true` | `false`（本番） | | `LOG_LEVEL` | `debug` | `warning` 以上 | | `SESSION_ENCRYPT` | `false` | `true` | ### 6-2. Vite開発設定 - `cors: { origin: '*' }` — 本番では制限すべき - ngrokのURLがハードコードされている — 環境変数化すべき --- ## 優先度別アクションプラン ### Phase 1: 緊急対応 ✅ 完了（2026-03-30） 1. ✅ SQLインジェクション修正（ComicController, ItemsController — プレースホルダ化） 2. ✅ 認可チェック導入（AdminOnlyミドルウェア作成、adminルートに適用） 3. ✅ Webhook署名検証（Chatwork/GitHub既に実装済み確認、Mercari APIにVerifyInternalApiTokenミドルウェア追加） 4. ✅ 本番環境設定の修正（deploy.ymlにsed適用ステップ追加: APP_DEBUG=false, LOG_LEVEL=warning, SESSION_ENCRYPT=true） ### Phase 2: パフォーマンス改善 ✅ 完了（2026-03-30） 5. ✅ データベースインデックス追加（マイグレーション作成: suumo_properties, comic_comments, user_posts） 6. ✅ N+1クエリ修正（ComicController Eager Loading、SuumoPropertyController重複クエリ統合） 7. ✅ DataPortController改善（INFORMATION_SCHEMA一括カウント、chunkエクスポート、upsertバッチ化） 8. ✅ 重い同期処理のJob化（AnalyzeErrorLogJob作成、bulkAnalyzeをキューディスパッチに変更） 9. ✅ Redis導入（deploy.ymlでredis-cli ping検出時にCACHE/QUEUE/SESSIONを自動切替） ### Phase 3: コード品質向上 ✅ 完了（2026-03-30） 10. ✅ バリデーション追加（ItemsController, AccessLogController） 11. ✅ エラーハンドリング強化（ZundamonVoice ZIP作成、SuumoProperty スクレイピング+駅保存トランザクション化） 12. ✅ レート制限追加（site-chat, price-compare/search, comic API, YouTube AI, WebScraper, StockYutai, SuumoChat） 13. ✅ XSSリスク対応（estate/view.blade.php strip_tags、youtube-pdca-show.js escapeHtml） ### Phase 4: テスト・保守性 ✅ 完了（2026-03-30） 14. ✅ 認証・認可テスト追加（AuthorizationTest: ログイン/権限/AdminOnly/内部API認証 10テスト） 15. ✅ 金融・不動産機能テスト追加（HousingLoanTest: 住宅ローン/おすすめ/SUUMO/土地価格 9テスト） 16. ✅ APIエンドポイントテスト追加（DataPortTest: エクスポート/インポート/プレビュー/エラーログ 11テスト、SecurityTest: XSS/SQLi/レート制限 6テスト） 17. ✅ Viteエントリーポイント統合（comic CSS 6→1バンドル、train route CSS 4→1バンドル、計9エントリーポイント削減） --- ## Phase 1〜4 再検証結果（2026-04-15） 実コードで以下を確認した： | 項目 | 検証内容 | 結果 | |------|---------|------| | SQLi対策 | `orderByRaw.*FIELD` 全箇所がプレースホルダ＋バインディング化 | ✅ 維持 | | AdminOnly | `app/Http/Middleware/Admin/AdminOnly.php` で `role==='admin'` チェック、`/admin/*` 配下に適用 | ✅ 維持 | | インデックス | `2026_03_30_000001_add_performance_indexes.php` 適用済み（suumo/comic_comments/user_posts） | ✅ 維持 | | Job化 | `app/Jobs/Admin/AnalyzeErrorLogJob.php` 作成、`ErrorLogController::bulkAnalyze` から dispatch | ✅ 維持 | | レート制限 | `routes/web.php` で `throttle:` 23箇所適用 | ✅ 維持 | | XSS対策 | `estate/view.blade.php` は `strip_tags` 経由（許可タグのみ） | ✅ 維持 | | FormRequest | `ItemsController::disp_items_json` で `$request->validate()` 実装 | ✅ 維持 | | テスト | Feature テスト 34 ファイル（旧15 → 倍増以上） | ✅ 維持 | --- ## Phase 5: 新規課題（2026-04-15 追加） Phase 1〜4 完了後に追加された機能・残課題で、新たに対応が必要な項目。 ### 5-1. モバイルアプリAPI（React Native / Expo）の強化 - 2026-04 に iPhone アプリ（`mobile/`、Expo / RN 0.76.9）と `routes/api.php` の `mobile/*` エンドポイントを追加 - `MobileApiAuth` ミドルウェア＋`MobileApiAuthTest` で基本認証は実装済み - **未対応:** - ゲストトークンの有効期限・ローテーション戦略の明文化 - 全モバイルエンドポイントへの `throttle` 追加（`auth/login` `price-compare/search` のみ設定済み） - レスポンスでの個人情報マスキング監査 - モバイル端末固有 ID（device_id）と user_id の紐付け監査ログ ### 5-2. Pythonスクレイパー Docker コンテナのセキュリティ - `docker-compose.yml` に `scraper` サービス（x11vnc + Selenium + Python）を追加 - Laravel 側 `INTERNAL_API_TOKEN` で POST 認証する設計 ✅ - **未対応:** - x11vnc のパスワード設定とポート公開範囲（127.0.0.1 限定にすべき） - スクレイピング対象サイトの robots.txt / 利用規約遵守チェック - スクレイパーコンテナのリソース上限（メモリ/CPU）設定 - `INTERNAL_API_TOKEN` のローテーション手順 ### 5-3. innerHTML / 生HTML出力の広範使用 - `resources/js` 配下で `innerHTML` 使用が **594 箇所 / 77 ファイル** - ユーザー入力・スクレイピングデータを混入させる箇所がないか棚卸し未完 - **未対応:** - 高リスクファイルの優先リスト化（finance/kakeibo-index.js: 46回, shopping/price-compare.js: 39回 等） - DOMPurify 導入 or `textContent` 置換のガイドライン策定 - 新規 JS で `innerHTML` を使う場合の lint ルール（eslint-plugin-no-unsanitized 等） ### 5-4. Blade `{!! !!}` の残り箇所監査 22 ファイルで `{!! !!}` を使用。サニタイザ未経由の可能性があるもの： | ファイル | 内容 | |---------|------| | `content/user_posts/public/show.blade.php:38` | `MatomeFormatter::format($post->body)` — フォーマッタ内部のサニタイズ責務を再確認 | | `core/docs/show.blade.php` | 生 HTML 出力 — Markdown レンダラ経由か未確認 | | `comic/view.blade.php` / `entertainment/horse_racing/*.blade.php` 等 | ランキング/コメント類の混入有無を確認 | **対策:** 各箇所で「データ源が信頼できるか」「サニタイザを通しているか」をチェックリスト化。 ### 5-5. jQuery 段階的廃止（Phase 4 から継続） - `$(` を含む JS が 77 ファイル - **方針案:** - 新規 JS は素の DOM API / Alpine.js を必須化 - 既存ファイルはドメイン単位（finance, comic, entertainment）で四半期ごとに置換 - `jquery` import を ESLint で警告（新規ファイルのみ error） ### 5-6. Policy / Gate 未導入 - `AdminOnly` ミドルウェアによる role チェックのみで、`app/Policies/` ディレクトリ自体が存在しない - 「自分の投稿のみ編集可」「お気に入りは本人のみ操作可」などのリソースレベル認可がコントローラ内のIF文に散在 - **対策:** `UserPostPolicy`, `SuumoPropertyFavoritePolicy` 等を作成し `$this->authorize()` に統一 ### 5-7. 新規追加機能のテスト不足 2026-04 までに追加された以下機能のテストカバレッジが低い： | 機能 | 必要なテスト | |------|-------------| | Amazon Associates `import-json` API | 異常系（不正トークン、バリデーション）追加検討 | | ボートレース AI 予測ジョブ群 | ジョブ実行・失敗時リトライ | | ずんだもん会話デーモン（Python） | 起動/停止、API疎通 | | Pixiv / 裏サンデー エピソード取得 | スクレイピングのスナップショットテスト | --- --- ## Phase 6: 2026-05 ブランチレビュー課題（新規） 2026-05 ブランチ（Auto Video Edit, LIFF Price Compare, Hyperliquid Bot 改善）のコードレビューで検出された課題。 ### 6-1. Auto Video Edit — 認可・アップロードセキュリティ | 重要度 | 内容 | 対応状況 | |--------|------|----------| | Critical | `authorizeOwn()` が `user_id = NULL` のジョブに全ユーザーアクセスを許可 | 未対応 | | Critical | チャンクアップロード（`chunk()`, `abortUpload()`）に所有権チェックなし — 別ユーザーの upload_id を操作可能 | 未対応 | | High | `assembleFromChunks` の拡張子が `normalizeExtension()` を経由せずパストラバーサルリスク | 未対応 | | High | チャンクアップロードにレート制限なし — ディスク枯渇攻撃が可能 | 未対応 | | High | `total_chunks` バリデーション max:100000 と DB 型 unsignedSmallInteger(max:65535) の不一致 | 未対応 | | High | ダウンロードファイル名 `original_name` の特殊文字によるヘッダインジェクションリスク | 未対応 | | Medium | `checkMissingModules()` がページロード毎に Python プロセスを3つ起動 — キャッシュすべき | 未対応 | | Medium | テストスキーマに `upload_id`, `total_chunks` カラムが欠如 | 未対応 | | Medium | 孤立チャンクアップロードディレクトリの自動クリーンアップなし | 未対応 | | Low | チャンクアップロードフローのテストカバレッジがゼロ | 未対応 | ### 6-2. LIFF Price Compare — バリデーション・プライバシー | 重要度 | 内容 | 対応状況 | |--------|------|----------| | High | `PayPayFrimaService::searchViaProxy()` のレスポンスが `normalizeItem()` を経由せず未検証で返却 | 未対応 | | High | `PriceCompareController::search()` のキャッシュ LIKE 照合で `%` `_` 未エスケープ — 意図しないキャッシュヒット＋SQL LIKE インジェクション | 未対応 | | Medium | `X-Guest-Token` ヘッダの形式バリデーションなし（48文字hex等のチェック） | 未対応 | | Medium | `ip_address` カラム追加に伴うプライバシー（GDPR等）への配慮・データ保持ポリシー未明文化 | 未対応 | | Medium | `PayPayFrimaService` プロキシモードのテストカバレッジがゼロ | 未対応 | | Medium | `price-compare-common.js` の `setupFavHandler` で `getCsrfToken()` が未定義 — お気に入りトグルが壊れている可能性 | 未対応 | | Low | LIFF ページでアフィリエイトリンク変換（`setLink()`）未適用 — 収益機会の損失 | 未対応 | | Low | LIFF SDK バージョン未固定（`edge/2` で自動更新）— LINE 側変更で突然壊れるリスク | 未対応 | | Low | LIFF ページに CSP ヘッダー未設定 | 未対応 | ### 6-3. Hyperliquid Bot — トレーディング安全性 | 重要度 | 内容 | 対応状況 | |--------|------|----------| | Critical | ペアボット: 片足注文失敗時にヘッジなしポジションが放置される（ロールバック/クリーンアップなし） | 未対応 | | Critical | Watchdog が Bot 停止直後に再起動する TOCTOU 競合（status.json の "stopped" を確認すべき） | 未対応 | | Critical | `discord_error_notify(e, ...)` で Exception オブジェクトの `[:2000]` スライスが TypeError — エラー通知が全て沈黙 | 未対応 | | High | `BotWatchdogCommand` の `sudo pip install` が `default => $module` で未知のモジュール名を実行 — ホワイトリスト化すべき | 未対応 | | High | ステータス/設定 JSON ファイルにファイルロックなし — 部分書き込み中の読み取りで JSON 破損 | 未対応 | | High | Discord Webhook URL が `hl_bot_status.json` に平文記録 | 未対応 | | High | ペアボットに発注前マージンチェックなし | 未対応 | | High | PID 値を `exec()` に直接展開 — `is_numeric()` は `0x1A` 等も通すため、`posix_kill()` か `escapeshellarg()` を使うべき | 未対応 | | High | 秘密鍵が `nohup env HYPERLIQUID_PRIVATE_KEY=...` でプロセス引数に露出 — `/proc//environ` や `ps` で読み取り可能 | 未対応 | | High | `hl_pair_bot.py` で FAILED/ERROR 時も手数料が加算される — `hl_bot.py` は約定時のみ加算しており不整合 | 未対応 | | Medium | `_round_price()` がサブドル銘柄で精度不足 | 未対応 | | Medium | `bot_containers.blade.php` の ~220行インラインスクリプト（CLAUDE.md のCSS/JS分離規約違反） | 未対応 | | Medium | `position_size_usd` 最低値 $1 vs Hyperliquid 実際の最低額 $10 の不一致 | 未対応 | | Medium | ボットログファイルのローテーション/サイズ制限なし | 未対応 | | Medium | `bot.blade.php` のローソク足間隔ドロップダウンに `3m` が欠落 — バリデーションでは許可済み | 未対応 | | Medium | EMA10 戦略の状態（`ema10_state`, `ema10_pending`, `ema10_active_tp/sl/side`）が `_save_runtime_state()` に未保存 — Bot 再起動時に TP/SL が失われる | 未対応 | | Medium | `hl_pair_bot.py` に一過性ネットワークエラーハンドリングなし — 単発接続エラーで即 `error` ステータス | 未対応 | | Medium | `hl_bot.py` と `hl_pair_bot.py` の大量コード重複 — 共通モジュール `hl_common.py` に切り出すべき | 未対応 | | Medium | `bot_presets.blade.php` の `$strategy_labels` に `ema10` が欠落 — 生値で表示される | 未対応 | | Medium | Bot 起動の二重起動防止に排他制御なし — 同時リクエストで2プロセス起動の可能性 | 未対応 | | Low | RSI 計算が Cutler 方式（Wilder 方式ではない）— TradingView と値が異なる | 未対応 | | Low | テイカー手数料率 0.035% がハードコード | 未対応 | | Low | `HyperliquidService` が常にメインネット URL を使用（テストネット未対応） | 未対応 | ### 6-4. デプロイ・インフラ | 重要度 | 内容 | 対応状況 | |--------|------|----------| | Medium | `deploy-nas.yml` のアプリリビルド後 `sleep 30` が固定値 — ポーリングループに変更すべき | 未対応 | | Medium | `SiteHealthCheckCommand` のメルカリ Docker 再起動にクールダウンなし — 再起動ループのリスク | 未対応 | | Medium | `docker-compose.yml` の Docker ソケットマウント — Webアプリ脆弱性時にホスト root 権限と同等のリスク。Docker Socket Proxy の導入を推奨 | 未対応 | | Medium | `docker-compose.yml` の MySQL パスワードデフォルト値が `secret` / `rootsecret` — `.env` 未設定時に弱いパスワードで起動 | 未対応 | | Medium | `config/services.php` で `env()` 内に `env()` をネスト（例: `env('GEMINI_API_KEY', env('GOOGLE_CLOUD_API_KEY'))`）— `config:cache` 後にフォールバックが動作しない | 未対応 | | Medium | `deploy-nas.yml` で `docker-compose` (V1) と `docker compose` (V2) が混在 | 未対応 | | Low | `vite.config.js` の ngrok URL がハードコードのまま（5-2 から継続） | 未対応 | | Low | `.claude/worktrees/` がコミットに含まれている（開発アーティファクト） | 未対応 | | Low | 直近コミット「メール送信処理対応」の内容が実際の変更（CivitAI お気に入り機能追加）と不一致 | 未対応 | ### 6-5. CivitAI お気に入り — セキュリティ・品質 | 重要度 | 内容 | 対応状況 | |--------|------|----------| | High | `sanitizeHtml()` が `