---
generated_at: 2026-01-30 12:35:00
metrics:
  claims_total: 50
  claims_with_evidence: 48
  claims_without_evidence: 2
confidence_derived: 0.96
---

# 根拠レポート：API設計書

## 本レポートについて

### 目的
本レポートは、生成された設計書・ドキュメントの信頼性を検証し、人間レビュアーが効率的にレビューできるようにすることを目的としています。

### チェック方法
以下の観点でドキュメントの内容（Claim：主張）を検証しています：

1. **根拠の有無確認**：各主張に対して、ソースコード・既存設計書・要件定義書などの根拠（Evidence）が存在するか
2. **根拠との整合性**：主張の内容が根拠と矛盾していないか
3. **網羅性**：参照すべき情報源を適切にカバーしているか

### 信頼度スコアの算出
- **confidence_derived** = 根拠あり件数 / 総主張件数
- 状態「○」：根拠あり、「△」：根拠不足または要確認

### 本レポートの使い方
1. まず「サマリー」で全体の信頼度と優先レビュー項目を確認
2. 「Claims と根拠の対応」で △ の項目を重点的にレビュー
3. 「不足情報」で補完が必要な情報源を確認

---

## 1) サマリー（まず見るところ）
- 総合信頼度（derived）：**0.96**
  - 根拠あり：48 / 50、根拠なし：2
- 優先レビュー（高）
  1. **デフォルトポート設定**：設定ファイルの確認が必要
  2. **ファイルサイズ制限のデフォルト値**：設定ファイルの確認が必要

## 2) 参照した情報（Evidence一覧）
> ここに「実在するもの」だけ列挙。抽出フェーズで付けたIDをそのまま出す。

- E-01: `packages/sync-server/src/app.ts` - メインアプリケーションルーティング定義
- E-02: `packages/sync-server/src/app-sync.ts` - Sync APIエンドポイント定義
- E-03: `packages/sync-server/src/app-account.js` - Account APIエンドポイント定義
- E-04: `packages/sync-server/src/app-admin.js` - Admin APIエンドポイント定義
- E-05: `packages/sync-server/src/app-gocardless/app-gocardless.js` - GoCardless APIエンドポイント定義
- E-06: `packages/sync-server/src/app-simplefin/app-simplefin.js` - SimpleFIN APIエンドポイント定義
- E-07: `packages/sync-server/src/app-pluggyai/app-pluggyai.js` - PluggyAI APIエンドポイント定義
- E-08: `packages/sync-server/src/app-secrets.js` - Secret APIエンドポイント定義
- E-09: `packages/sync-server/src/app-openid.js` - OpenID APIエンドポイント定義
- E-10: `packages/sync-server/src/app-cors-proxy.js` - CORS Proxy APIエンドポイント定義
- E-11: `packages/sync-server/src/util/middlewares.js` - ミドルウェア定義（認証・エラーハンドリング）
- E-12: `packages/sync-server/src/util/validate-user.ts` - セッション検証ロジック
- E-13: `packages/sync-server/src/config-types.ts` - 設定型定義
- E-14: `packages/sync-server/README.md` - プロジェクト概要

## 3) Claims と根拠の対応（レビューの主戦場）
| Claim ID | 主張 | Evidence | 状態 |
|---|---|---|---|
| C-01 | GET /mode エンドポイントでサーバーモードを取得 | E-01 (L71-73) | ○ |
| C-02 | GET /info エンドポイントでサーバー情報を取得 | E-01 (L75-114) | ○ |
| C-03 | GET /health エンドポイントでヘルスチェック | E-01 (L116-118) | ○ |
| C-04 | GET /metrics エンドポイントでメトリクス取得 | E-01 (L120-125) | ○ |
| C-05 | /sync プレフィックスで同期APIをルーティング | E-01 (L57) | ○ |
| C-06 | /account プレフィックスでアカウントAPIをルーティング | E-01 (L58) | ○ |
| C-07 | /gocardless プレフィックスでGoCardless APIをルーティング | E-01 (L59) | ○ |
| C-08 | /simplefin プレフィックスでSimpleFIN APIをルーティング | E-01 (L60) | ○ |
| C-09 | /pluggyai プレフィックスでPluggyAI APIをルーティング | E-01 (L61) | ○ |
| C-10 | /secret プレフィックスでSecret APIをルーティング | E-01 (L62) | ○ |
| C-11 | /admin プレフィックスでAdmin APIをルーティング | E-01 (L68) | ○ |
| C-12 | /openid プレフィックスでOpenID APIをルーティング | E-01 (L69) | ○ |
| C-13 | /cors-proxy プレフィックスでCORSプロキシをルーティング（設定依存） | E-01 (L64-66), E-10 | ○ |
| C-14 | POST /sync/sync でCRDTベースの同期を実行 | E-02 (L71-127) | ○ |
| C-15 | POST /sync/user-get-key で暗号化キー取得 | E-02 (L129-149) | ○ |
| C-16 | POST /sync/user-create-key で暗号化キー作成 | E-02 (L151-170) | ○ |
| C-17 | POST /sync/reset-user-file でファイルリセット | E-02 (L172-200) | ○ |
| C-18 | POST /sync/upload-user-file でファイルアップロード | E-02 (L202-294) | ○ |
| C-19 | GET /sync/download-user-file でファイルダウンロード | E-02 (L296-320) | ○ |
| C-20 | POST /sync/update-user-filename でファイル名更新 | E-02 (L322-333) | ○ |
| C-21 | GET /sync/list-user-files でファイル一覧取得 | E-02 (L335-353) | ○ |
| C-22 | GET /sync/get-user-file-info でファイル情報取得 | E-02 (L355-392) | ○ |
| C-23 | POST /sync/delete-user-file でファイル削除 | E-02 (L394-430) | ○ |
| C-24 | GET /account/needs-bootstrap で初期設定要否確認 | E-03 (L32-46) | ○ |
| C-25 | POST /account/bootstrap で初期設定実行 | E-03 (L48-56) | ○ |
| C-26 | GET /account/login-methods でログイン方式一覧取得 | E-03 (L58-61) | ○ |
| C-27 | POST /account/login でログイン処理 | E-03 (L63-118) | ○ |
| C-28 | POST /account/change-password でパスワード変更 | E-03 (L120-132) | ○ |
| C-29 | POST /account/server-prefs でサーバー設定変更 | E-03 (L134-157) | ○ |
| C-30 | GET /account/validate でセッション検証 | E-03 (L159-181) | ○ |
| C-31 | GET /admin/owner-created でオーナー作成済み確認 | E-04 (L20-27) | ○ |
| C-32 | GET /admin/users でユーザー一覧取得 | E-04 (L29-38) | ○ |
| C-33 | POST /admin/users でユーザー作成 | E-04 (L40-90) | ○ |
| C-34 | PATCH /admin/users でユーザー更新 | E-04 (L92-142) | ○ |
| C-35 | DELETE /admin/users でユーザー削除 | E-04 (L144-178) | ○ |
| C-36 | GET /admin/access でアクセス権限取得 | E-04 (L180-216) | ○ |
| C-37 | POST /admin/access でアクセス権限付与 | E-04 (L218-271) | ○ |
| C-38 | DELETE /admin/access でアクセス権限削除 | E-04 (L273-318) | ○ |
| C-39 | GET /admin/access/users でファイルアクセスユーザー取得 | E-04 (L320-351) | ○ |
| C-40 | POST /admin/access/transfer-ownership でオーナー権限移譲 | E-04 (L353-408) | ○ |
| C-41 | POST /gocardless/status でGoCardless接続状態確認 | E-05 (L32-39) | ○ |
| C-42 | POST /gocardless/create-web-token でWebトークン作成 | E-05 (L41-60) | ○ |
| C-43 | POST /gocardless/get-accounts で口座一覧取得 | E-05 (L62-95) | ○ |
| C-44 | POST /gocardless/get-banks で銀行一覧取得 | E-05 (L97-118) | ○ |
| C-45 | POST /gocardless/remove-account で口座連携解除 | E-05 (L120-141) | ○ |
| C-46 | POST /gocardless/transactions で取引一覧取得 | E-05 (L143-274) | ○ |
| C-47 | デフォルトポート5006でリッスン | **根拠なし** | △ |
| C-48 | 500リクエスト/分のレート制限（本番環境） | E-01 (L30-38) | ○ |
| C-49 | CORS Proxyは25リクエスト/分のレート制限 | E-10 (L13-20) | ○ |
| C-50 | ファイルサイズ制限のデフォルト値 | **根拠なし** | △ |

## 4) 不足情報（Unknown / Missing）
- **C-47: デフォルトポート5006**
  - 理由：設定ファイル（config.json等）やデフォルト設定を定義するファイルが見つからなかった
  - 候補：`packages/sync-server/src/load-config.js` / 環境変数 / Docker設定
- **C-50: ファイルサイズ制限のデフォルト値**
  - 理由：具体的なデフォルト値を定義するファイルが見つからなかった
  - 候補：`packages/sync-server/src/load-config.js` / 設定ファイル

## 5) リスクフラグ（レビュー観点）
- **0（低リスク）**: 認証方式（Password/Header/OpenID）- コードから確認済み
- **0（低リスク）**: エンドポイント定義 - 全てソースコードから確認
- **0（低リスク）**: リクエスト/レスポンス形式 - ソースコードから確認
- **1（中リスク）**: デフォルト設定値 - 設定ファイルの追加確認が必要
- **0（低リスク）**: セキュリティヘッダー - E-01で確認済み

## 6) レビュアーチェックリスト（最小）
- [ ] デフォルトポート設定の確認（load-config.jsまたは環境変数）
- [ ] ファイルサイズ制限のデフォルト値確認
- [ ] Protocol Buffers形式のSyncRequestとSyncResponseの詳細スキーマ確認
- [ ] エラーコード・理由の網羅性確認
- [ ] SimpleFIN/PluggyAI APIの認証要件確認（コード上は認証ミドルウェアなし）
- [ ] GoCardless APIの詳細なリクエスト/レスポンス形式の確認
