---
generated_at: 2026-03-01 04:15:00
metrics:
  claims_total: 28
  claims_with_evidence: 25
  claims_without_evidence: 3
confidence_derived: 0.89
---

# 根拠レポート：セキュリティ設計書

## 本レポートについて

### 目的
本レポートは、生成された設計書・ドキュメントの信頼性を検証し、人間レビュアーが効率的にレビューできるようにすることを目的としています。

### チェック方法
以下の観点でドキュメントの内容（Claim：主張）を検証しています：

1. **根拠の有無確認**：各主張に対して、ソースコード・既存設計書・要件定義書などの根拠（Evidence）が存在するか
2. **根拠との整合性**：主張の内容が根拠と矛盾していないか
3. **網羅性**：参照すべき情報源を適切にカバーしているか

### 信頼度スコアの算出
- **confidence_derived** = 根拠あり件数 / 総主張件数
- 状態「○」：根拠あり、「△」：根拠不足または要確認

### 本レポートの使い方
1. まず「サマリー」で全体の信頼度と優先レビュー項目を確認
2. 「Claims と根拠の対応」で △ の項目を重点的にレビュー
3. 「不足情報」で補完が必要な情報源を確認

---

## 1) サマリー（まず見るところ）
- 総合信頼度（derived）：**0.89**
  - 根拠あり：25 / 28、根拠なし：3
- 優先レビュー（高）
  1. **プロトタイプ汚染対策**：明示的な対策コードの確認が必要
  2. **コードインジェクション対策の網羅性**：全てのプラグイン入力経路の検証が必要
  3. **監査ログ保持期間**：GitHub/npm標準値の確認が必要

## 2) 参照した情報（Evidence一覧）
> ここに「実在するもの」だけ列挙。抽出フェーズで付けたIDをそのまま出す。

- E-01: `SECURITY.md` - 脆弱性報告ポリシー
- E-02: `.github/workflows/ci.yml` - CI/CDワークフロー設定
- E-03: `.github/workflows/release.yml` - リリースワークフロー設定
- E-04: `packages/babel-core/src/config/validation/option-assertions.ts` - オプションバリデーション
- E-05: `packages/babel-helper-validator-option/src/validator.ts` - バリデータクラス
- E-06: `renovate.json` - 依存関係自動更新設定
- E-07: `package.json` - プロジェクト設定・依存関係
- E-08: `yarn.lock` - 依存関係ロックファイル
- E-09: `packages/babel-helper-validator-identifier/src/index.ts` - 識別子バリデーション
- E-10: `packages/babel-helper-string-parser/src/index.ts` - 文字列パーサー

## 3) Claims と根拠の対応（レビューの主戦場）
| Claim ID | 主張 | Evidence | 状態 |
|---|---|---|---|
| C-01 | Babelはビルドツール/ライブラリでありエンドユーザー認証機能を持たない | E-07 | ○ |
| C-02 | npm公開時にnpm認証トークンを使用 | E-03 | ○ |
| C-03 | GitHub ActionsでGITHUB_TOKENを使用 | E-02, E-03 | ○ |
| C-04 | GitHub ActionsでBOT_TOKENをリリース自動化に使用 | E-03 | ○ |
| C-05 | CI/CDでcontents: readをデフォルト権限として使用 | E-02 | ○ |
| C-06 | リリースワークフローでcontents: writeを付与 | E-03 | ○ |
| C-07 | npm公開は environment: npm で環境分離 | E-03 | ○ |
| C-08 | id-token: writeでOIDC認証を使用 | E-03 | ○ |
| C-09 | yarn.lockによる依存関係の固定 | E-08 | ○ |
| C-10 | YARN_ENABLE_HARDENED_MODE: trueをCI環境で使用 | E-02 | ○ |
| C-11 | YARN_ENABLE_SCRIPTS: falseでスクリプト無効化 | E-02 | ○ |
| C-12 | concurrencyによる重複実行防止 | E-02 | ○ |
| C-13 | yarn constraintsによる制約検証 | E-02 | ○ |
| C-14 | yarn dedupe --checkによる重複依存検出 | E-02 | ○ |
| C-15 | release-tool check-cyclesによる循環依存検出 | E-02 | ○ |
| C-16 | option-assertions.tsでassertString等の型検証を実装 | E-04 | ○ |
| C-17 | OptionValidatorクラスでバリデーション機能を提供 | E-05 | ○ |
| C-18 | validateTopLevelOptionsで有効なオプション名を検証 | E-05 | ○ |
| C-19 | 脆弱性報告先はsecurity@babeljs.io | E-01 | ○ |
| C-20 | サポートバージョンは8.xと7.x | E-01 | ○ |
| C-21 | 7.xは8.0.0安定版リリース後1年間セキュリティ更新 | E-01 | ○ |
| C-22 | 報告にはPoCまたは評価可能な情報が必要 | E-01 | ○ |
| C-23 | Renovateによる自動依存関係更新 | E-06 | ○ |
| C-24 | dependencyDashboardApproval: trueで手動承認 | E-06 | ○ |
| C-25 | 識別子バリデーション機能の提供 | E-09 | ○ |
| C-26 | プロトタイプ汚染に対する安全な処理 | **根拠なし** | △ |
| C-27 | コードインジェクション対策の網羅性 | **根拠不足** | △ |
| C-28 | 監査ログ保持期間（GitHub/npm標準） | **根拠なし** | △ |

## 4) 不足情報（Unknown / Missing）
- C-26（プロトタイプ汚染対策）：コード内で`__proto__`や`constructor`への明示的な対策が確認できなかった
  - 候補：babel-core内のオブジェクト操作コード / プラグインシステムのオプション処理
- C-27（コードインジェクション対策）：プラグインシステムは任意コード実行を許可する設計であり、これが意図的かどうかの確認が必要
  - 候補：プラグインローダーのドキュメント / 設計意図書
- C-28（監査ログ保持期間）：外部サービス（GitHub/npm）の標準設定に依存しており、プロジェクト固有の設定は存在しない
  - 候補：GitHub Actions設定 / npm組織設定

## 5) リスクフラグ（レビュー観点）
- **0（低リスク）**: 認証・認可設計（CI/CD環境に限定）
- **0（低リスク）**: 入力バリデーション（型検証は実装済み）
- **1（中リスク）**: サプライチェーンセキュリティ（Renovate/Hardened Modeで対策済みだが、依存関係は多い）
- **1（中リスク）**: プラグインシステム（任意コード実行が可能な設計）
- **0（低リスク）**: 脆弱性管理（報告プロセスが明確）

## 6) レビュアーチェックリスト（最小）
- [ ] CI/CDワークフローの権限設定が最小権限の原則に従っているか確認
- [ ] Renovateの自動更新設定が適切か確認（手動承認の運用）
- [ ] プラグインシステムのセキュリティリスクが文書化されているか確認
- [ ] 依存関係の脆弱性スキャン頻度を確認
- [ ] SECURITY.mdの報告プロセスが最新か確認
