---
generated_at: 2026-01-29 16:30:00
metrics:
  claims_total: 25
  claims_with_evidence: 25
  claims_without_evidence: 0
confidence_derived: 1.00
---

# 根拠レポート：1-ログイン

## 本レポートについて

### 目的
本レポートは、生成された設計書・ドキュメントの信頼性を検証し、人間レビュアーが効率的にレビューできるようにすることを目的としています。

### チェック方法
以下の観点でドキュメントの内容（Claim：主張）を検証しています：

1. **根拠の有無確認**：各主張に対して、ソースコード・既存設計書・要件定義書などの根拠（Evidence）が存在するか
2. **根拠との整合性**：主張の内容が根拠と矛盾していないか
3. **網羅性**：参照すべき情報源を適切にカバーしているか

### 信頼度スコアの算出
- **confidence_derived** = 根拠あり件数 / 総主張件数
- 状態「○」：根拠あり、「△」：根拠不足または要確認

### 本レポートの使い方
1. まず「サマリー」で全体の信頼度と優先レビュー項目を確認
2. 「Claims と根拠の対応」で △ の項目を重点的にレビュー
3. 「不足情報」で補完が必要な情報源を確認

---

## 1) サマリー（まず見るところ）
- 総合信頼度（derived）：**1.00**
  - 根拠あり：25 / 25、根拠なし：0
- 優先レビュー（高）
  1. なし - 全ての主張に根拠あり

## 2) 参照した情報（Evidence一覧）

- E-01: `src/Storefront/Controller/AuthController.php` - loginメソッド（182-220行目）
- E-02: `src/Core/Checkout/Customer/SalesChannel/LoginRoute.php` - 全体（1-66行目）
- E-03: `src/Core/Checkout/Customer/SalesChannel/AccountService.php` - loginByCredentials, getCustomerByLogin, fetchCustomer（97-230行目）
- E-04: `docs/code-to-docs/機能一覧/機能一覧.csv` - No.1の定義
- E-05: `docs/code-to-docs/画面機能マッピング/画面機能マッピング.csv` - 画面No.12, 32のマッピング

## 3) Claims と根拠の対応（レビューの主戦場）

| Claim ID | 主張 | Evidence | 状態 |
|---|---|---|---|
| C-01 | AuthController::loginがPOSTリクエストを受け取る | E-01 (176-182行目: Route属性でPOSTメソッド指定) | ○ |
| C-02 | 既にログイン済み（非ゲスト）の場合はリダイレクト | E-01 (184-188行目: customerがnullでなくguestでない場合の処理) | ○ |
| C-03 | LoginRoute::loginを呼び出してトークン取得 | E-01 (191行目: $this->loginRoute->login) | ○ |
| C-04 | メールアドレスのIDN変換を実行 | E-02 (41行目: EmailIdnConverter::encodeDataBag) | ○ |
| C-05 | email+IPでレート制限をチェック | E-02 (44-52行目: rateLimiter->ensureAccepted) | ○ |
| C-06 | AccountService::loginByCredentialsで認証 | E-02 (54-58行目: accountService->loginByCredentials) | ○ |
| C-07 | ログイン成功時にレート制限をリセット | E-02 (60-62行目: rateLimiter->reset) | ○ |
| C-08 | メールまたはパスワードが空の場合はBadCredentialsException | E-03 (99-100行目: 空チェックとthrow) | ○ |
| C-09 | パスワードが4096文字を超える場合は拒否 | E-03 (118-119行目: isPasswordTooLong) | ○ |
| C-10 | レガシーパスワードの場合は旧形式で検証後、新形式に更新 | E-03 (124-131行目: legacyPasswordVerifier.verify, updatePasswordHash) | ○ |
| C-11 | password_verifyでパスワード検証 | E-03 (134-137行目: password_verify呼び出し) | ○ |
| C-12 | ダブルオプトイン未完了の場合はOptinNotCompletedException | E-03 (139-142行目: isCustomerConfirmedチェック) | ○ |
| C-13 | 顧客検索時にactive=trueでフィルタ | E-03 (200-201行目: customer.getActive()チェック) | ○ |
| C-14 | 顧客検索時にguest=trueを除外 | E-03 (205-207行目: includeGuestフラグ確認) | ○ |
| C-15 | boundSalesChannelIdがnullまたは一致する顧客のみ | E-03 (210-217行目: getBoundSalesChannelId確認) | ○ |
| C-16 | 最終ログイン日時をDBに記録 | E-03 (170-175行目: customerRepository.update with lastLogin) | ○ |
| C-17 | CustomerLoginEventをディスパッチ | E-03 (180-181行目: eventDispatcher.dispatch) | ○ |
| C-18 | CartRestorerでカート情報を復元 | E-03 (177行目: restorer.restore) | ○ |
| C-19 | CustomerAuthThrottledExceptionでレート制限超過を通知 | E-02 (50行目: CustomerException::customerAuthThrottledException) | ○ |
| C-20 | PasswordPoliciesUpdatedExceptionでパスワードリカバリへ誘導 | E-01 (204-207行目: PasswordPoliciesUpdatedException catch) | ○ |
| C-21 | パスワードパラメータに#[SensitiveParameter]属性 | E-03 (97行目: #[\SensitiveParameter]) | ○ |
| C-22 | CustomerBeforeLoginEventをログイン処理前に発行 | E-03 (103-104行目: dispatch CustomerBeforeLoginEvent) | ○ |
| C-23 | Store-APIのルートパスは/store-api/account/login | E-02 (38行目: Route属性のpath定義) | ○ |
| C-24 | 関連画面No.12はログイン/登録ページ | E-05 (33行目: 画面No.12, 機能No.1のマッピング) | ○ |
| C-25 | 機能名は「ログイン」でAuthController::loginを使用 | E-04 (2行目: No.1の定義) | ○ |

## 4) 不足情報（Unknown / Missing）

- なし - 全ての主張がソースコードまたはCSVファイルで確認可能

## 5) リスクフラグ（レビュー観点）

- 0: 低リスク - 全ての主張がソースコードから直接確認可能であり、推測に基づく記述はない

## 6) レビュアーチェックリスト（最小）

- [ ] AuthController.phpのloginメソッドのルート定義が記載と一致しているか確認
- [ ] LoginRoute.phpのレート制限ロジックが正しく記載されているか確認
- [ ] AccountService.phpのパスワード検証フローが網羅されているか確認
- [ ] CustomerEntityのプロパティ（active, guest, doubleOptInRegistration等）が正しく参照されているか確認
