---
generated_at: 2026-02-19 10:55:00
metrics:
  claims_total: 25
  claims_with_evidence: 22
  claims_without_evidence: 3
confidence_derived: 0.88
---

# 根拠レポート：セキュリティ設計書

## 本レポートについて

### 目的
本レポートは、生成された設計書・ドキュメントの信頼性を検証し、人間レビュアーが効率的にレビューできるようにすることを目的としています。

### チェック方法
以下の観点でドキュメントの内容（Claim：主張）を検証しています：

1. **根拠の有無確認**：各主張に対して、ソースコード・既存設計書・要件定義書などの根拠（Evidence）が存在するか
2. **根拠との整合性**：主張の内容が根拠と矛盾していないか
3. **網羅性**：参照すべき情報源を適切にカバーしているか

### 信頼度スコアの算出
- **confidence_derived** = 根拠あり件数 / 総主張件数
- 状態「○」：根拠あり、「△」：根拠不足または要確認

### 本レポートの使い方
1. まず「サマリー」で全体の信頼度と優先レビュー項目を確認
2. 「Claims と根拠の対応」で △ の項目を重点的にレビュー
3. 「不足情報」で補完が必要な情報源を確認

---

## 1) サマリー（まず見るところ）
- 総合信頼度（derived）：**0.88**
  - 根拠あり：22 / 25、根拠なし：3
- 優先レビュー（高）
  1. **外部プラグインの信頼性評価基準**：明示的な基準の記載なし
  2. **ログ保持期間の推奨値**：プロジェクトに記載なし
  3. **Windowsインストール時の詳細セキュリティ考慮事項**：install.cmdの詳細分析が不十分

## 2) 参照した情報（Evidence一覧）
> ここに「実在するもの」だけ列挙。抽出フェーズで付けたIDをそのまま出す。

- E-01: `init.vim`（バージョン情報、プラットフォーム検出）
- E-02: `README.md`（プロジェクト概要、インストール手順）
- E-03: `install.sh`（インストールスクリプト、セキュリティ設定）
- E-04: `install.cmd`（Windowsインストールスクリプト）
- E-05: `Makefile`（ビルド・インストールターゲット）
- E-06: `.gitignore`（除外ファイル設定）
- E-07: `.github/workflows/ci.yml`（CI/CD設定）
- E-08: `ci/script.sh`（静的解析スクリプト）
- E-09: `ci/before_install.sh`（CI前処理スクリプト）
- E-10: `core/autoload/spacevim.vim`（コアロジック、設定読み込み）
- E-11: `core/autoload/spacevim/vim/plug.vim`（vim-plugダウンロード）
- E-12: `uninstall.sh`（アンインストールスクリプト）
- E-13: `LICENSE`（MITライセンス）
- E-14: `init.spacevim`（ユーザー設定テンプレート）

## 3) Claims と根拠の対応（レビューの主戦場）
| Claim ID | 主張 | Evidence | 状態 |
|---|---|---|---|
| C-01 | プロジェクト名はspace-vim、バージョン0.9.0 | E-01 | ○ |
| C-02 | MITライセンスで提供 | E-13 | ○ |
| C-03 | Linux, macOS, Windowsで動作 | E-01, E-02 | ○ |
| C-04 | ユーザー認証機能は実装されていない | E-01, E-10 | ○ |
| C-05 | OSレベルのファイルシステム権限に依存 | E-03, E-12 | ○ |
| C-06 | 設定ファイルは~/.spacevimに格納 | E-10, E-14 | ○ |
| C-07 | プラグインは~/.vim/plugged/に格納 | E-10, E-14 | ○ |
| C-08 | privateディレクトリは.gitignoreで除外 | E-06 | ○ |
| C-09 | vim-plugはHTTPSでダウンロード | E-03, E-11 | ○ |
| C-10 | GitHubリポジトリからプラグインをクローン | E-10, E-11 | ○ |
| C-11 | install.shでset -eo pipefailを使用 | E-03 | ○ |
| C-12 | ShellCheckによる静的解析を実施 | E-07, E-08 | ○ |
| C-13 | vim-vintによるVimScript解析を実施 | E-07, E-08 | ○ |
| C-14 | GitHub Actionsを使用したCI/CD | E-07 | ○ |
| C-15 | secrets.github_tokenを使用 | E-07 | ○ |
| C-16 | ワンライナーインストールが可能 | E-02, E-03 | ○ |
| C-17 | install.cmdは管理者権限が必要 | E-02, E-04 | ○ |
| C-18 | PowerShell実行ポリシーをバイパス | E-04 | ○ |
| C-19 | excludeオプションでプラグイン除外可能 | E-10 | ○ |
| C-20 | reviewdogによる自動レビュー | E-07 | ○ |
| C-21 | pluggedディレクトリは.gitignoreで除外 | E-06 | ○ |
| C-22 | tagsファイルは.gitignoreで除外 | E-06 | ○ |
| C-23 | 外部プラグインの信頼性評価基準 | **根拠なし** | △ |
| C-24 | ログ保持期間の推奨値 | **根拠なし** | △ |
| C-25 | Windowsインストール時の詳細セキュリティ考慮事項 | **根拠不足** | △ |

## 4) 不足情報（Unknown / Missing）
- **外部プラグインの信頼性評価基準**: プロジェクト内に明示的なプラグイン審査基準やセキュリティポリシーの記載がない
  - 候補：セキュリティポリシードキュメント / プラグイン審査ガイドライン / CONTRIBUTING.md
- **ログ保持期間の推奨値**: 永続的なログ機能が実装されていないため、推奨値の根拠がない
  - 候補：運用ガイドライン / ベストプラクティスドキュメント
- **Windowsインストール時の詳細セキュリティ考慮事項**: install.cmdの解析から得られた情報のみで、Windows固有のセキュリティリスクの詳細な分析が不足
  - 候補：Windows向けセキュリティガイドライン / テストケース

## 5) リスクフラグ（レビュー観点）
- **リスクレベル 1（中リスク）**: ワンライナーインストールでリモートスクリプトを直接実行するため、MITM攻撃のリスクが存在（HTTPSで軽減）
- **リスクレベル 1（中リスク）**: サードパーティプラグインの依存により、悪意のあるコードが混入するリスク
- **リスクレベル 0（低リスク）**: ローカルツールであるため、ネットワーク経由の攻撃面は限定的
- **リスクレベル 0（低リスク）**: 機密情報を扱う機能は実装されていない

## 6) レビュアーチェックリスト（最小）
- [ ] ワンライナーインストールのリスク説明が適切か確認
- [ ] サードパーティプラグインの信頼性に関する注意喚起が十分か確認
- [ ] Windowsインストール（管理者権限、PowerShellバイパス）のリスク説明が適切か確認
- [ ] CI/CDで使用される静的解析ツール（vint, shellcheck）のカバレッジが十分か確認
- [ ] .gitignoreの設定が機密情報保護の観点から適切か確認
