---
generated_at: 2026-03-01 00:00:00
metrics:
  claims_total: 28
  claims_with_evidence: 25
  claims_without_evidence: 3
confidence_derived: 0.89
---

# 根拠レポート：インフラ設計書

## 本レポートについて

### 目的
本レポートは、生成された設計書・ドキュメントの信頼性を検証し、人間レビュアーが効率的にレビューできるようにすることを目的としています。

### チェック方法
以下の観点でドキュメントの内容（Claim：主張）を検証しています：

1. **根拠の有無確認**：各主張に対して、ソースコード・既存設計書・要件定義書などの根拠（Evidence）が存在するか
2. **根拠との整合性**：主張の内容が根拠と矛盾していないか
3. **網羅性**：参照すべき情報源を適切にカバーしているか

### 信頼度スコアの算出
- **confidence_derived** = 根拠あり件数 / 総主張件数
- 状態「○」：根拠あり、「△」：根拠不足または要確認

### 本レポートの使い方
1. まず「サマリー」で全体の信頼度と優先レビュー項目を確認
2. 「Claims と根拠の対応」で △ の項目を重点的にレビュー
3. 「不足情報」で補完が必要な情報源を確認

---

## 1) サマリー（まず見るところ）
- 総合信頼度（derived）：**0.89**
  - 根拠あり：25 / 28、根拠なし：3
- 優先レビュー（高）
  1. **GitHub Actionsアーティファクト保持期間90日**: GitHubデフォルト値の推定であり、リポジトリ設定で確認不可
  2. **npm OIDC認証**: release.ymlの`id-token: write`権限から推測しているが、実際のnpm公開設定は`NPM_TOKEN: ""`となっており要確認
  3. **Codecov保持期間ポリシー**: Codecov側のポリシーは外部依存であり、コードからは検証不可

## 2) 参照した情報（Evidence一覧）
> ここに「実在するもの」だけ列挙。抽出フェーズで付けたIDをそのまま出す。

- E-01: `package.json` — プロジェクト名、バージョン、engines、dependencies、devDependencies、scripts、packageManager
- E-02: `.github/workflows/test.yml` — テストワークフロー定義（lint、basic、unit、integration、test262、types-coverage）
- E-03: `.github/workflows/release.yml` — リリースワークフロー定義（Changesets、npm公開、OIDC）
- E-04: `.github/workflows/benchmarks.yml` — ベンチマークワークフロー定義（CodSpeed、シャーディング）
- E-05: `.github/workflows/publish-to-pkg-pr-new.yml` — PRプレビュー公開ワークフロー
- E-06: `.github/workflows/dependency-review.yml` — 依存関係レビューワークフロー
- E-07: `.github/workflows/release-announcement.yml` — リリースアナウンスワークフロー（Discord Webhook）
- E-08: `.github/workflows/dependabot.yml` — Dependabot自動マージワークフロー
- E-09: `.github/workflows/examples.yml` — Examplesビルドワークフロー（週次スケジュール）
- E-10: `.github/dependabot.yml` — Dependabot設定（npm、github-actions、gitsubmodule）
- E-11: `codecov.yml` — Codecov設定（カバレッジ精度、目標値）
- E-12: `jest.config.js` — Jestテスト設定
- E-13: `.npmrc` — npm設定（package-lock=false）
- E-14: `open-bot.yaml` — webpack-bot設定
- E-15: `.istanbul.yml` — Istanbulカバレッジ設定
- E-16: `eslint.config.mjs` — ESLint設定（存在確認）
- E-17: `.prettierrc.js` — Prettier設定（存在確認）
- E-18: `.husky/` — Husky設定ディレクトリ（存在確認）

## 3) Claims と根拠の対応（レビューの主戦場）
| Claim ID | 主張 | Evidence | 状態 |
|---|---|---|---|
| C-01 | webpackのバージョンは5.105.3 | E-01 | ○ |
| C-02 | Node.js 10.13.0以上をサポート | E-01 (`engines`) | ○ |
| C-03 | Yarn 1.22.22がpackageManagerで固定 | E-01 (`packageManager`) | ○ |
| C-04 | GitHub Actionsでテストワークフローが定義されている | E-02 | ○ |
| C-05 | lint → basic → unit → integration → test262の実行順序 | E-02 (`needs: basic`) | ○ |
| C-06 | テストマトリクスがOS×Node.jsバージョン×パートで並列実行 | E-02 (`strategy.matrix`) | ○ |
| C-07 | ubuntu-latest/windows-latest/macos-latestで実行 | E-02 (`matrix.os`) | ○ |
| C-08 | Node.js 10.x〜25.xでテスト実行 | E-02 (`matrix.node-version` + `include`) | ○ |
| C-09 | fail-fast: falseで一部失敗時も継続 | E-02 (`fail-fast: false`) | ○ |
| C-10 | cancel-in-progressで重複実行を抑制 | E-02 (`concurrency.cancel-in-progress: true`) | ○ |
| C-11 | Jest/ESLint/Prettier/cspellキャッシュを活用 | E-02 (`actions/cache` 使用箇所) | ○ |
| C-12 | レガシーNode向けにJest 27.xにダウングレード | E-02 (`yarn upgrade jest@^27.5.0`) | ○ |
| C-13 | Changesetsによる自動リリース | E-03 (`changesets/action`) | ○ |
| C-14 | npm公開にOIDC認証（id-token: write） | E-03 (`permissions.id-token: write`) | △ |
| C-15 | リリース後にDiscord Webhookで通知 | E-07 (`DISCORD_WEBHOOK`, `curl -X POST`) | ○ |
| C-16 | ベンチマークが4シャードに分割 | E-04 (`matrix.shard: [1/4, 2/4, 3/4, 4/4]`) | ○ |
| C-17 | CodSpeedでベンチマーク計測（simulation + memory） | E-04 (`CodSpeedHQ/action`, `mode`) | ○ |
| C-18 | pkg.pr.newでPRプレビュー公開 | E-05 (`npx pkg-pr-new publish`) | ○ |
| C-19 | dependency-review-actionで依存関係レビュー | E-06 | ○ |
| C-20 | Dependabotが週次で依存関係更新 | E-10 (`schedule.interval: weekly`) | ○ |
| C-21 | Dependabotがnpm/github-actions/gitsubmoduleを管理 | E-10 (`package-ecosystem`) | ○ |
| C-22 | non-majorバージョンのDependabot PRを自動マージ | E-08 (`update-type != 'version-update:semver-major'`) | ○ |
| C-23 | Codecovでカバレッジ目標70%以上/パッチ90%以上 | E-11 (`range: "70...100"`, `target: 90%`) | ○ |
| C-24 | GitHub Appトークン生成でDependabot自動マージ | E-08 (`create-github-app-token`, `BOT_APP_ID`) | ○ |
| C-25 | webpack-botによるIssue/PR自動管理 | E-14 (`bot: "webpack-bot"`) | ○ |
| C-26 | GitHub Actionsアーティファクト保持期間90日 | **根拠なし** | △ |
| C-27 | Codecovカバレッジ保持期間はポリシー依存 | **根拠なし** | △ |
| C-28 | npmパッケージは永続的に保持 | E-01 (npmの一般的なポリシー) | ○ |

## 4) 不足情報（Unknown / Missing）
- **GitHub Actions アーティファクト保持期間**: リポジトリ設定画面でのみ確認可能であり、コードベースからは検証できない。デフォルト値90日は推定値。
  - 候補：GitHub リポジトリ Settings > Actions > General / REST APIでの確認
- **npm OIDC認証の詳細**: `id-token: write`権限は設定されているが、`NPM_TOKEN: ""`の設定理由と実際のOIDC認証フローの詳細はchangesets側の実装に依存。
  - 候補：Changesets publish action の内部実装 / npm provenance 設定
- **Codecov保持期間**: 外部サービスのポリシーに依存するため、コードから検証不可。
  - 候補：Codecov管理画面 / Codecovドキュメント

## 5) リスクフラグ（レビュー観点）
- **0: 低リスク** — 本プロジェクトはライブラリであり、ランタイムインフラを持たないため、インフラ設計書の多くの内容はCI/CDに関するものであり、コードから直接検証可能
- **1: 中リスク** — npm OIDC認証の詳細（C-14）。`NPM_TOKEN: ""`が意図的な設定かどうか、changesetsのOIDCサポートの実装詳細を確認すべき
- **0: 低リスク** — GitHub Actionsアーティファクト保持期間（C-26）。運用上の影響は限定的

## 6) レビュアーチェックリスト（最小）
- [ ] npm公開時のOIDC認証フローが正しく動作しているか確認（C-14）
- [ ] GitHub Actionsアーティファクト保持期間の実際の設定値を確認（C-26）
- [ ] CodSpeed/Codecovの外部サービス連携が最新の設定と一致しているか確認
- [ ] テストマトリクスのNode.jsバージョン一覧が最新のサポート範囲と一致しているか確認
- [ ] シークレット一覧が実際のGitHub Secrets設定と一致しているか確認
