[Skill 名] cr-code-gate

cr-code-gate

コードレビューパイプラインの第2のゲート：コード品質静的ゲートサブエージェントです。 spec-driven-dev の code_review フェーズで cr-commit-check が通過した後に呼び出され、 diff に対して構造的な問題のスキャンを実行し、Sentry のエンジニアリングプラクティスにおける必須チェック項目分類を参照します。

呼び出し規約

入力（Orchestrator によってコンテキストが注入されます）

Orchestrator 呼び出し例（OpenCode Sub-Agent 形式）：

invoke_skill: cr-code-gate
with:
  us_id: "US042"
  iter_id: "iter_003"
  git_diff: "<diff output>"
  iter_summary_path: "requirements/US042/docs/iteration_summary/current_iter.md"
  coding_standards_path: "auxiliary/coding_standards.md"

出力（Orchestrator に書き戻されます）

{
  "agent": "cr-code-gate",
  "verdict": "PASS | WARN | FAIL",
  "h_count": 0,
  "m_count": 0,
  "l_count": 0,
  "findings": [
    {
      "id": "GK-01",
      "logaf": "h",
      "result": "PASS | FAIL | WARN",
      "file": "src/foo.py:42",
      "description": "…",
      "suggestion": "…"
    }
  ]
}

実行プロトコル

Step 0 — 起動チェックポイントを発行します

[AGENT:cr-code-gate] START  us_id={us_id}  iter_id={iter_id}

Step 1 — コンテキストを読み取ります

1. git_diff を解析し、すべての変更ファイルと具体的な行変更を抽出します。
2. current_iter.md を読み取り、アーキテクチャ/Schema 変更の senior 確認記録があるか検索します（GK-08 で使用）。
3. coding_standards.md を読み取り、プロジェクトの命名規則と規範の取り決めを取得します（GK-10 で使用）。

Step 2 — 項目ごとにゲートチェックを実行します

diff 内の各変更ファイル/コードブロックに対して、以下の10項目のチェックを実行します。

ゲートチェック項目

h レベル（いずれか1つでも該当 → 全体 FAIL）

GK-01 · 実行時例外

• 配列 / スライス境界外アクセス（長さ未検証）
• ヌルポインタ / nil デリファレンス（nil チェック未実施）
• 未捕捉の例外 / エラーがサイレントに破棄される（_ = err）
• goroutine / async で panic が recover されない

GK-02 · パフォーマンスボトルネック

• 無限ループ内での DB クエリのネスト（N+1 問題）
• アルゴリズムの複雑度が O(n²) 以上で n に上限がない
• 大規模オブジェクト（> 1 MB）がリクエストのホットパスで JSON シリアライズ/デシリアライズされる
• キャッシュなしの重複計算

GK-03 · セキュリティ脆弱性

• SQL / NoSQL インジェクション（文字列連結によるクエリ構築）
• XSS（エスケープされていないユーザー入力を直接 HTML に出力）
• ハードコードされたキー、トークン、パスワード（正規表現 (api_key|secret|password|token)\s*=\s*['"][^'"]+['"] を含む）
• 安全でないデシリアライズ（pickle.loads、eval、exec でユーザーデータを処理）
• パス・トラバーサル（../ がフィルタリングされていないファイルパスの連結）

GK-04 · 権限 / アクセス制御の欠如

• 新規 API エンドポイントに認証デコレータ / ミドルウェアがない
• 削除操作でリソース所有権が検証されていない
• 管理者インターフェースが一般ユーザーからアクセス可能

GK-05 · API 破壊的変更

• 公開 REST / GraphQL フィールドがリネームまたは削除された
• 必須パラメータのデフォルト値が削除された
• レスポンス Schema のフィールド型変更（例：string → int）

GK-06 · 予期せぬ動作変更

• 変更が今回のイテレーションのスコープ外の既存ロジックに影響を与えている
• グローバル定数 / 設定のデフォルト値が変更された
• 共有ユーティリティ関数のセマンティクス変更（他の呼び出し元に影響）

m レベル（該当 → WARN、記録後に続行可能）

GK-07 · テストカバレッジ不足

• 新規のビジネスロジックに対応する単体テストがない
• テストケースに if/for 分岐があり、テスト自体の欠陥を隠蔽する可能性がある
• 権限シナリオをシミュレートするテストがない（正常系 + 権限超過拒否）

GK-08 · 重大なアーキテクチャ / Schema 変更が未承認

• 新しい外部フレームワークまたはライブラリの依存関係の導入
• データベースフィールドの追加 / 削除 / 型変更
• JSON Schema または protobuf 定義の変更
• 上記のいずれかの状況が current_iter.md に senior 確認記録がない

l レベル（該当 → INFO、修正は任意）

GK-09 · 余分なコードまたはレガシーコード

• コメントアウトされたコードブロック（連続3行以上）
• デバッグ文（print()、console.log()、fmt.Println()、System.out.println()）
• 現在のイテレーション開始日から30日以上前の日付が記載された TODO / FIXME

GK-10 · 命名と規範の一貫性

• 変数 / 関数 / ファイル / メトリックの命名が coding_standards.md の取り決めと一致しない
• ファイル名の大文字/小文字が既存の同ディレクトリのファイルスタイルと異なる
• logger / metric の命名がプロジェクトの既存のプレフィックス規則に従っていない

Step 3 — 項目ごとの発見を出力します

各発見は統一された形式を使用します：

[{logaf}] {GK-ID} | ファイル: {path}:{line} | 問題: {説明} | 提案: {実行可能な解決策}

例：

[h] GK-03 | ファイル: src/auth/handler.py:47 | 問題: API Key がソースファイルにハードコードされています | 提案: os.getenv("API_KEY") に変更し、.env.example にプレースホルダーを追加してください
[h] GK-01 | ファイル: src/db/query.py:83    | 問題: result[0] にアクセスする前にリストの長さをチェックしていません | 提案: result があれば result[0]、なければ None に変更してください
[m] GK-07 | ファイル: tests/test_auth.py     | 問題: 権限超過アクセス拒否シナリオのテストが不足しています | 提案: test_access_denied_for_non_owner を追加してください
[l] GK-09 | ファイル: src/utils/parser.py:12 | 問題: コメントアウトされた古いコードブロックです | 提案: 削除するか、CHANGELOG に移動してください

Step 4 — 構造化された結果を返します

{
  "agent": "cr-code-gate",
  "verdict": "FAIL",
  "h_count": 2,
  "m_count": 1,
  "l_count": 1,
  "findings": [
    {
      "id": "GK-03", "logaf": "h", "result": "FAIL",
      "file": "src/auth/handler.py:47",
      "description": "API Key ハードコード",
      "suggestion": "os.getenv('API_KEY') に変更"
    }
  ]
}

Step 5 — 終了チェックポイントを発行します

[AGENT:cr-code-gate] DONE  verdict=PASS|WARN|FAIL  h={N}  m={N}  l={N}

裁定ルール

禁止行為

• h レベルの問題を、コード作成者が説明を添付していても m または l に格下げすることを禁止します。
• diff 以外の既存コードに対してチェックを開始することを禁止します（今回の変更行のみをスキャンします）。
• git_diff が空の場合にサイレントに通過させることを禁止します。GK-06 INFO（今回はコード変更なし） を報告すべきです。
• いかなるソースファイルも自動的に変更することを禁止します。提案と修正ガイドラインのみを出力します。