Publish 受け入れマトリクスと実装 issue 分割

状態と読み方

提案・未実装（2026-10-05）。#7224 の実装受け入れ条件と後続 issue の仕様をまとめます。ドメイン/API は Publish Next ADR、pgen/OGP 実行系は Publish OGP ADR が決定の正本です。現行機能の説明は Publication Design と Publish API を参照してください。

ここに記載する後続 issue は起票可能な仕様案であり、起票・実装・リリース済みを意味しません。現在の作業では runtime、UI、本番設定、公開/デプロイを変更しません。UI prototype #7223 は後続受け入れとし、synthesis #7222 はこの分割の対象外です。

内蔵 Publish は明示的に渡された note snapshot を公開する狭い経路です。frontmatter の固定 schema や保存時の自動公開を導入せず、zudo-doc の階層ドキュメント/build contract を引き受けません。

証拠と適用範囲

ADR が「現行」と記す事実は 750f131 のコード調査に基づきます。たとえば現行 public path は /u 形式、現行 write 操作は Pro gate の一部を持ち、OGP は明示 share image が中心です。各 ADR が別途定める v2 API、unlisted、Free publishing、automatic OGP、job、registry、R2 association は将来案です。実装 issue はコードを調査し直し、外部 package や provider の変化も再確認してから着手します。

7224 の deliverable 対応

この計画は旧 format の移行・backfill を追加しません。導入後の新関連 record がない既存 post は ADR に定義した既定状態として扱い、private note からの自動補完や公開はしません。既知の現在 route は可能な範囲で維持します。契約導入前に記録されていない username / slug rename history は推測せず、未知の URL を alias にしません。

受け入れマトリクス

決定的テストは fixture、共有 validation fixture、DB/Worker integration、fake executor/object store で再現可能に動かします。deployment smoke は Browser binding、実 browser fingerprint、font load、R2、session cleanup などローカル fake で証明できない境界だけに使い、本番 readiness の別途承認後に実行します。公開中の実利用者の投稿を smoke data にしません。

「deployment smoke が不要」とされた行も production readiness の全体承認を省略する意味ではありません。決定的 test を先に完了し、provider/browser 境界を含む行は別途認可された staging でのみ確認します。#7224 は実際の publish や deploy を今回の docs task に求めていません。

後続実装 issue の仕様案

以下は起票前の分割案です。issue 作成・実装順の変更・production readiness の認可は parent workflow 側で行います。

A. 公開ドメイン・storage・owner mutation API

目的. Publish Next ADR の profile/post/tag/theme model と v2 owner API を一つの整合した contract として実装する。この issue は schema と owner mutation に範囲を限定する。現行 row を読み続けられる構成を優先し、古い format の migration/backfill や v1 dual-write を追加しない。

対象 repository. workers/sync-server/migrations、workers/publish-server/src/types.ts、publish-mutations.ts、handlers/profile-handlers.ts、handlers/page-handlers.ts、utils/validation.ts、route dispatch。

依存関係. #7229 の決定を仕様として使う。実装開始時に 750f131 の現行 schema/handlers と差分を再調査する。backend implementation は #7223 UI acceptance を待たない。

完了条件・テスト.

• profile, post, tag join, claim/alias, revisions, idempotency ledger の constraints と owner scope を D1 integration tests で確認する。

• tag Unicode fixture、username/slug validation、same-owner uniqueness、cross-owner join denial を確認する。

• create/update/replace/metadata/source/password/unpublish/archive/restore/delete の revision、CAS、safe replay、stale/conflicting request を網羅する。

• snapshot 更新は明示入力だけを保存し、note save や source path から公開本文を再取得しない。restore は unpublished のまま。

主なリスク. 既存 row が不完全でも private note の推測補完や公開範囲拡大を行わない。transaction が alias、revision、idempotency result の一部だけを commit しない。

対応する要求. #7224 entities, API boundaries, tag rules, lifecycle, migration/transition, tags, stale revision/idempotency, username/slug collision.

B. public query・timeline・URL・visibility contract

目的. /u canonical を保ちながら public profile/post/tag query、signed cursor、forward-only alias、visibility/password gate を実装し、HTML と JSON の同じ可視性を保証する。この issue は public read と route に範囲を限定する。

対象 repository. workers/publish-server/src/handlers/public-handlers.ts、templates/user-page.ts、templates/password-challenge.ts、asset-read-handlers.ts、route dispatch、sitemap/robots generation。

依存関係. A の storage/DTO contract。#7229 の current /u path と alias namespace decision。#7223 の見た目決定には依存しない。

完了条件・テスト.

• active public のみ timeline/tag/sitemap に出し、unlisted は direct URL のみ、protected は gate 後だけ本文を返す。

• cursor の改ざん、期限、profile/filter/limit mismatch、同時投稿と同時更新、timestamp tie-break を決定的 DB test で検証する。

• username/slug rename の競合、1 hop redirect、未記録の旧 URL、inactive/archived/protected target の generic response を route contract tests で確認する。

• no-store、canonical、末尾 slash、予約語、未知 route、legacy /u と page asset route の behavior を確認する。

主なリスク. redirect や cursor error が protected post/profile の存在を漏らさない。unlisted/private tags が counts、sitemap、cache に残らない。

対応する要求. #7224 URL/canonical/redirect, public profile/timeline query, visibility, existing URLs; password/unlisted, archive/restore, protected metadata gates.

C. server entitlement・Free / Pro・構造化 branding

目的. subscription を server で判定し、Free publish と標準 OGP、Pro theme override、Free attribution / bounded Pro CTA、downgrade 後の公開状態を契約どおり適用する。この issue は entitlement と server-owned footer に範囲を限定する。

対象 repository. workers/publish-server/src/handlers/capabilities.ts、profile/page mutation handlers、server-owned document shell and styles, policy/registry types。

依存関係. A の owner contract、B の HTML/public read shell、Publish Next ADR。client capability は表示補助に限定する。

完了条件・テスト.

• Free、active Pro、trial grace、expired、malformed subscription、service failure、developer exception、downgrade の server matrix を unit / Worker tests で確認する。

• Free の attribution は HTML shell に必須で、Pro CTA は bounded plain text + HTTPS URL。arbitrary HTML/CSS/script と client entitlement spoof を拒否する。

• downgrade は post/theme/snapshot を削除・非公開化せず、既存 Pro theme を固定した記事訂正と Free footer 適用を確認する。

主なリスク. subscription outage で公開停止・削除・保護操作を塞がない。資格不明の public branding は Free policy に倒す。

対応する要求. #7224 Free/Pro enforcement, attribution/footer, profile publishing policy and SEO quality.

D. pgen release consumer・registry・local adapter proof

目的. immutable product registry から approved template, field mapping, fixed slice, font manifest, policy を解決し、公開済み pgen API で安全な OGP adapter を実装する。この issue は package consumer と local proof に範囲を限定し、production Browser binding は扱わない。Markdown/body/source を pgen に渡さない。

対象 repository. workers/publish-server の新規 OGP registry/adapter module、package manifest/lockfile、adapter contract fixtures。新しい shared package が必要なら packages の開発境界 を確認する。

依存関係. upstream #6301 の merge だけでは不十分。必要 subpath exports と headless bundle を含む exact npm release と integrity を確認する。ADR の 2026-10-05 調査では公開 4.0.0 に必要 export がなく、release readiness は未達。source code を npm package の代用にしない。

完了条件・テスト.

• disposable consumer から正確な release exports/declarations を import し、fixed registry fixture で 1200×630 PNG を生成・decode・digest 検証する local adapter proof を先に通す。

• allowed fields/tokens/slice、field-to-template mapping、template revision、Japanese glyph coverage、unknown/removed revision、bad PNG/digest を contract fixture で検証する。

• 同じ adapter fingerprint 内の repeat identity/bytes、意味ある title/author/theme change の新 identity、description/tag/bio-only change の reuse、raw pgen error の安全な mapping を確認する。

• browser/native adapter の cache key を分離し、実 runtime fingerprint が未知なら fail closed にする。

主なリスク. upstream source success を released consumer API と取り違えない。font licensing/bytes/glyph coverage、template fidelity、adapter determinism は実際の approved asset と runtime に依存する。

対応する要求. #7224 pgen boundary, theme-to-template mapping, automatic OGP, cache inputs, missing template/slice/font failure and deterministic rendering.

E. durable OGP job・Browser executor・private R2

目的. publish commit と image association を原子的に行い、browser render の timeout/lease/admission、private R2 stage/read/GC、public /og authorization を実装する。この issue は durable job と private asset path に範囲を限定する。採用目標は publish Worker → dedicated browser executor → pgen headless Canvas → private R2。

対象 repository. workers/publish-server/src job/queue handlers, D1 migrations, private R2 bindings, publish Worker config, /og read handler, cleanup/reaper and observability modules。

依存関係. A、C、D の contract と local adapter proof。production Browser binding、paid provider usage、R2/D1 production configuration、deploy/smoke は別途認可された production-readiness step まで gate を閉じる。

完了条件・テスト.

• fake executor/D1/R2 tests で first publish failure、update rollback、same-key replay/conflict、disconnect, R2 success + D1 fail、CAS loser、late completion、lease loss、GC race、profile coalescing を検証する。

• browser page は trusted bundle/font だけを受け取り、network/navigation/storage/credentials を遮断。15 秒 deadline と 5 秒 cleanup、late launch catch、reaper が durable slot を保持する契約を確認する。

• public /og は current profile/post/state/gate/current association を検証してから private object を読む。protected, unpublished, archived, retired hash は 404/no-store。PNG type, size, dimensions, digest を検証する。

• separately authorized staging smoke では cold start, browser fingerprint, font load, quota/429, timeout/abort, cleanup, R2/D1 association, orphan GC, cost budget, kill switch を測り、実測値を記録する。

主なリスク. provider 秒数/価格/quota は変化する。Browser prototype/typecheck や local R2 mock を production readiness と呼ばない。late job は post を再公開できない。

対応する要求. #7224 production rendering strategy, OGP pipeline, R2/cache/invalidation, resource bounds, timeout/recovery, privacy and observability.

F. bridge / client contract parity

目的. desktop, web, mobile client が同じ typed Publish API DTO と shared validation fixture を使い、明示 snapshot、revision、idempotency、asset re-upload、safe error を同じ意味で扱う。この issue は API contract の client parity に範囲を限定し、画面構成は決めない。

対象 repository. packages/backend-bridge/src/publish-api-client.ts、tauri-app/renderer/hooks/use-publish.ts、および各 publish client adapter/surface。UI composition は承認された prototype decision に従う。

依存関係. A の DTO/API implementation plan。visible composer flow の実装・受け入れは #7223 UI prototype が承認されるまで開始しない。

完了条件・テスト.

• shared contract fixtures を各 client adapter で実行し、wire payload、normalization、status/error mapping、request replay、stale revision、workspace/account switch cancellation が一致する。

• desktop/web/mobile の同じ request fixture が同じ Worker result を得る contract test を行う。別の client 側 entitlement/slug/tag rule を複製しない。

• prototype acceptance 後に approved UI wiring のみを smoke し、private note を自動 publish しないことを確認する。

主なリスク. client parity は同じ visual UI を意味しない。prototype が決める前に field ownership や composer flow を固定しない。

対応する要求. #7224 mobile/web contract parity, explicit publish/update behavior, tags/theme/visibility client inputs.

G. cross-layer security acceptance と readiness closeout

目的. A–F を通した source-to-response acceptance を実行し、現行 behavior と実装済み変更の差、未達 gate、privacy/cost evidence を release decision に残す。この issue は統合検証と readiness 記録に限定し、新しい product behavior を追加しない。

対象 repository. publish Worker integration tests、publication-renderer tests、backend-bridge contract tests、architecture docs and readiness evidence.

依存関係. A–F の実装と deterministic test pass。実 browser/provider/R2 checks は別途認可された staging readiness 後。#7223 UI acceptance が client UI smoke の前提。

完了条件・テスト.

• 上の matrix 全行を runnable test または明記した external gate に対応付け、HTML/JSON/alias/timeline/tag/sitemap/asset/OGP/owner preview を privacy matrix 全体で確認する。

• source/workspace ID, private Markdown, password verifier, capability cookie, raw provenance, render job ID, internal owner ID が public response/log/URL に出ないこと、old hash/auth-before-cache bypass と unlisted discovery を確認する。

• cache key, adapter/browser update quarantine, no-store, asset GC, retry/idempotency と mobile/web bridge parity の evidence を記録する。

• production readiness 未承認なら deployment smoke を実施済みと記載せず、feature admission/configuration を閉じた状態と未達事項を明記する。

主なリスク. fake tests が provider semantics を代替しない。public release は別の owner decision と最新の quota/cost/security evidence を必要とする。

対応する要求. #7224 full deliverable coverage, testing strategy, privacy/security, chosen deployment strategy and final implementation acceptance.

2026-10 amendments

採択した実装契約（2026-10-06、#7328 / #7329）。以下は承認済み UI に合わせた追記です。この追記と以前の提案・現行説明が矛盾する場合は追記を優先します。追記自体は runtime の実装・release・deploy の証拠ではありません。上書きの全体表と型の正本は Publish Next ADR、描画境界は Publish OGP ADR を参照してください。

承認済み UI と F の gate

#7223 acceptance に相当する方向は #7328 の 採択記録 に採択済みです。issue F の visible composer flow 開始 gate は満たしました。a1-r4 composer、b4-r3 public pages、c1-r4 settings を実装入力とします。この UI 承認は S20 release-consumer proof や provider / production readiness の代わりではありません。

A–G の以前の分割にある v2 owner/public route、claim/alias/rename、purge、ledger v2 の受け入れは下の延期リストへ移し、この epic の合格条件にしません。v1 namespace のまま presentation version 2、post thumbnail / sharingCard、capabilities、PublicProfile defaults、items timeline を client/server 一緒に実装します。旧 version 1 の stored document 配信は維持し、owner update は新 composer からの republish まで 409 snapshot_required。歴史的 format の migration/backfill や private note の推測補完は追加しません。

追加・更新する受け入れ行

以前の matrix の snapshot 明示性、revision、source ownership、archive/restore、protected metadata、retry と privacy の行は維持します。docs check の合格は runtime / PNG / UI の検証済みを意味しません。実装 sub-issue が各 runnable test と実施した visual / release / provider proof を報告します。

この epic からの延期

次の項目を後続 epic へ移します。このリストは実装済み・互換経路の追加を意味しません。

• /api/v2 route set。

• username/slug alias tables と、それらを使う 308 aliases。

• POST /posts/:id/rename。

• POST /posts/archives/purge。

• idempotency ledger v2 fingerprint rules。

• 写真 thumbnail 上の picture-title（photo + title）。pgen が image inputs を受け付けるまで延期。

• named presets。v1 は profile 上の一組の既定値だけを持ち、操作名は Save as defaults。