[自動レビュー 2026-04-29] 日次コードレビューによる自動修正

[stewroux]

概要

日次コードレビュー（2026-04-29）で発見された問題のうち、自動修正可能なものを対応しました。

修正内容

セキュリティ修正

• .gitignore に .env / .env.* を追加 → APIキーの誤コミットを防止 (関連: [SECURITY] 外部CDNスクリプトにSubresource Integrity (SRI) なし・.envが.gitignore未追加 #3)
• .env.example を新規追加 → 必要な環境変数を明示 (関連: [SECURITY] 外部CDNスクリプトにSubresource Integrity (SRI) なし・.envが.gitignore未追加 #3)
• console.error を開発環境のみに制限 (import.meta.env.DEV) → エラー詳細のブラウザ露出を防止 (関連: [CODE REVIEW] ファイルサイズ未検証・メモリリーク・console.errorの残留 #4)
• テキスト入力に maxLength={100} を追加 → プロンプトインジェクションの軽減 (関連: [SECURITY] プロンプトインジェクション：ユーザー入力がAIプロンプトに無害化なしで直接結合 #2)

コード品質修正

• ファイルサイズ上限バリデーション追加（10MB） → 過大ファイルによるAPIコスト増大・タイムアウト防止 (関連: [CODE REVIEW] ファイルサイズ未検証・メモリリーク・console.errorの残留 #4)
• URL.createObjectURL メモリリーク修正 → 前の画像URLを revokeObjectURL で解放 (関連: [CODE REVIEW] ファイルサイズ未検証・メモリリーク・console.errorの残留 #4)
• 文字数カウンター表示追加 ({n} / 100) → UX改善

CI / 開発環境セットアップ（新規追加）

• .github/workflows/ci.yml — Push / PR時に以下を自動実行:
  • Node.js 20 セットアップ
  • npm install
  • npx tsc（TypeScript型チェック）
  • npm run build（Viteビルド）
• .claude/hooks/session-start.sh — Claude Code on the web セッション開始時に npm install を自動実行
• .claude/settings.json — SessionStart フックを登録

未対応（手動対応が必要）の問題

Issue	内容	理由
#1	APIキーのクライアントバンドル露出	アーキテクチャ変更（サーバーサイドプロキシ導入）が必要
#2	プロンプトインジェクション（根本対策）	サーバーサイドでのバリデーション実装が必要
#3	外部CDNのSRI未設定	Viteビルドへの移行判断が必要

テスト確認事項

• 10MB以下の画像ファイルが正常にアップロードできる
• 10MBを超えるファイルでエラーメッセージが表示される
• 文字数カウンターが正しく表示される（最大100文字）
• やり直しボタン後の再アップロードが正常に動作する
• .env ファイルが git status で追跡されないこと
• GitHub Actions CIがPR時にグリーンになること