[自動レビュー 2026-05-09] 日次コードレビューによる修正

[stewroux]

概要

2026-05-09 の日次コードレビューで発見した問題のうち、自動修正可能なものを対応しました。

修正内容

1. CI: Node.js 18 → 20 LTS へアップグレード

• ファイル: .github/workflows/ci.yml
• Node.js 18 は 2025年4月にEOL済み。Node.js 20 LTS（Active LTS）に更新。
• 関連Issue: [CODE REVIEW] 複数のコード品質問題: TypeScript strict無効/Node.js 18 EOL/test_genai.js残存/空catchブロック #3

2. AIレスポンスの実行時型バリデーション追加

• ファイル: services/geminiService.ts
• JSON.parse() 後の Gemini APIレスポンスを as TranslationBlock[] で直接キャストしていた問題を修正。
• isTranslationBlockArray() バリデーター関数を追加し、不正なレスポンスを早期にエラーとして検出。
• 関連Issue: [CODE REVIEW] 複数のコード品質問題: TypeScript strict無効/Node.js 18 EOL/test_genai.js残存/空catchブロック #3

3. console.error を開発環境のみに制限

• ファイル: services/geminiService.ts
• 本番環境でのAPIエラー内容のコンソール露出を防ぐため process.env.NODE_ENV === 'development' 条件に限定。
• 関連Issue: [SECURITY] APIキーのlocalStorage保存によるXSS攻撃リスク #2

4. .gitignore にテスト出力ファイルを追加

• ファイル: .gitignore
• test_genai.js 実行時に生成される output_test.jpg / output_test.png を除外。

未対応の重要Issue（手動対応が必要）

• Issue [SECURITY] NEXT_PUBLIC_ プレフィックスによりGemini APIキーがクライアントバンドルに露出 #1 [SECURITY] NEXT_PUBLIC_GEMINI_API_KEY クライアントバンドル露出
  → app/api/translate/route.ts のAPIルート化が必要（アーキテクチャ変更のため手動対応）

• Issue [SECURITY] APIキーのlocalStorage保存によるXSS攻撃リスク #2 [SECURITY] APIキーのlocalStorage保存によるXSSリスク
  → Issue [SECURITY] NEXT_PUBLIC_ プレフィックスによりGemini APIキーがクライアントバンドルに露出 #1 の対応と合わせてサーバーサイド化することで解決

テスト計画

• npm run lint が通ること
• npm run build が通ること
• 翻訳機能が正常動作すること（手動確認）
• Gemini APIが不正なレスポンスを返した場合、適切なエラーメッセージが表示されること

---

このPRは自動コードレビューエージェントにより作成されました（2026-05-09）。

---

Generated by Claude Code