エージェントが足した依存を、あとから棚卸しする — ライセンスと出所を追える形で残す設計

#!/usr/bin/env bash
# scan-added-deps.sh — package.json の dependencies に追加された依存を履歴から抽出する
set -euo pipefail
 
PKG="package.json"
 
# dependencies / devDependencies に追加された行だけを、導入コミットの文脈つきで拾う
git log --diff-filter=AM -p --date=short \
  --pretty=format:'@@COMMIT@@%h|%ad|%an|%s' -- "$PKG" \
| awk '
  /^@@COMMIT@@/ {
    sub(/^@@COMMIT@@/, "");
    split($0, m, "|");
    sha=m[1]; date=m[2]; author=m[3]; subject=m[4];
    next;
  }
  # 追加行のうち "  \"pkg\": \"^x.y.z\"," 形式だけを対象にする
  /^\+[[:space:]]+"[^"]+":[[:space:]]*"[~^]?[0-9]/ {
    line=$0;
    sub(/^\+[[:space:]]+"/, "", line);
    sub(/".*/, "", line);
    printf "%-28s | %s | %-18s | %s\n", line, date, author, subject;
  }
' | sort -u

date-fns-tz                  | 2026-05-31 | antigravity-agent  | fix: タイムゾーン変換のテストを通す
zod                          | 2026-06-04 | antigravity-agent  | feat: 入力バリデーションを追加
p-retry                      | 2026-06-09 | masaki             | chore: リトライ処理を共通化

// audit-licenses.mjs — インストール済み依存のライセンスをポリシーと突き合わせる
import { readFile, readdir } from "node:fs/promises";
import { join } from "node:path";
 
// 自分の運用ポリシー。プロジェクトの性質に合わせて調整する
const POLICY = {
  allow: ["MIT", "ISC", "Apache-2.0", "BSD-2-Clause", "BSD-3-Clause", "0BSD"],
  review: ["MPL-2.0", "LGPL-3.0", "CC0-1.0", "Unlicense"],
  // それ以外（GPL 系・ライセンス不明）は deny 扱いにする
};
 
async function collect(dir) {
  const out = [];
  for (const name of await readdir(dir)) {
    if (name.startsWith(".")) continue;
    const base = join(dir, name);
    if (name.startsWith("@")) {
      for (const scoped of await readdir(base)) {
        out.push(...(await readOne(join(base, scoped), `${name}/${scoped}`)));
      }
    } else {
      out.push(...(await readOne(base, name)));
    }
  }
  return out;
}
 
async function readOne(base, name) {
  try {
    const pkg = JSON.parse(await readFile(join(base, "package.json"), "utf8"));
    const license = typeof pkg.license === "string" ? pkg.license : "UNKNOWN";
    return [{ name, version: pkg.version ?? "?", license }];
  } catch {
    return [];
  }
}
 
function classify(license) {
  if (POLICY.allow.includes(license)) return "allow";
  if (POLICY.review.includes(license)) return "review";
  return "deny";
}
 
const deps = await collect("node_modules");
const flagged = deps
  .map((d) => ({ ...d, tier: classify(d.license) }))
  .filter((d) => d.tier !== "allow")
  .sort((a, b) => a.tier.localeCompare(b.tier));
 
for (const d of flagged) {
  console.log(`[${d.tier.toUpperCase()}] ${d.name}@${d.version} — ${d.license}`);
}
 
const denied = flagged.filter((d) => d.tier === "deny");
if (denied.length > 0) {
  console.error(`\n⚠️ 要対応: ${denied.length} 件が deny ポリシーに該当します`);
  process.exit(1);
}

feat: 入力バリデーションを zod で追加
 
スキーマ定義を一箇所に集約し、API 境界で検証する。
 
Dep-Added: zod@^3.23
Dep-Reason: 手書きの型ガードが増えすぎたため、宣言的に置き換える
Dep-Reviewed-By: masaki

git log --pretty='%H %s%n%b' \
  | grep -E '^Dep-(Added|Reason|Reviewed-By):' \
  | sort | uniq -c | sort -rn