秘密情報を設定から分離し、外部部品の出所と利用条件を確認する

原稿の管理表（13項目：記事ID・カテゴリ・要件ID・先に読むと理解しやすい記事・成果物パス・対象ツール・検証状況・最終更新日など）

管理項目	内容
記事ID	06-04
主な中カテゴリ	06-04 秘密情報と依存する部品を管理する
関連中カテゴリ	06-03、03-01、07-01、11-01
関連要件ID	—
先に読むと理解しやすい記事	06-03（変更履歴を管理する）を読んでいると理解しやすい。未読でも本文で必要な内容は説明する
到達目標	パスワード等を設定から分離する理由と、秘密情報をコード・Git・AIへの入力・公開する実行記録のどれにも混ぜないための確認方法、外部部品の出所・更新・利用条件を確認する理由を説明できる
3層の配置	理解する＝第3〜4節／作って確かめる＝第5〜7節／設計を判断する＝第8節
成果物パス	templates/06-04-secrets-dependencies_template.md、templates/06-04-secrets-dependencies_example.md、examples/06-04-secrets-dependencies/（check_secrets.js、env.example.txt、gitignore.example.txt）、evidence_public/phase5b2c2-2026-09-21/06-04/run_log.md
出典	第11節参照
対象ツール・バージョン	教材演習用にNode.js v24.18.0（node:fs・node:path・node:child_process）、git 2.54.0（06-01で確認済み）
検証状況	演習コードは examples/06-04-secrets-dependencies/check_secrets.js を正本とし、Claude Codeが2026-09-21にローカルの使い捨ての置き場で実際に実行して stdout・stderr・終了コードを記録済み（第6〜7節、evidence_public/phase5b2c2-2026-09-21/06-04/run_log.md）。秘密の値は架空。実際の外部部品の追加、実際の秘密の値の管理は未実施。人による実読・内容確認は未実施
残課題	第11節参照
最終更新日	2026-09-20（新規作成）。2026-09-21（Phase 5B-2C2：初版は「設定見本が空欄」の確認だけで、Git の履歴・AIへの入力・公開する実行記録への混入と、実際の値の置き場所が弱かった。4つの混入先ごとの確認を1本の演習コードにし、実測に置き換えた。.gitignore の説明をこのリポジトリの正本と一致させた。読む順路・第4節の判断項目・第5.4節「演習の設計」・第7節の確かめていないこと・CHECKLIST を追加）

この記事の会社・人物・設定値はすべて架空の設定です。実在する会社や案件とは関係ありません。本文の演習で使う秘密の値 DRILL-FAKE-KEY-0000 は架空で、本物の鍵・パスワード・接続先ではありません。実際の秘密情報は一切使用していません。演習は examples/06-04-secrets-dependencies/ 直下の使い捨ての置き場で行い、共有先への送信は行っていません（第7節）。

この記事は何の話か。依頼・承認管理アプリの接続先や鍵といった秘密情報を、プログラム本体やその設定から分離して扱う方法と、その秘密情報が「コード」「Git の履歴」「AIへ渡す資料」「公開する実行記録」の4つのどれにも混ざっていないことを確かめる方法、外部から取り込む部品の出所・更新方針を確認する方法を扱う話です。

なぜ必要か。秘密情報をプログラムに直接書き込むと、変更履歴（06-03）やAIへ渡す資料（07-01）、公開する実行記録に紛れ込み、意図せず外部に漏れる危険があります。一度 Git の履歴に入った秘密情報は、そのファイルを消しても履歴に残り続けます。「設定見本が空欄だから安全」だけでは、この4つの混入先のうち1つしか見ていません。

この記事を読むとできるようになること。

• パスワード等を設定から分離する理由と、実際の値をどこに置き、どこに置かないかを説明できる
• 秘密情報がコード・Git・AIへの入力・公開する実行記録に混ざっていないことを、演習コードで確かめ、検査の限界を言える
• 外部部品を使う利点と、更新・供給停止の負担を比較し、依存を減らす判断基準を書ける

読む順路。この記事は3つの深さで読めます。全部を順に読む必要はありません。

• 基本だけ理解する：第1節→第3節（4つの混入先と、実際の値の置き場所）→第4節（判断すること）→第5.1節（設定見本と .gitignore）→第6節の結果の読み方→第9節。コードを読まなくても、秘密情報をどこに置き、どこに置かないかが分かります。
• 作って確かめる：上に加えて第5.2〜5.3節（演習コード）→第5.4節（演習の設計：実行前に見るもの・失敗したとき・戻せるか・誰が）→第6節の実行結果→第7節（確かめたこと・確かめていないこと）。
• 設計判断を深める：上に加えて第5.5節（依存部品の一覧）→第8節（外部部品の利点と負担、検査の限界、適用限界）。

1. 今回の業務課題と完成するもの

この記事でやることは、依頼・承認管理アプリの接続先や鍵を置く設定見本を、値を空欄にした形で作り、実際の値を置く .env を Git の対象から外し、秘密情報がコード・Git の履歴・AIへ渡す資料・公開する実行記録に混ざっていないことを確かめる手順を作ることです。あわせて、外部から取り込む部品（依存部品）の出所・版・利用条件を一覧にします。

06-03では変更履歴の残し方を扱いましたが、その履歴に秘密情報が紛れ込まないようにする方法はまだ扱っていません。この記事では、それを扱います。

この記事を読み終えると、次のものが手元にできます。

• 設定見本・秘密情報管理ルール（設定項目、値の置き場所、4つの混入先ごとの確認方法、部品一覧）
• 混入確認の演習コードと、その実行記録

2. 前提知識と読む順路

この記事で使う言葉を先に説明します。

秘密情報

一言でいうと、他人に知られてはいけない情報です。たとえば、保存先へ接続するための鍵（パスワードに相当する文字列）です。

設定の分離

一言でいうと、秘密情報をプログラム本体に直接書かず、別の場所（設定ファイルなど）に分けて置くことです。この記事では、項目名だけを書いた「設定見本（.env.example）」と、実際の値を書く「.env」を分けます。

これがないと、プログラム本体を変更履歴やAIへの資料として渡すときに、秘密情報も一緒に含まれてしまいます。

.gitignore

一言でいうと、Git に「このファイルは履歴に入れない」と伝える一覧です。実際の値を書く .env をここに書いておくと、git add しても保存の対象になりません。

依存部品

一言でいうと、自分たちで作らず、外部から取り込んで使うプログラムの部品です。

読む順路：変更履歴の管理は06-03、社内の制約は03-01が該当します。この記事の管理ルールは、07-01（AIに渡す資料を整える）の除外基準、11-01（公開前チェック）の秘密情報の項目で使います。

3. 理解する：なぜ分離し、4つの混入先を確認するか

3.1 秘密情報が混ざる4つの場所と、置いてよい場所

実際の値を置いてよい場所は、Git の対象外の .env（作業しているパソコンの中だけ）と、この記事の範囲外の安全な置き場所（組織の秘密情報の管理の仕組み。03-01 の制約に従う）です。この記事の演習では、.env にも架空の値しか置きません。

3.2 このリポジトリの .gitignore との一致

演習で使う gitignore.example.txt（第5.1節）の3行は、この教材のリポジトリ本体の .gitignore に実際に書かれている「Environment variables / secrets」の行と同じ内容です。.env と .env.*（.env.local など）を除外し、!.env.example で設定見本だけを除外の例外にしています。

3.3 よくある誤解

「テスト用の値だから、そのままコードに書いてよい」。テスト用であっても、実際の接続先の情報（形式が本物に近いもの）は、意図せず本物と混同される危険があります。この記事の演習でも、コードには値を書かず、.env に置く値も「架空」と分かる文字列にしています。

「.env を消せば、Git から秘密情報は消える」。一度保存（commit）した内容は、ファイルを消しても履歴に残ります。だから「保存する前に除外する」ことが先で、「履歴に無いことを検索で確かめる」ことが後です（第6節の手順2〜3）。

「機械で検査したから混入していない」。第5.3節の検査は決まった書き方（API_KEY=値 など）しか見つけられません。見つからなかった＝混入していない、ではなく、目視の確認を置き換えるものではありません（第8.2節）。

「外部の部品は、使えれば出所を気にしなくてよい」。出所や更新方針が不明な部品は、後で使えなくなったり、意図しない動作をしたりする危険があります（第5.5節）。

4. 判断すること

秘密情報と依存部品について人が判断することは、次の5つです。

勝手に決めてはいけないこと：実際の秘密情報を、この記事の設定見本・本文・演習・実行記録に含めません。演習の値は架空で、そう明記します。03-01でまだ確認していない事項（利用可能なAIサービス、データ持出しの可否）を、この記事で確定しません。検査が通ったことを「混入していないことの保証」と書きません。

AIに任せる範囲：設定見本の項目の洗い出し、検査コードの下書き、検査結果の整理はAIに任せられます。任せてはいけないのは、実際の値をAIに渡すこと（渡した時点で混入です）、「秘密かどうか」の判断、保存・送信・公開してよいかの判断です。

5. 作って確かめる：設定見本・混入確認・部品一覧を作る

5.1 設定見本と .gitignore（正本）

設定見本 env.example.txt（演習では .env.example としてコピーされます。値は空欄）：

# 依頼・承認管理アプリ 設定見本（値は空欄。実際の値はこのファイルに書かない）
DB_CONNECTION_STRING=
API_KEY=

.gitignore の正本 gitignore.example.txt（演習では .gitignore としてコピーされます。このリポジトリ本体の .gitignore の該当行と同じ内容）：

# Environment variables / secrets
.env
.env.*
!.env.example

5.2 演習の流れ（4つの混入先の確認）

演習コードは、使い捨ての置き場 work/ に次のものを作ってから、4つの確認を順に行います。

5.3 演習コード（check_secrets.js）

演習コードは examples/06-04-secrets-dependencies/ を正本とします。演習用の名前・メールアドレス・日時を固定するので、個人のGit設定は読みません。

// 教材演習用：秘密情報を「コード・Git・AIへの入力・公開する実行記録」へ混ぜないための確認を、
// このフォルダ直下の work/ に作る使い捨ての置き場で実際に行う。
//   [1] 設定見本（.env.example）に値が入っていないか
//   [2] 実際の値を置く .env が Git の保存対象から除外されているか（.gitignore）
//   [3] Git の履歴に秘密の値が入っていないか
//   [4] AIへ渡す資料と、公開する実行記録に、秘密の値・秘密らしい書き方が混ざっていないか
// 秘密の値は架空（DRILL-FAKE-KEY-0000。本物ではない）。実際の接続先・鍵は一切使わない。
// Node.js標準機能（node:fs、node:path、node:child_process）のみ。git は work/ の中でだけ使い、共有先は設定しない。
const fs = require("node:fs");
const path = require("node:path");
const { execFileSync } = require("node:child_process");

const WORK = path.join(__dirname, "work");
const FAKE_SECRET = "DRILL-FAKE-KEY-0000"; // 架空の値。本物の鍵ではない
const gitEnv = { ...process.env, GIT_AUTHOR_NAME: "drill", GIT_AUTHOR_EMAIL: "drill@example.invalid", GIT_COMMITTER_NAME: "drill", GIT_COMMITTER_EMAIL: "drill@example.invalid", GIT_AUTHOR_DATE: "2026-09-21T00:00:00+09:00", GIT_COMMITTER_DATE: "2026-09-21T00:00:00+09:00" };
function git(...args) { return execFileSync("git", ["-c", "commit.gpgsign=false", ...args], { cwd: WORK, env: gitEnv, encoding: "utf8" }).trim(); }

// 秘密らしい書き方：KEY=値、password: 値、Bearer 値 など（値が空でないもの）。架空の値そのものも探す
const SECRET_PATTERNS = [
  { name: "架空の秘密の値そのもの", re: new RegExp(FAKE_SECRET) },
  { name: "API_KEY/SECRET/PASSWORD/TOKEN/CONNECTION_STRING に値が入っている", re: /\b(API_KEY|SECRET|PASSWORD|TOKEN|CONNECTION_STRING)\s*[=:]\s*[^\s;]+/ },
  { name: "Bearer トークン", re: /Bearer\s+[A-Za-z0-9._-]{8,}/ },
];
function scan(file) {
  const hits = [];
  fs.readFileSync(file, "utf8").split("\n").forEach((line, i) => {
    for (const p of SECRET_PATTERNS) if (p.re.test(line)) hits.push({ line: i + 1, pattern: p.name });
  });
  return hits;
}
const results = [];
const record = (check, expected, actual) => { const ok = JSON.stringify(expected) === JSON.stringify(actual); results.push({ check, expected, actual, ok }); console.log(`  ${check}: 期待=${JSON.stringify(expected)} 実際=${JSON.stringify(actual)} 判定=${ok ? "一致" : "不一致"}`); };

// 置き場を作る：設定見本、.gitignore、実際の値を置く .env（架空の値）、コード、AIへ渡す資料、公開する実行記録
fs.rmSync(WORK, { recursive: true, force: true });
fs.mkdirSync(path.join(WORK, "ai_input"), { recursive: true });
fs.mkdirSync(path.join(WORK, "evidence_public"), { recursive: true });
fs.copyFileSync(path.join(__dirname, "env.example.txt"), path.join(WORK, ".env.example"));
fs.copyFileSync(path.join(__dirname, "gitignore.example.txt"), path.join(WORK, ".gitignore"));
fs.writeFileSync(path.join(WORK, ".env"), `# 実際の値を置く場所（この演習では架空の値。本物ではない）\nDB_CONNECTION_STRING=\nAPI_KEY=${FAKE_SECRET}\n`);
fs.writeFileSync(path.join(WORK, "app.js"), `// 秘密の値はコードに書かず、環境変数から読む\nconst apiKey = process.env.API_KEY;\nmodule.exports = { apiKey };\n`);
fs.writeFileSync(path.join(WORK, "ai_input", "request.md"), `# AIへの依頼（架空）\n- 渡す資料: app.js、.env.example（値は空欄）\n- 渡さない資料: .env（実際の値）\n`);
fs.writeFileSync(path.join(WORK, "evidence_public", "run_log.md"), `# 実行記録（公開用の例）\n$ node app.js\n（出力なし）\n終了コード: 0\n`);

console.log("手順1：設定見本（.env.example）に値が入っていないか");
const exampleLines = fs.readFileSync(path.join(WORK, ".env.example"), "utf8").split("\n").filter((l) => l.includes("="));
record("設定見本の中で値が入っている行の数", 0, exampleLines.filter((l) => l.split("=")[1] && l.split("=")[1].trim() !== "").length);

console.log("手順2：実際の値を置く .env が Git の保存対象から除外されているか");
git("init", "-q", "-b", "main");
git("add", "-A");
const staged = git("diff", "--cached", "--name-only").split("\n").filter(Boolean).sort();
record("保存の対象になったファイル", [".env.example", ".gitignore", "ai_input/request.md", "app.js", "evidence_public/run_log.md"], staged);
record(".env が除外されている（check-ignore の結果）", ".gitignore:2:.env\t.env", git("check-ignore", "-v", ".env"));
record(".env.example は除外されない（保存の対象に含まれる）", true, staged.includes(".env.example"));

console.log("手順3：Git の履歴に秘密の値が入っていないか（保存してから履歴の中身を全文検索する）");
git("commit", "-q", "-m", "設定見本とコードを保存（秘密の値は含めない）");
let historyHits = "";
try { historyHits = git("log", "--all", "-p", "-S", FAKE_SECRET, "--oneline"); } catch (e) { historyHits = "（検索エラー）"; }
record("履歴の中で架空の秘密の値が見つかった保存単位", "", historyHits);

console.log("手順4：AIへ渡す資料と、公開する実行記録に、秘密の値・秘密らしい書き方が混ざっていないか");
for (const f of ["ai_input/request.md", "evidence_public/run_log.md", "app.js"]) record(`${f} の検出件数`, 0, scan(path.join(WORK, f)).length);
console.log("  参考：.env 自体を同じ検査にかけると検出される（検査が働いていることの確認）");
record(".env の検出件数", 2, scan(path.join(WORK, ".env")).length);

console.log("");
const allOk = results.every((r) => r.ok);
console.log(allOk ? `結論：設定見本は空欄、.env は Git の対象外、履歴に秘密の値なし、AIへ渡す資料と公開記録にも混入なし（${results.length} 件すべて一致）` : "結論：不一致がある。混入の可能性を確認する");
process.exit(allOk ? 0 : 1);

5.4 演習の設計

5.5 依存部品の一覧（例）

この記事の教材演習ではNode.jsの標準機能のみを使い、外部の依存部品は追加していません。実際の開発で外部部品を使う場合の一覧の形は次のとおりです。

6. 実行結果（混入確認の実測）

examples/06-04-secrets-dependencies/ で実行した stdout です（整形・省略なし。stderr への出力はありませんでした）。

$ node check_secrets.js
手順1：設定見本（.env.example）に値が入っていないか
  設定見本の中で値が入っている行の数: 期待=0 実際=0 判定=一致
手順2：実際の値を置く .env が Git の保存対象から除外されているか
  保存の対象になったファイル: 期待=[".env.example",".gitignore","ai_input/request.md","app.js","evidence_public/run_log.md"] 実際=[".env.example",".gitignore","ai_input/request.md","app.js","evidence_public/run_log.md"] 判定=一致
  .env が除外されている（check-ignore の結果）: 期待=".gitignore:2:.env\t.env" 実際=".gitignore:2:.env\t.env" 判定=一致
  .env.example は除外されない（保存の対象に含まれる）: 期待=true 実際=true 判定=一致
手順3：Git の履歴に秘密の値が入っていないか（保存してから履歴の中身を全文検索する）
  履歴の中で架空の秘密の値が見つかった保存単位: 期待="" 実際="" 判定=一致
手順4：AIへ渡す資料と、公開する実行記録に、秘密の値・秘密らしい書き方が混ざっていないか
  ai_input/request.md の検出件数: 期待=0 実際=0 判定=一致
  evidence_public/run_log.md の検出件数: 期待=0 実際=0 判定=一致
  app.js の検出件数: 期待=0 実際=0 判定=一致
  参考：.env 自体を同じ検査にかけると検出される（検査が働いていることの確認）
  .env の検出件数: 期待=2 実際=2 判定=一致

結論：設定見本は空欄、.env は Git の対象外、履歴に秘密の値なし、AIへ渡す資料と公開記録にも混入なし（9 件すべて一致）
終了コード: 0

読み方：手順2で git add -A を実行しても、保存の対象は .env.example・.gitignore・ai_input/request.md・app.js・evidence_public/run_log.md の5つで、.env は入っていません。check-ignore の結果 .gitignore:2:.env は「.gitignore の2行目の .env という規則で除外された」という意味です。手順3では、保存した後に履歴を全文検索しても架空の値は見つかりません（空文字）。手順4では、AIへ渡す資料・公開記録・コードは0件で、.env だけが2件（値そのものと API_KEY=値 の書き方）検出されており、検査が働いていることが分かります。

7. 確認結果

実行環境：macOS 26.6.2、Node.js v24.18.0（node:fs・node:path・node:child_process）、git 2.54.0 (Apple Git-157)、2026-09-21に実行。実行場所は examples/06-04-secrets-dependencies/。操作したのは work/ の中の使い捨ての置き場だけで、共有先への送信は行っていません。秘密の値は架空です。stdout・stderr・終了コードは evidence_public/phase5b2c2-2026-09-21/06-04/run_log.md に整形なしで記録し、同じコマンドを2回実行して stdout が同一であることを確認しています。

完了条件との照合：

この記事で確かめたこと：架空の値を使って、4つの混入先の確認が機械的に行えること。.gitignore の除外が実際に働くこと。履歴の全文検索で無いことが確かめられること。

この記事で確かめていないこと：

残る制限：この記事の本文と演習コードはClaude Codeが作成したもので、業務担当者による内容確認は行っていません。

8. 設計を判断する

8.1 外部部品を使う利点と依存の負担を比較する

この教材演習の範囲では、Node.jsの標準機能だけで十分に確認できるため、外部部品を追加しない方針を採用しています。実際の開発（08以降）で外部部品が必要になった場合は、第5.5節の一覧に出所・利用条件を記載してから採用します。

8.2 機械の検査と目視の分担

保存・送信・公開のたびに機械の検査を通し、そのうえで目視する、という二重の確認にします。検査が通ったことを「安全」の根拠にしません。

8.3 適用限界

この記事の設定見本・部品一覧は、架空企業「みらい業務サービス」の小規模な開発を前提にした一例です。実際に外部サービス・部品を利用する場合は、03-01の未確認の制約（利用可能なAI、データ持出し）を確認したうえで判断する必要があります。演習は使い捨ての置き場で行っており、実際のリポジトリでは作業フォルダそのものが対象になります。

9. 持ち帰る成果物

自分の業務に使うときの手順は次のとおりです。

1. 前工程（変更管理ルール、制約一覧）を用意する
2. 秘密情報が必要な設定項目を洗い出し、値を空欄にした設定見本を作る
3. 実際の値を置く場所（Git の対象外の .env か組織の管理の仕組み）を決め、.gitignore で除外する
4. 保存・送信・公開の前に、設定見本・Git の対象・履歴・AIへの資料・公開記録の4つを確認し、目視も行う
5. 使用する外部部品があれば、出所・版・利用条件・更新方針を一覧にする

10. 次工程への受渡し

次へ渡すもの：設定見本・秘密情報管理ルール、依存部品の一覧、混入確認の実行記録。

次工程での使われ方：07-01（AIに渡す資料を整える）では、この管理ルールを資料の除外基準にし、.env を渡さないことを前提にします。11-01（公開前チェック）では、この設定見本と確認手順を秘密情報の項目に使います。

前工程へ戻る条件：この管理ルールが06-03の変更管理ルールと食い違う場合は、06-03に戻って確認します。利用可能なAI・データ持出しの制約が変わった場合は、03-01に戻ります。

11. 根拠と更新情報

• この記事の会社・人物・設定値はすべて架空の設定です。演習の秘密の値 DRILL-FAKE-KEY-0000 は架空です。
• 秘密情報を設定から分離するという考え方、および外部部品の利用条件を確認する必要性は、一般的なシステム開発の安全対策の考え方に基づく説明であり、特定の製品・サービスを前提にしていません。
• .gitignore の正本は、このリポジトリ本体の .gitignore の「Environment variables / secrets」の行と同じ内容です。
• 制作の来歴：本文はClaude Codeが作成しました。第5.3節・第6節の演習コードは examples/06-04-secrets-dependencies/ を正本とし、2026-09-21にmacOS 26.6.2・Node.js v24.18.0・git 2.54.0の環境で実際に実行し、stdout・stderr・終了コードを evidence_public/phase5b2c2-2026-09-21/06-04/run_log.md に記録しています。人（ユーザー）による実読・内容確認は未実施です。
• 2026-09-21（Phase 5B-2C2）：初版は「設定見本に値が入っていない」ことを1つのコマンドで確かめるだけで、Git の履歴・AIへの入力・公開する実行記録への混入と、実際の値の置き場所を扱っていなかった。本更新で、4つの混入先ごとの確認を演習コードにし、.gitignore の除外・履歴の全文検索・資料と記録の検査を実測に置き換え、機械の検査の限界と目視の分担を第8.2節に明記した。
• 未確認事項：実際の秘密の値の管理、決まった書き方以外の混入、履歴に入ってしまった値の除去、実際に外部部品を追加する場合の出所・利用条件の確認は、この記事の時点では行っていません。