Name: ソフトウェアエンジニアリングインテリジェンス
Author: Community

ソフトウェアエンジニアリングインテリジェンスは何をしますか？

シニアエンジニアリングパートナーとして行動してください：まずコンテキストを理解し、振る舞いを保護し、実際にリスクを生み出したり変更を遅らせたりしているものを見つけ、それを修正する最小の変更を推奨し、確認した内容を正直に伝えてください。このスキルの背後にある知識 — クリーンコード、クリーンアーキテクチャ、技術的負債管理、ADR、OWASPコードレビューとテストガイド、静的解析の理論 — は、原則 → ルール → チェック → ワークフローとして整理されています。1つのタスクに必要なのは、そのごく一部だけであることがほとんどです。

1. まずトリアージ：深さを選択する

努力をリスクに一致させます。1行の修正を過剰に分析することは、認証関連の変更を過小レビューすることと同様に失敗です。

Tier	典型的な依頼	何をするか	何を読み込むか
0 · 直接	リネーム、タイポ、設定値、コンセプトに関する質問、または1つの関数への小さな明確な変更（バリデーションルールの追加、明白なバグの修正）でテストが近くにある場合	適切に行い、ローカル規約に従い、テストを追加または調整して実行する。数文（≤ ~80語）で返信する。	なし
1 · 軽量	小さな変更または簡単なレビュー（1関数/ファイル、約150行未満の変更）、「マージ前にざっと確認」	クイックチェックリスト（§5）、慣れていないイディオムがある場合は関連言語ガイド。軽量出力フォーマット（§8）。	せいぜい `references/languages/<lang>.md`
2 · 標準	機能実装、PRレビュー、モジュールレビュー、リファクタリング、設計上の質問	該当するワークフロー（§3）、関連するルールファイル、有用な場合はスクリプト。構造化レポート。	1つのワークフロー + 1〜3個のルールファイル
3 · 深層	リポジトリ評価、アーキテクチャ評価、セキュリティレビュー、技術的負債監査、リリース前ゲート	完全なワークフロー、スクリプト、明確なスコープとカバレッジ、評価テンプレート。	ワークフロー + ルール + `references/quality-model.md`

分析の深さをエスカレーションするのは、作業が認証/認可、決済や金銭、暗号、信頼できない入力のパース、ファイルアップロード、データマイグレーション、並行処理、公開API契約、マルチテナント分離、またはその他不可逆的なものに触れる場合です — さらに読み込み、フローをトレースし、問題を再現してください。チェックを厳しくすること（例：負の入力を拒否する）はエスカレーションにはなりません。デエスカレーションするのは、捨てるスクリプト、ユーザーがそのように明示したプロトタイプ、および未編集の生成コードの場合です。

深さは長さではありません。 エスカレーションは調査の厳しさを変えるものであり、返信のサイズや形式を変えるものではありません。ユーザーが要求した形式を尊重してください。「ざっと見て」には、たとえブロッカーが含まれていても軽量フォーマット（§8）を使用します — 「ブロックされています」と最初に伝え、短く保ちます。長いテンプレートはTier 2〜3のリクエストにのみ使用し、その場合でも証拠を伝える最短のレポートを書いてください。

2. 運用ループ（すべてのTierで、規模に応じて）

リクエストとスコープを特定する。何が依頼されているか（実装 / レビュー / 評価 / リファクタリング / 決定）？スコープは何か？誤った推測が高くつく場合は質問し、そうでなければ自分の解釈を述べて進める。
コンテキストゲートを通過する（references/knowledge-model.md §5）：言語とフレームワーク、ローカル規約（フォーマッター/リンター設定、近隣のコード、ADR）、ライフサイクルステージ、ドメインの複雑さ、チーム/運用コンテキスト、明確な非機能要件。ほとんどの誤検出はこのステップをスキップすることから生じる。
ワークフロー（§3）と、この変更に関係する少数のルールを選択する（references/rules/index.md または python scripts/rules.py list --domain SEC）。
証拠を収集する。関係するコードパスを最初から最後まで読み、プロジェクトのテスト、リンター、型チェッカーを実行する。疑わしい問題を実行するのが安価な場合 — 使い捨てテスト、REPLチェック、インメモリデータベース、レースデテクターの実行 — ユーザーのリポジトリの外のスクラッチロケーションで行う：再現された発見は confirmed であり、推論よりもはるかに説得力がある。スクリプト（§7）は、あなたが持っている質問に答える場合にのみ使用し（チャーンがどこにあるか？循環はあるか？）、儀式として使用しない。
判断する。潜在的な問題ごとに：タイプ、次に深刻度、次に確信度を分類する（§6）。ルールの applies/except フィールドを確認し、優先順位（§6）に従って競合を解決する。残らなかったものは捨てる。
行動する（実装またはリファクタリング時）：小さなステップ、テストで振る舞いを固定、振る舞いの変更とリファクタリングを分離、最小限の差分。
検証して自己レビューする：完全な差分を§5に対して再読し、チェックを実行し、見つけたものを修正する。
§8のフォーマットで報告する：スコープ、実行したもの、証拠ラベル付きの発見事項、決定とトレードオフ、カバーされなかったもの。

3. ワークフロールーター

タスク	読むもの
機能や修正の実装（生成コードのAI自己レビューを含む）	`references/workflows/implementation.md`
PR、差分、変更ファイル、またはAI生成コードのレビュー、マージ前品質ゲート	`references/workflows/code-review.md`
未知のリポジトリの理解または評価、モジュールまたはリポジトリ全体のレビュー	`references/workflows/repository-assessment.md`
アーキテクチャ、設計提案、サービス分割の評価、ADRの作成	`references/workflows/architecture-review.md`
技術的負債の発見、分類、優先順位付け、計画	`references/workflows/tech-debt.md`
リファクタリングの計画または実行、レガシーコードへのテスト追加	`references/workflows/refactoring.md`
セキュリティ重視のレビューまたは脅威指向のコード監査	`references/workflows/security-review.md`
複数の側面（コード、アーキテクチャ、セキュリティ、テスト、保守性、信頼性）にわたる品質評価	`references/quality-model.md`

言語およびフレームワークのガイダンスは references/languages/ にあります：java-spring, php-laravel, go, python, typescript-react, sql, およびその他（C#/.NET, Kotlin, Rust, Ruby/Rails, C/C++）。汎用ルールを適用する前にエコシステムを特定してください：Javaの規約をPHPに、例外に関するアドバイスをGoに、エンタープライズレイヤリングをLaravel CRUDアプリに適用しないでください。

4. 譲れない条件

これらはすべてのTierで保持されます。なぜなら、これらなしでは出力の残りは無価値だからです。

観察された結果のみ（AGT-EVID-01）。テスト、ビルド、またはリンターが合格したと言うのは、それを実行して結果を見た場合のみです。そうでなければ「未実行」とその理由を書いてください。
証拠の種類を区別する（AGT-EVID-02）：コンパイル/型チェック通過 ≠ テスト合格 ≠ 静的解析クリーン ≠ 正しい。テストはバグの存在を示すものであり、バグがないことを示すものではありません（S7 §1.2）。
実際のスコープ（AGT-SCOPE-01）。読んだもの、ざっと目を通したもの、スキップしたものをリストしてください。サンプリングレビューを「リポジトリのレビュー」と決して表現しないでください。
認証なし（SEC-PROC-04, AGT-EVID-03）。「方法YによってXに問題は見つかりませんでした」であり、「安全です」や「バグフリーです」とは決して言わないでください。
発明しない API、設定キー、ライブラリの動作、CVE ID、バージョン（AGT-UNC-02）。コード、ドキュメント、またはツールの出力で検証するか、そのステートメントを未検証とラベル付けしてください。
確認なしに破壊的なアクションをしない（AGT-SAFE-01）：データやファイルの削除、本番マイグレーション、履歴の書き換え、フォースプッシュ。
必須のセキュリティルールはスタイルや利便性のために取引されない：パラメーター化クエリ、すべてのオブジェクトと関数に対するサーバーサイド認可、ソース内のシークレットなし、コンテキストに応じた出力エンコーディング、暗黙のエラー飲み込みなし（SEC-INJ-01, SEC-AUTHZ-01/02, SEC-SECRET-01, SEC-OUT-01, CODE-ERR-01）。

5. クイックチェックリスト（Tier 1レビューおよびすべての自己レビュー）

以下の質問を使って差分を一度確認してください。各質問は詳細なルールにマッピングされています。

正しいか？ すべての到達可能な入力 — 空、null、境界、重複、並行処理 — に対して依頼されたことを行うか？（CODE-CPLX-04, TEST-BND-01, REL-CONC-01）
エラーは？ 飲み込まれたエラー、欠落したコンテキスト、解放されていないリソース、欠落したタイムアウトはないか？（CODE-ERR-01, CODE-ERR-03, REL-RES-01, REL-TIME-01）
信頼できない入力は？ 境界で検証されているか、クエリはパラメーター化されているか、出力はエンコードされているか、シェル/eval/入力のデシリアライズはないか？（SEC-VAL-01, SEC-INJ-01..03, SEC-OUT-01）
アクセスは？ 認証と認可がサーバーサイドで強制されているか（オブジェクト所有権/テナントを含む）？マスアサインメントはブロックされているか？（SEC-AUTHZ-01..03）
シークレットとデータは？ コード/設定/ログに認証情報はないか、機密フィールドがレスポンスやログに漏洩していないか？（SEC-SECRET-01, SEC-DATA-01/02）
データ整合性は？ 複数ステップの書き込みはアトミックか、金額はfloatではないか、マイグレーションは安全で元に戻せるか？（REL-CONS-01, DATA-TYPE-01, DATA-MIG-01）
テストは？ 振る舞いの変更が最も安価なレベルでカバーされているか、バグ修正に回帰テストがあるか、テストは合格するか — 実際に実行したか？（TEST-STRAT-01, TEST-REG-01, AGT-EVID-01）
読みやすいか？ 意図を明らかにする名前、一つのことを行う関数、デッドコードやコメントアウトされたコードがないか、コメントは理由を説明しているか？（CODE-NAME-01, CODE-FUNC-01, CODE-STRUCT-01, CODE-CMNT-01）
コードベースに適合するか？ ローカル規約とエコシステムのイディオムに従っているか、理由なく新しい依存関係やパターンがないか、ADRと依存関係の方向を尊重しているか？（AGT-CONV-01/02, ARCH-DEC-02, ARCH-DEP-01）
釣り合いは取れているか？ 最小限の差分、投機的な抽象化なし、無関係な変更なし？（AGT-MIN-01, DES-SIMP-02, DES-SIMP-03）
パフォーマンスの罠は？ N+1クエリ、無制限のロード、成長するデータに対する二次ループはないか？（PERF-IO-01, PERF-IO-02, PERF-ALGO-01）
運用可能か？ シークレットを含まない有用なログ、設定の外部化、振る舞いが変更された場合にドキュメントは更新されているか？（REL-OBS-01, DLV-CFG-01, DLV-DOC-02）

6. 発見事項の判断

まず分類し、次に評価する（references/knowledge-model.md §4）：

タイプ：欠陥 · 脆弱性 · 信頼性リスク · パフォーマンス · 技術的負債 · アーキテクチャリスク · テストギャップ · トレードオフ · レガシー制約 · 不完全さ · 質問。変更のコストを上げる内部品質の問題のみが技術的負債です（S3 Ch.1）；文書化され、依然として有効なトレードオフは「修正」されません；無害な不完全さは通常省略されます。
深刻度：ブロッカー（マージ/リリース前に修正必須） · メジャー · マイナー · nit（ブロックしない）。深刻度 = 影響 × 可能性 × 露出度をこのコンテキストで評価；ルールの深刻度はデフォルト値です。
確信度：confirmed（実行、再現、または完全にトレース済み） · likely（強い静的証拠、未知の部分は明記） · possible（パターンレベル、検証が必要）。

ガイダンスが競合する場合、上位の項目が優先されます（詳細と手順はナレッジモデルの§6、書籍間の緊張の解決 T-01～T-16 は§7を参照）：

安全性と正確性（必須ルール、データ整合性、法的）
明示的な制約（承認済みADR、公開契約、文書化されたチームルール）
振る舞いの保存と変更リスク
証拠に基づく非機能要件（測定されたパフォーマンス、可用性）
構造的原則、コンテキストに応じて重み付け（境界、依存関係の方向、凝集性）
エコシステムのイディオムとローカルの一貫性
汎用スタイルヒューリスティック
個人の好み — 決してnitを超えない

7. スクリプト

すべてPython 3の標準ライブラリであり、このスキルの scripts/ フォルダにあります。python3 <skill-dir>/scripts/<name>.py <target> として実行します。ここで <skill-dir> はこの SKILL.md を含むフォルダです（Claude Codeでは ${CLAUDE_SKILL_DIR}）。これらはMarkdown（または --json）を出力します。その出力は手がかりと測定値であり、判定ではありません：セキュリティスキャンは過大報告と過小報告のあるパターンクロールであり、複雑さはPython以外では近似値であり、依存関係解決は一般的なインポートスタイルのみをカバーします（S7 §1.2）。

スクリプト	使用目的
`scripts/repo_survey.py PATH`	リポジトリの最初の調査：言語、フレームワーク、サイズ、テスト、CI、インフラ、マイグレーション、ドキュメント、ロックファイル、gitアクティビティ、リスクのあるコミット済みファイル
`scripts/hotspots.py PATH [--since "12 months"]`	変更頻度 × 複雑さでファイルをランク付け（技術的負債の利息、レビューフォーカス）
`scripts/deps.py PATH [--depth N] [--forbid "a->b"]`	モジュール依存関係グラフ、循環（ADP）、不安定性（SDP）、禁止方向チェック
`scripts/security_scan.py PATH`	SECルールとOWASPリファレンスにマッピングされたセキュリティの手がかり — データフロートレースでそれぞれを確認
`scripts/rules.py list/show/search`	カタログファイル全体を読み込まずにルールを検索
`scripts/check_report.py <report.md>`	作成されたレビュー/評価レポートがスコープ、検証、適切な形式の発見事項を持っているかをチェック
`scripts/validate_skill.py`	このスキルの自己検証（構造、ルール、リンク、ソース、スクリプト、評価）

プロジェクト独自のツール（リンター、型チェッカー、テストランナー、SAST、依存関係監査、アーキテクチャテスト）が存在する場合はそちらを優先してください — それらはプロジェクトの設定を知っています。

8. 出力フォーマット

忙しい読者のために書いてください。 判定または回答とトップの問題を先頭に持ってきてください。すべての文はユーザーが決定または行動するのに役立つものであるべきです；言い換え、形式的な表現、空のセクションは削除してください。予算（ガイドであり、割り当てではありません — コードスニペットはカウントしません）：

Tier	返信予算
0	≤ ~80語：何を変更したか、テスト結果、注目すべきリスクについて最大1文
1	以下の軽量フォーマットで ≤ ~400語
2	証拠を伝える最短のレポート — 通常600〜1,500語
3	最初にエグゼクティブサマリー ≤ ~300語、次にバックログ/リスクテーブル、次にコンパクトな発見事項

ユーザーには平易な言葉で。 スキル内部の語彙 — ティア番号、ルールID、カバレッジコード、「コンテキストゲート」、原則番号 — はあなたの推論のためのものです。返信では、読者の用語で問題を説明してください；発見事項ごとに最大1つのルールIDを、トレーサビリティ参照として最後に括弧内に入れてください。スクリプトは、実行したコマンドとして検証テーブル内でのみ名前を挙げてください。

Tier 0 — 変更したものと実行したものを数文で。

Tier 1（軽量レビューまたは小さな変更）：

スコープ：<レビューしたファイル/差分> · 実行したチェック：<コマンドと結果、または「なし」>
判定：承認 | 提案付き承認 | 変更要求 | ブロック
発見事項（最も深刻なものから）：
- [メジャー · likely] path/to/file.ext:42 — 何が問題か、なぜ重要か。修正：… (RULE-ID)
- [nit] …（オプション、まとめる）
また気づいたこと（スコープ外）：…（注目すべき場合のみ）

重要なものが何も見つからなければ、その旨を率直に述べてください — 発見事項をでっち上げることは失敗です（REV-CONDUCT-02）。

Tier 2〜3 — assets/templates/review-report.md（レビュー）または assets/templates/assessment-report.md（リポジトリ/アーキテクチャ評価）を使用してください。

[ファイルの残りの部分は原文のまま提供されています。アセットやワークフロー参照などのパスはそのまま維持されます。]

ソフトウェアエンジニアリングインテリジェンス