receiver: ルーティングを宣言的 route table + auth policy に置換する (#43 PR-1)

[kosako]

概要

#43 完了スライスの PR-1(2 PR 構成の 1 本目)。手続き的 if 連鎖だったルーティングを宣言的なルート表 + 一元 dispatch に置き換える挙動同一の純リファクタです。設計の経緯は #43 の設計コメント(2026-07-05)を参照。

変更内容

• ルート表 { method, pattern, auth, handler } を導入し、認証適用(従来 4 分岐に手で反復)を dispatch の一箇所に集約
• auth 種別は none / operation の 2 種。未知の種別はモジュールロード時に throw(宣言漏れ・typo の fail-fast)。公開デプロイ時の receiver ハードニング（認証・CORS 制限） #43 PR-2 / Widget→Receiver 取り込みのペア認証と受信データの安全な取り扱い #44 で inbox / ingest と per-route CORS がここに増える
• 唯一の意図した挙動変更: 既知 path への未対応 method が 404 → 405 + Allow ヘッダー(監査指摘の解消)
• 不変条件: OPTIONS 204(rate limit より先)/ rate limit の適用順 / 404 文言 / 認証対象 endpoint / 各 handler は無変更

テスト

• 94 → 96 件、全パス(npm run check)
• 追加: 405 + Allow(固定 path とパラメータ付き path)/ 未知 path の 404 回帰
• 実機スモーク済み: inbox 200 / OPTIONS 204 / GET /feedback 405+Allow / token 無し import 401 / token 有り 400(認証通過)/ 未知 path 404

レビュー観点

挙動同一性(特に認証の適用対象がリファクタ前後で一致しているか)と、405 導入による副作用の見落としがないか。

Closes しない(#43 は PR-2 完了まで open 維持)

🤖 Generated with Claude Code

https://claude.ai/code/session_01TZtNiToBjzkwFc2A6Mw7n4

[kosako]

🔍 レビュー依頼(→ Codex)

• 観点: 挙動同一を意図した純リファクタ(if 連鎖 → route table + 一元 dispatch)なので behavior drift を重点的に。特に (1) 認証の適用対象がリファクタ前後で一致しているか (2) ルート pattern の一致範囲のずれ(正規表現化した prefix / 固定 path) (3) 405 導入(唯一の意図した挙動変更)の副作用 (4) OPTIONS・rate limit の適用順の維持
• ランク: 🔴 must(merge 前必須)/ 🟡 should(推奨・対応は依頼元判断)/ ⚪ nit(任意)
• 結果はこの PR にコメントで返します

[kosako]

📋 レビュー結果(by Codex GPT-5.5)

判定: ✅ merge 可(must 0 件) — 🟡 should / ⚪ nit も 0 件

🔴 must

なし

🟡 should

なし

⚪ nit

なし

レビュアーのコメント(要旨): route table 化による auth 適用対象・path match 範囲・OPTIONS → rate limit → dispatch の順序・respondJson 経由の 405 応答に挙動退行なし。stateful な /g 正規表現もなし。旧 pathname === ... / startsWith(...) / パラメータ regex と一致範囲は、意図した 405 変更を除いて一致。

補足(依頼元): Codex 側 sandbox(read-only)では mkdtemp EPERM で receiver 系テストが実行できなかったため、テスト実行はローカルで代替 — npm run check 全 96 件パス済み。実機スモーク(405+Allow / 401 / 404 / OPTIONS 204 / 認証通過)も確認済み。