fix(push-runner): bookmark_check の bookmark list 失敗を fail-closed にする (順位 288(b))

[aloekun]

概要

不具合修正バックログ消化計画の PR I。順位 288 の残タスク (b) を扱う。

着手前に台帳と実装を突き合わせたところ、台帳が書いていた「@ の非 trunk 祖先が未レビューのまま push される穴」は (a) 側の実装で既に閉じていた。代わりに、同 stage の jj bookmark list 失敗経路が fail-open で残っていたため、そちらを塞ぐ (ユーザー判断)。

束ねた理由: 単一 crate・単一 stage の fail-closed 化 1 件。PR H と分けたのは、新しい中断経路の追加は誤 block リスクがあり、切り戻し単位を独立させるため (計画書どおり)。

台帳と実態のずれ

レビュー対象 diff の範囲は本 stage ではなく [diff] stage 側で既に閉じている:

• config load 時に {{PR_RANGE}} の使用を必須化 (config::validate_diff_pr_range) — -r @ の直書き config は起動しない
• 生成 diff が PR 範囲の全変更ファイルを含むかを verify_diff_covers_pr_range が fail-closed で検査
• 範囲は top-level default_branch の単一真実源から解決

よって祖先コミットごとの review 証跡照合 gate を新設すると判定が二重化し、誤 block リスクだけが増えるため不採用とした。この判断根拠は bookmark_check.rs の module doc に残している (計画書は ephemeral なため)。

本計画で着手した 10 件中 8 件目のずれ。

実在した穴

detect_own_workspace_bookmarks が jj bookmark list の失敗時に Some(空) を返して push を続行していた。この 1 経路が本 stage の判定を丸ごと迂回する:

• 空リストでは push stage の build_push_command が -b <name> を組み立てられず、base command (jj git push) がそのまま実行される。jj 0.42 の既定は tracked bookmark を全件送るため、レビュー範囲 (<default_branch>..@) 外の ref が AI レビューを経ずに送られる。ADR-045 事故で --all を廃止したのと同じ経路
• @ の空判定・description 判定 (HeadState::Unknown / DescUnknown を fail-closed に倒す分岐) は list 成功後にしか走らないため、この経路では一度も評価されない
• 発火条件は現実的で、並列 workspace 運用の jj lock 競合による 30s timeout は diff stage が T6 で塞いだものと同クラス
• この経路のテストは 1 本も無かった

実データ上の裏付け: 本 repo には現在 claude/nightly-228 / claude/nightly-324 / claude/nightly-383 の 3 本が tracked bookmark として存在し、fail-open 経路に落ちればこれらが巻き込まれる構成にある。

対処

• 失敗を BookmarkCheckOutcome::BookmarkListUnavailable に落として None を返す (pipeline 中断 / ADR-043)。env override は設けない (ユーザー判断。同モジュールの他の fail-closed 判定と揃える)
• decide_from_bookmark_list を切り出し、head_state を closure で受けて list 失敗時に @ の状態を照会しない (中断は確定しており、不調な jj を叩いても案内は変わらない。照会結果で案内を出し分けると「@ が空です」等の事実と異なる案内を再生産する余地が残る)
• 案内は「なぜ止めるか」= 実害を述べる。jj エラーの転記だけだと override 手段を探す方向に人が動く
• 戻り値の不変条件 (Some のとき必ず 1 件以上) を doc 化し、push stage 側の空リスト fallback が派生プロジェクト config 専用の経路になったことを追記

回帰テスト

rank288b_bookmark_list_failure 5 件:

テスト	固定する内容
list_failure_aborts_instead_of_proceeding_with_empty_list	incident 再現 (bad): 失敗 → 中断
list_success_still_proceeds	対 (good): 成功 → 従来どおり Proceed
list_failure_does_not_query_head_state	失敗時に @ を照会しない
hint_states_the_actual_harm_not_just_the_jj_error	案内が実害を述べる
proceed_never_carries_an_empty_bookmark_list	Some の非空不変条件

副次

• report_outcome が 61 行になり関数長 gate に触れたため abort_report を分離
• ファイル長 800 行 gate に触れたため test mod を bookmark_check/tests.rs へ切り出し (diff stage と同じ形)
• pre-push simplicity review の非ブロッキング警告 2 件に対応: module doc の「中断理由は 2 ケース」が実態とずれていた点、および同じ diff で新設した abort_report の doc が自ら定めた「件数を書かない」方針を破っていた点

後始末

docs/todo15.md 順位 288 節 + docs/todo-summary2.md 288 行を削除。計画書 docs/bugfix-batch-plan.md の進行表更新はマージ後の docs バッチで行う (PR H → #433 と同じ運用)。

検証

• cargo test --workspace green (全 40 スイート)
• cargo clippy -p cli-push-runner --all-targets green
• pre-push review: simplicity / security とも approved

Summary by CodeRabbit

• 機能改善

  • ブックマーク情報の取得に失敗した場合、誤った範囲への push を防ぐため処理を中止するよう変更しました。
  • 判定結果に応じた案内メッセージを改善しました。

• ドキュメント

  • ブックマークが空になる条件と、検査失敗時の動作を追記しました。

• テスト

  • ブックマーク解析、状態判定、取得失敗時の中止処理などの検証を追加しました。

[coderabbitai]

No actionable comments were generated in the recent review. 🎉

ℹ️ Recent review info

⚙️ Run configuration

Configuration used: Path: .coderabbit.yaml

Review profile: CHILL

Plan: Pro Plus

Run ID: 868ea69b-3059-48d8-a837-42bbb04fccce

📥 Commits

Reviewing files that changed from the base of the PR and between e3e7ae7 and 73c33d4.

📒 Files selected for processing (5)

• docs/todo-summary2.md
• docs/todo15.md
• src/cli-push-runner/src/stages/bookmark_check.rs
• src/cli-push-runner/src/stages/bookmark_check/tests.rs
• src/cli-push-runner/src/stages/push.rs

💤 Files with no reviewable changes (2)

• docs/todo-summary2.md
• docs/todo15.md

Included review availability: Your plan provides up to 1 included review per hour; 0 remain after this review.

---

📝 Walkthrough

Walkthrough

bookmark_check は jj bookmark list の失敗時に fail-closed で push を停止します。判定結果、案内文、テスト、push の説明、関連 TODO を更新しました。

Changes

bookmark_check の失敗時停止

Layer / File(s)	Summary
bookmark 判定と中断結果 src/cli-push-runner/src/stages/bookmark_check.rs	bookmark 一覧の取得失敗を BookmarkListUnavailable として扱います。失敗時は HEAD 状態を照会せず、push を停止します。中断理由と再実行条件を報告します。
回帰検証と関連文書 src/cli-push-runner/src/stages/bookmark_check/tests.rs, src/cli-push-runner/src/stages/push.rs, docs/todo-summary2.md, docs/todo15.md	bookmark 解析、空の working copy、親リビジョン、取得失敗時の fail-closed 動作を検証します。push 条件の説明と完了済み TODO を更新します。

Estimated code review effort: 4 (Complex) | ~45 minutes

Merge Risk: ⚪ Minimal · up to 73c33

The change stops the push stage when bookmark discovery fails and adds focused regression coverage; no actionable merge-blocking risk remains after normal checks and review.

Sequence Diagram(s)

sequenceDiagram
  participant bookmark_check
  participant jj
  participant push_pipeline
  bookmark_check->>jj: jj bookmark list を実行
  jj-->>bookmark_check: bookmark 一覧または実行エラー
  bookmark_check->>push_pipeline: 成功結果を返す、または中断する

Loading

🚥 Pre-merge checks | ✅ 5

✅ Passed checks (5 passed)

Check name	Status	Explanation
Description Check	✅ Passed	Check skipped - CodeRabbit’s high-level summary is enabled.
Title check	✅ Passed	タイトルは、bookmark_check の jj bookmark list 失敗時を fail-closed に変更する主な修正内容を明確に示しています。
Docstring Coverage	✅ Passed	Docstring coverage is 84.78% which is sufficient. The required threshold is 80.00%. Docstring coverage is scoped to functions touched by this diff. Analyzed 46 functions across 3 files.
Linked Issues check	✅ Passed	Check skipped because no linked issues were found for this pull request.
Out of Scope Changes check	✅ Passed	Check skipped because no linked issues were found for this pull request.

✨ Finishing Touches

📝 Generate docstrings

• Create stacked PR
• Commit on current branch

🧪 Generate unit tests (beta)

• Create PR with unit tests
• Commit unit tests in branch fix/bookmark-check-fail-closed

---

Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.

❤️ Share

• X
• Mastodon
• Reddit
• LinkedIn

_{Comment @coderabbitai help to get the list of available commands.}

[github-actions]

🤖 PR Monitor 分析 (GitHub Actions バックストップ)

• トリガー: issue_comment (created) / 実行 run
• CI: rust (ubuntu-latest) pending / rust (windows-latest) pending / request skipping — 全 check 未確定
• レビュー状況: CodeRabbit は「10 stars 未満の OSS リポジトリのため自動レビュー対象外 (manual trigger 必要)」の定型通知のみ (review 0 件)。人間レビューも 0 件。インライン指摘 0 件。→ 未実施 (陽性証拠なし)
• Verdict: user_decision

Applicable Findings (Critical / High / Major)

(該当なし — レビュー未実施)

Applicable Findings (Medium 以下)

(該当なし)

Filtered (not applicable)

(該当なし)

次のアクション

• CodeRabbit レビューが自動発火しないリポジトリ設定 (10 stars 未満) のため、必要なら @coderabbitai review で手動トリガーするか、人間レビューで代替する。
• CI (rust (ubuntu-latest) / (windows-latest)) が pending のため、完了後に結果を確認する。
• 変更は bookmark_check.rs を fail-open → fail-closed に倒す設計変更 (順位 288(b) / ADR-043 準拠) とテスト・todo 台帳更新のみで、diff 自体は自己完結している。レビュー証拠が揃うまでマージ判断を保留。