docs: PLAN54 / PLAN55 を機密ストアの確定仕様へ取り込む (#168, #169)

[takemi-ohama]

概要

マージ済みの PLAN55（#177）と PLAN54（#178）を、機密ストアの確定仕様 docs/specifications/secret-backend.md へ as-is 仕様として取り込み、計画ファイル（issues/PLAN54_* / issues/PLAN55_*）を削除する。PLAN51 のときと同じ扱い。

関連 Issue

• devbase up が機密を 2 度注入し、サーバ backend では HTTP 往復が設計の想定の 2 倍になる #168、base イメージに OpenBao の CLI（bao）を入れ、起動中のコンテナから機密を取得・変更できるようにする #169（いずれもクローズ済み。この PR では閉じない）

変更点

• 概要・用語・構成要素（runtime の持ち回り、container_token、up / scale の後処理、base イメージ）と構成図
• 新しい節: 「SecretStore の持ち回り」（注入 3 か所の理由、捨てる契機 3 つ、up の往復表）、「コンテナの中の bao」、「devbase env token」（処理の順と止まる条件）
• 「OpenBao との契約」の往復回数と token の保存の記述を現行に合わせた
• 常に成り立つ条件・セキュリティ・運用・テスト観点・関連リンクへの追記
• 計画から落としたもの: タスク分解、ラウンドの記録、採らなかった案の詳細（結論と理由だけ残した）

動作確認

• 仕様の関数名・ファイル・引数をマージ後の main（6437131）と照合: runtime.store_for / release_store、_dispatch_lifecycle の finally・tui/dispatch.py の入口・_ensure_env_files の finally の 3 か所、_push_bao_token(..., start=current_scale + 1)、container_token.WRITE_COMMAND、Dockerfile の ARG BAO_VERSION と bao_sum
• 相対リンク 4 件の存在確認、コードフェンスの対応
• テスト観点に挙げた 6 ファイルの存在確認
• CI が green である

行数は 511 → 645。既存の仕様が 500 行を超えていたため、節の分割はこの PR では行っていない。

🤖 Generated with Claude Code

https://claude.ai/code/session_01WWoEdi3vSQQnLLas1fVNLL

[takemi-ohama]

🤖 cross-review | round 1 | kiro | APPROVE

計画ファイルの確定仕様への取り込みと計画ファイルの削除。仕様が主張する関数名・引数・ファイル・リンク・テストを worktree の実装（runtime.store_for/release_store、OpenBaoBackend.issue_token、_push_bao_token(..., start=current_scale + 1)、container_token、cmd_env_token の処理順と DEVBASE_DOCKER_CONTEXT の優先順、Dockerfile の ARG BAO_VERSION=2.6.2 と checksums.txt 検証）と照合し、いずれも一致。参照テスト 8 本と相対リンク（remote-docker-context.md ほか）の存在も確認。削除した issues/PLAN54_* / PLAN55_* へのパス参照は docs/コードに残っていない（PLAN54/PLAN55 の語はコード内の履歴コメントのみでファイル参照ではない）。修正すべき点は見つからなかった。

[takemi-ohama]

🤖 cross-review | round 1 | agy | APPROVE

PLAN54 / PLAN55 の確定仕様の取り込みおよび計画ファイルの削除内容が、実装コード・テスト・既存ドキュメントと完全に整合していることを確認しました。指摘事項はありません。

[takemi-ohama]

🤖 cross-review | round 2 | kiro | APPROVE

仕様への as-is 取り込みとして妥当。追加/変更された記述をマージ後コードと照合し、修正を要する差分は見つからなかった。

検証した主な照合点（すべて一致）:

• runtime.store_for / release_store（lib/devbase/env/runtime.py:43,53）、注入 3 か所と _ensure_env_files の存在判定の区別（「3 か所で注入」は injection と存在判定を正しく分離しており矛盾なし）
• env token の処理順（lib/devbase/commands/env.py:342-）— backend 判定 → --print 即ログイン → プロジェクト/dev サービス名/接続先/対象コンテナ → ログイン → 書き込み。_running_dev_containers の <dev>-<n>（n>=1）絞り込み（env.py:237-）も記述どおり
• container_token.WRITE_COMMAND（stdin 渡し・mktemp→chmod 0600→mv -f）
• issue_token（lib/devbase/env/openbao.py:223）
• Dockerfile の ARG BAO_VERSION=2.6.2・両アーキ・checksums.txt 検証で build 停止・backend 非依存の導入（containers/base/Dockerfile:158-）
• 相対リンク 4 件（remote-docker-context.md 含む）はすべて実在
• 削除した issues/PLAN54_* / PLAN55_* へのパス参照は他所に残っていない（コード内の "PLAN54/55" 記述は設計判断マーカーで、削除ファイルへの参照ではない）
• token / secret_id の非露出方針が「常に成り立つ条件」に明記されており、記述と実装が整合

インライン指摘なし。

[takemi-ohama]

🤖 cross-review | round 2 | codex | REQUEST_CHANGES

往復回数の集計対象について、修正指摘 1 件です。