docs: PLAN60 / PLAN61 / PLAN62 を確定仕様へ取り込む (#141, #146, #142, #196, #200, #185)

[takemi-ohama]

Summary

マイルストーン v3.6.0 でマージした 3 つの plan を、実装と一致する確定仕様へ書き直す。

• docs/specifications/cli-argument-resolution.md（新設）: bin/devbase と Python 側の位置引数の解決（名前の形・build の衝突・build --help・container グループ）
• docs/specifications/secret-backend.md: 機密の置き場の DEVBASE_ACCOUNT_GROUP を注入しない挙動を反映し、機密の置き場に書いた DEVBASE_ACCOUNT_GROUP が注入でプロセスへ載り、ボリュームのグループを変えうる #185 を未決の課題として書いていた箇所を実態へ書き替える
• docs/developer/contributing.md: CI が実行する内容に pytest を足す
• 取り込んだ plan と設計文書を issues/old/ へ移動

Test plan

• 仕様の記述を実装（bin/devbase / lib/devbase/utils/names.py / lib/devbase/env/runtime.py / lib/devbase/commands/env.py）と照合した
• cross-review（この PR で実施）

🤖 Generated with Claude Code

[takemi-ohama]

🤖 cross-review | round 1 | kiro | APPROVE

実装との照合レビュー。指摘なし。

• cli-argument-resolution.md: bin/devbase の _SINGLE_SEGMENT_NAME_RE・maybe_cd_project・_PROJECT_NAME_SUBCOMMANDS(up down ps logs scale rebuild open)・_NAME_RESOLVABLE_SHORTCUTS(up down ps scale login build rebuild open)・build_usage、lib/devbase/utils/names.py、cli._named_lifecycle_project、container._resolve_project_name / _build_single_image(エラー文言含む) と一致。build の衝突通知の文言も実装と一致。
• secret-backend.md: runtime._without_account_group / _warned_account_group_refs / _account_group_delete_hint と、env.cmd_env_set の DEVBASE_ACCOUNT_GROUP 拒否(置き場を開く前・前後空白 strip 後に比較)の挙動・文言と一致。
• contributing.md: .github/workflows/ci.yml の compileall(3.10/3.11/3.12)・ruff check --select=E9,F63,F7,F82 lib・bin/+install.sh の ShellCheck・uv sync --locked 後の pytest(3.10/3.13) と一致。
• issues/ → issues/old/ のリネーム: 移動した PLAN60/61/62 への外部参照(コード/CI/docs)なし。相互リンクは相対名で同ディレクトリ内に閉じており破綻なし。editor-open.md から新規仕様への相対リンクも解決可能。

[takemi-ohama]

🤖 cross-review | round 2 | codex | REQUEST_CHANGES

修正が必要な記述を1件指摘します。

[takemi-ohama]

🔧 /ndf:fix サマリ

対応件数: critical=0 / major=0 / minor=1 (合計 1 件)
deferred: 0 件 / rejected: 0 件
commit: daea93e
CI: SUCCESS（push 前スナップショット。Pytest 3.10/3.13・syntax check 3.10/3.11/3.12・Ruff・ShellCheck すべて pass）

詳細

• [minor / 正確性] docs/specifications/cli-argument-resolution.md:243（codex round 2） — 対応・resolve 済み
  • 「残る衝突」の回避手順が「対象プロジェクトのディレクトリの中で実行する」となっていたが、maybe_cd_project（bin/devbase:349-353）は $DEVBASE_ROOT/projects/<値> の実在だけを見るため現在地に依らず、回避にならない。
  • devbase project login <index>（project login は [name] を取らず _PROJECT_NAME_SUBCOMMANDS の外）と devbase project scale <name> <N>（名前が取り除かれ残る値が new_scale）へ置き換えた。
  • 同じ誤りがあった docs/user/cli-reference/02-project.md:40-43 も合わせて修正。
  • 検証: tests/cli/test_project_name_resolution.py の _run_wrapper と同じハーネスで、projects/2 と projects/web を持つ一時 root を作り projects/web から実行して cd 先と Python へ渡る引数を確認した。

残る未解決スレッド

0 件。

[takemi-ohama]

🤖 cross-review | round 3 | codex | REQUEST_CHANGES

仕様と実装の不一致について、文書の修正を 1 件指摘します。

[takemi-ohama]

🔧 /ndf:fix サマリ（cross-review 最終スイープ）

対応件数: critical=0 / major=0 / minor=1 (合計 1 件)
deferred: 0 件 / rejected: 0 件
commit: 6ac68b0
CI: 現時点のスナップショットで FAILURE なし（syntax check 3.10/3.11/3.12・Ruff・ShellCheck が pass、Pytest 3.10/3.13 は pending。完了待ちはしない）

詳細

• [minor / 正確性] docs/specifications/cli-argument-resolution.md:232（codex round 3） — 対応・resolve 済み
  • 「projects/ の外のディレクトリへ cd せず、そこの env も読まない」という断定が、実装にない隔離保証と読めていた。
  • 事実確認: ls -l $DEVBASE_ROOT/projects の項目は大半がプラグインの同期が張るシンボリックリンクで、実体は .gitignore:12 で除外された repos/ 配下にある（例: adminer -> ../repos/github.com--devbasex--devbase-samples/adminer/projects/adminer）。maybe_cd_project の cd "$target"（bin/devbase:349-353）も Python 側の os.chdir（container._resolve_project_name）もリンクを辿るため、実体のディレクトリへ移動してそこの env を source する。
  • 保証を「位置引数に .. や / を混ぜて $DEVBASE_ROOT/projects/<name> の外を指すこと（パストラバーサル）を拒む」範囲へ限定し、「リンクの先は対象外」の節を追加して、登録済みリンクの実体へ移動するのは意図した動きでこの計画は変えていないことを明記した。
  • 同じ断定があった docs/user/cli-reference/02-project.md:24 も合わせて修正。
  • 対象外と判断したもの: 同ファイル「テスト観点」の記述は「形に合わない名前で」と限定済み。docs/specifications/secret-backend.md:524 は OpenBao の KV パスについての記述でファイルシステムの symlink とは無関係。issues/old/PLAN61_* は完了した計画の記録のため変更しない。

検証

Markdown のみの変更で、リポジトリの検証（.github/workflows/ci.yml の compileall / ruff check lib / ShellCheck (bin/ + install.sh) / uv run pytest tests/、pyproject.toml の pytest 設定、Makefile・package.json の有無）を確認したが、docs/**.md に掛かるものは無いため実行していない。

残る未解決スレッド

0 件。