Merge pull request #772 from hideyukiMORI/chore/deps-floors-and-mcp-constraint

chore(deps): 直接依存の下限をセキュリティ床に上げ mcp を 1.x に固定する (v1.8.170)

Author: hideyukiMORI

CHANGELOG.md

@@ -8,7 +8,49 @@ Format follows [Keep a Changelog](https://keepachangelog.com/en/1.1.0/).
 
 ---
 
-## [1.8.169] — 2026-08-12
+## [1.8.170] — 2026-08-12
+
+依存の下限をセキュリティ床として引き上げ、mcp を 1.x 系に固定した。
+
+### ⚠️ 公開メタデータの変更 — 利用者の解決結果が変わります
+
+直接依存の**下限を引き上げた**ため、`requires-dist`（PyPI 配布物の依存要件）が変わります。
+本バージョンをインストールすると、以下より古い版は**解決されなくなります**。
+
+| 依存 | 変更 | 引き上げた理由（advisory ID） |
+|---|---|---|
+| `mcp` | `>=1.0` → **`>=1.28.1`** | PYSEC-2026-3481 / 3482 / 3483 |
+| `python-multipart` | `>=0.0.12` → **`>=0.0.31`** | PYSEC-2026-3036 / 3037 / 3040 |
+| `pydantic-settings` | `>=2.6` → **`>=2.14.2`** | GHSA-4xgf-cpjx-pc3j |
+
+これらの古い版に固定している利用者は解決に失敗します。**その構成は脆弱**なので、
+更新してください。`uv.lock` はこのリポジトリの CI と開発環境しか守らないため、
+利用者へ伝播させるには宣言側の下限を上げる必要がありました。
+
+### Added
+- `[tool.uv] constraint-dependencies = ["mcp<2"]` を追加し、mcp を **1.x 系に固定**した。
+  - **何を止めているか**: `uv lock --upgrade` での mcp 2.0 系への意図しない追随。
+  - **理由**: 2.0.0 で `mcp.server.fastmcp` が `mcp.server.mcpserver` へ改名され、
+    `src/nene2/mcp/server.py` が `ModuleNotFoundError` で壊れる（実測済み）。
+    advisory 要求の 1.28.1 は 1.x 系で完全に充足しており、急いで移行する必要がない。
+  - **外す条件**: (a) 上流の mcp 1.x サポート終了、または (b) 2.0 固有機能が必要になったとき。
+  - **参照**: 移行の設計ノートは [日報 2026-08-12 §2](docs/review/2026-08-12.md)。
+  - 🔑 `constraint-dependencies` は `uv.lock` の解決にのみ適用され、
+    **`requires-dist` には漏れない**。実測で確認済み（`mcp` の `requires-dist` は
+    `>=1.28.1` のままで `<2` は含まれない）。したがって**利用者の解決に上限は伝播せず**、
+    ライブラリに上限を書いたときの下流での解決衝突を起こさない。
+
+### Notes
+- 🔴 **`cryptography` / `starlette` / `pyjwt` は下限を上げていない**（本リリースの射程外）。
+  実測の結果、これらは**親の下限では安全版に到達できない**ことが分かった:
+  - `pyjwt` ← `mcp[crypto]` の宣言は `pyjwt[crypto]>=2.10.1`（必要版 2.13.0 に届かない）
+  - `cryptography` ← `pyjwt[crypto]` の宣言は `cryptography>=3.4.0`（同上）
+  - `starlette` ← `fastapi 0.136.1`（最新）の宣言は `starlette>=0.46.0`（必要版 1.3.1 に届かない）
+
+  塞ぐには nene2-python が直接依存として宣言するしかなく、**使っていない依存を
+  バージョン床のためだけに抱える**ことになる。ライブラリとしての是非を含めて要判断。
+- `msgpack` は `cachecontrol` ← `pip-audit[filecache]` 経由の **dev 依存のみ**で、
+  配布物には含まれない。利用者には影響しない。
 
 CI を push から切り離し、週次で外界の変化（上流 advisory）を検知できるようにした。
 

docs/review/2026-08-12.md

@@ -1,7 +1,7 @@
 # 日報 — 2026-08-12
 
 **作業者**: hideyukiMORI
-**バージョン**: v1.8.169（セッション終了時点）
+**バージョン**: v1.8.170（セッション終了時点）
 
 ---
 
@@ -269,13 +269,69 @@ GitHub により自動的に無効化される**（公式ドキュメントに
 
 ---
 
-## 5. 明日以降の方針
+## 5. 依存の下限引き上げと mcp の 1.x 固定（v1.8.170）
+
+`uv.lock` は**このリポジトリの CI と開発環境しか守らない**。PyPI から入れた利用者が
+古い版に固定していれば、脆弱な依存で動く。利用者へ伝播させるには宣言側を上げる必要がある。
+
+### 5-1. 直接依存の下限をセキュリティ床として引き上げ（公開メタデータが変わる）
+
+| 依存 | 変更 | advisory |
+|---|---|---|
+| `mcp` | `>=1.0` → **`>=1.28.1`** | PYSEC-2026-3481 / 3482 / 3483 |
+| `python-multipart` | `>=0.0.12` → **`>=0.0.31`** | PYSEC-2026-3036 / 3037 / 3040 |
+| `pydantic-settings` | `>=2.6` → **`>=2.14.2`** | GHSA-4xgf-cpjx-pc3j |
+
+### 5-2. mcp を 1.x 系に固定（`constraint-dependencies`）
+
+```toml
+[tool.uv]
+constraint-dependencies = ["mcp<2"]
+```
+
+`pyproject.toml` の `dependencies` に `mcp<2` と書くと、**上限が全利用者へ伝播して
+下流の解決衝突を生む**（ライブラリに上限を書かない慣行の理由）。
+`constraint-dependencies` は `uv.lock` の解決にのみ適用され、`requires-dist` には漏れないので、
+**その副作用だけを外せる**。実測で確認した:
+
+| 確認項目 | 結果 |
+|---|---|
+| 解決される `mcp` | **1.29.0**（2.0.0 へ飛ばない） |
+| `requires-dist` の `mcp` | **`>=1.28.1`**（`<2` は含まれない） |
+| 対照: `uv lock --upgrade-package mcp` を明示実行 | **1.29.0 のまま・lock に差分なし** |
+
+外す条件は (a) 上流の 1.x サポート終了、(b) 2.0 固有機能が必要になったとき。
+`pyproject.toml` のコメントに①何を止めているか②理由③外す条件④参照先を併記した。
+**理由の無い制約は、半年後には理由不明の呪いになる。**
+
+### 5-3. 🔴 残り 4 パッケージは親の下限では塞げない（実測）
+
+今回の advisory 8 パッケージのうち、直接依存は上記 3 つだけ。残り 4 つの経路を `uv tree` で実測:
+
+| パッケージ | 経路 | 親の宣言 | 必要版 | 到達可否 |
+|---|---|---|---|---|
+| `pyjwt` | ← `mcp[crypto]` | `pyjwt[crypto]>=2.10.1` | 2.13.0 | 🔴 **不能** |
+| `cryptography` | ← `pyjwt[crypto]` ← `mcp[crypto]` | `cryptography>=3.4.0` | 50.0.0 | 🔴 **不能** |
+| `starlette` | ← `fastapi` ＋ `mcp` ＋ `sse-starlette` | `fastapi 0.136.1`（最新）が `starlette>=0.46.0` | 1.3.1 | 🔴 **不能** |
+| `msgpack` | ← `cachecontrol` ← `pip-audit[filecache]` | `msgpack>=0.5.2,<2.0.0` | 1.2.1 | 🟢 **dev 依存のみ・配布物に含まれない** |
+
+**`msgpack` は利用者に無関係**（dev 専用）。残り 3 つは、**最新の親でさえ下限が足りない**ため、
+親の版を上げるという手段では到達できない。塞ぐには nene2-python が
+`pyjwt` / `cryptography` / `starlette` を**直接依存として宣言する**しかなく、
+**使っていない依存をバージョン床のためだけに抱える**ことになる。
+
+ライブラリとしての是非を含めて要判断のため、本リリースの射程外とした。
+
+---
+
+## 6. 明日以降の方針
 
 | 優先度 | タスク |
 |---|---|
-| 中 | **mcp 2.0 移行**（本日の調査 §2 が設計ノート。バージョン境界の決定が着手条件） |
-| 中 | **依存の定期再検査を仕組み化**（`schedule:` トリガー CI か月次 `uv lock --upgrade` 運用） |
-| 判断待ち | `pyproject.toml` の `mcp` / `python-multipart` / `pydantic-settings` の下限引き上げ（利用者影響あり） |
+| 判断待ち | 🔴 **推移的依存（`pyjwt` / `cryptography` / `starlette`）を直接宣言して床を作るか**（§5-3）。ライブラリが使っていない依存を抱える是非 |
+| 判断待ち | **CI 失敗の通知経路**（配信は機能しているが受信箱が飽和・§4） |
+| 中 | 🔴 **週次 schedule 自体の生存監視**（60 日自動無効化・§4） |
+| 塩漬け | **mcp 2.0 移行**（§2 が設計ノート。`constraint` で 1.x 固定済み。解除条件は §5-2） |
 | 低 | PyJWT 推移的 CVE（PYSEC-2025-183）— mcp 修正待ち |
 
 オープン Issue / PR: ゼロ。main クリーン。**CI グリーン**（3.12 / 3.14・実 DB 統合テスト含む）。

docs/todo/current.md

@@ -1,7 +1,7 @@
 # TODO — current
 
 最終更新: 2026-08-12
-現状: **v1.8.169 / 依存の既知脆弱性 22 件を解消し CI を緑に復帰 / 471 tests・カバレッジ 93%**
+現状: **v1.8.170 / 依存の既知脆弱性 22 件を解消し CI を緑に復帰 / 471 tests・カバレッジ 93%**
 
 ---
 
@@ -21,6 +21,16 @@
 - Python **3.12 / 3.14 の両方**で pytest・mypy・ruff・pip-audit を確認
 - 再発の根: **定期再検査の装置が無い**こと。コード凍結中でも advisory は増える
 
+**2026-08-12（v1.8.170）— 依存の下限引き上げと mcp の 1.x 固定。**
+`uv.lock` はこのリポの CI と開発環境しか守らないため、利用者へ伝播させるべく宣言側を上げた。
+
+- ⚠️ **公開メタデータ（`requires-dist`）が変わる**: `mcp>=1.28.1` / `python-multipart>=0.0.31` /
+  `pydantic-settings>=2.14.2`。これより古い版に固定している利用者は解決に失敗する（その構成は脆弱）
+- `[tool.uv] constraint-dependencies = ["mcp<2"]` で mcp を **1.x 系に固定**。
+  `requires-dist` には漏れないため**利用者の解決に上限は伝播しない**（実測確認済み）
+- 🔴 `pyjwt` / `cryptography` / `starlette` は**親の下限では塞げない**ことが実測で判明
+  （下記「明日以降の優先タスク」の判断待ち行）
+
 **2026-08-12（v1.8.168）— 記録の整備。**
 上記セッションの実測を [日報 2026-08-12](../review/2026-08-12.md) に記録した。
 とくに **§2 は mcp 2.0 移行の設計ノート**（依存の実体・2.0 での変更点・落ちた 4 本が
@@ -181,7 +191,8 @@ v1.8.161）、#553（#578 で実装済みを確認し close）、ハウスキー
 | — | — | FT は保守 + オンデマンド（4 トリガー時のみ。[方法論](../explanation/field-trial-methodology.md)） | FT |
 | — | — | リリース時は `v*` タグ push → publish.yml が自動公開（[手順](../how-to/release-and-publish.md)） | infra |
 | 低 | — | PyJWT 推移的 CVE（PYSEC-2025-183）— mcp 修正待ち | 保留 |
-| 中 | — | **mcp 2.0 系への移行**（2026-08-12 調査済み）— 2.0.0 で `mcp.server.fastmcp` が `mcp.server.mcpserver` に改名。**実測の移行規模は概算 11 行**（`src/nene2/mcp/server.py` の 1 行が唯一の依存点・`src/example/mcp.py` は `LocalMcpServer` 越しで変更不要）。実質的な破壊点は `call_tool()` の戻り値が `CallToolResult` になったことのみ。**着手条件＝`mcp` のバージョン境界の決定**。調査と移行方針は [日報 2026-08-12 §2](../review/2026-08-12.md) が設計ノート。<br>🔴 **訂正**: 当初「`src/nene2/mcp/` と `src/example/mcp.py` の全面書き換えが必要」と記載していたが**過大評価だった**。根拠が「テストが 4 本落ちた」だけで依存の実体を測っていなかった（`grep` で `server.py` の 1 行のみと判明）。着手判断には訂正後の数字を使うこと | 保守 |
+| 🧊 塩漬け | — | **mcp 2.0 系への移行**（2026-08-12 調査済み・**v1.8.170 で 1.x 固定**）— 2.0.0 で `mcp.server.fastmcp` が `mcp.server.mcpserver` に改名。**実測の移行規模は概算 11 行**（`src/nene2/mcp/server.py` の 1 行が唯一の依存点・`src/example/mcp.py` は `LocalMcpServer` 越しで変更不要）。実質的な破壊点は `call_tool()` の戻り値が `CallToolResult` になったことのみ。`[tool.uv] constraint-dependencies = ["mcp<2"]` で固定済みなので**急がない**（advisory は 1.29.0 で全て閉じている）。**解除条件＝(a) 上流の 1.x サポート終了 (b) 2.0 固有機能が必要になったとき**。調査と移行方針は [日報 2026-08-12 §2](../review/2026-08-12.md) が設計ノートで、**解除時にそのまま着手できる状態で凍結**してある。<br>🔴 **訂正**: 当初「`src/nene2/mcp/` と `src/example/mcp.py` の全面書き換えが必要」と記載していたが**過大評価だった**。根拠が「テストが 4 本落ちた」だけで依存の実体を測っていなかった（`grep` で `server.py` の 1 行のみと判明）。着手判断には訂正後の数字を使うこと | 保守 |
+| 判断待ち | — | 🔴 **推移的依存に床を作るか**（2026-08-12 実測）— `pyjwt` / `cryptography` / `starlette` は**最新の親でさえ下限が足りず**、親の版を上げる手段では安全版に到達できない（`fastapi 0.136.1` の宣言は `starlette>=0.46.0`・必要版 1.3.1／`mcp 1.29.0` の宣言は `pyjwt[crypto]>=2.10.1`・必要版 2.13.0）。塞ぐには**使っていない依存を床のためだけに直接宣言する**しかない。ライブラリとしての是非を含めて要判断。[日報 2026-08-12 §5-3](../review/2026-08-12.md) | 判断 |
 | ~~中~~ | — | ~~**依存の定期再検査を仕組み化**~~ | infra |
 | — | — | ✅ **2026-08-12 解消（v1.8.169）** — `ci.yml` に週次 `schedule`（月曜 09:30 JST）＋ `workflow_dispatch` ＋ `concurrency`（`github.event_name` 込み）を追加。[日報 2026-08-12 §4](../review/2026-08-12.md) | infra |
 | 中 | — | 🔴 **週次 schedule 自体の生存監視**（2026-08-12 判明）— public リポの scheduled workflow は**活動が 60 日無いと GitHub が自動無効化**する。本リポの空白は **74 日**で 14 日超過しており、**装置が自身の検知対象によって止められうる**。外部からの `workflow_dispatch` 発火など、リポジトリ単体では解決できない | infra |

pyproject.toml

@@ -1,6 +1,6 @@
 [project]
 name = "nene2-python"
-version = "1.8.169"
+version = "1.8.170"
 description = "NENE2 Python — minimal API framework following NENE2's design philosophy"
 readme = "README.md"
 license = {text = "MIT"}
@@ -25,12 +25,15 @@ dependencies = [
     "fastapi>=0.115",
     "uvicorn[standard]>=0.32",
     "pydantic>=2.9",
-    "pydantic-settings>=2.6",
-    "python-multipart>=0.0.12",
+    # 下限はセキュリティ床でもある。以下 3 つは 2026-08-12 に既知脆弱性が確認された版を
+    # 利用者が選べないようにするための引き上げ（uv.lock はこのリポの CI と開発環境しか
+    # 守らないため、利用者へ伝播させるには宣言側を上げる必要がある）。
+    "pydantic-settings>=2.14.2",  # GHSA-4xgf-cpjx-pc3j
+    "python-multipart>=0.0.31",  # PYSEC-2026-3036 / 3037 / 3040
     "sqlalchemy>=2.0.49",
     "alembic>=1.18.4",
     "structlog>=24.0",
-    "mcp>=1.0",
+    "mcp>=1.28.1",  # PYSEC-2026-3481 / 3482 / 3483（上限は [tool.uv] の constraint 側で管理）
     "pyyaml>=6.0",
     "httpx>=0.27",
 ]
@@ -65,6 +68,27 @@ dev = [
     "pymysql>=1.1",
 ]
 
+# ---------------------------------------------------------------------------
+# uv — ローカル/CI の解決だけに効く制約
+#
+# constraint-dependencies は uv.lock の解決に適用されるが、配布物の依存要件
+# （[package.metadata] requires-dist）には漏れない。つまり利用者の解決には
+# 影響しないので、ライブラリに上限を書く際の副作用（下流の解決衝突）を伴わない。
+# ---------------------------------------------------------------------------
+[tool.uv]
+constraint-dependencies = [
+    # ① 何を止めているか: mcp 2.0 系への自動追随（`uv lock --upgrade` での意図しない飛び）。
+    # ② 理由: 2.0.0 で `mcp.server.fastmcp` が `mcp.server.mcpserver` へ改名され、
+    #    `src/nene2/mcp/server.py` の `from mcp.server.fastmcp import FastMCP` が
+    #    ModuleNotFoundError で壊れる（2026-08-12 に実測。MCP 系テスト 4 本が収集エラー）。
+    #    現行の advisory 要求は 1.28.1 以上であり、1.x 系で完全に充足している。
+    # ③ 外す条件: (a) 上流の mcp 1.x サポートが終了したとき、または
+    #    (b) 2.0 固有の機能が必要になったとき。どちらかが満たされたら外して移行する。
+    # ④ 参照: 移行の設計ノート（実測の移行規模・方針 4 案と推し・再現手順）は
+    #    docs/review/2026-08-12.md §2。解除時はそのまま着手できる状態で凍結してある。
+    "mcp<2",
+]
+
 # ---------------------------------------------------------------------------
 # pytest
 # ---------------------------------------------------------------------------