App Store 2.5.2 に触れる実装を、提出前にリポジトリから洗い出す

#!/usr/bin/env node
// scan-2-5-2.mjs — アプリの機能を後から変える経路を洗い出す
// 使い方: node scan-2-5-2.mjs src app
import { readdirSync, readFileSync, statSync } from "node:fs";
import { join, extname } from "node:path";
 
const TARGET_EXT = new Set([".js", ".jsx", ".ts", ".tsx"]);
const SKIP_DIR = new Set(["node_modules", ".git", "ios", "android", "dist", "build"]);
 
// severity: block = 提出前に必ず消す / review = 用途を説明できるなら残せる
const RULES = [
  { id: "eval-call",         severity: "block",  re: /(^|[^.\w])eval\s*\(/,
    hint: "文字列をコードとして実行しています" },
  { id: "function-ctor",     severity: "block",  re: /new\s+Function\s*\(/,
    hint: "Function コンストラクタは eval と同じ扱いです" },
  { id: "remote-import",     severity: "block",  re: /import\s*\(\s*[`'"]https?:\/\//,
    hint: "リモートのモジュールを実行時に読み込んでいます" },
  { id: "webview-inject",    severity: "review", re: /injectedJavaScript(BeforeContentLoaded)?\s*[=:]/,
    hint: "WebView に注入する JS の出どころを確認してください" },
  { id: "webview-html",      severity: "review", re: /source\s*=\s*\{\{\s*html\s*:/,
    hint: "任意の HTML を描画していないか確認してください" },
  { id: "remote-screen-map", severity: "review", re: /components?\s*\[\s*(remote|payload|res(ponse)?|json)\w*\./i,
    hint: "リモート値から画面実装を選んでいます" },
];
 
function walk(dir, out = []) {
  for (const name of readdirSync(dir)) {
    if (SKIP_DIR.has(name)) continue;
    const p = join(dir, name);
    if (statSync(p).isDirectory()) walk(p, out);
    else if (TARGET_EXT.has(extname(p))) out.push(p);
  }
  return out;
}
 
// 行頭が // または * の行だけ除外する。過検出は残す方針（見落としより安全）
const isComment = (line) => /^\s*(\/\/|\*|\/\*)/.test(line);
 
const roots = process.argv.slice(2);
if (roots.length === 0) {
  console.error("usage: node scan-2-5-2.mjs <dir> [dir...]");
  process.exit(2);
}
 
const findings = [];
let scanned = 0;
 
for (const root of roots) {
  for (const file of walk(root)) {
    scanned++;
    const lines = readFileSync(file, "utf8").split("\n");
    lines.forEach((line, i) => {
      if (isComment(line)) return;
      for (const rule of RULES) {
        if (rule.re.test(line)) {
          findings.push({ file, line: i + 1, ...rule, text: line.trim().slice(0, 100) });
        }
      }
    });
  }
}
 
const blocks = findings.filter((f) => f.severity === "block");
const reviews = findings.filter((f) => f.severity === "review");
 
for (const f of findings) {
  const mark = f.severity === "block" ? "BLOCK " : "REVIEW";
  console.log(`${mark} ${f.file}:${f.line}  [${f.id}] ${f.hint}`);
  console.log(`        ${f.text}`);
}
 
console.log(`\nscanned ${scanned} files / block ${blocks.length} / review ${reviews.length}`);
process.exit(blocks.length > 0 ? 1 : 0);

BLOCK  src/lib/formula.ts:3  [function-ctor] Function コンストラクタは eval と同じ扱いです
        const fn = new Function(...keys, `return (${expr});`);
BLOCK  src/lib/formula.ts:7  [eval-call] 文字列をコードとして実行しています
        return eval(expr);
BLOCK  src/lib/plugins.ts:2  [remote-import] リモートのモジュールを実行時に読み込んでいます
        const mod = await import(`https://cdn.example.com/plugins/${name}.mjs`);
REVIEW src/screens/Help.tsx:3  [webview-inject] WebView に注入する JS の出どころを確認してください
        return <WebView source={{ html: html }} injectedJavaScript={boot} />;
REVIEW src/screens/Help.tsx:3  [webview-html] 任意の HTML を描画していないか確認してください
        return <WebView source={{ html: html }} injectedJavaScript={boot} />;
REVIEW src/screens/Router.tsx:5  [remote-screen-map] リモート値から画面実装を選んでいます
        return components[remote.screen];
 
scanned 7 files / block 3 / review 3

# .github/workflows/preflight.yml の一部
- name: Scan for 2.5.2 risks
  run: node scripts/scan-2-5-2.mjs src app

const retrieval = (q: string) => q;            // 検出されない（意図どおり）
const msg = "eval( is not allowed in this app"; // ← BLOCK として検出された
// eval(dangerous)                              // 検出されない（意図どおり）
export const upsert = (db: any) => db.eval("noop"); // 検出されない（意図どおり）

node scan-2-5-2.mjs src