> ## Documentation Index
> Fetch the complete documentation index at: https://translations.mintlify.site/llms.txt
> Use this file to discover all available pages before exploring further.

> 当社のコーディングガイドラインに沿って、明確で簡潔かつ安全な Actions コードを記述しましょう。

# Actions コーディングガイドライン

本番環境を円滑に運用するために、以下のガイドラインに従って、高性能で安全かつ明確な Actions コードを記述してください。

<div id="actions-basics">
  ## Actions の基本
</div>

* ログイン中にリクエストが積み重なるのを避けるため、HTTP リクエストはできるだけ少なくし、妥当なタイムアウト (10 秒未満) を設定します。
* 特定のアプリケーションに対して Action を実行するかどうかを判断するには、[application metadata](/docs/ja-jp/get-started/applications/configure-application-metadata) を使用して対象のアプリケーションを絞り込みます。

  * 例: Action の実行内容を部分的または全面的に変えるために使う、アプリケーション固有の値やアプリケーションのグループ値。
* ユーザープロファイルにカスタムデータを保存するには、`user_metadata`/`app_metadata` を使用します。

  * 例: ユーザー設定や state の値。
* 同じ実行内で [post-login triggers](/docs/ja-jp/customize/actions/explore-triggers/signup-and-login-triggers/login-trigger) 間でデータを共有するには、[transaction metadata](/docs/ja-jp/customize/actions/transaction-metadata) を使用します。

  * 例: 外部サービスから取得した値や計算した値のうち、後続の Actions で再利用する必要があり、現在の実行に関連するもの。
* 異なる実行に属する Actions 間で共有するデータには、キャッシュを使用します。

  * 例: 外部サービスから取得した値や計算した値のうち、Actions で再利用する必要があり、ユーザーや現在の特定の実行とは無関係なもの。
* 検証を行ったり <Tooltip tip="多要素認証 (MFA): SMS で送信されるコードなど、ユーザー名とパスワードに加えて別の要素を使用するユーザー認証プロセス。" cta="用語集を見る" href="/docs/ja-jp/glossary?term=MFA">MFA</Tooltip> をトリガーしたりする Actions が、意図せず、または悪意を持って回避されないようにしてください。
* Actions で意図的にエラーをスローしてはいけません。エラーや条件によって処理を停止する場合は、`api.access.deny()` などの適切な `api` メソッドを使用します。
* Authentication API 呼び出しで使用されるドメインには `event.request.hostname` を使用します。これは既定の Auth0 テナントドメイン、または [custom domain](/docs/ja-jp/customize/custom-domains) の場合があります。

<Warning>
  Action コードに個人を特定できる情報 (PII) を含めてはいけません。ユーザーのメールアドレス、電話番号、名前などの PII を、Actions または Actions Modules のコード内に直接ハードコード、保存、処理しないでください。機密性の高い設定値を安全に扱うには、必ず [Secrets Manager](/docs/ja-jp/customize/actions/write-your-first-action#add-a-secret) を使用してください。
</Warning>

<div id="actions-modules">
  ## Actions Modules
</div>

* 異なる Action 間で関数を再利用する必要があり、コードの重複を避けたい場合は、Actions Modules を使用します。
* 可能な場合は、[Singleton pattern](https://en.wikipedia.org/wiki/Singleton_pattern) を実装して Action Module でオブジェクトインスタンスを再利用し、インスタンス化にかかる時間を削減します。
* コーディング、セキュリティ、ログ、依存関係、ユーザーデータに関しては、このドキュメントに記載されている該当ガイドラインに従ってください。
* Action から Action Module を使用する際は、使用しているモジュールのバージョンを常に把握しておいてください。

<Callout icon="file-lines" color="#0EA5E9" iconType="regular">
  新しい Action Module のバージョンを公開しても、Auth0 が Actions で参照されているバージョンを自動的に更新することはありません。これにより、アップグレード後のバージョンが Action と互換性がない場合に不具合が発生するのを防げます。
</Callout>

<div id="coding-basics">
  ## コーディングの基本
</div>

* 受信または保存するデータでは、必ず厳密等価演算子 `===` を使用します。
* Action の処理を停止する必要がある場合は、`return` 文を使用します。
* コードの品質向上と問題の自動検出のために、[ESLint](https://eslint.org) のようなコードリンターや、[Semgrep](https://semgrep.dev/docs/getting-started/) のようなアナライザーを実行します。

<div id="security-basics">
  ## セキュリティの基本
</div>

* Actions のコード内に、シークレットや機密性の高いコード成果物を平文で記述しないでください。代わりに、[Secrets Manager](/docs/ja-jp/customize/actions/write-your-first-action#add-a-secret) を使用するか、独自のマネージャーを Actions のコードに統合して利用してください。
* URL やエラーメッセージなど、外部から見える場所で、暗号化されていない個人を特定できる情報 (PII) を送信しないでください。
* リダイレクトと API 呼び出しには、必ず HTTPS URL を使用してください。
* 可能な場合は、IP アドレスを許可リストに登録してください。
* 改ざんされる可能性のある受信データ (URL パラメーター、ユーザーエージェントなど) に注意してください。

<div id="defensive-coding">
  ## 防御的コーディング
</div>

* [エラーを捕捉し](https://developer.mozilla.org/en-US/docs/Web/JavaScript/Guide/Control_flow_and_error_handling#exception_handling_statements)、必要に応じて適切に処理します。
* Action の処理を続行すべきでない場合は、ガード節を使って早めに return します。

<div id="logging">
  ## ログ
</div>

* 機密データ、シークレット、または PII は決してログに記録しないでください。
* 1 つの Action に記録するログは、最大 256 文字以内にしてください。

<div id="dependencies">
  ## 依存関係
</div>

* 信頼でき、適切に保守されているパッケージを使用します。
* [`npm` の監査機能](https://docs.npmjs.com/cli/v6/commands/npm-audit)や、リポジトリと連携した自動依存関係チェッカーを使って、未対応の CVE がないか確認します。
* 可能であれば、パッケージの最新バージョンを使用します。

<div id="user-data">
  ## ユーザーデータ
</div>

* 機密性の高い用途や高セキュリティが求められる場面で使用する場合は、`event.user.email_verified` を使って、メールアドレスが確認済みかどうかを確認してください。
* Connection によって提供されるユーザープロファイルデータは異なります。唯一保証されている [ユーザープロファイルフィールド](/docs/ja-jp/manage-users/user-accounts/user-profiles/user-profile-structure) は `user_id` だけです。

<div id="redirect-actions-in-the-login-flow">
  ## ログインフローでのリダイレクトActions
</div>

* `api.redirect.encodeToken` が返すトークンは署名されていますが暗号化はされていないため、機密データや個人を特定できる情報 (PII) をペイロードに含めるべきではありません。
* ログインフローはログイン成功後に実行され、これには次のケースが含まれます:

  * SSO (ログインフォームは表示されない)
  * サイレント認証 (認可 URL で `prompt=none` を使用してセッションを確認する)
  * リフレッシュトークンの交換 (ユーザーの操作なし)
  * RO パスワードグラント (アプリケーションが収集した認証情報をトークンエンドポイントに送信して交換する)
* リダイレクトを行うActionsでは、上記のケースを考慮し、ユーザーによる操作が必要な場合はアクセスを拒否するか、あるいは意図的にバイパスを許可する必要があります。後者の場合、ログインを要求するアプリケーション側がその責任を負うことになります。