> ## Documentation Index
> Fetch the complete documentation index at: https://translations.mintlify.site/llms.txt
> Use this file to discover all available pages before exploring further.

> 明確で簡潔かつ安全な Actions コードを作成するためのコーディングガイドライン。

# Action のコーディングガイドライン

本番環境で効率的かつ安全で読みやすい Actions コードを作成するために、以下のガイドラインに従ってください。

<div id="actions-basics">
  ## Actions の基本
</div>

* ログイン中にリクエストが累積するのを防ぐため、HTTP リクエストは可能な限り少なくし、適切なタイムアウト (10 秒未満) を設定します。
* [アプリケーションメタデータ](/ja/docs/get-started/applications/configure-application-metadata) を使用して特定のアプリケーションを絞り込み、Action を実行するかどうかを判断します。

  * 例: Action の実行内容を部分的または全面的に変えるための、アプリケーション固有の値やアプリケーションのグループ化に使う値。
* `user_metadata`/`app_metadata` を使用して、ユーザープロファイルにカスタムデータを永続化します。

  * 例: ユーザー設定や状態値。
* 同じ実行内で [post-login トリガー](/ja/docs/customize/actions/explore-triggers/signup-and-login-triggers/login-trigger) 間でデータを共有するには、[トランザクションメタデータ](/ja/docs/customize/actions/transaction-metadata) を使用します。

  * 例: 外部サービスから取得した値や計算した値のうち、後続の Actions で再利用する必要があり、現在の実行に関連するもの。
* 異なる実行に属する Actions 間で共有するデータには、キャッシュを使用します。

  * 例: 外部サービスから取得した値や計算した値のうち、Actions で再利用する必要があり、ユーザーや現在の特定の実行には関連しないもの。
* 検証を提供する Actions や、<Tooltip tip="多要素認証（MFA）: SMS で受け取る code など、ユーザー名とパスワードに加えて別の要素を使用するユーザー認証プロセス。" cta="用語集を見る" href="/ja/docs/glossary?term=MFA">MFA</Tooltip> をトリガーする Actions が、意図せずまたは悪意をもってバイパスされないようにしてください。
* Actions では、意図的にエラーをスローしてはいけません。エラーや条件によって処理を停止する必要がある場合は、`api.access.deny()` のような適切な `api` メソッドを使用します。
* Authentication API 呼び出しで使用するドメインには `event.request.hostname` を使用します。これは、デフォルトの Auth0 テナントドメインまたは [カスタムドメイン](/ja/docs/customize/custom-domains) のいずれかです。

<div id="actions-modules">
  ## Actions Modules
</div>

* 異なるAction間で関数を再利用する必要があり、コードの重複を防ぎたい場合は、Actions Modules を使用します。
* 可能な場合は、[Singleton pattern](https://en.wikipedia.org/wiki/Singleton_pattern) を実装して Action Module でオブジェクトインスタンスを再利用し、オブジェクトのインスタンス化にかかる時間を削減します。
* コーディング、セキュリティ、ロギング、依存関係、ユーザーデータについては、このドキュメントに記載されている該当するガイドラインに従ってください。
* Action から Action Module を使用する場合は、使用しているモジュールのバージョンを常に把握しておいてください。

<Callout icon="file-lines" color="#0EA5E9" iconType="regular">
  新しい Action Module のバージョンを公開しても、Auth0 は Action が参照しているバージョンを自動的にアップグレードしません。これにより、アップグレード後のバージョンが Action と互換性がない場合に生じる不具合を防げます。
</Callout>

<div id="coding-basics">
  ## コーディングの基本
</div>

* 受信したデータや保存済みのデータを比較する際は、必ず厳密等価演算子 `===` を使用します。
* Action の処理を停止する必要がある場合は、`return` 文を使用します。
* コード品質を向上させ、問題を自動的に検出するために、[ESLint](https://eslint.org) のようなコードリンターや、[Semgrep](https://semgrep.dev/docs/getting-started/) のようなアナライザーを実行します。

<div id="security-basics">
  ## セキュリティの基本
</div>

* シークレットや機密性の高いコード成果物を、Actions コードの一部として平文で記述しないでください。代わりに、[Secrets Manager](/ja/docs/customize/actions/write-your-first-action#add-a-secret) を使用するか、独自のシークレット管理ツールを Actions コードに統合して利用してください。
* 個人を特定できる情報 (PII) を、URL やエラーメッセージなどで暗号化されていない状態のまま送信しないでください。
* リダイレクトと API 呼び出しには、必ず HTTPS URL を使用してください。
* 可能であれば、IP アドレスを許可リストに追加してください。
* 改ざんされる可能性がある受信データ (URL パラメーター、ユーザーエージェントなど) に注意してください。

<div id="defensive-coding">
  ## 防御的コーディング
</div>

* [エラーを捕捉](https://developer.mozilla.org/en-US/docs/Web/JavaScript/Guide/Control_flow_and_error_handling#exception_handling_statements)し、必要に応じて対処します。
* Action の処理を続行すべきでない場合は、ガード節を使用して早期に return します。

<div id="logging">
  ## ログ
</div>

* 機密データ、シークレット、PII は決してログに記録しないでください。
* Action ごとにログに記録する文字数は 256 文字未満に抑えてください。

<div id="dependencies">
  ## 依存関係
</div>

* 信頼でき、継続的にメンテナンスされているパッケージを使用します。
* [`npm` の監査機能](https://docs.npmjs.com/cli/v6/commands/npm-audit) またはリポジトリに接続された自動依存関係チェッカーを使用して、未対応の CVE がないか確認します。
* 可能な場合は、パッケージの最新バージョンを使用します。

<div id="user-data">
  ## ユーザーデータ
</div>

* 機密性の高い用途や厳格なセキュリティが求められる状況で使用する場合は、`event.user.email_verified` でメールアドレスが確認済みかどうかを確認してください。
* 提供されるユーザープロフィールデータは接続によって異なります。保証されている [ユーザープロフィールフィールド](/ja/docs/manage-users/user-accounts/user-profiles/user-profile-structure) は `user_id` のみです。

<div id="redirect-actions-in-the-login-flow">
  ## ログインフローにおける Redirect Actions
</div>

* `api.redirect.encodeToken` で返されるトークンは署名されますが、暗号化はされません。そのため、機密データや個人を特定できる情報 (PII) をペイロードに含めないでください。
* ログインフローはログイン成功後に実行され、次のケースが含まれます。

  * SSO (ログインフォームは表示されません)
  * サイレント認証 (認可 URL で `prompt=none` を使用してセッションを確認する)
  * リフレッシュトークンの交換 (ユーザー操作なし)
  * RO パスワードグラント (アプリケーションが収集した認証情報をトークンエンドポイントに送って交換する)
* リダイレクトを行う Actions では、上記のケースを考慮し、ユーザー操作が必要な場合はアクセスを拒否するか、意図的にバイパスを許可する必要があります。その場合、負担はログインを要求するアプリケーション側が負います。