[REL-110] Root package の公開境界と product metadata を明確化する

[ootakazuhiko]

Parent: #3637
Related: #3626, #3631
Codex lane: release/root-package-boundary

背景

現在のroot package.json は次の状態にある。

• name は ae-framework、version は 1.0.0。
• private は false。
• description は旧positioningである AI-Agent Enabled Framework with TDD enforcement。
• 外部公開の主surfaceは root GitHub Action itdojp/ae-framework@v1 と packages/core の @ae-framework/core である。

このため、root package自体をnpm公開する意図があるのか、workspace / CLI build artifactとしてのみ維持するのかがmetadataから判別できない。曖昧な private: false は accidental publish riskになり、旧descriptionは現在の agent-neutral assurance control plane positioningと不整合である。

目的

root packageの公開意図をrepository evidenceに基づいて明確化し、次のいずれかを成立させる。

1. 非公開root package: accidental npm publicationを明示的に防止し、公開対象を @ae-framework/core とGitHub Action surfaceへ限定する。
2. 正式な公開root package: package名、version policy、publish workflow、consumer contract、release note、smoke testを明示し、現在のpositioningへmetadataを更新する。

判断できる一次情報が存在しない場合は、安全側の既定として private: true を提案する。ただし、既存release automationや公開consumer contractと衝突する証拠がある場合は実装せず、Issue commentにhuman decision requiredを記録する。

対象ファイルの目安

• package.json
• scripts/release-operations.js
• .github/workflows/*release*.yml
• .github/workflows/*publish*.yml
• docs/operate/release-engineering.md
• docs/reference/API.md
• package/release metadataを検証する既存または新規test

Codex CLI 共通作業指示

実行前に次を読む。

1. AGENTS.md
2. docs/integrations/CODEX-ISSUE-RUNBOOK.md
3. docs/product/ASSURANCE-CONTROL-PLANE.md
4. docs/product/ASSURANCE-CONTROL-PLANE-POLICY.md
5. docs/spec/context-pack.md
6. spec/context-pack/boundary-map.json
7. packages/core/package.json と packages/core/PUBLISHING.md
8. root release scripts / workflows / nearby tests

不変条件:

• @ae-framework/core のpackage名、0.1.x release line、公開workflowをこのIssueで再設計しない。
• root GitHub Action itdojp/ae-framework@v1 のconsumer contractを壊さない。
• repository evidenceなしにroot npm packageを新規公開しない。
• Issue scopeを超えてmonorepo package分割やCLI redesignを行わない。
• PRには Summary, Acceptance, Verification, Rollback, Context Pack conflict を含める。

実装タスク

• Root packageのpublish pathをinventoryする。少なくとも package.json scripts/files/exports、release scripts、release/publish workflows、docs、既存npm install guidanceを確認する。
• Root packageをpublic artifactとして扱う明示的contractが存在するかをevidence付きで判断する。
• 明示的contractがない場合、root package.json を private: true にしてaccidental publishを防止する。
• 明示的contractがある場合、private: false を維持する代わりに、正式release path、version policy、publish verification、consumer smoke testをdocs/testsで固定する。
• Root description をcanonical positioning（Agent-neutral assurance control plane for agent-driven SDLC. またはcanonical sourceと同義の文言）へ更新する。
• Root packageと @ae-framework/core の公開境界をrelease documentationへ明記する。
• 旧descriptionや曖昧なpublication stateの再発を防ぐtargeted test / metadata checkを追加または更新する。
• README、GitHub repository description、root package metadata、core package metadataの役割が矛盾しないことを確認する。

Acceptance criteria

• Root packageが公開対象か非公開対象かを package.json とrelease docsから一意に判別できる。
• 非公開判断の場合、通常の npm publish がrootで成功しない。
• 公開判断の場合、owner-operated release workflowとclean consumer smoke evidenceが定義されている。
• Root package metadataに旧product positioningが残っていない。
• @ae-framework/core とroot GitHub Actionの既存contractに意図しない変更がない。
• Targeted regression testが曖昧なpublication stateまたは旧descriptionを検出する。

Validation commands

• pnpm -s run check:doc-consistency
• pnpm -s run verify:lite
• 追加または更新したtargeted testの pnpm -s exec vitest run <test-file> --reporter dot
• git diff --check

実行できないcommandがある場合は、commandと具体的理由をPR本文へ記録する。

Out of scope

• @ae-framework/core の実npm publishは Publish @ae-framework/core 0.1.x with npm provenance #3631 で扱う。
• Marketplace publicationは Publish assurance-gate v1 Marketplace listing #3632 で扱う。
• Root CLI/APIのbreaking redesignは行わない。
• 根拠のないroot package public releaseを開始しない。

[ootakazuhiko]

Human decision required: root npm contract is contradictory

Issue の preflight / inventory を行った結果、private: true を直ちに適用すると、既存の公開consumer contractと衝突する証拠が見つかったため、Issue本文の停止条件に従って実装を保留します。

Observed evidence

• root package.json: name=ae-framework, version=1.0.0, private=false, CLI bin / root exports / publish対象 files を保持。
• root scripts: release:changeset, release:version, release:publish が存在。
• scripts/release-operations.js: Changesets と npm publish workflow を生成する setup path を保持。
• canonical/SSOT docs:
  • docs/reference/API.md が “Public API (npm)” として from 'ae-framework' を記載。
  • docs/reference/CLI-COMMANDS-REFERENCE.md が npx ae-framework / installed usage を記載。
  • docs/phases/PHASE-2-2-RUNTIME-CONFORMANCE.md と PHASE-2-3-INTEGRATION-TESTING.md が pnpm add ae-framework を記載。
• 一方、actual release evidence は存在しない:
  • npm view ae-framework ... は 2026-07-12 JST 時点で E404。
  • tracked .changeset/ は存在しない。
  • current workflowで実際に npm publish するのは packages/core 専用 .github/workflows/publish-core-package.yml のみ。
  • .github/workflows/release.yml は GitHub Release / SBOMを作るがroot npm packageはpublishしない。

Decision needed

推奨は A です。

• A — root npm contractを廃止: rootを private: true、descriptionをcanonical positioningへ更新し、上記SSOT docsのroot npm install/import guidanceをrepo-local CLI / GitHub Action / @ae-framework/core 境界へ移行する。stale release scripts/setup pathも非公開境界と整合させる。
• B — root npm packageを正式化: private: false を維持し、package ownership、version policy、owner-operated publish workflow、release note、clean consumer smoke、provenanceを新たに確定する。

A/B のowner decisionが得られるまで、root metadata変更PRは作成しません。Context Pack conflictは見つかっていませんが、既存consumer contractとの衝突がIssue本文のhuman boundaryに該当します。