Toolars

Toolars オープンソース配布版

PDF、画像、テキスト、開発者向けツールは、ブラウザーから直接Toolars オンラインをご利用ください。

このディレクトリは、Toolars が公開しているコードの唯一の正式なソースです。プライベートリポジトリ内の scripts/export-open-source.mjs によって配布可能なツリーにまとめられます。ここにあるものがウェブサイトにビルドまたはバンドルされることはありません。

継続的な検証

プッシュのたびに、また毎日 03:17 UTC に、プライバシー証明ワークフローがこのツリーだけから両方のパッケージを再ビルドし、テストベクトルを再実行して、稼働中のサイトに対するプライバシー証明の記録を再取得します。最新の記録の結果が verified の場合に限り、バッジは緑色になります。

実行の失敗が、必ずしもプライバシー上の問題を意味するわけではありません。ハーネスは次の 2 つの結果を区別します。violation は、測定対象のリクエストがローカル処理の境界を越えたことを意味します（ワークフローは最初の試行で失敗し、再試行しません）。inconclusive は、実行を完了できなかったことを意味します。通常はランナーとサイト間のネットワークの問題が原因であり、サイトについて肯定も否定も示しません。inconclusive の実行は再試行され、解消しない場合は明示的な通知とともにジョブが失敗します。赤いバッジについて判断する前に、実行ログを確認してください。

公開されているもの

パス	内容
evidence-harness/	ヘッドレス Chromium で公開ウェブサイトを操作し、専用 Web Worker による fetch を含むすべてのネットワークリクエストを記録する、実行可能なハーネスです。ファイルがブラウザーの外に出ないという主張を裏付けるツールです。
packages/cli/	@toolars/cli — ハッシュ、base64、JWT デコード、UUID/ULID、タイムスタンプ、cron、URL エンコード／デコードに対応する、ローカルの stdio CLI および MCP サーバーです。dist/ にプリビルドバンドルとして同梱されています。
packages/local-tools/	@toolars/local-tools — JSON 整形と SHA-256 に対応する、より小規模なローカルの stdio CLI および MCP サーバーです。実行可能なソースとして同梱されています。

すべて MIT ライセンスです（LICENSE を参照）。THIRD-PARTY.md には、対象範囲の詳細とサードパーティ製コンポーネントの一覧が記載されています。

意図的に公開していないもの

これはオープンコアの配布物であり、製品全体ではありません。以下は含まれていません。

• ウェブサイトアプリケーション（ルーティング、SEO レイヤー、カタログ、編集コンテンツ、13 のローカライズ済みコンテンツセット）。
• ウェブサイトが提供するツールの実装と Web Worker のソースコード。ただし、意図的な例外が 1 つあります。packages/*/vendor/ には、この 2 つのパッケージがインポートするサイトランナーのコアが含まれています（CLI 用に 15 ファイル、local-tools 用に 2 ファイル）。これがないと、ここでパッケージを再ビルドしたり再テストしたりできないためです。packages/cli バンドルにも同じコアのコンパイル済みコピーがインライン化されています。これは、将来の @toolars/cli npm リリースに向けて準備された成果物だからです。どちらも、このリポジトリの MIT ライセンスの対象です。
• ランタイムアセット（WASM エンジン、OCR 言語パック、フォント、PDF.js）。
• 社内のエンジニアリング、製品、監査に関するドキュメント。
• デプロイ設定、認証情報、分析設定。

この境界こそが重要です。このハーネスはデプロイ済みのサイトを検証するため、独立した検証にサイトのソースコードは必要ありません。ハーネスが証明することと証明しないことの詳細については、evidence-harness/README.md を参照してください。

ローカル処理に関する主張を自分で検証する

cd evidence-harness
npm install
npx playwright install chromium
npm run verify -- --base-url https://toolars.com

実行すると privacy-proof-receipt.json が書き出され、予期しないリクエストがサイトのオリジンを離れた場合、いずれかのリクエストにカナリアマーカーが含まれていた場合、またはいずれかのリクエストでデータがアップロードされた場合は、ゼロ以外の終了コードで終了します。開示されたシェルリクエストは別途集計されます。リリース ID が存在しない場合や変更された場合も、検証済みの結果にはなりません。

どちらのパッケージも @toolars スコープで npm に公開されています。 npm install -g @toolars/cli を実行すると toolars と toolars-mcp がインストールされ、npm install -g @toolars/local-tools を実行すると toolars-local と toolars-local-mcp がインストールされます。実行ファイル名は重複しません。

CLI と MCP サーバーを実行する

cd packages/cli
node dist/cli.mjs hash --sha256 "hello"
node dist/mcp.mjs   # stdio MCP server

dist/ はコミット済みで、プライベートなビルド出力からコピーされているため、実行にインストールもビルドも必要ありません。実際に実行するコードを確認したい場合は、このバンドルを調べてください。圧縮されておらず、各セクションのコメントに、その部分の元となったソースファイルが記されています。

ここで再ビルドして、プライベートなワークスペースで実行されるものと同じテストベクトルを再実行することもできます。各パッケージは、依存するサイトコアの依存関係一式を vendor/ の下に含んでいるため、どちらのパッケージもプライベートリポジトリを必要としません。

cd packages/cli
npm install          # esbuild + vitest, declared as devDependencies
npm run build        # writes dist/ from src/ plus vendor/
npm test             # shared digest vectors and CLI/MCP boundary tests

cd packages/local-tools
npm install          # esbuild + prettier
node build.mjs       # regenerates src/json-core.mjs from vendor/
node --test test/*.test.mjs

vendor/ には、エクスポーターによって生成された、このパッケージがインポートするサイトランナーのコアのコピーが格納されており、プライベートなものとバイト単位で同一です。これらは意図的にソースとして公開されています。パッケージを再ビルドし、そのテストベクトルを再実行できる読者は、結果を盲信せずに検証できます。エクスポートされたレイアウトで再ビルドすると、CLI バンドルと local-tools の生成済みコアに含まれるソースパスのコメントが変わります。これらのコメントとは別に、実行可能なコンテンツを比較してください。再ビルドによって元のマニフェストがバイト単位で完全に再現されるとは主張していません。

どちらのパッケージもローカルの stdio 専用です。入力と結果は呼び出し元クライアントのコンテキストに入り、そのクライアントのモデルプロバイダーに届く可能性があります。ウェブサイトのプライバシーに関する約束は、クライアントには適用されません。各パッケージの README には、この範囲が記載されています。

このコードに関する問題を報告する

公開リポジトリで Issue を作成してください。セキュリティに関する報告は、そのリポジトリの SECURITY.md に記載された手順に従ってください。

ライセンス

MIT — LICENSE を参照してください。適用範囲とサードパーティコンポーネントについては、THIRD-PARTY.md と evidence-harness/fixtures/PROVENANCE.md を参照してください。