Shopifyのセキュリティharness、testをoracleに — 2026年 第31週 ウェブ開発

ShopifyのDispatch harnessはapplicationをpartitionし、vulnerability-specific hunterを並列実行し、downstream agentへAPI、data model、authorization boundary文書を再利用可能contextとして渡します。Candidate findingは別modelのsequential verifierへ進み、verifierはseverity scoringやdraft fix前にintegration testでexploitabilityを証明します。80超のapplicationと数千scanで300超のfindingを作り、2件はCritical相当でした。Full scanは約50〜300ドル、diff scanは5〜50ドルです。長期的価値はbounded context、test oracle、cross-model review、credential・Git・storage・report formattingを担うdeterministic codeからなるharnessにあります。

GitHub推奨のCopilot workflowは意図的に単純です。一つのharnessを選び複数optionをprototypeし、同じsessionでplanを作り、sandbox内で自律実装し、結果がhuman tasteに合うまで反復します。Visual prototypeはAPI作業でも曖昧さを示し、対話planningはcodeがcontext windowを消費する前にedge caseを見つけます。同taskではprompt cachingのため同一modelとreasoning levelを維持します。Merge前のRubber Duck reviewは別model familyに作業を検査させ、残課題がdiminishing returnになるまで反復できます。目標は最大設定ではなく反復可能なquality loopです。

MCP 2026-07-28仕様はcore session managementを取り除き、MCP serverを通常のstateless HTTP workloadとして動かします。Requestはsticky routing、shared session store、同じwarm instanceを要求せず、scalingが単純になりredeploy中断も減ります。仕様はExtensions frameworkも正式化し、AppsとTasksが最初のofficial extensionです。Appsはremote serverがrich interfaceを提供しcompatible clientがrenderすることで、単発UI integrationをportable contractへ変えます。Netlify serverは新versionとbackward compatibilityを支えますがclient supportは異なるため、serverにはcapability negotiationとmigration pathが必要です。

cdnjsはCloudflare Developer Platformで1日平均90億requestを処理します。R2はfile source of truth、KVはmetadata、Workers Cacheはedge、DigitalOcean Spacesはlive fallbackです。Durable Workflowsは10分ごとのpackage check、per-file processing、compression container、publicationを調整し、QueuesとDurable Objectが数千child jobを同期します。Migrationはfileを再生成せず既存byteをコピーしました。Minifierやcompressor outputが変わるとpinned SRI hashが壊れるためです。このworkloadはpaid Worker subrequest limitを1,000から1,000万へ、default Workflow stepを1,024から10,000へ上げ、一projectの限界をplatform改善へ変えました。

Long-lived SPAはnavigationがpageをresetしないため、detached node、event listener、timer、cache entryを蓄積します。Den Odellは一つのChromium contextで閉じたuser flowを約200回反復し、applicationをwarm-upしてからCDPでgarbage collectionを2回強制し、前後のlistenerとDOM-node countを比較するPlaywright soak testを提案します。Heap sizeはprimary assertionにはnoiseが多く、listener countと固定node allowanceがより安定します。Playwrightのfake clockとmocked networkで数時間のpollingを数分へ圧縮できます。Measurementには揺れがあるためnightly jobに置き、numeric guardがleakを見つけた後だけheap snapshotで原因を調べます。