bear/event-sourcing を実タグに張り替える

[koriym]

事実

composer.json は bear/event-sourcing を VCS リポジトリ経由の 1.x-dev で参照している（#129 でマージ済み）。必要な契約は bearsunday/BEAR.EventSourcing#22 のマージコミット 8616c825 に入っているが、それを含むタグがまだ無い — 最新リリースは 0.1.0（2026-09-05）で #22 より前。

依存する契約:

• filter された key は params に残り、値だけが SensitiveParamsFilter::FILETERED になる（全深度）
• credential を伏せたリクエストは replayable: false で記録され、それでも抽出される

この 2 点は tests/Module/EventSourcingExtractionTest.php が pin している。

やること

1. upstream で 8616c825 を含むタグが切られるのを待つ
2. composer.json の bear/event-sourcing を 1.x-dev からそのバージョン制約に変更
3. repositories の https://github.com/bearsunday/BEAR.EventSourcing.git 行を削除
4. composer update bear/event-sourcing → composer test / composer psalm

補足

1.x-dev 自体は逸脱ではない。1.x は既に bear/devtools: dev-master・bear/query-repository: 1.x-dev・bear/tool-use: dev-codex/review-hardening as 1.x-dev・be-framework/be: dev-semantic-logger-0.9 as 0.1.0・ray/fake-query: dev-codex/fake-query-release-hardening as 1.x-dev を持つ。この issue はタグが存在するようになったときの棚卸し用。

[koriym]

手順の訂正: 制約は require-dev にある

#142（04c14f39）以降、bear/event-sourcing は require ではなく require-dev に置かれている。

$ git show origin/1.x:composer.json | jq '{require: .require["bear/event-sourcing"], dev: ."require-dev"["bear/event-sourcing"]}'
{ "require": null, "dev": "1.x-dev" }

上の手順 2 は「require-dev の bear/event-sourcing を 1.x-dev からタグのバージョン制約へ変更」と読み替えること。手順 1・3・4 は変更なし。

前提は変わっていない

upstream のタグは依然 0.1.0 のみで、8616c825（bearsunday/BEAR.EventSourcing#22 のマージコミット）を含むタグはまだ無い。

$ git ls-remote --tags https://github.com/bearsunday/BEAR.EventSourcing.git
aec294f2  refs/tags/0.1.0
053ed02a  refs/tags/archive/purify-2026-06

VCS リポジトリのエントリ（https://github.com/bearsunday/BEAR.EventSourcing.git）も残っているので、手順 3 の削除対象はそのまま有効。つまりこの issue はタグが切られるまで実行不能。

[koriym]

Partly unblocked, and folded into milestone "Concurrent runtime (Swoole) readiness".

BEAR.QueryRepository has a real tag now. BeMart pins 1.x-dev at 5abe573; upstream 1.17.0 is tagged and BeMart is 20 commits behind it. That gap contains a genuine fix — #219, an uncaught UnmatchedQuery when onPost on a #[Cacheable] class takes arguments not matching onGet. Moving to ^1.17 removes one dev pin and picks that up. The files this week's observation work depends on (Log/LogFileWriter.php, DevQueryRepositoryLogModule.php, Log/SafeSemanticLogger.php) are unchanged across the range, so the bump is low risk.

The rest still has no tag to move to (checked 2026-09-21):

pin	upstream HEAD	tag containing it
bear/event-sourcing: 1.x-dev @ e811a13	e811a13	none — latest release 0.1.0 predates #22
be-framework/be: 0.x-dev @ 60fd569	60fd569	none
koriym/semantic-logger: 0.9.0	6139f63	#45 merged but untagged, so BeMart is on 0.9.0 without it
ray/csrf: 1.x-dev @ 9cf4ae6	9cf4ae6	none — and four pre-1.0 issues now open (bearsunday/BEAR.Csrf#4–#7), so a tag should wait for those
bear/devtools: dev-master, bear/tool-use: dev-…, ray/fake-query: dev-…	—	not surveyed

So this issue stays a stocktake, with one item actionable today (bear/query-repository → ^1.17).