# memory: instinct-merged-is-not-deployed

認証修正のマージは防御ではない。terraform.tfstateのenvキー名とIAM Action名だけで未適用を判定できる。実測ではGET /freeの無認証穴を塞ぐ修正が2026-08-11にマージ済みだったが、本番は07-22版のまま無認証で公開されていた。

## ポイント
- 認証修正のマージは防御ではない
- terraform.tfstateのenvキー名とIAM Action名だけで未適用を判定できる
- 実測ではGET /freeの無認証穴を塞ぐ修正が2026-08-11にマージ済みだったが、本番は07-22版のまま無認証で公開されていた
- レビューはコミットが正しいかを見るが、公開面の防御は適用されて初めて存在する
- CIもデプロイ自動化も無いリポジトリではマージ＝適用を保証するものが何も無く、レビュー結論だけが安全側に振れる
- ローカルbackendは別マシンでapplyされたらstateが永久に嘘をつく

## 関連ページ
[[instinct-writer-exists-is-not-writer-fires]] [[instinct-repo-may-lag-behind-production]]

## 関連概念（未作成）
`認証修正の適用方法` `terraform.tfstateの安全な管理方法` `CI/CDパイプラインの重要性` `ローカルbackendのリスク`