fix(#163): 購入情報のクライアント検証と復元タイムアウト時のCompleter放置を修正

[IKcoding-jp]

概要

Issue #163 のうち、外部設定なしで完結できる範囲（完了条件3項目）を焦点修正。
サーバー側レシート署名検証（対応案#1）と Firestore ルールのロック（#3）は、Google Play / App Store / Google Cloud の外部設定を要するため別Issueに切り出します。

変更内容

1. 購入情報のクライアント側検証（対応案: 不正な購入の拒否）

• lib/services/purchase/purchase_validator.dart（新規）
  • PurchaseValidator.isValidPremiumPurchase() — status（purchased/restored）・productID・serverVerificationData（空・空白のみ不可）を検証する純粋関数
• _handleSuccessfulPurchase() で検証 → 不正・未完了の PurchaseDetails ではプレミアムを有効化せず拒否ログのみで早期 return
• ⚠️ これはクライアント側の一次防御であり、暗号学的なレシート検証ではありません（真の改竄対策は別Issueのサーバー検証で対応）

2. 復元タイムアウト時の Completer 放置を修正（対応案#2）

• lib/services/purchase/restore_coordinator.dart（新規）
  • 復元の Completer ライフサイクルを一元管理。wait() はタイムアウト/完了/例外いずれの経路でも内部状態を必ずリセット（finally）→ タイムアウト後の再試行が正常動作
• 潜在バグも解消: 従来 _restoreCompleter を完了させる箇所が存在せず、restorePurchases() は成功時も常時30秒タイムアウトして false を返していた。restored イベントで signalRestored() を呼び完了させるよう修正

テスト（TDD: 先に失敗テスト → 実装）

• test/services/purchase/purchase_validator_test.dart（新規・8ケース）— 不正な PurchaseDetails（空検証データ/誤ProductID/pending・error・canceled）でプレミアムが有効化されないことを確認
• test/services/purchase/restore_coordinator_test.dart（新規・6ケース）— タイムアウト→再試行が正常動作、放置されないこと、例外時リセットを確認

完了条件

• 不正な PurchaseDetails ではプレミアムが有効化されないことをテストで確認
• 復元タイムアウト→再試行が正常動作する
• 既存の one_time_purchase_service_test.dart がパス

検証

• flutter analyze: エラー0
• flutter test: 全478テストパス（新規14テスト含む）
• flutter build web: 成功

競合・後方互換

• 正規の購入は serverVerificationData（Android=購入トークン / iOS=レシート）が常に非空のため、本検証で弾かれません
• completePurchase()（トランザクション確認）は検証結果に関わらず従来どおり実行（プレミアム付与のみをゲート）

残課題（別Issue化を推奨）

• 対応案New branch #1: Cloud Functions での Google Play Developer API / App Store Server API によるレシート署名検証
• 対応案refactor: data_provider.dartの責務分割（God Object解消） #3: Firestore ルールで purchases ドキュメントをロックし、Cloud Functions のみが書き込む構成

🤖 Generated with Claude Code

[github-actions]

Visit the preview URL for this PR (updated for commit a09e616):

https://maikago2--pr203-fix-163-purchase-va-qz3senm6.web.app

_{(expires Wed, 24 Jun 2026 01:39:48 GMT)}

_{🔥 via Firebase Hosting GitHub Action 🌎}

_{Sign: e99c4741b4cd115a589120c0903a3d28c527ebd8}