domain-primitives-and-always-valid

Domain Primitives & Always-Valid Domain Model

プリミティブ型を信頼せず、ドメイン固有の型で不変条件を強制する。

核心原則

Domain Primitives（Secure by Design）

プリミティブ型をそのまま使わず、ドメイン固有の最小単位の型でラップする。

特性	説明
構築時検証	無効な値でインスタンスを作成できない
不変（Immutable）	一度作成されたら変更できない
自己完結	他のエンティティへの参照を持たない
ドメイン操作の集約	その型に関連する操作をカプセル化
引数の取り違え防止	同じプリミティブ型でも異なるドメイン型として区別

Always-Valid Domain Model

ドメインモデルは常に有効な状態にあることを型システムで保証する。

オブジェクトが存在する = そのオブジェクトは有効である

プリミティブ型の危険性

プリミティブ型をそのまま使うと、本番環境で初めて発覚するバグを生む。

1. 無効な値がシステムを汚染する

// ❌ プリミティブ型：無効な値が素通りする
fn transfer(from: &str, to: &str, amount: i64) {
    // 負の金額で送金 → 受取人の残高が減り、送金者の残高が増える！
    db.execute("UPDATE accounts SET balance = balance - ? WHERE id = ?", amount, from);
    db.execute("UPDATE accounts SET balance = balance + ? WHERE id = ?", amount, to);
}

transfer("alice", "bob", -10000);  // コンパイルOK、テストも通る、本番で大損害

2. 引数の取り違えがテストをすり抜ける

// ❌ 同じ型の引数が並ぶと、取り違えてもコンパイラが検出できない
fn create_user(first_name: &str, last_name: &str, email: &str);

// 姓名を逆に渡している。単体テストでは「動く」ので見逃される
create_user("Smith", "John", "[email protected]");
// → DB: first_name="Smith", last_name="John" 😱

3. セキュリティホールを生む

// ❌ 検証なしのStringはSQLインジェクションの温床
fn find_user(email: String) -> User {
    db.query(&format!("SELECT * FROM users WHERE email = '{}'", email))
}

find_user("'; DROP TABLE users; --".to_string());  // 💀

4. 異なる単位の混同

// ❌ 両方ともf64。単位の違いをコンパイラが検出できない
fn calculate_distance(meters: f64, feet: f64) -> f64;

// 火星探査機が墜落した原因（実話：Mars Climate Orbiter, 1999年）
let result = calculate_distance(altitude_in_feet, thrust_in_meters);

なぜテストで発見できないのか

問題	テストの限界
負の金額	正常系テストでは正の値しか使わない
引数の順序	両方とも文字列なので型エラーにならない
境界値	全ての組み合わせをテストすることは不可能
単位の混同	両方とも数値なので計算は「正しく」動く

型で制約すれば、これらはすべてコンパイル時に検出できる。

アンチパターン検出

以下のパターンを見つけたらDomain Primitiveへの変換を検討：

❌ fn send_email(to: String, subject: String)  // StringはEmailではない
❌ fn create_user(age: i32)                    // i32は年齢の制約を持たない
❌ fn process_order(amount: f64, currency: String)  // 別々に渡すと不整合の可能性
❌ struct User { email: String }               // 検証なしで無効な値を保持できる
❌ if !is_valid_email(s) { return Err(...) }   // 検証後も同じString型
❌ fn schedule(room: String, start: String, end: String)  // 引数の取り違えが検出できない