fix/docs: 公開前監査・v2再試行の安全修正・README日英対応

[azumag]

目的

公開前レビューの依頼に対応し、機密情報・OpenCode Go利用条件・説明と実装の整合性を確認。READMEを英語・日本語へ整理しました。

変更

• README.md（英語）とREADME.ja.md（日本語）を同じ構成・同じ実行例で整備。v2はwait専用、v1はモデル切り替え対応という境界を冒頭に明記。
• v2で何も動かないcycle設定例を排除し、OpenCode本体のplugins設定とプラグインのwait設定を分離。旧版の詳細はv1リファレンスと履歴への固定リンクへ整理。
• Goの規約・追加課金・モデルごとのデータ取扱い、無期限待機、Retry-After未対応、停止操作の制約、ホスト側の承認権限を両言語に明記。公式の公認・規約適合保証を主張しない。
• v2のcooldownMsを実行時に検証。不正な型、非有限値、負値、タイマー上限超過ではフック登録前に初期化を失敗させる。
• v2の明示的なHTTP 401/403は再試行を停止し、先行する429で予約された再開タイマーも取り消す。
• 15ケースの回帰テストを追加。通常の429に対する無期限waitと指数バックオフは維持。
• AGENTS.mdに従い2.0.3へ更新。package-lock.jsonはルートのバージョン2箇所のみ変更し、依存データは変更なし。
• 日本語READMEと参照文書をnpm配布対象に追加。.gitignoreに認証情報・ローカル設定・診断成果物の除外を追加。
• 読み取り専用のPublication reviewワークフローを追加。Gitleaks全到達履歴・現行追跡ファイル、値を出さない個人情報候補集計、依存監査、配布ファイル、日英例の一致、文書リンクを検査。

検証

• 修正前の合成フック検証で、文字列cooldownによるNaN、過大なtimer値、quota文言を含む403の再試行を再現。
• 修正後の同等検証では、不正設定の初期化拒否と403のretry:falseを確認。外部プロバイダーへのリクエストなし。
• ローカルでYAML構文、文書内リンク、JSON例を確認。
• 初回履歴監査run 34853643765は成功。144到達コミット・505blobを確認し、Gitleaksの現在/履歴の秘密情報検出はともに0件。
• このPRのHEADに対するCI・再監査結果は実行後に追記します。現時点で未実行項目を成功扱いにしていません。

公開判断と残る境界

• 秘密情報の自動検出0件は、個人情報や履歴が一切ないという意味ではありません。過去のコミットメタデータ・セッション参照・診断成果物には別途プライバシー判断が必要です。実際の値はこのPRに転載しません。
• Goの通常のコーディングエージェント利用と、ホスト型サービス規約の自動処理・負荷制限は区別。無制限の無人運用に関する一律の規約適合は断定しません。
• UI Stop/削除フック、Retry-After/リセット時刻、jitter、実OpenCode v2/WebでのE2E検証は今回の未完了事項として明記。既存の1.x配布物へ安全修正をバックポートしたわけではありません。
• 削除済み/到達不能オブジェクト、全Issue/PR本文、過去Actionsログ、公開済みnpmアーカイブ、ローカル未追跡ファイル、GitHubのsecret設定はこの履歴スキャンの対象外。

操作境界

• main統合、npm publish、履歴書き換え、認証キー操作は行っていません。
• マージ後は既存の公開ワークフローがバージョン変更を検出し、2.0.3をopencode-v2タグへ公開する構成です。 レビューと公開判断を先に行ってください。
• lockfile作成補助の一時ワークフローは最終ツリーから削除済み。残る監査ワークフローの権限はcontents:readのみです。

参照（2026-09-14確認）:

• https://opencode.ai/docs/go/
• https://opencode.ai/legal/terms-of-service
• https://nodejs.org/api/timers.html