一人のアプリが、学校まるごとの基盤になった。

生徒・教員・学校管理者・保護者・スーパー管理者の5ロールで、アクセス権限・画面・データスコープが完全に異なる。

アカウント発行は塾・学校側が集中管理する方式——生徒は自分でサインアップしない。

Firestore security rulesはロール・テナント・スコープの全ての組み合わせを正確に表現する必要がある。

モバイルアプリ（Expo SDK 54 / React Native）と管理ダッシュボード（Next.js 15）をモノレポ的に整合させつつ、日本語ローカライズ（曜日・単位・敬語・送り仮名）も貫く。

本番へのCloudflare Pagesデプロイに加え、Firebase CLIがGCP課金エラーで使えないため、FirestoreルールはREST API経由でデプロイしなければならない。

Student / Teacher / SchoolAdmin / Superadmin / Parentの5ロールをFirebase Custom Claimsで管理。30テストのemulator suiteで全組み合わせの権限を自動検証（SL-65）。

塾が名簿を提出→スーパー管理者が一括アカウント生成→生徒はloginId（SCHOOLCODE-0001形式）＋仮パスワードの印刷スリップでログイン。初回ログイン時に強制パスワード変更。

Next.js製。組織管理・アカウント生成・請求状況・名簿受付キュー（SL-82）。学校管理者と教員は名簿を提出→スーパー管理者が処理→両側でステータスが反映。

学習進捗・レビュー・招待メールをEmail-link認証で運用。停止（suspend）は全Firebaseユーザーに即時反映（SL-77）。

学習タイマー・タスクカテゴリ・習慣スケジュール・進捗ランク。com.cocon.studylap、RSA 2048-bit本番キーストア（25年有効）。

anti-cheatクランプ（exp ≤+500/level ≤+5）・テナント分離・レビュー帰属偽造防止・default-denyを全30テストで自動実行（SL-65）。曜日・単位・カウンター語・送り仮名も全面監査（PR #36）。

Firebase CLIはGCPのService Usage Consumer権限が必要で、課金停止中には使えない。COCONはfirebaserules.googleapis.com REST APIを直接叩き（ruleset作成→releaseのPATCH）、CLIなしでルールを本番デプロイ。

ランディングページをCF Pagesに移行。remote-managedトンネルのDNSをCNAMEで上書きし、studylap.cocon-lab.comを200で応答させた。

SL-77〜81（suspend強制・招待メール・生徒削除・スタッフ解除・レビュー通知）は、親エージェントが共有ファイルを先にコミットし、3つの並列エージェントが非重複ファイルを担当する分担で、合計5チケットをコンフリクトゼロで実装。

NEXT_RUNTIMEなどの環境変数リークでビルドが壊れるため、本番ビルドは明示的にunsetしてからNODE_ENV=productionで実行する手順を確立。Stripe決済・招待メールはコード配線済みで、クレデンシャル設定のみで即時有効化できる状態。