okinawan_eats

dependabot により puma が 6.6.1 → 8.0.2 に更新された（capistrano3-puma も 8.1.0 になり puma >= 6.1, < 9.0 を許容するようになったため、dev group による < 7.0 制約が解消された）。

これにより、以下 2 箇所の記述が前提ごと古くなっている。

1. config/bundler-audit.yml の CVE 除外¶

ignore:
  # puma 6.6.1 の PROXY protocol 脆弱性。Gemfile.lock が puma 6.6.1 に固定されているのは
  # デプロイ用の capistrano3-puma（development group）が puma を "< 7.0" に制約しているため。
  # 本番リリースは development group を除外して bundle するため puma 8.0.2（patched）で稼働しており、
  # この脆弱性は該当しない。capistrano3-puma が puma 7+ に対応したら解除する。
  - CVE-2026-47736
  - CVE-2026-47737

コメントに書かれている解除条件（「capistrano3-puma が puma 7+ に対応したら解除する」）をすでに満たしている。Gemfile.lock の puma は 8.0.2（patched）なので、除外は不要のはず。

やること:

• ignore から CVE-2026-47736 / CVE-2026-47737 を削除する
• 削除後に bin/bundler-audit が通ることを確認する（通らなければ別の理由が残っているので調査）
• ignore が空になる場合、ファイルごと消してよいか（CI が参照していないか）を確認する

2. docs/knowledge.md の記述¶

「本番デプロイ 追記（2026-07-11 稼働開始時点）」節の CI（bundler-audit）の puma 例外 の項目が同じ前提で書かれているため、上記の対応に合わせて更新（または削除）する。

補足¶

docs/knowledge.md のデプロイ節には「Gemfile.lock が puma 6.6.1 に固定される」旨が前提として書かれている箇所があるため、あわせて読み直して齟齬がないか確認する。