「お前のコードはゴミだ」と言い放った先輩エンジニアを、自動テストで完全論破した話

// 僕が書いたコード（当時）
function validateUser(username, password) {
    if (!username || !password) {
        return { success: false, message: "入力が不完全です" };
    }
    
    const user = getUserFromDB(username);
    if (!user) {
        return { success: false, message: "ユーザーが見つかりません" };
    }
    
    if (bcrypt.compareSync(password, user.hashedPassword)) {
        return { success: true, user: user };
    } else {
        return { success: false, message: "パスワードが間違っています" };
    }
}

// 僕が密かに書いていたテストコード
describe('ユーザー認証API', () => {
  describe('田中先輩実装分', () => {
    test('SQLインジェクション脆弱性テスト', async () => {
      const maliciousInput = "admin'; DROP TABLE users; --";
      const response = await request(app)
        .post('/api/auth')
        .send({ username: maliciousInput, password: 'test' });
      
      // 脆弱性があることを確認
      expect(response.status).toBe(500); // エラーになる
    });

    test('パスワード平文保存チェック', async () => {
      const user = await getUserFromDB('testuser');
      // まさかの平文保存が発覚
      expect(user.password).not.toBe('plaintext123');
    });

    test('レート制限テスト', async () => {
      // 100回連続でリクエスト
      const promises = Array(100).fill().map(() => 
        request(app).post('/api/auth').send({ username: 'test', password: 'test' })
      );
      
      const responses = await Promise.all(promises);
      // レート制限が実装されていない
      expect(responses.every(r => r.status !== 429)).toBe(true);
    });
  });
});

テスト結果サマリー
==================
田中先輩担当分：
❌ セキュリティテスト: 15/23 FAILED
❌ パフォーマンステスト: 3/8 FAILED  
❌ エラーハンドリング: 12/18 FAILED

新人担当分：
✅ 全テスト: 127/127 PASSED
✅ カバレッジ: 98.7%
✅ セキュリティスコア: A+

// Before: テストなしのコード
function processPayment(amount, cardNumber) {
    // 実装だけして終わり
    return chargeCreditCard(amount, cardNumber);
}

// After: テストファーストなコード
describe('決済処理', () => {
    test('無効なカード番号で例外が発生する', () => {
        expect(() => processPayment(1000, 'invalid')).toThrow();
    });
    
    test('金額が0以下で例外が発生する', () => {
        expect(() => processPayment(-100, validCard)).toThrow();
    });
});

function processPayment(amount: number, cardNumber: string): PaymentResult {
    if (amount <= 0) throw new Error('金額が無効です');
    if (!isValidCardNumber(cardNumber)) throw new Error('カード番号が無効です');
    
    return chargeCreditCard(amount, cardNumber);
}

// ESLint + TypeScriptで品質を担保
module.exports = {
  extends: [
    '@typescript-eslint/recommended',
    'plugin:security/recommended'
  ],
  rules: {
    'security/detect-sql-injection': 'error',
    'security/detect-xss': 'error'
  }
};

# GitHub Actions
name: Quality Check
on: [pull_request]
jobs:
  test:
    runs-on: ubuntu-latest
    steps:
      - name: Run Tests
        run: npm test
      - name: Security Audit
        run: npm audit
      - name: Code Coverage
        run: npm run coverage