chore: update to PHP 8.5.8, nginx 1.31.3-alpine-perl, selenium 150.0-chromedriver-150.0

v8.5.6-f でSMTPパスワードファイルの権限は修正したが、
起動スクリプトが chmod 600 していた /etc/msmtprc 自体も
rootのみ読み取り可のままで、PHP-FPMワーカー（www-data等）から
読めず 'msmtp: account default not found' (exit:78) で失敗していた。

chmod 644 に変更。msmtprc には実パスワードは含まれない
（passwordeval経由で別ファイルから取得する設計）ため実害なし。

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

.gitea/workflows/image-update-and-release.yaml

@@ -5,6 +5,10 @@ on:
     - cron: '0 2 * * 1'
   workflow_dispatch:
 
+env:
+  REGISTRY_URL: https://git.cafepieters.com
+  OWNER: helmchart
+
 jobs:
   update-and-release:
     runs-on: ubuntu-latest
@@ -49,23 +53,32 @@ jobs:
           CURRENT=$(grep -A3 "php:" values.yaml | grep "tag:" | head -1 | sed 's/.*tag: *"\([^"]*\)".*/\1/' | tr -d ' ')
           echo "Current PHP: $CURRENT"
 
-          # Docker Hub API v2を使用してタグを取得
+          # jqの確認とインストール
-          # パターン: 8.4.12-fpm-alpine3.22 形式
+          if ! command -v jq &> /dev/null; then
-          LATEST=$(curl -s "https://registry.hub.docker.com/v2/repositories/library/php/tags?page_size=100" | \
+            echo "jq not found, installing..."
+            sudo apt-get update -qq && sudo apt-get install -y -qq jq
+          fi
+
+          # Docker Hub API v2を使用してタグを取得（fpm-alpineでフィルタ）
+          echo "Fetching tags from Docker Hub..."
+          LATEST=$(curl -s "https://registry.hub.docker.com/v2/repositories/library/php/tags?page_size=100&name=fpm-alpine" | \
             jq -r '.results[].name' | \
-            grep -E '^[0-9]+\.[0-9]+\.[0-9]+-fpm-alpine[0-9]+\.[0-9]+$' | \
+            grep -E '^[0-9]+\.[0-9]+\.[0-9]+-fpm-alpine[0-9]+\.[0-9]{2,3}$' | \
             sort -V | tail -1)
 
+          echo "DEBUG: Matched LATEST=$LATEST"
+
           if [ -z "$LATEST" ]; then
             echo "Warning: Could not fetch latest PHP version, using current"
             LATEST="$CURRENT"
           fi
 
-          # PHPバージョンを抽出 (8.4.12の部分)
+          # PHPバージョンを抽出 (8.5.2の部分)
           APP_VERSION=$(echo "$LATEST" | grep -oE '^[0-9]+\.[0-9]+\.[0-9]+')
           if [ -z "$APP_VERSION" ]; then
-            echo "Error: Could not extract PHP version"
+            echo "Warning: Could not extract PHP version from: $LATEST"
-            exit 1
+            echo "Using current version instead"
+            APP_VERSION=$(echo "$CURRENT" | grep -oE '^[0-9]+\.[0-9]+\.[0-9]+')
           fi
 
           echo "Latest PHP: $LATEST"
@@ -112,12 +125,33 @@ jobs:
           echo "PHP: $PHP_CURRENT vs $PHP_LATEST"
           echo "Selenium: $SELENIUM_CURRENT vs $SELENIUM_LATEST"
 
-          if [ "$NGINX_CURRENT" != "$NGINX_LATEST" ] || [ "$PHP_CURRENT" != "$PHP_LATEST" ] || [ "$SELENIUM_CURRENT" != "$SELENIUM_LATEST" ]; then
+          # 更新が必要かチェック
-            echo "update_needed=true" >> $GITHUB_OUTPUT
+          UPDATE_NEEDED=false
+          PHP_UPDATED=false
+
+          if [ "$PHP_CURRENT" != "$PHP_LATEST" ]; then
+            UPDATE_NEEDED=true
+            PHP_UPDATED=true
+            echo "PHP update detected"
+          fi
+
+          if [ "$NGINX_CURRENT" != "$NGINX_LATEST" ]; then
+            UPDATE_NEEDED=true
+            echo "Nginx update detected"
+          fi
+
+          if [ "$SELENIUM_CURRENT" != "$SELENIUM_LATEST" ]; then
+            UPDATE_NEEDED=true
+            echo "Selenium update detected"
+          fi
+
+          echo "update_needed=$UPDATE_NEEDED" >> $GITHUB_OUTPUT
+          echo "php_updated=$PHP_UPDATED" >> $GITHUB_OUTPUT
+
+          if [ "$UPDATE_NEEDED" = "true" ]; then
             echo "Update is needed"
           else
-            echo "update_needed=false" >> $GITHUB_OUTPUT
+            echo "Already up to date - no action required"
-            echo "Already up to date"
           fi
 
       - name: Update values.yaml
@@ -161,7 +195,7 @@ jobs:
           git diff values.yaml
 
       - name: Update Chart.yaml version
-        if: steps.check_update.outputs.update_needed == 'true'
+        if: steps.check_update.outputs.php_updated == 'true'
         run: |
           set -e
           APP_VERSION="${{ steps.php.outputs.app_version }}"
@@ -175,26 +209,43 @@ jobs:
         run: |
           git config user.name "GitHub Actions Bot"
           git config user.email "actions@github.com"
+
+          if [ "${{ steps.check_update.outputs.php_updated }}" = "true" ]; then
+            # PHP更新時はChart.yamlも含める
             git add values.yaml Chart.yaml
             git commit -m "chore: update to PHP ${{ steps.php.outputs.app_version }}, nginx ${{ steps.nginx.outputs.latest }}, selenium ${{ steps.selenium.outputs.latest }}"
+          else
+            # Nginx/Seleniumのみの更新時はvalues.yamlのみ
+            git add values.yaml
+            git commit -m "chore: update nginx to ${{ steps.nginx.outputs.latest }}, selenium to ${{ steps.selenium.outputs.latest }} (no release)"
+          fi
+
           git push origin main
 
       - name: Package Helm Chart
-        if: steps.check_update.outputs.update_needed == 'true'
+        if: steps.check_update.outputs.php_updated == 'true'
         run: |
           helm package .
-          echo "Helm chart packaged"
+          CHART_FILE=$(ls *.tgz)
+          echo "CHART_FILE=${CHART_FILE}" >> $GITHUB_ENV
+          echo "Helm chart packaged: ${CHART_FILE}"
 
       - name: Create Git Tag
-        if: steps.check_update.outputs.update_needed == 'true'
+        if: steps.check_update.outputs.php_updated == 'true'
         run: |
           APP_VERSION="${{ steps.php.outputs.app_version }}"
+
+          # タグが既に存在する場合はスキップ
+          if git rev-parse "v$APP_VERSION" >/dev/null 2>&1; then
+            echo "Tag v$APP_VERSION already exists, skipping tag creation"
+          else
             git tag -a "v$APP_VERSION" -m "Release PHP $APP_VERSION"
             git push origin "v$APP_VERSION"
             echo "Git tag v$APP_VERSION created"
+          fi
 
       - name: Create Gitea Release
-        if: steps.check_update.outputs.update_needed == 'true'
+        if: steps.check_update.outputs.php_updated == 'true'
         env:
           GITEA_TOKEN: ${{ secrets.GITEA_TOKEN }}
         run: |
@@ -202,59 +253,29 @@ jobs:
           CHART_NAME=$(grep '^name:' Chart.yaml | awk '{print $2}')
           PACKAGE_FILE="${CHART_NAME}-${APP_VERSION}.tgz"
           RELEASE_BODY="PHP Helm Chart v${APP_VERSION} - Automated release"
+
+          # リリースが既に存在する場合はスキップ
+          if curl -s -H "Authorization: token ${GITEA_TOKEN}" "${GITHUB_API_URL}/repos/${GITHUB_REPOSITORY}/releases/tags/v${APP_VERSION}" | jq -e '.id' >/dev/null 2>&1; then
+            echo "Release v$APP_VERSION already exists, skipping release creation"
+          else
             curl -X POST -H "Authorization: token ${GITEA_TOKEN}" -H "Content-Type: application/json" -d "{\"tag_name\":\"v${APP_VERSION}\",\"name\":\"v${APP_VERSION}\",\"body\":\"${RELEASE_BODY}\"}" "${GITHUB_API_URL}/repos/${GITHUB_REPOSITORY}/releases"
             RELEASE_ID=$(curl -s -H "Authorization: token ${GITEA_TOKEN}" "${GITHUB_API_URL}/repos/${GITHUB_REPOSITORY}/releases/tags/v${APP_VERSION}" | jq -r '.id')
             curl -X POST -H "Authorization: token ${GITEA_TOKEN}" -H "Content-Type: application/gzip" --data-binary "@${PACKAGE_FILE}" "${GITHUB_API_URL}/repos/${GITHUB_REPOSITORY}/releases/${RELEASE_ID}/assets?name=${PACKAGE_FILE}"
             echo "Release created"
-
-      - name: Update Helm Repository Index
-        if: steps.check_update.outputs.update_needed == 'true'
-        run: |
-          set -e
-          APP_VERSION="${{ steps.php.outputs.app_version }}"
-          CHART_NAME=$(grep '^name:' Chart.yaml | awk '{print $2}')
-          PACKAGE_FILE="${CHART_NAME}-${APP_VERSION}.tgz"
-          
-          echo "Preparing Helm repository update..."
-          
-          # パッケージファイルを一時ディレクトリに移動
-          mkdir -p /tmp/helm-repo
-          cp "${PACKAGE_FILE}" /tmp/helm-repo/
-          
-          # gh-pagesブランチの処理
-          if git ls-remote --heads origin gh-pages | grep gh-pages; then
-            echo "gh-pages branch exists, checking out..."
-            git fetch origin gh-pages
-            git checkout gh-pages
-          else
-            echo "Creating new gh-pages branch..."
-            git checkout --orphan gh-pages
-            git rm -rf . || true
-            echo "# Helm Repository" > README.md
-            git add README.md
-            git config user.name "GitHub Actions Bot"
-            git config user.email "actions@github.com"
-            git commit -m "Initialize gh-pages branch"
-            git push origin gh-pages
           fi
 
-          # パッケージファイルをコピー
+      - name: Publish to Gitea Package Registry
-          cp /tmp/helm-repo/"${PACKAGE_FILE}" .
+        if: steps.check_update.outputs.php_updated == 'true'
+        run: |
+          echo "🚀 Publishing ${CHART_FILE} to Gitea Package Registry..."
 
-          # index.yamlを生成/更新
+          curl --fail-with-body \
-          helm repo index . --url "https://git.cafepieters.com/${GITHUB_REPOSITORY}/raw/branch/gh-pages"
+            -u "${{ secrets.REGISTRY_USER }}:${{ secrets.REGISTRY_TOKEN }}" \
+            -X POST \
+            --upload-file "${CHART_FILE}" \
+            "${REGISTRY_URL}/api/packages/${OWNER}/helm/api/charts"
 
-          # コミットしてプッシュ
+          echo "✅ Chart published successfully!"
-          git config user.name "GitHub Actions Bot"
-          git config user.email "actions@github.com"
-          git add "${PACKAGE_FILE}" index.yaml
-          git commit -m "chore: add ${CHART_NAME} v${APP_VERSION}" || echo "No changes to commit"
-          git push origin gh-pages
-          
-          echo "Helm repository updated successfully"
-          
-          # mainブランチに戻る
-          git checkout main
 
       - name: Summary
         if: steps.check_update.outputs.update_needed == 'true'
@@ -262,7 +283,16 @@ jobs:
           APP_VERSION="${{ steps.php.outputs.app_version }}"
           NGINX_VERSION="${{ steps.nginx.outputs.latest }}"
           SELENIUM_VERSION="${{ steps.selenium.outputs.latest }}"
+          PHP_UPDATED="${{ steps.check_update.outputs.php_updated }}"
+
           echo "Update completed!"
           echo "- PHP: ${APP_VERSION}"
           echo "- Nginx: ${NGINX_VERSION}"
           echo "- Selenium: ${SELENIUM_VERSION}"
+          echo ""
+
+          if [ "$PHP_UPDATED" = "true" ]; then
+            echo "✅ PHP version updated - Release created (v${APP_VERSION})"
+          else
+            echo "ℹ️  Nginx/Selenium only update - No release (waiting for next PHP update)"
+          fi

CHANGELOG-8.5.2-a.md

@@ -0,0 +1,95 @@
+# Changelog - Version 8.5.2-a
+
+## 新機能
+
+### リアルIP転送機能の追加
+
+ベアメタルKubernetesクラスターやLoadBalancer環境において、PHP側で訪問者の実IPアドレスを取得できる機能を追加しました。
+
+#### 主な変更点
+
+1. **values.yaml**
+   - `nginx.forwardRealIP` セクションを追加
+   - `enabled`: リアルIP取得機能の有効/無効
+   - `header`: リアルIPを取得するHTTPヘッダー名（デフォルト: X-Forwarded-For）
+   - `recursive`: 再帰的にリアルIPを検索（多段プロキシ対応）
+   - `trustedProxies`: 信頼するプロキシのネットワーク範囲
+   - `additionalTrustedProxies`: 環境に応じた追加プロキシ設定
+
+2. **templates/configmap.yaml**
+   - Nginx の `http` セクションにリアルIP設定を追加
+   - `real_ip_header`, `real_ip_recursive`, `set_real_ip_from` ディレクティブを実装
+   - PHP-FPM へ渡す fastcgi_param にリアルIP情報を追加
+   - 既存の `customConfig.snippet` と競合しない構造
+
+3. **README.md**
+   - リアルIP転送機能の設定パラメータ表を追加
+   - 例7としてベアメタル環境でのリアルIP取得の使用例を追加
+   - 検証用PHPコード例を追加
+
+4. **examples/test-real-ip.php** (新規作成)
+   - リアルIP転送設定の動作確認用テストスクリプト
+   - WebUIで各種IP関連変数を確認可能
+   - 診断機能付き
+
+## 技術詳細
+
+### Nginx設定
+```nginx
+# HTTP-levelで設定
+real_ip_header X-Forwarded-For;
+real_ip_recursive on;
+set_real_ip_from 10.0.0.0/8;
+set_real_ip_from 172.16.0.0/12;
+set_real_ip_from 192.168.0.0/16;
+
+# PHP-FPMへ渡すパラメータ
+fastcgi_param REMOTE_ADDR $remote_addr;
+fastcgi_param HTTP_X_REAL_IP $remote_addr;
+fastcgi_param HTTP_X_FORWARDED_FOR $proxy_add_x_forwarded_for;
+```
+
+### PHPでの利用
+```php
+// リアルIPアドレスの取得
+$realIP = $_SERVER['REMOTE_ADDR'];
+```
+
+## 互換性
+
+- 既存の `nginx.customConfig.snippet` 機能と完全に互換性あり
+- デフォルトは `enabled: false` のため、既存環境への影響なし
+- 有効化時のみ、リアルIP取得ロジックが動作
+
+## セキュリティ
+
+- `trustedProxies` には信頼できるプロキシのみを指定してください
+- 不正なプロキシを信頼すると、IPスプーフィング攻撃のリスクがあります
+
+## 使用例
+
+```yaml
+# values.yaml
+nginx:
+  forwardRealIP:
+    enabled: true
+    header: "X-Forwarded-For"
+    recursive: true
+    trustedProxies:
+      - "10.0.0.0/8"
+      - "172.16.0.0/12"
+      - "192.168.0.0/16"
+    additionalTrustedProxies:
+      - "203.0.113.0/24"  # 外部LoadBalancerのIPレンジ
+```
+
+## 検証方法
+
+1. `examples/test-real-ip.php` を `/var/www/html/` に配置
+2. ブラウザでアクセス: `http://your-service/test-real-ip.php`
+3. `REMOTE_ADDR` にパブリックIPが表示されることを確認
+
+---
+
+**リリース日**: 2026-02-10
+**担当**: プロサーバーエンジニア（Claude）

CHANGELOG-8.5.6-a.md

@@ -0,0 +1,50 @@
+# Changelog - Version 8.5.6-a
+
+## 変更点
+
+### Composer導入先をWebルート外に変更（セキュリティ改善）
+
+従来、Composerは Webルート `/var/www/html` 直下に導入されており、`composer.json` / `composer.lock` / `vendor/` がWeb経由で公開される状態でした。これらのファイルは公開する必要がなく、依存パッケージ構成の漏洩などセキュリティリスクとなるため、デフォルトの導入先をWebルート外の `/var/www` に変更しました。
+
+#### 主な変更点
+
+1. **values.yaml**
+   - `composer.workingDir` パラメータを追加（デフォルト: `"/var/www"`）
+   - Composerの導入先ディレクトリを任意のパスに変更可能
+
+2. **templates/deployment.yaml**
+   - Composer実行時の作業ディレクトリを `composer.workingDir` に変更（`mkdir -p` で自動作成）
+   - `workingDir` がWebルート（`/var/www/html`）以外の場合、PVCの `composer` サブパスを `workingDir` にマウントし、vendor類を永続化（Pod再起動時の再構築を回避、従来と同等の永続化動作を維持）
+
+3. **README.md**
+   - `composer.workingDir` のパラメータ説明を追加
+   - Composer導入先とautoload読み込みパスの解説を追加
+   - Selenium使用例の `require_once` パスを更新
+
+## PHPコードでの利用
+
+```php
+// 新: デフォルトの読み込みパス
+require_once '/var/www/vendor/autoload.php';
+```
+
+## 互換性
+
+- **注意**: PHPコード内で `require_once '/var/www/html/vendor/autoload.php';` や相対パス `vendor/autoload.php` を使用している場合は、パスの修正が必要です。
+- 旧バージョンと同じ動作（Webルート直下に導入）へ戻す場合は、以下を指定してください:
+
+```yaml
+composer:
+  workingDir: "/var/www/html"
+```
+
+- 既存のPVC内 `html/vendor` はそのまま残ります。不要であれば手動で削除してください。
+
+## セキュリティ
+
+- `vendor/` や `composer.json` / `composer.lock` がWebサーバー（Nginx）から配信されなくなり、依存パッケージ情報の漏洩や、vendor内スクリプトへの直接アクセスのリスクを排除できます。
+
+---
+
+**リリース日**: 2026-07-19
+**担当**: プロサーバーエンジニア（Claude）

CHANGELOG-8.5.6-b.md

@@ -0,0 +1,45 @@
+# Changelog - Version 8.5.6-b
+
+## 修正
+
+### 旧Webルートにある既存 composer.json の自動移行
+
+v8.5.6-a で Composer導入先を `/var/www/html` から `/var/www`（`composer.workingDir`）に変更しましたが、
+`packages` / `useComposerJson` を使わずに既存の `composer.json` を利用していた環境では、
+旧Webルートに残った `composer.json` を検出できず、
+「No composer configuration found, skipping package installation」でインストールがスキップされる問題がありました。
+
+**対応**: 起動時に `workingDir` に `composer.json` が無く、旧Webルート `/var/www/html` に存在する場合、
+以下のファイルを自動的に `workingDir` へ移行してから `composer install` を実行するようにしました。
+
+- `composer.json`
+- `composer.lock`（存在する場合）
+- `vendor/`（存在する場合 — 移動によりWebルートから排除され、公開リスクも解消されます）
+
+移行はWebルートから該当ファイルが無くなるため一度だけ実行され、以降の再起動では通常フローで動作します。
+
+### mbstring 拡張の依存パッケージ自動追加
+
+`composer.additionalPhpExtensions` に `mbstring` を指定した場合、
+Alpine 上でのビルドに必要な `oniguruma-dev` が無く
+`configure: error: Package requirements (oniguruma) were not met` で失敗していました。
+
+**対応**: GD拡張と同様に、`mbstring` 指定時は `oniguruma-dev` を自動的にAPKパッケージへ追加するようにしました。
+
+## アップグレード手順
+
+```bash
+helm repo update
+helm upgrade <リリース名> cafepieters/phpfpm --version 8.5.6-b -f values.yaml
+```
+
+Pod再起動時に自動移行が実行されます。PHPコード側の読み込みパスの更新を忘れずに行ってください:
+
+```php
+require_once '/var/www/vendor/autoload.php';
+```
+
+---
+
+**リリース日**: 2026-07-19
+**担当**: プロサーバーエンジニア（Claude）

CHANGELOG-8.5.6-c.md

@@ -0,0 +1,36 @@
+# Changelog - Version 8.5.6-c
+
+## 変更点
+
+### Composerデフォルト導入先を `/var/www` から `/composer` に変更
+
+v8.5.6-a で導入先をWebルート外の `/var/www` に変更しましたが、`/var/www` はWebルート `/var/www/html` の親ディレクトリであるため、ネストマウントの副産物としてPVCの `composer` サブパス内に空の `html/` ディレクトリが生成されていました（マウントポイント作成による正常動作だが紛らわしい）。
+
+**対応**: デフォルトの `composer.workingDir` をWebルートと親子関係にない `/composer` に変更しました。これによりネストマウントが解消され、空フォルダは一切生成されなくなります。
+
+## PHPコードでの利用
+
+```php
+require_once '/composer/vendor/autoload.php';
+```
+
+※ `values.yaml` のコメントにも読み込み方法を明記しています。
+
+## アップグレード手順
+
+```bash
+helm repo update
+helm upgrade <リリース名> cafepieters/phpfpm --version 8.5.6-c -f values.yaml
+```
+
+## 互換性
+
+- **注意**: v8.5.6-a/b で `/var/www/vendor/autoload.php` を参照するようにPHPコードを更新済みの場合は、`/composer/vendor/autoload.php` への再修正が必要です。
+- PVC上のデータは同じ `composer` サブパスを使用するため、既に移行済みの `composer.json` / `vendor/` はそのまま新しいマウント先（`/composer`）に引き継がれます。
+- 旧Webルート（`/var/www/html`）からの自動移行機能（v8.5.6-b）はそのまま動作します。
+- PVC上に残った空の `composer/html/` ディレクトリは、Pod再起動後は再作成されなくなるため、手動で削除すれば以後復活しません。
+
+---
+
+**リリース日**: 2026-07-19
+**担当**: プロサーバーエンジニア（Claude）

CHANGELOG-8.5.6-d.md

@@ -0,0 +1,52 @@
+# Changelog - Version 8.5.6-d
+
+## 修正
+
+### useComposerJson 使用時の YAML parse error を修正
+
+`composer.useComposerJson: true` を指定すると、以下のエラーでデプロイに失敗する問題を修正しました。
+
+```
+YAML parse error on phpfpm/templates/deployment.yaml:
+error converting YAML to JSON: yaml: line 96: did not find expected key.
+```
+
+**原因**: `templates/deployment.yaml` の heredoc 内で `{{ .Values.composer.composerJson }}` を
+インデント処理なしで展開していたため、複数行の JSON の2行目以降が行頭に出力され、
+YAML のブロックスカラー構造を破壊していました（`useComposerJson` 経路の潜在バグ）。
+
+**対応**: `composerJson` / `composerLock` の展開を `trim | nindent 14` に変更し、
+ブロックスカラーのインデントに揃えて出力するようにしました。
+コンテナ内に書き出される `composer.json` / `composer.lock` は行頭からのクリーンな JSON になります。
+
+## アップグレード手順
+
+```bash
+helm repo update
+helm upgrade <リリース名> cafepieters/phpfpm --version 8.5.6-d -f values.yaml
+```
+
+## 使用例
+
+```yaml
+composer:
+  enabled: true
+  useComposerJson: true
+  composerJson: |
+    {
+      "require": {
+        "phpoffice/phpspreadsheet": "^2.0"
+      }
+    }
+```
+
+PHPコードからの読み込み:
+
+```php
+require_once '/composer/vendor/autoload.php';
+```
+
+---
+
+**リリース日**: 2026-07-19
+**担当**: プロサーバーエンジニア（Claude）

CHANGELOG-8.5.6-e.md

@@ -0,0 +1,43 @@
+# Changelog - Version 8.5.6-e
+
+## 変更点
+
+### php-fpm コンテナのマウントを PVCルート → /var/www に変更
+
+従来、php-fpm コンテナには PVC の `html` サブパスのみが `/var/www/html` にマウントされており、PVC上の他のディレクトリにはアクセスできませんでした。
+
+**対応**: php-fpm コンテナには PVC の**ルート**を `/var/www` にマウントするように変更しました。
+
+- `/var/www/html` — 公開フォルダ（nginxが配信するWebルート、従来どおり）
+- `/var/www/<任意>` — **非公開ファイルの格納先**（PHPから読み書き可能だがWebには公開されない）
+
+nginx コンテナは従来どおり `html` サブパスのみをマウントするため、`html/` 以外のディレクトリはWebサーバーのファイルシステムに存在せず、公開されることはありません。設定ファイル・秘密鍵・アップロード受け皿など、公開したくないファイルの置き場として利用できます。
+
+### Composer導入先（/composer）を使い捨て領域に変更
+
+v8.5.6-c/d では `/composer` をPVCの `composer` サブパスに永続化していましたが、このマウントを廃止しました。
+
+`/composer` はコンテナローカルの**使い捨て領域**となり、Pod再起動のたびに `composer install` でクリーンに再構築されます。万一不正アクセスで `vendor/` 内にマルウェアを書き込まれても、再起動で消滅します。
+
+- 永続化したい場合は `composer.workingDir` に `/var/www/composer` など `/var/www` 配下を指定してください。
+- 再起動ごとにパッケージの再ダウンロードが発生します（クリーン環境維持とのトレードオフ）。
+
+## アップグレード手順
+
+```bash
+helm repo update
+helm upgrade <リリース名> cafepieters/phpfpm --version 8.5.6-e -f values.yaml
+```
+
+## 互換性
+
+- autoloadパスは変わりません: `require_once '/composer/vendor/autoload.php';`
+- PVC上に残っている旧 `composer/` サブパスのデータは、今後は `/var/www/composer` として見えます。不要であれば削除してください:
+  ```bash
+  kubectl exec <pod> -c php-fpm -- rm -rf /var/www/composer
+  ```
+
+---
+
+**リリース日**: 2026-07-19
+**担当**: プロサーバーエンジニア（Claude）

CHANGELOG-8.5.6-f.md

@@ -0,0 +1,29 @@
+# Changelog - Version 8.5.6-f
+
+## 修正
+
+### SMTPパスワードファイルをPHP-FPMワーカーから読めない問題を修正
+
+`smtp.auth.enabled: true` でSMTP送信メールを設定した際、msmtpが以下のエラーで認証情報を取得できず、メール送信に失敗する問題を修正しました。
+
+```
+cat: can't open '/etc/smtp-secrets/password': Permission denied
+```
+
+**原因**: `/etc/smtp-secrets/password` を投影するSecretボリュームの `mode` が `0600`（所有者=rootのみ読み取り可）になっていました。msmtp は PHP の `mail()` 呼び出し経由で **PHP-FPMワーカー（`www-data` 等の非rootユーザー）** として実行されるため、rootのみ読み取り可のファイルを読めませんでした。
+
+**対応**: `templates/deployment.yaml` の `smtp-secrets` ボリュームの `mode` を `0644`（全ユーザー読み取り可）に変更しました。このファイルはPod内にのみ存在し外部からアクセスできないため、許容できるトレードオフです。
+
+## アップグレード手順
+
+```bash
+helm repo update
+helm upgrade <リリース名> cafepieters/phpfpm --version 8.5.6-f -f values.yaml
+```
+
+Pod再起動後、SMTP経由のメール送信が正常に動作するようになります。
+
+---
+
+**リリース日**: 2026-07-19
+**担当**: プロサーバーエンジニア（Claude）

CHANGELOG-8.5.6-g.md

@@ -0,0 +1,46 @@
+# Changelog - Version 8.5.6-g
+
+## 修正
+
+### /etc/msmtprc をPHP-FPMワーカーから読めない問題を修正
+
+v8.5.6-f で `/etc/smtp-secrets/password`（SMTPパスワード）の権限を修正しましたが、
+`/etc/msmtprc` 自体にも同様の問題が残っており、以下のエラーでメール送信が失敗していました。
+
+```
+ignoring system configuration file /etc/msmtprc: Permission denied
+ignoring user configuration file /home/www-data/.msmtprc: No such file or directory
+falling back to default account
+msmtp: account default not found: no configuration file available
+exit:78
+```
+
+**原因**: 起動スクリプト（rootで実行）が `/etc/msmtprc` を作成した後、`chmod 600` していたため、
+PHP-FPMワーカー（`www-data` 等の非root）から読めませんでした。
+
+**対応**: `templates/deployment.yaml` の `chmod 600 /etc/msmtprc` を `chmod 644` に変更しました。
+`msmtprc` には実パスワードは含まれず（`passwordeval` で別ファイルから取得する設計）、
+ホスト名・ポート・ユーザー名などの設定のみのため、読み取り権限を広げても実害はありません。
+
+## アップグレード手順
+
+```bash
+helm repo update
+helm upgrade <リリース名> cafepieters/phpfpm --version 8.5.6-g -f values.yaml
+```
+
+Pod再起動後、SMTP経由のメール送信が正常に動作するようになります。
+
+### 動作確認
+
+```bash
+kubectl exec -n <namespace> <pod> -c php-fpm -- su -s /bin/sh www-data -c \
+  'printf "To: test@example.com\r\nFrom: noreply@example.com\r\nSubject: test\r\nMIME-Version: 1.0\r\nContent-Type: text/plain; charset=UTF-8\r\n\r\nbody\r\n" | /usr/bin/msmtp -t --debug; echo "exit:$?"'
+```
+
+`exit:0` で成功です。
+
+---
+
+**リリース日**: 2026-07-19
+**担当**: プロサーバーエンジニア（Claude）

CLAUDE.md

@@ -0,0 +1,84 @@
+# CLAUDE.md — phpfpm Helm Chart
+
+## リポジトリ概要
+
+Raspberry Pi などのベアメタルで稼働することを想定した、Kubernetes 上で動作する Nginx + PHP-FPM の Helm チャート。
+
+- **Gitea リポジトリ**: `ssh://git@192.168.9.65/helmchart/phpfpm`
+- **Helm リポジトリ**: `https://git.cafepieters.com/api/packages/helmchart/helm`
+
+## 実行環境について
+
+**PHP の実行環境（インタープリタ）はこのリポジトリには含まれていない。**
+チャートは `docker.io/php:<tag>-fpm-alpine` の公式イメージを Kubernetes 上で起動するものであり、PHP コードそのものは PVC（`/var/www/html`）に別途配置する必要がある。
+
+## Git コミット情報
+
+| 項目 | 値 |
+|------|-----|
+| 名前 | Claude |
+| メール | claude@cafepieters.com |
+| SSH キー | `P:\Claude\.ssh\id_claude` |
+
+## チャート改修履歴
+
+### /etc/msmtprc の権限を0600→0644に修正（2026-07-19, v8.5.6-g）
+
+v8.5.6-f のフォローアップ。`/etc/smtp-secrets/password` の権限修正だけでは不十分で、起動スクリプトが `cp` 後に `chmod 600` していた `/etc/msmtprc` 自体もrootのみ読み取り可のままだった（msmtp: account default not found, exit:78）。`chmod 644` に変更。msmtprcには平文パスワードは含まれない（passwordeval経由で別ファイル参照）ため実害なし。
+
+**対象ファイル**: `templates/deployment.yaml`, `Chart.yaml`, `CHANGELOG-8.5.6-g.md`
+
+### SMTPパスワードSecretの権限を0600→0644に修正（2026-07-19, v8.5.6-f）
+
+`smtp-secrets` ボリュームの `mode: 0600` が原因で、rootではなく `www-data`（PHP-FPMワーカー）として動く msmtp が `/etc/smtp-secrets/password` を読めず、SMTP認証に失敗する不具合を修正。`0644` に変更（Pod内にしか存在しないファイルのため許容範囲）。
+
+**対象ファイル**: `templates/deployment.yaml`, `Chart.yaml`, `CHANGELOG-8.5.6-f.md`
+
+### PVCルートを /var/www にマウント + /composer を使い捨て化（2026-07-19, v8.5.6-e）
+
+php-fpm コンテナのマウントを「`html` サブパスのみ」から「PVCルート → `/var/www`」に変更。`html/` は公開フォルダ、それ以外（`/var/www/<任意>`）は非公開ファイルの格納先として使える。nginx は `html` サブパスのみマウントするため非公開分は公開されない。あわせて `/composer` のPVC永続化マウントを廃止し、Pod再起動ごとにクリーン再構築される使い捨て領域とした（マルウェア混入対策、ユーザー要望）。永続化したい場合は `workingDir` に `/var/www/composer` 等を指定。
+
+**対象ファイル**: `templates/deployment.yaml`, `values.yaml`, `README.md`, `Chart.yaml`, `CHANGELOG-8.5.6-e.md`
+
+### useComposerJson の YAML parse error 修正（2026-07-19, v8.5.6-d）
+
+`useComposerJson: true` 指定時、heredoc 内の `{{ .Values.composer.composerJson }}` がインデント無しで展開され、複数行JSONの2行目以降がブロックスカラーを破壊して YAML parse error になる潜在バグを修正。`trim | nindent 14` で展開するよう変更（`composerLock` も同様）。
+
+**対象ファイル**: `templates/deployment.yaml`, `Chart.yaml`, `CHANGELOG-8.5.6-d.md`
+
+### Composerデフォルト導入先を /composer に変更（2026-07-19, v8.5.6-c）
+
+`/var/www` はWebルート `/var/www/html` の親のため、ネストマウントでPVCの `composer` サブパス内に空の `html/` が生成されていた。デフォルトをWebルートと親子関係にない `/composer` に変更してネストを解消。autoloadは `require_once '/composer/vendor/autoload.php';`（values.yaml のコメントにも明記）。
+
+**対象ファイル**: `values.yaml`, `templates/deployment.yaml`, `README.md`, `Chart.yaml`, `CHANGELOG-8.5.6-c.md`
+
+### 旧composer.jsonの自動移行 + mbstring依存の自動追加（2026-07-19, v8.5.6-b）
+
+v8.5.6-a のフォローアップ。起動時に `workingDir` に `composer.json` が無く旧Webルート `/var/www/html` にある場合、`composer.json` / `composer.lock` / `vendor/` を自動移行する。また `additionalPhpExtensions` に `mbstring` 指定時、ビルドに必要な `oniguruma-dev` を自動追加（GDと同じ仕組み）。
+
+なお、PVC上の `composer/html/`（空ディレクトリ）はネストマウントのマウントポイント作成による正常な副産物で、実害なし。
+
+**対象ファイル**: `templates/deployment.yaml`, `README.md`, `Chart.yaml`, `CHANGELOG-8.5.6-b.md`
+
+### composer.workingDir — Composer導入先のWebルート外への変更（2026-07-19, v8.5.6-a）
+
+Composerの導入先をWebルート `/var/www/html` からWebルート外の `/var/www` に変更し、`vendor/` や `composer.json` がWeb経由で公開されないようにした。`values.yaml` の `composer.workingDir` で導入先を変更可能（旧動作に戻すには `"/var/www/html"` を指定）。導入先がWebルート以外の場合、PVCの `composer` サブパスをマウントして永続化する。
+
+PHP側の読み込みは `require_once '/var/www/vendor/autoload.php';`。
+
+**対象ファイル**: `values.yaml`, `templates/deployment.yaml`, `README.md`, `Chart.yaml`, `CHANGELOG-8.5.6-a.md`
+
+### phpEnv — 汎用 PHP 環境変数サポート（2026-04-17）
+
+`values.yaml` に `phpEnv` セクションを追加し、DB 接続情報と同様に任意のキーと値を PHP-FPM コンテナの環境変数として渡せるようにした。
+
+```yaml
+phpEnv:
+  API_KEY: "your-api-key"
+  STRIPE_SECRET: "sk_live_..."
+  REDIS_URL: "redis://localhost:6379"
+```
+
+PHP 側では `$_ENV['API_KEY']` または `getenv('API_KEY')` で取得できる。
+
+**対象ファイル**: `values.yaml`, `templates/deployment.yaml`, `README.md`

Chart.yaml

@@ -2,6 +2,6 @@ apiVersion: v2
 name: phpfpm
 description: Nginx + PHP-FPM Helm Chart with external DB and optional Selenium support
 type: application
-version: 8.5.2
+version: 8.5.8
-appVersion: "8.5.2"
+appVersion: "8.5.8"
 icon: https://upload.wikimedia.org/wikipedia/commons/thumb/2/27/PHP-logo.svg/330px-PHP-logo.svg.png

examples/test-real-ip.php

@@ -0,0 +1,226 @@
+<?php
+/**
+ * Real IP Test Script
+ *
+ * このスクリプトは、NginxのリアルIP転送設定が正しく動作しているかを確認します。
+ *
+ * 使用方法:
+ * 1. values.yamlでnginx.forwardRealIP.enabled=trueに設定
+ * 2. このファイルを /var/www/html/ に配置
+ * 3. ブラウザでアクセス: http://your-service/test-real-ip.php
+ */
+
+header('Content-Type: text/html; charset=utf-8');
+?>
+<!DOCTYPE html>
+<html lang="ja">
+<head>
+    <meta charset="UTF-8">
+    <meta name="viewport" content="width=device-width, initial-scale=1.0">
+    <title>Real IP Test</title>
+    <style>
+        body {
+            font-family: 'Segoe UI', Tahoma, Geneva, Verdana, sans-serif;
+            max-width: 800px;
+            margin: 50px auto;
+            padding: 20px;
+            background: #f5f5f5;
+        }
+        .container {
+            background: white;
+            padding: 30px;
+            border-radius: 8px;
+            box-shadow: 0 2px 10px rgba(0,0,0,0.1);
+        }
+        h1 {
+            color: #333;
+            border-bottom: 3px solid #4CAF50;
+            padding-bottom: 10px;
+        }
+        table {
+            width: 100%;
+            border-collapse: collapse;
+            margin-top: 20px;
+        }
+        th, td {
+            padding: 12px;
+            text-align: left;
+            border-bottom: 1px solid #ddd;
+        }
+        th {
+            background-color: #4CAF50;
+            color: white;
+            font-weight: bold;
+        }
+        tr:hover {
+            background-color: #f5f5f5;
+        }
+        .success {
+            color: #4CAF50;
+            font-weight: bold;
+        }
+        .warning {
+            color: #ff9800;
+            font-weight: bold;
+        }
+        .info {
+            background: #e3f2fd;
+            padding: 15px;
+            border-left: 4px solid #2196F3;
+            margin: 20px 0;
+        }
+        code {
+            background: #f4f4f4;
+            padding: 2px 6px;
+            border-radius: 3px;
+            font-family: 'Courier New', monospace;
+        }
+    </style>
+</head>
+<body>
+    <div class="container">
+        <h1>🔍 Real IP Detection Test</h1>
+
+        <div class="info">
+            <strong>ℹ️ 情報:</strong> このページは、NginxのリアルIP転送設定が正しく動作しているかを確認します。
+        </div>
+
+        <h2>📊 IP Address Information</h2>
+        <table>
+            <tr>
+                <th>変数名</th>
+                <th>値</th>
+                <th>説明</th>
+            </tr>
+            <tr>
+                <td><code>REMOTE_ADDR</code></td>
+                <td class="success"><?php echo htmlspecialchars($_SERVER['REMOTE_ADDR'] ?? 'not set'); ?></td>
+                <td>クライアントの実IPアドレス（Nginx real_ip設定適用後）</td>
+            </tr>
+            <tr>
+                <td><code>HTTP_X_REAL_IP</code></td>
+                <td><?php echo htmlspecialchars($_SERVER['HTTP_X_REAL_IP'] ?? 'not set'); ?></td>
+                <td>Nginxが設定したリアルIP（互換性用）</td>
+            </tr>
+            <tr>
+                <td><code>HTTP_X_FORWARDED_FOR</code></td>
+                <td><?php echo htmlspecialchars($_SERVER['HTTP_X_FORWARDED_FOR'] ?? 'not set'); ?></td>
+                <td>プロキシチェーン全体（カンマ区切り）</td>
+            </tr>
+            <tr>
+                <td><code>HTTP_CLIENT_IP</code></td>
+                <td><?php echo htmlspecialchars($_SERVER['HTTP_CLIENT_IP'] ?? 'not set'); ?></td>
+                <td>一部のプロキシが使用</td>
+            </tr>
+        </table>
+
+        <h2>🔧 All HTTP Headers</h2>
+        <table>
+            <tr>
+                <th>Header Name</th>
+                <th>Value</th>
+            </tr>
+            <?php
+            $headers = [];
+            foreach ($_SERVER as $key => $value) {
+                if (strpos($key, 'HTTP_') === 0) {
+                    $headerName = str_replace('_', '-', substr($key, 5));
+                    $headers[$headerName] = $value;
+                }
+            }
+            ksort($headers);
+
+            foreach ($headers as $name => $value) {
+                echo '<tr>';
+                echo '<td><code>' . htmlspecialchars($name) . '</code></td>';
+                echo '<td>' . htmlspecialchars($value) . '</td>';
+                echo '</tr>';
+            }
+            ?>
+        </table>
+
+        <h2>✅ 診断結果</h2>
+        <div class="info">
+            <?php
+            $remoteAddr = $_SERVER['REMOTE_ADDR'] ?? '';
+            $xForwardedFor = $_SERVER['HTTP_X_FORWARDED_FOR'] ?? '';
+
+            // プライベートIPかどうかをチェック
+            function isPrivateIP($ip) {
+                $privateRanges = [
+                    '10.0.0.0|10.255.255.255',
+                    '172.16.0.0|172.31.255.255',
+                    '192.168.0.0|192.168.255.255',
+                    '127.0.0.0|127.255.255.255'
+                ];
+
+                $longIP = ip2long($ip);
+                foreach ($privateRanges as $range) {
+                    list($start, $end) = explode('|', $range);
+                    if ($longIP >= ip2long($start) && $longIP <= ip2long($end)) {
+                        return true;
+                    }
+                }
+                return false;
+            }
+
+            if (!empty($remoteAddr) && !isPrivateIP($remoteAddr)) {
+                echo '<p class="success">✅ <strong>正常:</strong> REMOTE_ADDR にパブリックIPアドレスが設定されています。</p>';
+                echo '<p>リアルIP転送設定が正しく動作しています。</p>';
+            } elseif (!empty($remoteAddr) && isPrivateIP($remoteAddr)) {
+                echo '<p class="warning">⚠️ <strong>注意:</strong> REMOTE_ADDR がプライベートIPアドレスです: ' . htmlspecialchars($remoteAddr) . '</p>';
+                echo '<p>これは以下のいずれかが原因です:</p>';
+                echo '<ul>';
+                echo '<li>リアルIP転送設定（nginx.forwardRealIP.enabled）が無効</li>';
+                echo '<li>trustedProxiesの設定が不適切</li>';
+                echo '<li>LoadBalancerがX-Forwarded-Forヘッダーを送信していない</li>';
+                echo '</ul>';
+
+                if (!empty($xForwardedFor)) {
+                    echo '<p><strong>ヒント:</strong> X-Forwarded-For ヘッダーには値があります: ' . htmlspecialchars($xForwardedFor) . '</p>';
+                    echo '<p>values.yaml で <code>nginx.forwardRealIP.enabled: true</code> に設定してください。</p>';
+                }
+            } else {
+                echo '<p class="warning">⚠️ REMOTE_ADDR が設定されていません</p>';
+            }
+            ?>
+        </div>
+
+        <h2>📝 PHPでの使用例</h2>
+        <pre style="background: #f4f4f4; padding: 15px; border-radius: 5px; overflow-x: auto;">
+<code>&lt;?php
+/**
+ * 訪問者のリアルIPアドレスを取得する関数
+ */
+function getRealIP() {
+    // nginx.forwardRealIP.enabled が true の場合、
+    // REMOTE_ADDR に実IPが設定されている
+    return $_SERVER['REMOTE_ADDR'] ?? 'unknown';
+}
+
+// 使用例
+$visitorIP = getRealIP();
+echo "訪問者のIPアドレス: " . $visitorIP;
+
+// データベースに記録する例
+// $stmt = $pdo-&gt;prepare("INSERT INTO access_log (ip_address, visited_at) VALUES (?, NOW())");
+// $stmt-&gt;execute([$visitorIP]);
+?&gt;</code></pre>
+
+        <h2>⚙️ Helm設定例</h2>
+        <pre style="background: #f4f4f4; padding: 15px; border-radius: 5px; overflow-x: auto;">
+<code># values.yaml
+nginx:
+  forwardRealIP:
+    enabled: true
+    header: "X-Forwarded-For"
+    recursive: true
+    trustedProxies:
+      - "10.0.0.0/8"
+      - "172.16.0.0/12"
+      - "192.168.0.0/16"
+    additionalTrustedProxies:
+      - "あなたのLoadBalancerのIPレンジ"</code></pre>
+    </div>
+</body>
+</html>

templates/configmap-composer.yaml

@@ -0,0 +1,15 @@
+{{- if and .Values.composer.enabled .Values.composer.useComposerJson }}
+apiVersion: v1
+kind: ConfigMap
+metadata:
+  name: {{ include "phpfpm.fullname" . }}-composer-config
+  labels:
+    {{- include "phpfpm.labels" . | nindent 4 }}
+data:
+  composer.json: |
+{{ .Values.composer.composerJson | indent 4 }}
+{{- if .Values.composer.composerLock }}
+  composer.lock: |
+{{ .Values.composer.composerLock | indent 4 }}
+{{- end }}
+{{- end }}

templates/configmap-nginx.yaml

@@ -0,0 +1,92 @@
+{{- if .Values.nginx.enabled }}
+apiVersion: v1
+kind: ConfigMap
+metadata:
+  name: {{ include "phpfpm.fullname" . }}-nginx-config
+  labels:
+    {{- include "phpfpm.labels" . | nindent 4 }}
+data:
+  default.conf: |
+    {{- if or .Values.nginx.forwardRealIP.enabled (and .Values.nginx.customConfig.enabled .Values.nginx.customConfig.httpSnippet) }}
+    # HTTP-level configuration
+    {{- if .Values.nginx.forwardRealIP.enabled }}
+    # Real IP forwarding configuration
+    real_ip_header {{ .Values.nginx.forwardRealIP.header }};
+    {{- if .Values.nginx.forwardRealIP.recursive }}
+    real_ip_recursive on;
+    {{- end }}
+    
+    # Trusted proxy networks
+    {{- range .Values.nginx.forwardRealIP.trustedProxies }}
+    set_real_ip_from {{ . }};
+    {{- end }}
+    {{- range .Values.nginx.forwardRealIP.additionalTrustedProxies }}
+    set_real_ip_from {{ . }};
+    {{- end }}
+    {{- end }}
+    
+    {{- if and .Values.nginx.customConfig.enabled .Values.nginx.customConfig.httpSnippet }}
+    # Custom HTTP-level configuration
+    {{ .Values.nginx.customConfig.httpSnippet | nindent 4 }}
+    {{- end }}
+    {{- end }}
+    
+    server {
+        listen 8080;
+        server_name _;
+        root /var/www/html;
+        index index.php index.html;
+        
+        # Security headers
+        add_header X-Frame-Options "SAMEORIGIN" always;
+        add_header X-Content-Type-Options "nosniff" always;
+        add_header X-XSS-Protection "1; mode=block" always;
+        
+        {{- if and .Values.nginx.customConfig.enabled .Values.nginx.customConfig.serverSnippet }}
+        # Custom server-level configuration
+        {{ .Values.nginx.customConfig.serverSnippet | nindent 8 }}
+        {{- end }}
+        
+        # Health check endpoint
+        location /health {
+            access_log off;
+            return 200 "healthy\n";
+            add_header Content-Type text/plain;
+        }
+        
+        # Default location block
+        location / {
+            try_files $uri $uri/ /index.php?$query_string;
+        }
+        
+        # PHP-FPM handler
+        location ~ \.php$ {
+            try_files $uri =404;
+            fastcgi_split_path_info ^(.+\.php)(/.+)$;
+            fastcgi_pass 127.0.0.1:9000;
+            fastcgi_index index.php;
+            include fastcgi_params;
+            fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
+            fastcgi_param PATH_INFO $fastcgi_path_info;
+            
+            {{- if .Values.nginx.forwardRealIP.enabled }}
+            # Pass real IP information to PHP-FPM
+            fastcgi_param REMOTE_ADDR $remote_addr;
+            fastcgi_param HTTP_X_REAL_IP $realip_remote_addr;
+            fastcgi_param HTTP_X_FORWARDED_FOR $proxy_add_x_forwarded_for;
+            {{- end }}
+            
+            # Standard FastCGI parameters
+            fastcgi_param SERVER_NAME $host;
+            fastcgi_param SERVER_PORT $server_port;
+            fastcgi_param HTTPS $https if_not_empty;
+        }
+        
+        # Deny access to hidden files
+        location ~ /\. {
+            deny all;
+            access_log off;
+            log_not_found off;
+        }
+    }
+{{- end }}

templates/configmap-smtp.yaml

@@ -0,0 +1,157 @@
+{{- if .Values.smtp.enabled }}
+apiVersion: v1
+kind: ConfigMap
+metadata:
+  name: {{ include "phpfpm.fullname" . }}-smtp-config
+  labels:
+    {{- include "phpfpm.labels" . | nindent 4 }}
+data:
+  msmtprc: |
+    # msmtp設定ファイル
+    # PHPのsendmail_pathから呼び出される
+
+    defaults
+    {{- if .Values.smtp.tls.verify }}
+    tls on
+    tls_trust_file /etc/ssl/certs/ca-certificates.crt
+    {{- else }}
+    tls off
+    {{- end }}
+    {{- if .Values.smtp.tls.allowSelfSigned }}
+    tls_certcheck off
+    {{- else }}
+    tls_certcheck on
+    {{- end }}
+    {{- if eq .Values.smtp.protocol "starttls" }}
+    # STARTTLS (SMTP + STARTTLS at port 587)
+    protocol smtp
+    {{- else if eq .Values.smtp.protocol "tls" }}
+    # SSL/TLS (SMTPS at port 465)
+    protocol smtps
+    {{- else }}
+    # Auto mode - protocol will be determined by port
+    {{- if eq (int .Values.smtp.port) 465 }}
+    protocol smtps
+    {{- else }}
+    protocol smtp
+    {{- end }}
+    {{- end }}
+
+    account default
+    host {{ .Values.smtp.host }}
+    port {{ .Values.smtp.port }}
+    {{- if eq .Values.smtp.protocol "starttls" }}
+    protocol smtp
+    {{- else if eq .Values.smtp.protocol "tls" }}
+    protocol smtps
+    {{- else if eq (int .Values.smtp.port) 465 }}
+    protocol smtps
+    {{- else }}
+    protocol smtp
+    {{- end }}
+
+    {{- if .Values.smtp.auth.enabled }}
+    auth on
+    user {{ .Values.smtp.auth.username }}
+    passwordeval "cat /etc/smtp-secrets/password"
+    {{- else }}
+    auth off
+    {{- end }}
+
+    from {{ .Values.smtp.from }}
+    {{- if .Values.smtp.tls.verify }}
+    tls on
+    tls_trust_file /etc/ssl/certs/ca-certificates.crt
+    {{- else }}
+    tls off
+    {{- end }}
+    {{- if .Values.smtp.tls.allowSelfSigned }}
+    tls_certcheck off
+    {{- else }}
+    tls_certcheck on
+    {{- end }}
+
+  # PHPスクリプトで利用する設定用PHPクラス
+  php-smtp-config.php: |
+    <?php
+    /**
+     * PHPからSMTP設定を利用するためのヘルパークラス
+     * 使用例:
+     *   SmtpConfig::init();
+     *   mail($to, $subject, $body);
+     *
+     *   // 別の送信者で上書きする場合:
+     *   $headers = [
+     *       'From: custom@example.com',
+     *       'Return-Path: custom@example.com',
+     *   ];
+     *   mail($to, $subject, $body, implode("\r\n", $headers), '-f custom@example.com');
+     */
+    class SmtpConfig {
+        private static $initialized = false;
+
+        /**
+         * SMTP設定を初期化
+         * PHP-FPMスタートアップ時に呼び出す
+         */
+        public static function init() {
+            if (self::$initialized) {
+                return;
+            }
+
+            // PHPメール設定の確認
+            $sendmailPath = ini_get('sendmail_path');
+            if (!empty($sendmailPath)) {
+                error_log("SMTP configured via sendmail_path: " . $sendmailPath);
+            }
+
+            self::$initialized = true;
+        }
+
+        /**
+         * 指定した送信者でメール送信
+         *
+         * @param string $to 受信者アドレス
+         * @param string $subject メール件名
+         * @param string $body メール本文
+         * @param array $headers オプションのヘッダー
+         * @param string $fromAddress 送信元アドレス（オプション）
+         * @return bool
+         */
+        public static function mail($to, $subject, $body, $headers = [], $fromAddress = null) {
+            $headerString = '';
+            if (!empty($headers)) {
+                if (is_array($headers)) {
+                    $headerString = implode("\r\n", $headers);
+                } else {
+                    $headerString = (string)$headers;
+                }
+            }
+
+            // 送信元アドレスでmsmtpを呼び出す
+            $parameters = '';
+            if (!empty($fromAddress)) {
+                // メールヘッダーにFromを追加
+                if (!preg_match('/^From:/mi', $headerString)) {
+                    $headerString .= (!empty($headerString) ? "\r\n" : '') . "From: " . $fromAddress;
+                }
+                // sendmail互換パラメータで送信者を指定
+                $parameters = '-f ' . escapeshellarg($fromAddress);
+            }
+
+            return mail($to, $subject, $body, $headerString, $parameters);
+        }
+
+        /**
+         * PHPのメール設定を取得
+         */
+        public static function getConfig() {
+            return [
+                'sendmail_path' => ini_get('sendmail_path'),
+                'sendmail_from' => ini_get('sendmail_from'),
+                'SMTP' => ini_get('SMTP'),
+                'smtp_port' => ini_get('smtp_port'),
+            ];
+        }
+    }
+{{- end }}

templates/configmap.yaml

@@ -29,6 +29,25 @@ data:
         sendfile        on;
         keepalive_timeout  65;
 
+        {{- if .Values.nginx.forwardRealIP.enabled }}
+        # ========================================
+        # Real IP forwarding configuration
+        # ========================================
+        # クライアントの実IPアドレスを取得する設定
+        real_ip_header {{ .Values.nginx.forwardRealIP.header }};
+        {{- if .Values.nginx.forwardRealIP.recursive }}
+        real_ip_recursive on;
+        {{- end }}
+
+        # 信頼するプロキシのネットワーク範囲
+        {{- range .Values.nginx.forwardRealIP.trustedProxies }}
+        set_real_ip_from {{ . }};
+        {{- end }}
+        {{- range .Values.nginx.forwardRealIP.additionalTrustedProxies }}
+        set_real_ip_from {{ . }};
+        {{- end }}
+        {{- end }}
+
         server {
             listen       80;
             server_name  localhost;
@@ -45,6 +64,12 @@ data:
                 fastcgi_pass   127.0.0.1:9000;
                 fastcgi_index  index.php;
                 fastcgi_param  SCRIPT_FILENAME  $document_root$fastcgi_script_name;
+                {{- if .Values.nginx.forwardRealIP.enabled }}
+                # リアルIP情報をPHP-FPMに渡す
+                fastcgi_param  REMOTE_ADDR        $remote_addr;
+                fastcgi_param  HTTP_X_REAL_IP     $remote_addr;
+                fastcgi_param  HTTP_X_FORWARDED_FOR $proxy_add_x_forwarded_for;
+                {{- end }}
             }
 
             error_page   500 502 503 504  /50x.html;

templates/deployment.yaml

@@ -34,30 +34,197 @@ spec:
             - sh
             - -c
             - |
-              echo "Starting PHP-FPM with conditional logic..."
+              echo "Starting PHP-FPM setup process..."
-              {{- if or .Values.selenium.enabled .Values.externalDatabase.enabled }}
+              
-              (
+              {{- if or .Values.composer.enabled .Values.selenium.enabled .Values.externalDatabase.enabled }}
-                {{- if .Values.selenium.enabled }}
+              # ========================================
-                echo "Installing selenium dependencies..."
+              # APKパッケージのインストール
-                apk add --no-cache curl zip libzip-dev && \
+              # ========================================
-                docker-php-ext-install zip && \
+              APK_PACKAGES=""
-                curl -sS https://getcomposer.org/installer | php -- --install-dir=/usr/local/bin --filename=composer && \
+              
-                composer require php-webdriver/webdriver
+              {{- if or .Values.composer.enabled .Values.selenium.enabled }}
+              # Composer本体に必要なパッケージ
+              APK_PACKAGES="$APK_PACKAGES curl zip libzip-dev"
               {{- end }}
+              
               {{- if .Values.externalDatabase.enabled }}
-                echo "Installing pdo_mysql for PHP 8.4 Alpine..."
+              # MySQL/MariaDB接続に必要なパッケージ
-                apk add --no-cache mysql-client mysql-dev
+              APK_PACKAGES="$APK_PACKAGES mysql-client mysql-dev"
+              {{- end }}
+
+              {{- if .Values.smtp.enabled }}
+              # SMTP送信に必要なパッケージ
+              APK_PACKAGES="$APK_PACKAGES msmtp ca-certificates"
+              {{- end }}
+
+              {{- if .Values.composer.additionalApkPackages }}
+              # ユーザー指定の追加APKパッケージ
+              {{- range .Values.composer.additionalApkPackages }}
+              APK_PACKAGES="$APK_PACKAGES {{ . }}"
+              {{- end }}
+              {{- end }}
+
+              # PHP拡張（gd / mbstring）の依存パッケージを自動的に追加
+              {{- if .Values.composer.additionalPhpExtensions }}
+              for ext in {{ join " " .Values.composer.additionalPhpExtensions }}; do
+                if [ "$ext" = "gd" ]; then
+                  echo "GD extension detected, adding required dependencies..."
+                  APK_PACKAGES="$APK_PACKAGES libpng-dev libjpeg-turbo-dev freetype-dev"
+                fi
+                if [ "$ext" = "mbstring" ]; then
+                  echo "mbstring extension detected, adding required dependencies..."
+                  APK_PACKAGES="$APK_PACKAGES oniguruma-dev"
+                fi
+              done
+              {{- end }}
+
+              if [ -n "$APK_PACKAGES" ]; then
+                echo "Installing APK packages: $APK_PACKAGES"
+                apk add --no-cache $APK_PACKAGES
+              fi
+              
+              # ========================================
+              # PHP拡張のインストール
+              # ========================================
+              {{- if or .Values.composer.enabled .Values.selenium.enabled }}
+              echo "Installing PHP zip extension..."
+              docker-php-ext-install zip
+              {{- end }}
+              
+              {{- if .Values.externalDatabase.enabled }}
+              echo "Installing pdo_mysql extension..."
               docker-php-ext-install pdo_mysql
               {{- end }}
-              )
+              
+              {{- if .Values.composer.additionalPhpExtensions }}
+              echo "Installing additional PHP extensions..."
+              {{- range .Values.composer.additionalPhpExtensions }}
+              docker-php-ext-install {{ . }}
               {{- end }}
+              {{- end }}
+              
+              # ========================================
+              # Composerのインストールと実行
+              # ========================================
+              {{- if or .Values.composer.enabled .Values.selenium.enabled }}
+              echo "Installing Composer..."
+              curl -sS https://getcomposer.org/installer | php -- --install-dir=/usr/local/bin --filename=composer
+
+              # Composer導入先（デフォルトはWebルート外の /composer）
+              # PHPからは require_once '{{ .Values.composer.workingDir | default "/composer" }}/vendor/autoload.php'; で読み込む
+              mkdir -p {{ .Values.composer.workingDir | default "/composer" }}
+              cd {{ .Values.composer.workingDir | default "/composer" }}
+              
+              {{- if .Values.composer.enabled }}
+              # ユーザー定義のComposer設定
+              {{- if .Values.composer.useComposerJson }}
+              # composer.jsonファイルを使用
+              echo "Creating composer.json from values..."
+              cat > composer.json << 'COMPOSER_JSON_EOF'
+              {{- .Values.composer.composerJson | trim | nindent 14 }}
+              COMPOSER_JSON_EOF
+              
+              {{- if .Values.composer.composerLock }}
+              echo "Creating composer.lock from values..."
+              cat > composer.lock << 'COMPOSER_LOCK_EOF'
+              {{- .Values.composer.composerLock | trim | nindent 14 }}
+              COMPOSER_LOCK_EOF
+              {{- end }}
+              
+              echo "Running composer install..."
+              composer install {{ .Values.composer.installOptions }}
+              
+              {{- else if .Values.composer.packages }}
+              # パッケージリストから直接インストール
+              echo "Installing Composer packages..."
+              {{- range .Values.composer.packages }}
+              composer require {{ . }}
+              {{- end }}
+              
+              {{- if .Values.composer.installOptions }}
+              # オプティマイズ実行
+              composer install {{ .Values.composer.installOptions }}
+              {{- end }}
+              
+              {{- else }}
+              # 旧Webルート（/var/www/html）に composer.json がある場合は移行（v8.5.6-a以前からのアップグレード対応）
+              if [ ! -f composer.json ] && [ -f /var/www/html/composer.json ]; then
+                echo "Migrating legacy composer files from /var/www/html to $(pwd)..."
+                mv /var/www/html/composer.json ./composer.json
+                if [ -f /var/www/html/composer.lock ]; then mv /var/www/html/composer.lock ./composer.lock; fi
+                if [ -d /var/www/html/vendor ]; then mv /var/www/html/vendor ./vendor; fi
+              fi
+              # composer.jsonが既に存在する場合はそれを使用
+              if [ -f composer.json ]; then
+                echo "Found existing composer.json, running composer install..."
+                composer install {{ .Values.composer.installOptions }}
+              else
+                echo "No composer configuration found, skipping package installation"
+              fi
+              {{- end }}
+              {{- end }}
+              
+              {{- if .Values.selenium.enabled }}
+              # Selenium用のパッケージインストール（レガシー互換性）
+              echo "Installing Selenium WebDriver package..."
+              composer require php-webdriver/webdriver
+              {{- end }}
+              {{- end }}
+              {{- end }}
+
+              {{- if .Values.smtp.enabled }}
+              # ========================================
+              # SMTP設定（msmtp）
+              # ========================================
+              echo "Configuring SMTP for mail sending..."
+
+              # msmtprc設定ファイルをコピー
+              # msmtpはPHP-FPMワーカー（www-data等の非root）から実行されるため、
+              # rootが作成するこのファイルも読み取り可にする必要がある
+              # （実パスワードはpasswordeval経由で別ファイルから取得するため、
+              #   msmtprc自体に平文パスワードは含まれない）
+              cp /etc/smtp-config/msmtprc /etc/msmtprc
+              chmod 644 /etc/msmtprc
+
+              # PHP設定をphp.ini.d/に作成
+              cat > /usr/local/etc/php/conf.d/99-smtp.ini << 'PHP_SMTP_EOF'
+              ; SMTP設定 - msmtp経由でメール送信
+              sendmail_path = "/usr/bin/msmtp -t"
+              sendmail_from = "{{ .Values.smtp.from }}"
+              PHP_SMTP_EOF
+
+              echo "SMTP configured:"
+              echo "  Host: {{ .Values.smtp.host }}:{{ .Values.smtp.port }}"
+              echo "  Protocol: {{ .Values.smtp.protocol }}"
+              echo "  From: {{ .Values.smtp.from }}"
+              {{- end }}
+
+              echo "Setup complete, starting PHP-FPM..."
               php-fpm
           ports:
             - containerPort: 9000  # PHP-FPMは9000ポートでリッスン
           volumeMounts:
+            # PVCルートを /var/www にマウント
+            # - /var/www/html のみ nginx が公開（nginx側は html サブパスだけをマウント）
+            # - それ以外（/var/www/<任意>）は非公開ファイルの格納先として利用可能
+            # ※ Composer導入先（デフォルト /composer）は意図的にマウントしない:
+            #    Pod再起動のたびにクリーンな環境へ再構築される使い捨て領域とする
             - name: app-storage
-              mountPath: /var/www/html
+              mountPath: /var/www
-              subPath: html
+            {{- if and .Values.composer.enabled .Values.composer.useComposerJson }}
+            - name: composer-config
+              mountPath: /tmp/composer-init
+            {{- end }}
+            {{- if .Values.smtp.enabled }}
+            - name: smtp-config
+              mountPath: /etc/smtp-config
+              readOnly: true
+            {{- if .Values.smtp.auth.enabled }}
+            - name: smtp-secrets
+              mountPath: /etc/smtp-secrets
+              readOnly: true
+            {{- end }}
+            {{- end }}
           env:
             {{- if .Values.externalDatabase.enabled }}
             - name: DB_HOST
@@ -74,6 +241,10 @@ spec:
                   name: {{ include "phpfpm.fullname" . }}-db-secret
                   key: {{ include "phpfpm.fullname" . }}-db-key
             {{- end }}
+            {{- range $key, $value := .Values.phpEnv }}
+            - name: {{ $key }}
+              value: {{ $value | quote }}
+            {{- end }}
         {{- if .Values.selenium.enabled }}
         - name: selenium
           image: "{{ .Values.image.selenium.registry }}/{{ .Values.image.selenium.repository }}:{{ .Values.image.selenium.tag }}"
@@ -101,3 +272,28 @@ spec:
         - name: nginx-config
           configMap:
             name: {{ include "phpfpm.fullname" . }}-nginx-config
+        {{- if and .Values.composer.enabled .Values.composer.useComposerJson }}
+        - name: composer-config
+          configMap:
+            name: {{ include "phpfpm.fullname" . }}-composer-config
+        {{- end }}
+        {{- if .Values.smtp.enabled }}
+        - name: smtp-config
+          configMap:
+            name: {{ include "phpfpm.fullname" . }}-smtp-config
+            items:
+              - key: msmtprc
+                path: msmtprc
+        {{- if .Values.smtp.auth.enabled }}
+        - name: smtp-secrets
+          secret:
+            secretName: {{ include "phpfpm.fullname" . }}-smtp
+            items:
+              - key: password
+                path: password
+                # 0600だとSecretボリュームの所有者はroot、
+                # msmtpはPHP-FPMワーカー（www-data等の非root）から実行されるため読めない
+                # → 全ユーザー読み取り可にする（ボリュームはPod内にしか存在しないため許容範囲）
+                mode: 0644
+        {{- end }}
+        {{- end }}

templates/secret-smtp.yaml

@@ -0,0 +1,13 @@
+{{- if .Values.smtp.enabled }}
+apiVersion: v1
+kind: Secret
+metadata:
+  name: {{ include "phpfpm.fullname" . }}-smtp
+  labels:
+    {{- include "phpfpm.labels" . | nindent 4 }}
+type: Opaque
+data:
+  {{- if .Values.smtp.auth.enabled }}
+  password: {{ .Values.smtp.auth.password | b64enc }}
+  {{- end }}
+{{- end }}

values.yaml

@@ -4,17 +4,17 @@ image:
   nginx:
     registry: docker.io
     repository: nginx
-    tag: "1.29.4-alpine-perl"
+    tag: "1.31.3-alpine-perl"
     pullPolicy: IfNotPresent
   php:
     registry: docker.io
     repository: php
-    tag: "8.5.2-fpm-alpine3.22"
+    tag: "8.5.8-fpm-alpine3.24"
     pullPolicy: IfNotPresent
   selenium:
     registry: docker.io
     repository: selenium/standalone-chromium
-    tag: "143.0-chromedriver-143.0"
+    tag: "150.0-chromedriver-150.0"
     pullPolicy: IfNotPresent
 
 service:
@@ -55,7 +55,83 @@ nginx:
     enabled: false
     snippet: |-
 
+  # リアルIP転送設定（ベアメタル/LoadBalancer環境向け）
+  forwardRealIP:
+    # リアルIP取得機能を有効化
+    enabled: false
 
+    # リアルIPを取得するヘッダー名
+    # LoadBalancer/Ingressによって異なる
+    # - X-Real-IP: シンプルな1段プロキシ
+    # - X-Forwarded-For: 多段プロキシ対応（推奨）
+    header: "X-Forwarded-For"
+
+    # 再帰的にリアルIPを検索（多段プロキシ環境で推奨）
+    recursive: true
+
+    # 信頼するプロキシのネットワーク範囲
+    # ベアメタルクラスターでは、PodネットワークとServiceネットワークを指定
+    trustedProxies:
+      - "10.0.0.0/8"      # プライベートネットワーク
+      - "172.16.0.0/12"   # プライベートネットワーク
+      - "192.168.0.0/16"  # プライベートネットワーク
+
+    # 追加で信頼するプロキシ（環境に応じてカスタマイズ）
+    additionalTrustedProxies: []
+    #  - "203.0.113.0/24"  # 外部LoadBalancerなど
+
+# Composer設定
+composer:
+  # Composerを使用するかどうか
+  enabled: false
+
+  # Composerの導入先ディレクトリ（composer.json / vendor の配置先）
+  # デフォルトの /composer はWebルート外かつPVCにマウントされない「使い捨て」領域:
+  # - vendor/ や composer.json がWeb経由で公開されない
+  # - Pod再起動のたびにクリーンな環境へ再構築されるため、
+  #   不正アクセスでマルウェアを書き込まれても再起動で消える
+  #
+  # 【重要】PHPコードからの autoload.php の読み込み方:
+  #   require_once '/composer/vendor/autoload.php';
+  #
+  # PVC上に永続化したい場合は /var/www 配下（例: "/var/www/composer"）を指定
+  # 旧来の動作（Webルート直下に導入）へ戻す場合は "/var/www/html" を指定
+  workingDir: "/composer"
+
+  # Composerでインストールするパッケージ
+  # packages配列が空の場合、composer.jsonを使用
+  packages: []
+  #  - "monolog/monolog:^2.0"
+  #  - "guzzlehttp/guzzle:^7.0"
+  
+  # composer.jsonファイルを使用する場合
+  useComposerJson: false
+  
+  # composer.jsonの内容（useComposerJson: trueの場合に使用）
+  composerJson: |
+    {
+      "require": {
+        "monolog/monolog": "^2.0"
+      }
+    }
+  
+  # composer.lockファイルの内容（オプション、再現性を保証）
+  composerLock: ""
+  
+  # Composerのインストールオプション
+  installOptions: "--no-dev --optimize-autoloader"
+  
+  # 追加のAPKパッケージ（Composer依存関係のビルドに必要な場合）
+  additionalApkPackages: []
+  #  - "libpng-dev"
+  #  - "libjpeg-turbo-dev"
+  
+  # 追加のPHP拡張（docker-php-ext-installで導入）
+  additionalPhpExtensions: []
+  #  - "gd"
+  #  - "zip"
+
+# Selenium設定（レガシー互換性維持）
 selenium:
   enabled: false
 
@@ -67,4 +143,56 @@ externalDatabase:
   username: user
   password: pass
 
+# SMTP設定（PHPのメール送信用）
+smtp:
+  enabled: false
+
+  # SMTPサーバー設定
+  host: "smtp.example.com"
+
+  # プロトコルとポート設定
+  # - auto: 自動判定（推奨）
+  # - starttls: STARTTLS（ポート587）
+  # - tls: SSL/TLS（ポート465）
+  protocol: "auto"
+
+  # ポート番号（通常は自動判定されるため手動設定は不要）
+  # protocol: auto の場合は以下の値を参考に
+  # - 25: SMTP (非暗号化)
+  # - 587: SMTP + STARTTLS (暗号化)
+  # - 465: SMTP + SSL/TLS (暗号化)
+  port: 587
+
+  # 認証設定
+  auth:
+    enabled: true
+    username: "smtp-user@example.com"
+    # password はSecretで管理する
+    # values-secret.yaml などで以下のように指定:
+    # smtp:
+    #   auth:
+    #     password: "your-smtp-password"
+    password: ""
+
+  # 送信元アドレス（固定値）
+  # PHPプログラムで mail() 関数の $additional_parameters で上書き可能
+  # 例: mail($to, $subject, $body, $headers, "-f user@example.com")
+  from: "noreply@example.com"
+
+  # TLS/SSL設定
+  tls:
+    # 証明書検証を有効化（本番環境では true を推奨）
+    verify: true
+    # 自己署名証明書を許可する場合（テスト環境のみ）
+    allowSelfSigned: false
+
 resources: {}
+
+# PHP-FPM コンテナに渡す任意の環境変数
+# DB接続情報（externalDatabase）と同様に、values.yamlで設定した値がPHPに環境変数として渡される
+# PHPからは $_ENV['KEY'] または getenv('KEY') で取得可能
+phpEnv: {}
+#  API_KEY: "your-api-key"
+#  STRIPE_SECRET: "sk_live_xxxxxxxxxxxxxxxx"
+#  REDIS_URL: "redis://localhost:6379"
+#  SOME_SERVICE_URL: "https://api.example.com"