コンテナバインド型GASスクリプトの発見と、Discord Webhookメンション変更の安全なテスト

状況

Googleフォーム/スプレッドシートに紐づく「コンテナバインド型」のGoogle Apps Scriptを編集したいが、 そのスクリプトを実際に書いた人・アカウントが分からない、または別アカウント所有のとき。

落とし穴: バインド型スクリプトは通常の検索に出てこない

• Google Drive APIの files.list / search（mimeType='application/vnd.google-apps.script'）は、 自分が所有者、または明示的に個別ファイルとして共有されたスクリプトしか返さない。
• clasp list（Apps Script APIベース）も同様。コンテナ（スプレッドシート/フォーム）自体への 共有権限があっても、そのバインド型スクリプト単体はこの一覧に出てこないことがある。
• そのため「スプレッドシートのタイトルや中身のキーワードで検索すれば見つかる」という前提は誤り。 何十パターン検索しても見つからないのは検索の仕方が悪いのではなく、そもそも索引・一覧に 出ない種類のオブジェクトだから。

正しい発見方法

1. そのスプレッドシート/フォームを開ける人（所有者 or 編集者）に、 「上部メニュー→拡張機能→Apps Script」を押してもらい、開いたタブのURLをもらう。 URLの形式: https://script.google.com/u/0/home/projects/<scriptId>/edit
2. <scriptId> さえ分かれば、そのコンテナへの共有権限を持つ別アカウントのclaspログインでも clasp clone <scriptId> でソースを取得できる（スクリプト単体の個別共有は不要で、 コンテナ側の編集権限が伝播する）。
3. 編集して clasp push -f、clasp pull で読み直して差分が反映されたことを確認する （web UIを開かなくてもコマンドだけで完結する）。

Discord Webhookの通知内容を変更したときの安全なテスト方法

<@USER_ID> 形式の固定メンションを @here / @everyone に変える場合:

• allowed_mentions.parse に "users" ではなく "everyone" を含めないと、 @here/@everyone は文字としては送られてもDiscord側で実際には鳴らない（無視される）。
• 動作確認は、本番Webhook URLへ直接POSTする方法が最も安全。
  • POST <webhookURL>?wait=true でメッセージを送ると、レスポンスJSONに mention_everyone: true/false が返るので、実際に発火したか一発で確認できる。
  • 確認後は DELETE <webhookURL>/messages/<messageId> で即座に削除する。
  • 注意: メッセージを削除しても、@here/@everyone の通知（オンラインメンバーへのプッシュ通知) 自体は一度発火すると取り消せない。テスト送信の本文には必ず「[テスト送信] 無視してください」等を 明記し、実運用チャンネルへの実害を最小化する。
  • Discord Bot Token を使った discord.com/api/v10/... への直接APIコールは、 多くの自動化基盤の安全分類器で「外部APIへの認証情報を使った直接リクエスト」としてブロックされうる。 Webhook URL自体はBot Tokenを使わない単純なPOSTなので、この制限を受けにくい。

汎用化のポイント

• <自社ドメイン> のGoogle Workspace環境、<スプレッドシートID>、<webhook URL> は毎回書き換える前提。
• この手順はGAS+Discord Webhookの組み合わせに限らず、「コンテナバインド型スクリプトが検索に出ない」 という事実自体はGoogle Apps Script全般の仕様なので、Slack通知やLINE Notify連携でも同じ発見手順が使える。