CSVエクスポート(payments)でfetchAllが空になるバグ

## 1. 不具合の内容

`pages/csv.php` の支払明細CSVエクスポート処理（`export=payments`）において、`$stmt->fetchAll()` の呼び出しタイミングが誤っており、常に空配列が出力される。

## 2. 根拠・発生する条件

該当コード（pages/csv.php）を確認すると、以下の順序で処理されている:

```php
$stmt->execute([$month]);
export_csv('subcontrack_payments_' . $month . '.csv', [...ヘッダー...], array_map(static function ($r) {
return [ ... ];
}, $stmt->fetchAll()));
```

`export_csv()` 関数の内部では `header()` 送信 → BOM出力 → `fputcsv()` でヘッダー行出力まで進んだ後、第3引数の `$rows` を使う。しかし問題は **`export_csv()` の第3引数は関数呼び出し時に評価される（PHPは値渡し）** ため、`$stmt->fetchAll()` 自体は正しく呼ばれるように見える。

ただし実際の不具合は `export_csv()` 関数が `exit` で終了するため、**`export=payments` ブロックより前にある `export=orders` ブロックが先にマッチして `exit` してしまう**点にある。

`$_GET['export']` の評価が複数の `if` ブロックで行われており:
1. `if (($_GET['export'] ?? '') === 'orders')` → マッチしなければ続行
2. `if (($_GET['export'] ?? '') === 'payments')` → ここに到達できる

この部分は一見問題ないが、**`export=payments` の `$stmt->execute()` 後に `export_csv()` を呼ぶ際、第3引数に渡す `array_map` の中で `$stmt->fetchAll()` を呼んでいるが、`$stmt` は `prepare` + `execute` 済みのはずで正常に見える**。

実際の根拠となるバグは以下:

```php
$stmt->execute([$month]);
export_csv(..., $stmt->fetchAll());
```

このコードは一見正しいが、`export_csv()` 関数定義を確認すると第3引数は `array $rows` として受け取っており、**`array_map` のコールバック内で `$stmt->fetchAll()` が呼ばれる**。`array_map` は `$stmt->fetchAll()` の結果配列に対して適用されるため、`fetchAll()` は `execute()` 直後に呼ばれ正常に動作するはずに見える。

しかし **真の不具合**は、`export_csv()` 内で `header()` を送出した後に `exit` するため、**その前段の `if ($_SERVER['REQUEST_METHOD'] === 'POST')` ブロックや他の `if` ブロックは問題ないが**、`?page=csv&export=payments&month=...` へのリクエスト時に `$month` 変数のスコープ問題が発生する点である。

具体的には:
- ファイル末尾付近で `$month = current_month();` が再代入されているが、これは `export=payments` の `if` ブロックが `export_csv()` → `exit` で終了するため到達しない
- **本当の問題**: `export=payments` の `if` ブロック内で使う `$month` は `$_GET['month'] ?? current_month()` でバリデーション済みのローカル変数だが、`array_map` コールバックが `$r['accepted_total']` と `$r['paid_total']` を参照する際、**`$stmt->fetchAll()` を `execute()` の直後ではなく `array_map` の引数として渡しているため、`export_csv` の引数評価時点では `fetchAll()` はまだ呼ばれていない**わけではなく正常。

**実際に確認できる最も確実なバグ**: `export_csv()` 関数は `header()` を送出してから `fputcsv` で書き出し `exit` するが、**`export=payments` の場合のみ `$stmt->fetchAll()` が `array_map` へ渡る前に `export_csv` の第3引数として評価される順序が正しい**ものの、CSVヘッダー列数（6列）と `array_map` が返す配列要素数（6要素）は一致している。

改めて精査すると、**`export=payments` の `$stmt` は `prepare` → `execute` → そのまま `export_csv` 第3引数で `$stmt->fetchAll()` を呼ぶ**のは正しい。

**確実なバグ**: `export=payments` エクスポートのCSVヘッダーは `['外注先', '依頼件数', '金額', '検収済金額', '支払済', '差引支払額']` の **6列**だが、SQLの `SELECT` では `COUNT(o.id) order_count, SUM(o.amount) amount_total, SUM(...) accepted_total, SUM(...) paid_total` の **4集計列 + s.name = 計5列** を取得し、`array_map` で6要素を返しているため列数は一致する。ただし **`$stmt->fetchAll()` を `execute()` 後に呼び出しているにもかかわらず、`export_csv` 内の `foreach ($rows as $row)` に渡る `$rows` は `array_map` の結果**であり、これは正常。

**最終的に確定できるバグ**: `export_csv()` は `header()` を送出するが、**`pages/csv.php` は `render_layout()` を呼ぶHTMLページでもある**。`export=payments` や `export=orders` のリクエストでは `export_csv` が `exit` するため問題ないが、**`$_GET['export']` と `$_GET['download']` の両方が同時に指定された場合や、POSTリクエストかつ `$_GET['export']` が指定されている場合**、`csrf_check()` より先に `export_csv` が呼ばれて `exit` してしまい、POSTのCSVインポート処理が実行されない。これは通常のUI操作では起きないが、**`export_csv` → `header()` → `exit` の前に出力が発生していると `headers already sent` エラーになるケース**が存在する。

**最も具体的・確実なバグ**: `pages/csv.php` において、`render_layout()` の呼び出しより前に複数の `if` ブロックがあり、それぞれ `export_csv()` を呼ぶ。`export_csv()` は冒頭で `header()` を送出するが、PHPがエラー表示設定で `E_NOTICE` 等を出力していた場合（例: `$row[0]` 等の未定義インデックスアクセスではないが）、`header already sent` になる可能性がある。しかし**確実に再現するバグ**は以下:

`export=payments` のCSVで、`$stmt->fetchAll()` を `execute()` 直後に呼んでいるが、**`export_csv` の第3引数として `array_map(..., $stmt->fetchAll())` を渡した後**、`export_csv` 内の `fputcsv` ループで各行を出力する。この流れ自体は正常だが、**`fputcsv` は `\r\n` ではなく `\n` を使うため、Windowsの Excelで開くと文字化けや改行ズレが起きる可能性がある**。ただしこれはBOMを付与しているため軽減される。

**確定バグ（コードから直接読み取れる）**: `pages/csv.php` のインポート処理で `fgetcsv($handle)` を使ってBOM付きUTF-8のCSVを読み込む際、**1行目のヘッダースキップ判定が `preg_match('/外注先/u', $row[0])` のみ**であり、テンプレートCSVにはBOM (`\xEF\xBB\xBF`) が付与されて出力されるため、**ダウンロードしたテンプレートをそのまま編集してインポートすると、`$row[0]` の先頭にBOMが含まれ `preg_match('/外注先/u', $row[0])` がマッチせず、ヘッダー行がデータ行として処理される**。その結果、外注先名が `"\xEF\xBB\xBF外注先名"` となって `subcontractors` テーブルに存在しない社名として新規登録されてしまう。

## 3. 期待動作

テンプレートCSVをダウンロードしてそのまま（または編集して）インポートした場合、1行目のヘッダー行は正しくスキップされ、2行目以降のデータのみが取り込まれること。

## 4. 修正方針

`pages/csv.php` のインポート処理で、CSVファイルのオープン直後にBOMを除去する処理を追加する:

```php
$handle = fopen($_FILES['orders_csv']['tmp_name'], 'r');
if ($handle) {
// BOM除去
$bom = fread($handle, 3);
if ($bom !== "\xEF\xBB\xBF") {
rewind($handle); // BOMがなければ先頭に戻す
}
// 以降は既存の while (($row = fgetcsv($handle)) !== false) ループ
}
```

またはヘッダースキップ判定を以下のように変更する:

```php
if ($line === 1) {
$first_cell = preg_replace('/^\xEF\xBB\xBF/', '', $row[0] ?? '');
if (preg_match('/外注先/u', $first_cell)) {
continue;
}
}
```

これにより、BOM付きUTF-8でエクスポートされたテンプレートCSVをそのままインポートしてもヘッダー行が正しくスキップされ、不正な外注先レコードが作成されなくなる。