@bridge4dev/runner 0.69.0 → 0.69.1

package/dist/regex-guard.js

@@ -327,9 +327,53 @@ export function inspectBashCommand(command) {
  * значит вставать на пути каждого чтения и записи, а в обычных режимах эти
  * инструменты и так закрыты политикой.
  */
+/**
+ * `--env-file <путь>` и `--env-file=<путь>` — значение, которое уходит докеру.
+ *
+ * Кавычки учтены, потому что именно так этот флаг и пишут в гайде выкладки.
+ */
+const DOCKER_ENV_FILE_FLAG = /--env-file(?:=|\s+)(?:"[^"]*"|'[^']*'|\S+)/g;
+/** Границы между командами в одной строке. Грубо и намеренно: сторож ошибается в сторону запрета. */
+const COMMAND_SEPARATORS = /&&|\|\||;|\||\n/;
+/**
+ * Передать файл докеру — не то же самое, что прочитать его (#463).
+ *
+ * `docker compose --env-file …` и `docker run --env-file …` содержимое файла
+ * агенту НЕ показывают: он уходит в контейнер. Правило же ловило по одному
+ * факту упоминания пути, и 19.09 вместе с дырой закрылась вся документированная
+ * выкладка — `docs/operations/deployment/rebuild-deploy.md` перестал работать из
+ * сессии целиком, включая миграции.
+ *
+ * Поэтому здесь вырезаются значения `--env-file` — и ТОЛЬКО в тех отрезках
+ * команды, которые начинаются с `docker`. Остаток проверяется тем же правилом:
+ * стоит рядом появиться `cat …`, `grep …` или второму отрезку с защищённым
+ * путём — запрет возвращается. `cat --env-file …` не спасается: это не отрезок
+ * докера.
+ *
+ * **Чего это не закрывает, честно.** `docker run --env-file X … sh -lc 'cat
+ * /proc/self/environ'` и `docker compose --env-file X config` секреты напечатают.
+ * Это принято сознательно, и вот почему: послабление живёт ТОЛЬКО в хуке, а
+ * политика (`commandMentionsSecretPath` у `evaluateToolUse`) остаётся прежней.
+ * Значит в обычных режимах такая команда по-прежнему отвергается, а хук — это
+ * единственный сторож ровно в режиме «Полный доступ», где агенту и так открыт
+ * инструмент `Read` на тот же самый файл: матчер хука закрывает только `Bash`
+ * (см. шапку `inspectSecretPaths`). Запрещать там, где рядом открыта дверь
+ * пошире, — не защита, а сломанная выкладка.
+ */
+function handsFileToDocker(command) {
+    const cleaned = command
+        .split(COMMAND_SEPARATORS)
+        .map((segment) => /^\s*(?:sudo\s+)?docker\b/.test(segment)
+        ? segment.replace(DOCKER_ENV_FILE_FLAG, ' ')
+        : segment)
+        .join(' ; ');
+    return !commandMentionsSecretPath(cleaned);
+}
 function inspectSecretPaths(command) {
     if (!commandMentionsSecretPath(command))
         return { dangerous: false };
+    if (handsFileToDocker(command))
+        return { dangerous: false };
     return {
         dangerous: true,
         reason: 'Blocked: this command touches a protected path — a machine login, a key, or an agent ' +

package/dist/version.d.ts

@@ -1,2 +1,2 @@
-export declare const RUNNER_VERSION = "0.69.0";
+export declare const RUNNER_VERSION = "0.69.1";
 //# sourceMappingURL=version.d.ts.map

package/dist/version.js

@@ -1,3 +1,3 @@
 // Kept in sync with package.json by the release script (manual for now).
-export const RUNNER_VERSION = '0.69.0';
+export const RUNNER_VERSION = '0.69.1';
 //# sourceMappingURL=version.js.map

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@bridge4dev/runner",
-  "version": "0.69.0",
+  "version": "0.69.1",
   "description": "DevBridge dev runner — connects a dev server to DevBridge and runs agent sessions (Claude Code / Codex)",
   "homepage": "https://bridge4.dev",
   "license": "MIT",