@cocorograph/hub-agent 0.8.64 → 0.8.66

package/README.md

@@ -77,6 +77,23 @@ hub-agent plugins uninstall <name>    # ~/.hub/plugins/<prio>-<name>/ を削除
 
 ## 構成
 
+### チャット表示のマスク
+
+Claude / Codex のチャットは、既定で表示・WebSocket 配信用コピーをマスクします。
+`get_skill_prompt`、`skill/`・`エージェント/` の内部本文取得、デプロイ接続情報取得の
+結果を非表示にし、通常の本文・引数・エラー・差分に含まれる既知の秘密値も伏せます。
+一般のナレッジ取得や通常のツール結果は表示します。
+
+- 分割された秘密値の漏出を防ぐため、文字単位の途中出力ではなく完成済み本文を表示します。
+- コード実行ラッパーに対象ツール名が明記されている場合、その実行結果全体を非表示にします。
+  動的に組み立てたツール名や、任意の文章に埋め込まれた未知形式の秘密を完全検出する機能ではありません。
+- 許可確認には伏せた入力を渡し、変更されなかった伏せ字を元の入力へ戻して実行します。
+  一意に復元できない編集は拒否します。マスク失敗時に生の本文へ戻すことはしません。
+- Codex のモデル入力・再開用 rollout 原本は変更しません。Claude の既存の終了後 JSONL
+  マスクは継続します。ターミナル表示や過去に配信済みのデータを遡って消すものではありません。
+- 緊急時の切り戻し設定 `HUB_AGENT_TOOL_RESULT_MASK=0` は、秘密値を含め無加工で配信します。
+  通常運用では無効化しないでください。
+
 ```
 hub-agent/
 ├── bin/

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@cocorograph/hub-agent",
-  "version": "0.8.64",
+  "version": "0.8.66",
   "description": "Hub Hosted Cockpit のローカル常駐 agent。Hub と outbound WSS で接続し、ローカルの Claude / Codex チャットと tmux セッションを中継する。",
   "type": "module",
   "license": "UNLICENSED",

package/scripts/install.sh

@@ -45,6 +45,13 @@ NODE_DEFAULT_BREW_FORMULA="node@24"
 PACKAGE_NAME="@cocorograph/hub-agent"
 CLAUDE_CODE_PACKAGE="@anthropic-ai/claude-code"
 CODEX_PACKAGE="@openai/codex"
+UV_VERSION="0.12.8"
+HUB_PYTHON_MINOR="3.13"
+HUB_VENV_DIR="$HOME/.local/share/hub-venv"
+# Hub Python の依存バージョンを更新するときは、この配列を変更する。
+HUB_PYTHON_PACKAGES=("PyYAML==6.0.3" "Pillow==12.3.0" "openpyxl==3.1.5")
+# HUB_PYTHON_PACKAGES と同じ 3 件を指す。依存を増やすときは両方を更新する。
+HUB_PYTHON_IMPORTS=("yaml" "PIL" "openpyxl")
 
 color_step() { printf "\033[1;34m==> %s\033[0m\n" "$1"; }
 color_ok()   { printf "\033[1;32m✓ %s\033[0m\n" "$1"; }
@@ -598,6 +605,7 @@ ensure_build_tools() {
 ensure_python3() {
   if python3 --version >/dev/null 2>&1; then
     color_ok "$(python3 --version 2>&1)"
+    _check_python3_version
     return 0
   fi
 
@@ -615,12 +623,355 @@ ensure_python3() {
 
   if python3 --version >/dev/null 2>&1; then
     color_ok "$(python3 --version 2>&1)"
+    _check_python3_version
   else
     color_err "python3 の導入後も実行できません"
     exit 1
   fi
 }
 
+_check_python3_version() {
+  local version
+  version="$(python3 -c 'import platform; print(platform.python_version())')" || {
+    color_err "python3 のバージョンを確認できません"
+    exit 1
+  }
+  if python3 -c 'import sys; raise SystemExit(0 if sys.version_info < (3, 9) else 1)'; then
+    color_err "hub の配布物は Python 3.9 以上が必要です（現在: $version）"
+    exit 1
+  fi
+  if python3 -c 'import sys; raise SystemExit(0 if sys.version_info < (3, 11) else 1)'; then
+    color_warn "Python 3.11 未満では一部機能が無効になります（Codex の MCP 承認チェック）。現在: $version"
+  fi
+}
+
+_hub_uv_triple() {
+  local os arch libc="gnu"
+  os="$(uname -s)"
+  arch="$(uname -m)"
+  if [[ "$os" == "Linux" ]] && ldd --version 2>&1 | grep -qi musl; then
+    libc="musl"
+  fi
+  case "$os:$arch" in
+    Darwin:arm64) printf '%s\n' "aarch64-apple-darwin" ;;
+    Darwin:x86_64) printf '%s\n' "x86_64-apple-darwin" ;;
+    Linux:x86_64) printf '%s\n' "x86_64-unknown-linux-$libc" ;;
+    Linux:aarch64|Linux:arm64) printf '%s\n' "aarch64-unknown-linux-$libc" ;;
+    *) color_err "uv が対応していないプラットフォームです: $os $arch"; return 1 ;;
+  esac
+}
+
+_install_hub_uv() (
+  set -e
+  local triple url tmp expected actual uv_src local_bin destination staged=""
+  triple="$(_hub_uv_triple)" || exit 1
+  local_bin="$HOME/.local/bin"
+  destination="$local_bin/uv"
+  mkdir -p "$local_bin"
+  if [[ -e "$destination" || -L "$destination" ]]; then
+    color_err "$destination は uv と名前衝突しています。既存ファイルを退避するか PATH を修正してください"
+    exit 1
+  fi
+  url="https://github.com/astral-sh/uv/releases/download/${UV_VERSION}/uv-${triple}.tar.gz"
+  tmp="$(mktemp -d)"
+  trap 'rm -rf "$tmp"' EXIT
+  staged="$(mktemp "$local_bin/.uv.tmp.XXXXXX")"
+  trap 'rm -rf "$tmp"; if [[ -n "$staged" ]]; then rm -f "$staged"; fi' EXIT
+  trap 'exit 130' INT
+  trap 'exit 143' TERM
+  retry 3 curl -fsSL "$url" -o "$tmp/uv.tar.gz" || exit 1
+  retry 3 curl -fsSL "$url.sha256" -o "$tmp/uv.tar.gz.sha256" || exit 1
+  expected="$(head -1 "$tmp/uv.tar.gz.sha256")"
+  expected="${expected%%[[:space:]]*}"
+  if present shasum; then
+    actual="$(shasum -a 256 "$tmp/uv.tar.gz")"
+  elif present sha256sum; then
+    actual="$(sha256sum "$tmp/uv.tar.gz")"
+  else
+    color_err "sha256 検算コマンド (shasum / sha256sum) がありません"
+    exit 1
+  fi
+  actual="${actual%%[[:space:]]*}"
+  if [[ -z "$expected" || "$actual" != "$expected" ]]; then
+    color_err "uv tarball の sha256 が一致しません"
+    exit 1
+  fi
+  tar -xzf "$tmp/uv.tar.gz" -C "$tmp"
+  uv_src="$(find "$tmp" -type f -name uv | head -1)"
+  [[ -n "$uv_src" ]] || { color_err "uv tarball に uv がありません"; exit 1; }
+  mv "$uv_src" "$staged"
+  chmod +x "$staged"
+  "$staged" --version >/dev/null 2>&1 || { color_err "取得した uv を実行できません"; exit 1; }
+  if [[ -e "$destination" || -L "$destination" ]]; then
+    color_err "$destination は uv と名前衝突しています。既存ファイルを退避するか PATH を修正してください"
+    exit 1
+  fi
+  mv "$staged" "$destination"
+)
+
+_hub_venv_usable() {
+  local venv_dir="${1:-$HUB_VENV_DIR}" python base_prefix version package spec distribution expected
+  python="$venv_dir/bin/python3"
+  [[ -x "$python" ]] || return 1
+  base_prefix="$($python -c 'import sys; print(sys.base_prefix)' 2>/dev/null)" || return 1
+  [[ -e "$base_prefix/bin/python3" ]] || return 1
+  version="$($python -c 'import sys; print(f"{sys.version_info[0]}.{sys.version_info[1]}")' 2>/dev/null)" || return 1
+  [[ "$version" == "$HUB_PYTHON_MINOR" ]] || return 1
+  for package in "${HUB_PYTHON_PACKAGES[@]}"; do
+    distribution="${package%%==*}"
+    expected="${package#*==}"
+    "$python" -c 'import importlib.metadata, sys; raise SystemExit(0 if importlib.metadata.version(sys.argv[1]) == sys.argv[2] else 1)' \
+      "$distribution" "$expected" >/dev/null 2>&1 || return 1
+  done
+  for spec in "${HUB_PYTHON_IMPORTS[@]}"; do
+    "$python" -c 'import importlib, sys; importlib.import_module(sys.argv[1])' "$spec" >/dev/null 2>&1 || return 1
+  done
+}
+
+_build_hub_venv() (
+  set -e
+  local new_dir="$1" built=0
+  trap '(( built == 1 )) || rm -rf "$new_dir"' EXIT
+  trap 'exit 130' INT
+  trap 'exit 143' TERM
+  rm -rf "$new_dir"
+  uv venv --python "$HUB_PYTHON_MINOR" "$new_dir" || exit 1
+  uv pip install --python "$new_dir/bin/python3" --only-binary :all: "${HUB_PYTHON_PACKAGES[@]}" || exit 1
+  _hub_venv_usable "$new_dir" || { color_err "構築した Hub Python venv の検証に失敗しました"; exit 1; }
+  built=1
+)
+
+_acquire_hub_python_lock() {
+  local lock_dir="$1" attempts=0 owner_file token owner_pid
+  owner_file="$lock_dir/owner"
+  # ⚠️ ここで時刻を採らない。`printf -v t '%(%s)T'` は bash 4.2 以降の機能で、macOS 標準の
+  # bash 3.2 では「invalid format character」で失敗する。`set -euo pipefail` の下なので
+  # インストーラ自体がここで止まる（実測。テストの bash は Homebrew の 5.x なので緑になってしまう）。
+  # mkdir lock では「観測 → 回収 → 再取得」の間に別プロセスが取り直した lock を、遅れて来た
+  # 回収者が持ち去れる。回収の rename が保証するのは、同時に回収する複数の勝者が 1 つになる
+  # ことまでで、破壊的操作の直前に所有を再確認しても TOCTOU の窓は消えない。
+  # そのため自動回収は行わず、異常終了後は表示されたディレクトリを人が削除して再実行する。
+  token="$$-${RANDOM:-0}-${RANDOM:-0}"
+  while ! mkdir "$lock_dir" 2>/dev/null; do
+    attempts=$((attempts + 1))
+    if (( attempts >= 50 )); then
+      owner_pid=""
+      if [[ -f "$owner_file" ]]; then
+        {
+          read -r _ || true
+          read -r owner_pid || true
+        } < "$owner_file"
+      fi
+      if [[ "$owner_pid" =~ ^[0-9]+$ ]]; then
+        color_err "Hub Python lock を取得できませんでした: $lock_dir。保持しているプロセス (PID $owner_pid) が動いているか ps -p $owner_pid で確かめ、動いていなければこのディレクトリを削除して再実行してください"
+      else
+        color_err "Hub Python lock を取得できませんでした: $lock_dir。インストーラが走っていないならこのディレクトリを削除して再実行してください"
+      fi
+      return 1
+    fi
+    sleep 0.1
+  done
+  if ! printf '%s\n%s\n' "$token" "$$" > "$owner_file"; then
+    rm -rf "$lock_dir" 2>/dev/null || true
+    return 1
+  fi
+  HUB_PYTHON_LOCK_TOKEN="$token"
+}
+
+_replace_hub_venv() (
+  local new_dir="$1" old_dir="$2" moved_old=0 installed=0
+  cleanup_replacement() {
+    if (( moved_old == 1 && installed == 0 )) && [[ -e "$old_dir" ]] && [[ ! -e "$HUB_VENV_DIR" ]]; then
+      mv "$old_dir" "$HUB_VENV_DIR"
+    fi
+  }
+  trap cleanup_replacement EXIT
+  if [[ -e "$HUB_VENV_DIR" || -L "$HUB_VENV_DIR" ]]; then
+    mv "$HUB_VENV_DIR" "$old_dir" || return 1
+    moved_old=1
+  fi
+  mv "$new_dir" "$HUB_VENV_DIR" || return 1
+  installed=1
+)
+
+_publish_hub_python_wrapper() (
+  local local_bin="$HOME/.local/bin" wrapper="$HOME/.local/bin/hub-python3"
+  local staged content wrapper_content
+  local marker='# hub-agent managed: hub-python3 (hub-agent のインストーラが生成・更新します。手で編集しないでください)'
+  local managed_line="exec \"$HUB_VENV_DIR/bin/python3\" \"\$@\""
+  mkdir -p "$local_bin"
+  if [[ -L "$wrapper" ]]; then
+    color_err "$wrapper は名前衝突しています。既存 symlink を退避するか PATH を修正してください"
+    return 1
+  fi
+  staged="$(mktemp "$local_bin/.hub-python3.tmp.XXXXXX")" || return 1
+  trap 'rm -f "$staged"' EXIT
+  printf '%s\n' '#!/usr/bin/env sh' "$marker" "$managed_line" > "$staged" || return 1
+  chmod +x "$staged" || return 1
+  # ⚠️ `$(<file)` は末尾の改行を落とすので、この比較は「末尾改行の数の違い」と「最終行の改行の
+  # 有無」を区別しない。内容のある行が 1 行でも違えば不一致になり、末尾改行だけが違う wrapper を
+  # 上書きしても失われる情報は無いので許容する。サンドボックスに cat / stat / wc / cmp が無く、
+  # バイト単位の比較には別の機構が要るため、そのために機構を足すことはしない。
+  # 以前付けていた sentinel の "x" は末尾改行の差を捉えているように見えて実際は効いていなかった
+  # （実測: `$(<a)x` は "a\n" と "a\n\n\n" と "a" のすべてで同じ値になる）ので外した。
+  content="$(<"$staged")"
+  [[ "$content" == $'#!/usr/bin/env sh\n'"$marker"$'\n'"$managed_line" ]] || return 1
+  _hub_python_wrapper_is_managed() {
+    [[ -f "$wrapper" && ! -L "$wrapper" ]] || return 1
+    wrapper_content="$(<"$wrapper")"
+    [[ "$wrapper_content" == "$content" ]] || return 1
+    # 未公開ブランチにしか存在しなかった marker なしの旧形は受け入れない。将来内容を変える版では
+    # marker で識別し、既知の旧内容を完全一致で列挙する。パスのワイルドカード許可には戻さない。
+    # marker をコピーした同一ユーザーの別 wrapper も管理物とみなす。脅威モデルは攻撃者ではなく、
+    # 同一ユーザーによる並行実行と中断であるため、このなりすまし耐性は担保しない。
+  }
+  if [[ -e "$wrapper" ]] && ! _hub_python_wrapper_is_managed; then
+    color_err "$wrapper は名前衝突しています。既存ファイルを退避するか PATH を修正してください"
+    return 1
+  fi
+  if [[ -L "$wrapper" ]] || { [[ -e "$wrapper" ]] && ! _hub_python_wrapper_is_managed; }; then
+    color_err "$wrapper は公開直前に名前衝突しました。既存ファイルを退避するか PATH を修正してください"
+    return 1
+  fi
+  mv "$staged" "$wrapper" || return 1
+)
+
+# lock がまだ自分のものかを確かめる。これは相互排除ではなく best-effort の検出であり、確認と
+# 操作の間の TOCTOU の窓は残る。自動回収の削除後に自分の lock を失うのは、人が lock
+# ディレクトリを削除して別のインストーラを起動した場合だけなので、そのとき黙って並行実行しない
+# ために破壊的操作の直前で検出する。
+_hub_python_lock_is_mine() {
+  local lock_dir="$1" want="$2" owner_token=""
+  [[ -n "$want" && -f "$lock_dir/owner" ]] || return 1
+  read -r owner_token < "$lock_dir/owner" || true
+  [[ "$owner_token" == "$want" ]]
+}
+
+_hub_python_wrapper_verified() {
+  # ⚠️ realpath(sys.executable) で比較しないこと。venv の bin/python3 は土台 interpreter への
+  # symlink なので、realpath は venv でも素の土台でも同じ値に解決される（実測）。それでは
+  # 「site-packages を持たない素の uv interpreter を指す wrapper」を成功扱いにしてしまう。
+  # 識別に使えるのは sys.prefix（venv 自身のパス）。
+  local expected_prefix actual_prefix spec
+  expected_prefix="$(cd "$HUB_VENV_DIR" 2>/dev/null && pwd -P)" || expected_prefix=""
+  actual_prefix="$(hub-python3 -c 'import os, sys; print(os.path.realpath(sys.prefix))' 2>/dev/null)" || actual_prefix=""
+  if [[ -z "$expected_prefix" || "$actual_prefix" != "$expected_prefix" ]]; then
+    color_err "hub-python3 が Hub Python venv を指していません (expected prefix: ${expected_prefix:-unknown}, actual: ${actual_prefix:-unknown})"
+    return 1
+  fi
+  # 版一致だけでは wheel の破損を見逃すため、wrapper 経由で実際に import できることまで確認する。
+  # ⚠️ この import 検査は `_hub_venv_usable` の import 検査と同じ interpreter を通るため重複しており、
+  # 独立した回帰テストは無い（wrapper 側だけを失敗させる状態を作れない）。担保は上の prefix 比較で、
+  # ここは公開後の wrapper 経路を一度通す念のための確認だと理解して読むこと。
+  for spec in "${HUB_PYTHON_IMPORTS[@]}"; do
+    if ! hub-python3 -c 'import importlib, sys; importlib.import_module(sys.argv[1])' "$spec" >/dev/null 2>&1; then
+      color_err "hub-python3 経由で $spec を import できません"
+      return 1
+    fi
+  done
+  color_ok "hub-python3 が Hub Python venv を指すことを確認"
+}
+
+_finalize_hub_python() (
+  # 退避先は lock token ごとの実行固有名にし、他実行の退避物と削除対象を分離する。
+  local new_dir="$1" old_dir="" leftover="" found_leftover=0
+  local lock_dir="${HUB_VENV_DIR}.lock" lock_token="" owner_token=""
+  trap 'rm -rf "$new_dir"; owner_token=""; if [[ -f "$lock_dir/owner" ]]; then read -r owner_token < "$lock_dir/owner" || true; fi; if [[ -n "$lock_token" && "$owner_token" == "$lock_token" ]]; then rm -rf "$lock_dir"; fi' EXIT
+  trap 'exit 130' INT
+  trap 'exit 143' TERM
+  _acquire_hub_python_lock "$lock_dir" || exit 1
+  lock_token="$HUB_PYTHON_LOCK_TOKEN"
+  old_dir="${HUB_VENV_DIR}.old.${lock_token}"
+  if _hub_venv_usable; then
+    color_ok "Hub Python venv は利用可能 ($HUB_VENV_DIR)"
+  elif [[ -n "$new_dir" ]]; then
+    if ! _hub_python_lock_is_mine "$lock_dir" "$lock_token"; then
+      color_err "Hub Python lock を他のインストーラに引き継がれたため差し替えを中止しました: $lock_dir"
+      exit 1
+    fi
+    # 残骸を別名で溜めず、stale lock と同様に手動復旧へ統一する。
+    # ⚠️ ここへ来るのは公開先が使えないと判定した場合なので、残骸は「直前まで使えていた venv」で
+    # ある可能性が高い。削除だけを案内せず、戻す選択肢を先に示す。
+    for leftover in "${HUB_VENV_DIR}".old*; do
+      if [[ -e "$leftover" || -L "$leftover" ]]; then
+        color_err "退避先が既に存在します: $leftover"
+        found_leftover=1
+      fi
+    done
+    if (( found_leftover == 1 )); then
+      color_err "前回の中断が残っている可能性があります。直前まで使えていた venv かもしれません。中身を確認して $HUB_VENV_DIR へ手で入れ替えるか、不要なら削除してから再実行してください"
+      exit 1
+    fi
+    _replace_hub_venv "$new_dir" "$old_dir" || exit 1
+    color_ok "Hub Python venv を構築 ($HUB_VENV_DIR)"
+  else
+    color_err "Hub Python venv の再構築結果がありません"
+    exit 1
+  fi
+  if ! _hub_python_lock_is_mine "$lock_dir" "$lock_token"; then
+    color_err "Hub Python lock を他のインストーラに引き継がれたため wrapper の公開を中止しました: $lock_dir"
+    exit 1
+  fi
+  _publish_hub_python_wrapper || exit 1
+  if ! _hub_python_wrapper_verified; then
+    if [[ -e "$old_dir" || -L "$old_dir" ]]; then
+      color_err "公開後の検証に失敗しました。公開先 $HUB_VENV_DIR は変更していません。直前まで使えていた venv は $old_dir にあります。中身を確認して手で入れ替えるか、$old_dir を削除してから再実行してください"
+    else
+      color_err "公開後の検証に失敗しました。公開先 $HUB_VENV_DIR は変更していません。手で確認してください"
+    fi
+    exit 1
+  fi
+  # 公開後の最終検証に成功してから、lock を保持したまま実行固有名の退避物を削除する。
+  # 差し替えを行わなかった実行ではこのパスは存在せず、他実行が残した退避物は削除しない。
+  if ! rm -rf "$old_dir" 2>/dev/null; then
+    color_warn "元の venv を削除できませんでした: $old_dir。中身を確認して手動で削除してください"
+  fi
+)
+
+ensure_hub_python() {
+  local local_bin="$HOME/.local/bin" uv_path
+  export PATH="$PATH:$local_bin"
+  hash -r 2>/dev/null || true
+  if present uv; then
+    uv_path="$(command -v uv)"
+    uv_path="$(cd "$(dirname "$uv_path")" && pwd -P)/$(basename "$uv_path")"
+    if ! uv --version >/dev/null 2>&1 || ! uv venv --help >/dev/null 2>&1 \
+      || ! uv pip --help >/dev/null 2>&1 || ! uv python --help >/dev/null 2>&1; then
+      color_err "発見した uv を利用できません: $uv_path（上書きせず停止します）"
+      exit 1
+    fi
+    color_ok "uv already installed ($uv_path)"
+  else
+    _install_hub_uv || exit 1
+    color_ok "uv $UV_VERSION を $local_bin に導入"
+  fi
+  persist_profile_snippet 'export PATH="$PATH:$HOME/.local/bin"' "~/.local/bin PATH" \
+    "# >>> hub-agent: local-bin PATH (Hub Python) >>>" "# <<< hub-agent: local-bin PATH <<<" \
+    "$HOME/.zprofile" "$(bash_login_profile)" || exit 1
+
+  retry 3 uv python install "$HUB_PYTHON_MINOR" || exit 1
+  if _hub_venv_usable; then
+    _finalize_hub_python "" || exit 1
+  else
+    # ⚠️ 構築成功から finalize の trap 設置までの中断で未公開の .new が残らないよう、
+    # 構築と finalize を同じ cleanup スコープに入れる。差し替え成功後は .new のパスが
+    # 消えているので、この trap の rm は no-op になる。
+    (
+      new_dir="${HUB_VENV_DIR}.new.$$"
+      trap 'rm -rf "$new_dir"' EXIT
+      trap 'exit 130' INT
+      trap 'exit 143' TERM
+      _build_hub_venv "$new_dir" || exit 1
+      _finalize_hub_python "$new_dir" || exit 1
+    ) || exit 1
+  fi
+  # 公開後の検証成功後にだけ、Hub Python を指す profile を更新する。
+  export HUB_AI_PYTHON="$HUB_VENV_DIR/bin/python3"
+  persist_profile_snippet "export HUB_AI_PYTHON=\"$HUB_VENV_DIR/bin/python3\"" "HUB_AI_PYTHON" \
+    "# >>> hub-agent: HUB_AI_PYTHON >>>" "# <<< hub-agent: HUB_AI_PYTHON <<<" \
+    "$HOME/.zprofile" "$(bash_login_profile)" || exit 1
+}
+
 # timeout を保証する（補助コマンド。AI セッションの Bash やスクリプトが使うが、
 # hub-agent の常駐動作には必須ではないため、導入失敗は警告して継続する。
 # 必須ランタイムの python3 とは契約を分けている）。
@@ -1042,7 +1393,7 @@ EOF
 
 main() {
   color_step "hub-agent ワンライナーセットアップを開始"
-  STEP_TOTAL=15
+  STEP_TOTAL=16
   STEP_NUM=0
 
   step_header "Homebrew"
@@ -1055,6 +1406,8 @@ main() {
   ensure_build_tools
   step_header "Python 3"
   ensure_python3
+  step_header "Hub Python (uv / shared venv)"
+  ensure_hub_python
   step_header "GNU coreutils (timeout)"
   ensure_timeout
   step_header "npm global prefix"

package/src/claude-display-mask.mjs

@@ -0,0 +1,89 @@
+import { createEventMasker, MASK_ENABLED, redactSecretsValue } from "./tool-result-mask.mjs"
+
+/** Also cover errors, ready metadata and permission copies outside SDK _emit.
+ * Recheck the complete envelope deliberately: ready/history can combine already
+ * masked events with newly added metadata. A type-based bypass would trust those
+ * unrelated fields too. Do not trade this boundary for a size-based raw fallback. */
+export function installClaudeDisplayMask(client) {
+  const send = client.send.bind(client)
+  client.send = (payload, ...args) => {
+    if (!MASK_ENABLED || !payload?.type?.startsWith("claude.")) return send(payload, ...args)
+    let masked
+    try {
+      masked = redactSecretsValue(payload)
+    } catch {
+      masked = {
+        type: "claude.error",
+        stream_id: payload.stream_id,
+        session_id: payload.session_id,
+        error: "[本文を安全にマスクできないため表示を省略しました]",
+      }
+    }
+    return send(masked, ...args)
+  }
+  return client
+}
+
+/**
+ * A partial string cannot be redacted independently: a key or a quoted value may
+ * straddle notifications. Keep lifecycle notifications, but publish text,
+ * thinking and tool arguments only with the complete assistant message. The
+ * SDK/model input and the original event are never modified here.
+ */
+export function createClaudeDisplayMasker(initialToolNames) {
+  const mask = createEventMasker(initialToolNames)
+  return (event) => {
+    if (!MASK_ENABLED) return event
+    if (event?.type === "stream_event") {
+      const partial = event.event
+      if (partial?.type === "content_block_delta") {
+        return null
+      }
+      if (partial?.type === "content_block_start") {
+        const block = partial.content_block
+        return mask({
+          ...event,
+          event: {
+            type: partial.type,
+            index: partial.index,
+            content_block: {
+              type: block?.type,
+              ...(block?.id ? { id: block.id } : {}),
+              ...(block?.name ? { name: block.name } : {}),
+            },
+          },
+        })
+      }
+    }
+    return mask(event)
+  }
+}
+
+/** Failure must not disclose either the source payload or an exception message. */
+export function claudeMaskFailure(event) {
+  const notice = "[本文を安全にマスクできないため表示を省略しました]"
+  if (event?.type === "result") {
+    return {
+      type: "result",
+      subtype: event.subtype,
+      is_error: event.is_error,
+      session_id: event.session_id,
+      result: notice,
+    }
+  }
+  if (event?.type === "system" && event.subtype === "session_state_changed") {
+    return { type: "system", subtype: event.subtype, state: event.state }
+  }
+  if (event?.type === "assistant" || event?.type === "user") {
+    // Keep a renderable completed message and numeric accounting only. Do not
+    // copy arbitrary usage/provider metadata from the failed source envelope.
+    const usage = Object.fromEntries([
+      "input_tokens", "output_tokens", "cache_creation_input_tokens", "cache_read_input_tokens",
+    ].filter(key => typeof event.message?.usage?.[key] === "number" && Number.isFinite(event.message.usage[key]))
+      .map(key => [key, event.message.usage[key]]))
+    return { type: event.type, message: { role: event.type,
+      content: [{ type: "text", text: notice }], ...(Object.keys(usage).length ? { usage } : {}),
+    } }
+  }
+  return { type: "system", subtype: "mask_error", message: notice }
+}

package/src/claude-stream-bridge.mjs

@@ -27,9 +27,10 @@ import { jsonlPath } from "./claude-history.mjs"
 import { watchSessionFile } from "./claude-history-watch.mjs"
 import {
   MASK_ENABLED,
-  createEventMasker,
   maskJsonlFileAtRest,
 } from "./tool-result-mask.mjs"
+import { createClaudeDisplayMasker, claudeMaskFailure } from "./claude-display-mask.mjs"
+import { copyPermissionInput, preparePermissionInput, restorePermissionInput, PERMISSION_MASK_DENIAL } from "./permission-display-mask.mjs"
 import { getOrCreateSiblingToken } from "./sibling-token.mjs"
 import { recordInjectSourcePersistent } from "./inject-source-store.mjs"
 import { readPositiveIntEnv, sanitizePositiveInt } from "./positive-int-env.mjs"
@@ -693,7 +694,7 @@ export class ClaudeStreamSession {
     /** マスク (2026-06-23): ライブ stream / watch 用のステートフル masker。tool_use_id→name を
      *  蓄積し、tool_result の秘匿情報 / 非公開スキルプロンプト本文を表示・配信前に伏せる。
      *  モデル消費後のコピーに作用するためスキル実行は壊れない。 */
-    this._eventMasker = createEventMasker()
+    this._eventMasker = createClaudeDisplayMasker()
     /** オンディスク jsonl をマスク済みか (close 時の二重書き換えを防ぐ冪等ガード)。 */
     this._jsonlMasked = false
 
@@ -702,7 +703,7 @@ export class ClaudeStreamSession {
   }
 
   /** マスク済みイベントを onEvent へ流す共通経路。秘匿情報 / 非公開スキルプロンプト本文を
-   *  表示・WS 配信前に伏せる。マスク失敗時は素のイベントを流す (表示が止まるより素通し優先)。 */
+   *  表示・WS 配信前に伏せる。マスク失敗時も元の本文へ戻さない。 */
   /** 連携カード種別 (Phase 2): 注入本文と source を FIFO に控える。sendToCwd/sendToStream が
    *  session.sendMessage() を呼ぶ直前に記録し、**drain 昇格時に _emitQueueState が started 本文
    *  一致で消費**して startedSources として frontend へ載せる。
@@ -846,15 +847,15 @@ export class ClaudeStreamSession {
     if (MASK_ENABLED) {
       try {
         out = this._eventMasker(event)
-      } catch (err) {
+      } catch {
         this.logger?.warn(
-          { err: err?.message, stream_id: this.stream_id },
+          { stream_id: this.stream_id },
           "event mask failed",
         )
-        out = event
+        out = claudeMaskFailure(event)
       }
     }
-    this.onEvent(out)
+    if (out != null) this.onEvent(out)
   }
 
   /** セッション終了時にオンディスク jsonl をマスク書き換えする (冪等)。Claude CLI が当該
@@ -947,18 +948,25 @@ export class ClaudeStreamSession {
   /** SDK options.canUseTool: tool 起動を許可するかを browser に問い合わせる。 */
   async _canUseTool(toolName, input) {
     if (!this.onPermission) return { behavior: "allow", updatedInput: input }
+    let displayState
+    try {
+      displayState = MASK_ENABLED ? preparePermissionInput(input, { toolName }) : null
+    } catch {
+      return { behavior: "deny", message: PERMISSION_MASK_DENIAL }
+    }
     const request_id = randomUUID()
     return await new Promise((resolve) => {
       this._permissionResolvers.set(request_id, {
         resolve,
         tool_name: toolName,
         input,
+        displayState,
       })
       try {
-        this.onPermission({ tool_name: toolName, input, request_id })
+        this.onPermission({ tool_name: toolName, input: displayState ? copyPermissionInput(displayState.displayInput) : input, request_id })
       } catch (err) {
         this.logger?.warn(
-          { err: err.message, stream_id: this.stream_id, tool: toolName },
+          { stream_id: this.stream_id },
           "onPermission callback threw",
         )
         this._permissionResolvers.delete(request_id)
@@ -1014,6 +1022,16 @@ export class ClaudeStreamSession {
     this._permissionResolvers.delete(request_id)
     // B11: 現 primary 端末からの permission 応答を活性として記録する。
     this.touch(this.stream_id)
+    if (!["allow", "deny"].includes(decision?.behavior)) {
+      decision = { behavior: "deny", message: PERMISSION_MASK_DENIAL }
+    }
+    if (MASK_ENABLED && decision?.behavior === "allow" && r.displayState) {
+      try {
+        decision = { ...decision, updatedInput: restorePermissionInput(r.displayState.originalInput, r.displayState.displayInput, decision.updatedInput, { toolName: r.tool_name }) }
+      } catch {
+        decision = { behavior: "deny", message: PERMISSION_MASK_DENIAL }
+      }
+    }
     r.resolve(decision)
     return true
   }
@@ -1062,12 +1080,19 @@ export class ClaudeStreamSession {
     if (!this.onPermission || this._permissionResolvers.size === 0) return
     for (const [request_id, r] of this._permissionResolvers) {
       try {
-        this.onPermission({ tool_name: r.tool_name, input: r.input, request_id })
+        this.onPermission({ tool_name: r.tool_name, input: r.displayState ? copyPermissionInput(r.displayState.displayInput) : r.input, request_id })
       } catch (err) {
         this.logger?.warn(
-          { err: err.message, stream_id: this.stream_id, request_id },
+          { stream_id: this.stream_id, request_id },
           "replay permission failed",
         )
+        this._permissionResolvers.delete(request_id)
+        r.resolve({ behavior: "deny", message: PERMISSION_MASK_DENIAL })
+        try {
+          this.onPermissionCancel?.({ request_ids: [request_id], reason: "replay failed" })
+        } catch {
+          this.logger?.warn({ stream_id: this.stream_id, request_id }, "permission cancel callback failed")
+        }
       }
     }
   }