@piecemaker-legal/piecemaker 2.0.9 → 2.0.11

package/server/piecemaker/vendor/installer/lib/service.mjs

@@ -1,10 +1,10 @@
 /**
- * Maintenance du dépôt installé : mise à jour Git/npm et redémarrage du démon
- * Telegram. Aucun serveur local n'est piloté ici — l'application et son proxy
- * PII sont démarrés par la commande `piecemaker`.
+ * Maintenance du dépôt installé : mise à jour Git/npm. Aucun serveur local
+ * n'est piloté ici — l'application et son proxy PII sont démarrés par la
+ * commande `piecemaker`.
  */
 
-import { IS_MAC, REPO_ROOT, npmBin, npmEnv, runCapture } from './platform.mjs';
+import { REPO_ROOT, npmBin, npmEnv, runCapture } from './platform.mjs';
 
 function runOrThrow(command, args, label) {
   const result = runCapture(command, args, { cwd: REPO_ROOT });
@@ -14,26 +14,6 @@ function runOrThrow(command, args, label) {
   return result;
 }
 
-/** launchd label of the Telegram monitor installed by step 08. */
-const TELEGRAM_DAEMON_LABEL = 'com.piecemaker.telegram-monitor';
-
-/**
- * The Telegram monitor runs `orchestrator/piecemaker-daemon.mjs` straight out
- * of the repository, so an update leaves it executing the previous revision
- * until launchd restarts it. Only touched when the service is already loaded.
- */
-export function restartTelegramDaemon() {
-  if (!IS_MAC || typeof process.getuid !== 'function') return { restarted: false, reason: 'unsupported' };
-  const domain = `gui/${process.getuid()}`;
-  if (runCapture('launchctl', ['print', `${domain}/${TELEGRAM_DAEMON_LABEL}`]).code !== 0) {
-    return { restarted: false, reason: 'absent' };
-  }
-  const kick = runCapture('launchctl', ['kickstart', '-k', `${domain}/${TELEGRAM_DAEMON_LABEL}`]);
-  return kick.code === 0
-    ? { restarted: true }
-    : { restarted: false, reason: kick.stderr || `code ${kick.code}` };
-}
-
 function gitOut(args, label) {
   return runOrThrow('git', args, label).stdout;
 }

package/server/piecemaker/vendor/installer/steps/02-dependances-node.mjs

@@ -9,7 +9,7 @@
 import fs from 'node:fs';
 import path from 'node:path';
 import { log, spinner, columns } from '../lib/ui.mjs';
-import { run, npmBin, npmEnv, REPO_ROOT } from '../lib/platform.mjs';
+import { run, npmBin, npmEnv, GIT_REPO_ROOT } from '../lib/platform.mjs';
 
 export const meta = {
   id: '02-dependances-node',
@@ -36,7 +36,7 @@ function readPackageJson(dir) {
 // Certaines distributions npm conservent spawn-helper de node-pty en 0644.
 // Le module se charge alors normalement mais tout pty.spawn échoue avec
 // « posix_spawnp failed ». Réparer le bit exécutable est idempotent.
-export function repairNodePtySpawnHelpers(repoRoot = REPO_ROOT, { repair = true } = {}) {
+export function repairNodePtySpawnHelpers(repoRoot = GIT_REPO_ROOT, { repair = true } = {}) {
   if (process.platform === 'win32') return { found: 0, repaired: 0, ready: true };
   const prebuilds = path.join(repoRoot, 'node_modules', 'node-pty', 'prebuilds');
   if (!fs.existsSync(prebuilds)) return { found: 0, repaired: 0, ready: false };
@@ -88,7 +88,7 @@ async function npmInstall(dir, label, ctx) {
 export async function install(ctx) {
   const results = [];
 
-  results.push(['racine du projet', await npmInstall(REPO_ROOT, 'Racine', ctx)]);
+  results.push(['racine du projet', await npmInstall(GIT_REPO_ROOT, 'Racine', ctx)]);
 
   if (ctx.dryRun) {
     return { status: 'skipped', note: 'Mode simulation — aucune installation effectuée.' };
@@ -116,8 +116,8 @@ export async function install(ctx) {
 }
 
 export async function check(ctx) {
-  const rootInstalled = fs.existsSync(path.join(REPO_ROOT, 'node_modules'));
-  const ptyReady = repairNodePtySpawnHelpers(REPO_ROOT, { repair: false }).ready;
+  const rootInstalled = fs.existsSync(path.join(GIT_REPO_ROOT, 'node_modules'));
+  const ptyReady = repairNodePtySpawnHelpers(GIT_REPO_ROOT, { repair: false }).ready;
 
   if (rootInstalled && ptyReady) return { status: 'done', note: '' };
   if (rootInstalled) {

package/server/piecemaker/vendor/installer/steps/06-hooks.mjs

@@ -17,16 +17,14 @@ import os from 'node:os';
 import path from 'node:path';
 import { createRequire } from 'node:module';
 import { log, spinner } from '../lib/ui.mjs';
-import { REPO_ROOT, GIT_REPO_ROOT, HOME_DIR, runCapture, ensureDir } from '../lib/platform.mjs';
+import { REPO_ROOT, HOME_DIR, runCapture, ensureDir } from '../lib/platform.mjs';
 import { updateConfig } from '../lib/state.mjs';
 
 const require = createRequire(import.meta.url);
 const {
   claudeHooksStatus,
-  claudeSessionHookStatus,
   claudeStatusLineStatus,
   installClaudeHooks,
-  installClaudeSessionHook,
   installClaudeStatusLine,
 } = require('../../websocket-server/claude-hooks.cjs');
 
@@ -47,7 +45,6 @@ const HOOK_SCRIPTS = {
   commit: path.join(SCRIPTS_DIR, 'commit-track.mjs'),
   classify: path.join(SCRIPTS_DIR, 'classify-ai-documents.mjs'),
   billing: path.join(SCRIPTS_DIR, 'billing-track.mjs'),
-  proxyGuard: path.join(GIT_REPO_ROOT, 'scripts', 'piecemaker', 'hooks', 'proxy-guard.mjs'),
   statusline: path.join(SCRIPTS_DIR, 'statusline.mjs'),
 };
 
@@ -106,16 +103,16 @@ export async function install(ctx) {
   const testResults = [];
   let testDir = null;
   let selftestRegistered = false;
-  const caseFoldersBefore = Array.isArray(ctx.config?.caseFolders) ? ctx.config.caseFolders : [];
+  const { publishProjectSource } = require('../../piecemaker-plugin/scripts/lib/case-folders.cjs');
 
   try {
     // Un vrai dossier juridique factice, sans point de tête : les hooks
     // ignorent les répertoires cachés, un bac de test caché ne prouverait donc
-    // rien du garde-fou. Comme un dossier n'est protégé qu'une fois enregistré,
-    // on l'ajoute à `caseFolders` le temps du test, puis on rétablit la config.
+    // rien du garde-fou. Comme seul un projet publié est un dossier juridique,
+    // on le publie le temps du test sous une source dédiée, retirée ensuite.
     testDir = fs.realpathSync(fs.mkdtempSync(path.join(os.tmpdir(), 'piecemaker-hook-selftest-')));
     fs.writeFileSync(path.join(testDir, 'piece-selftest.pdf'), 'PIECE DE TEST', 'utf8');
-    updateConfig({ caseFolders: [...new Set([...caseFoldersBefore, testDir])] });
+    publishProjectSource('installer-selftest', [testDir]);
     selftestRegistered = true;
 
     // 1. protect-originals.mjs — une pièce du bac de test : protégée par
@@ -165,8 +162,8 @@ export async function install(ctx) {
     //    de test enregistré doit ressortir classé « espace de travail » dans
     //    `.piecemaker/protection.json`, sans quoi l'IA ne pourrait pas se
     //    relire. On vérifie l'effet de bord, pas seulement le code de sortie.
-    const createdDoc = path.join(testDir, 'note-selftest.docx');
-    fs.writeFileSync(createdDoc, 'NOTE DE TEST', 'utf8');
+    const createdDoc = path.join(testDir, 'note-selftest.pdf');
+    fs.writeFileSync(createdDoc, '%PDF-1.4 NOTE DE TEST', 'utf8');
     const classifyResult = runHookSelfTest('classify-ai-documents.mjs', HOOK_SCRIPTS.classify, {
       hook_event_name: 'PostToolUse',
       session_id: 'installer-selftest',
@@ -180,7 +177,7 @@ export async function install(ctx) {
     });
     if (classifyResult.ok) {
       const { readProtection } = require('../../piecemaker-plugin/scripts/lib/protection.cjs');
-      if (!readProtection(testDir).unprotected.has('note-selftest.docx')) {
+      if (!readProtection(testDir).unprotected.has('note-selftest.pdf')) {
         classifyResult.ok = false;
         classifyResult.note = 'le document créé n\'a pas été classé « espace de travail »';
       } else {
@@ -191,7 +188,7 @@ export async function install(ctx) {
   } finally {
     // Rétablir la liste des dossiers enregistrés : le bac de test ne doit pas
     // rester surveillé après l'installation.
-    if (selftestRegistered) updateConfig({ caseFolders: caseFoldersBefore });
+    if (selftestRegistered) publishProjectSource('installer-selftest', null);
     if (testDir) fs.rmSync(testDir, { recursive: true, force: true });
   }
 
@@ -223,13 +220,6 @@ export async function install(ctx) {
   }
   log.ok(`${registration.registered} hook(s) PieceMaker ${registration.changed ? 'enregistré(s)' : 'déjà enregistré(s)'} directement dans ~/.claude/settings.json.`);
 
-  const sessionHook = installClaudeSessionHook(os.homedir());
-  if (!sessionHook.ok) {
-    log.warn(`Sentinelle proxy PII (SessionStart) non enregistrée : ${sessionHook.reason}.`);
-  } else {
-    log.ok(`Sentinelle proxy PII (SessionStart) ${sessionHook.changed ? 'enregistrée' : 'déjà à jour'} dans ~/.claude/settings.json.`);
-  }
-
   const statusLine = installClaudeStatusLine(REPO_ROOT, os.homedir());
   if (statusLine.conflict) {
     log.warn(`statusLine Claude Code personnelle détectée — laissée telle quelle (${statusLine.reason}). Bandeau d'état PieceMaker non installé.`);
@@ -249,14 +239,13 @@ export async function check(ctx) {
   const cfg = ctx.config || {};
   const configOk = Boolean(cfg.commits && cfg.billing);
   const hooksRegistered = claudeHooksStatus(REPO_ROOT, os.homedir()).ok;
-  const sessionHookRegistered = claudeSessionHookStatus(os.homedir()).ok;
   const statusLine = claudeStatusLineStatus(REPO_ROOT, os.homedir());
   const statusLineOk = statusLine.ok || statusLine.conflict; // une statusLine personnelle n'est pas une anomalie
 
   if (!scriptsExist || !hooksJsonExists) {
     return { status: 'failed', note: 'Fichiers du plugin manquants (scripts ou hooks.json) — réinstallez piecemaker-plugin/.' };
   }
-  if (!dirsExist || !configOk || !hooksRegistered || !sessionHookRegistered) {
+  if (!dirsExist || !configOk || !hooksRegistered) {
     return { status: 'partial', note: 'Scripts présents mais configuration, enregistrement Claude ou répertoires de facturation incomplets — relancez cette étape.' };
   }
   if (!statusLineOk) {

package/server/piecemaker/vendor/installer/steps/09-claude-assets.mjs

@@ -13,12 +13,10 @@ import { createRequire } from 'node:module';
 
 import { log } from '../lib/ui.mjs';
 import { REPO_ROOT, commandExists } from '../lib/platform.mjs';
-import { loadConfig } from '../lib/state.mjs';
 
 const require = createRequire(import.meta.url);
 const { claudeAssetStatus, repositoryAssets, syncClaudeAssets } = require('../../websocket-server/claude-assets.cjs');
 const { claudeHooksStatus, installClaudeHooks } = require('../../websocket-server/claude-hooks.cjs');
-const { refreshRegisteredCaseRules } = require('../../websocket-server/case-instructions.cjs');
 
 export const meta = {
   id: '09-claude-assets',
@@ -39,8 +37,6 @@ function dependencies(overrides = {}) {
     syncClaudeAssets,
     claudeHooksStatus,
     installClaudeHooks,
-    loadConfig,
-    refreshRegisteredCaseRules,
     ...overrides,
   };
 }
@@ -64,7 +60,6 @@ export async function install(ctx, overrides = {}) {
   if (ctx.dryRun) {
     ops.log.info(`[simulation] enregistrement de ${assets.length} skill(s)/agent(s) PieceMaker dans ~/.claude`);
     ops.log.info('[simulation] fusion des hooks PieceMaker dans ~/.claude/settings.json');
-    ops.log.info('[simulation] actualisation des instructions des dossiers juridiques enregistrés');
     return { status: 'skipped', note: 'Mode simulation — aucune modification effectuée.' };
   }
 
@@ -79,12 +74,6 @@ export async function install(ctx, overrides = {}) {
   }
   ops.log.detail(`${hooks.registered} hook(s) PieceMaker enregistré(s) directement dans ~/.claude/settings.json.`);
 
-  const instructions = ops.refreshRegisteredCaseRules(REPO_ROOT, ops.loadConfig());
-  ops.log.detail(`${instructions.refreshed} dossier(s) juridique(s) muni(s) des instructions PieceMaker.`);
-  for (const failure of instructions.failed) {
-    ops.log.warn(`Instructions non actualisées pour ${failure.folder} : ${failure.error}`);
-  }
-
   if (result.conflicts.length) {
     return {
       status: 'partial',

package/server/piecemaker/vendor/installer/steps/09-codex-plugin.mjs

@@ -2,35 +2,28 @@
  * Étape 09 — composants PieceMaker pour la CLI Codex.
  *
  * Aucune entrée de marketplace ni aucun plugin d'application n'est créé :
- * les skills sont enregistrés dans `~/.codex/skills/` et la sentinelle du
- * proxy dans `~/.codex/hooks.json`, deux emplacements locaux découverts par
+ * les skills sont enregistrés dans `~/.codex/skills/` et la protection des
+ * pièces dans `~/.codex/hooks.json`, deux emplacements locaux découverts par
  * la CLI Codex. Claude Code et son marketplace restent entièrement inchangés.
  */
 
 import fs from 'node:fs';
 import os from 'node:os';
 import path from 'node:path';
-import { createRequire } from 'node:module';
 import { log } from '../lib/ui.mjs';
 import { REPO_ROOT, commandExists } from '../lib/platform.mjs';
 import {
   codexProtectionHookStatus,
-  codexSessionHookStatus,
   codexSkillStatus,
   installCodexProtectionHook,
-  installCodexSessionHook,
   repositoryCodexSkills,
   syncCodexSkills,
 } from '../lib/codex-skills.mjs';
-import { loadConfig } from '../lib/state.mjs';
-
-const require = createRequire(import.meta.url);
-const { refreshRegisteredCaseRules } = require('../../websocket-server/case-instructions.cjs');
 
 export const meta = {
   id: '09-codex-plugin',
   label: 'Composants Codex PieceMaker',
-  description: 'Enregistre les skills et le badge d’anonymisation lorsque la CLI Codex est présente',
+  description: 'Enregistre les skills et la protection des pièces lorsque la CLI Codex est présente',
   required: false,
 };
 
@@ -43,14 +36,10 @@ function dependencies(overrides = {}) {
     userHome: os.homedir(),
     log,
     codexSkillStatus,
-    codexSessionHookStatus,
     codexProtectionHookStatus,
-    installCodexSessionHook,
     installCodexProtectionHook,
     repositoryCodexSkills,
     syncCodexSkills,
-    loadConfig,
-    refreshRegisteredCaseRules,
     ...overrides,
   };
 }
@@ -70,8 +59,6 @@ export async function install(ctx, overrides = {}) {
   }
   if (ctx.dryRun) {
     ops.log.info(`[simulation] enregistrement de ${skills.length} skill(s) PieceMaker dans ~/.codex/skills`);
-    ops.log.info('[simulation] enregistrement du badge d’anonymisation au démarrage des sessions Codex');
-    ops.log.info('[simulation] actualisation des instructions AGENTS.md des dossiers enregistrés');
     return { status: 'skipped', note: 'Mode simulation — aucune modification effectuée.' };
   }
 
@@ -80,34 +67,21 @@ export async function install(ctx, overrides = {}) {
   for (const conflict of result.conflicts) {
     ops.log.warn(`Le skill Codex personnel « ${conflict.slug} » existe déjà et n'a pas été remplacé.`);
   }
-  const sessionHook = ops.installCodexSessionHook(REPO_ROOT, ops.userHome);
-  if (!sessionHook.ok) {
-    ops.log.warn(`Badge d’anonymisation Codex non enregistré : ${sessionHook.reason}.`);
-  } else {
-    ops.log.detail(`Badge d’anonymisation Codex ${sessionHook.changed ? 'enregistré' : 'déjà à jour'} dans ~/.codex/hooks.json.`);
-  }
   const protectionHook = ops.installCodexProtectionHook(REPO_ROOT, ops.userHome);
   if (!protectionHook.ok) {
     ops.log.warn(`Protection des pièces Codex non enregistrée : ${protectionHook.reason}.`);
   } else {
     ops.log.detail(`Protection des pièces Codex ${protectionHook.changed ? 'enregistrée' : 'déjà à jour'} dans ~/.codex/hooks.json.`);
   }
-  const instructions = ops.refreshRegisteredCaseRules(REPO_ROOT, ops.loadConfig());
-  ops.log.detail(`${instructions.refreshed} dossier(s) juridique(s) muni(s) des instructions Codex/Claude.`);
-  for (const failure of instructions.failed) {
-    ops.log.warn(`Instructions non actualisées pour ${failure.folder} : ${failure.error}`);
-  }
-  if (result.conflicts.length || !sessionHook.ok || !protectionHook.ok) {
+  if (result.conflicts.length || !protectionHook.ok) {
     return {
       status: 'partial',
-      note: !sessionHook.ok
-        ? `Badge d’anonymisation Codex non enregistré (${sessionHook.reason}).`
-        : !protectionHook.ok
+      note: !protectionHook.ok
         ? `Protection des pièces Codex non enregistrée (${protectionHook.reason}).`
         : `${result.conflicts.length} skill(s) Codex personnel(s) homonyme(s) conservé(s).`,
     };
   }
-  return { status: 'done', note: 'Skills et badge PieceMaker disponibles à la prochaine session Codex CLI.' };
+  return { status: 'done', note: 'Skills PieceMaker disponibles à la prochaine session Codex CLI.' };
 }
 
 export async function check(_ctx, overrides = {}) {
@@ -130,10 +104,6 @@ export async function check(_ctx, overrides = {}) {
       note: `${missing.length} skill(s) PieceMaker non enregistré(s) dans ~/.codex/skills.`,
     };
   }
-  const sessionHook = ops.codexSessionHookStatus(REPO_ROOT, ops.userHome);
-  if (!sessionHook.ok) {
-    return { status: 'partial', note: `Badge d’anonymisation Codex absent ou périmé (${sessionHook.reason}).` };
-  }
   const protectionHook = ops.codexProtectionHookStatus(REPO_ROOT, ops.userHome);
   if (!protectionHook.ok) {
     return { status: 'partial', note: `Protection des pièces Codex absente ou périmée (${protectionHook.reason}).` };

package/server/piecemaker/vendor/installer/steps/13-garde-secrets.mjs

@@ -4,9 +4,10 @@
  * Reproduces, via the installer, a guard that previously only existed by
  * hand under ~/.claude/ and would vanish on a fresh machine or a wiped
  * ~/.claude: a `PreToolUse` hook that denies the *agent* any read of the
- * server's `.env` et le mapping central du proxy (Read/Grep/Glob/Edit/Write/NotebookEdit and Bash
- * workarounds — cat/grep/head/`python -c "open(...)"`…), because that file
- * holds Légifrance credentials. See `installer/lib/secrets-guard.mjs` for
+ * server's `.env` et la base `auth.db` (Read/Grep/Glob/Edit/Write/NotebookEdit and Bash
+ * workarounds — cat/grep/head/`python -c "open(...)"`…), because the first
+ * holds Légifrance credentials and the second the real names behind every
+ * pseudonymisation code (`piecemaker_mappings`). See `installer/lib/secrets-guard.mjs` for
  * the merge logic and `installer/assets/claude-hooks/
  * piecemaker-guard-secrets.mjs` for the hook itself (a byte-for-byte copy of
  * the one that was running standalone in ~/.claude/hooks).
@@ -31,7 +32,8 @@ import fs from 'node:fs';
 import os from 'node:os';
 import path from 'node:path';
 import { log } from '../lib/ui.mjs';
-import { REPO_ROOT, HOME_DIR } from '../lib/platform.mjs';
+import { pathToFileURL } from 'node:url';
+import { REPO_ROOT, GIT_REPO_ROOT } from '../lib/platform.mjs';
 import { ENV_FILE } from '../lib/state.mjs';
 import {
   HOOK_SCRIPT_BASENAME,
@@ -48,18 +50,33 @@ import {
 export const meta = {
   id: '13-garde-secrets',
   label: 'Garde-fou secrets (Claude Code)',
-  description: "Empêche Claude Code de lire le .env et le mapping central du proxy",
+  description: "Empêche Claude Code de lire le .env et la base auth.db (noms réels)",
 };
 
-const CENTRAL_MAPPING_FILE = path.join(HOME_DIR, 'central-mapping.json');
+async function databaseFiles() {
+  const upstreamRoot = path.join(os.homedir(), '.cloudcli');
+  let dataRoot = upstreamRoot;
+  try {
+    const { productDataRoot } = await import(pathToFileURL(path.join(GIT_REPO_ROOT, 'shared', 'product-config.mjs')).href);
+    dataRoot = productDataRoot(upstreamRoot);
+  } catch {
+    dataRoot = process.env.CLOUDCLI_HOME || upstreamRoot;
+  }
+  const database = process.env.DATABASE_PATH || path.join(dataRoot, 'auth.db');
+  return ['', '-wal', '-shm'].map((suffix) => `${database}${suffix}`);
+}
+
+async function protectedPaths() {
+  return [ENV_FILE, ...await databaseFiles()];
+}
 
 export async function install(ctx) {
   const userHome = os.homedir();
-  const protectedPaths = [ENV_FILE, CENTRAL_MAPPING_FILE];
+  const guarded = await protectedPaths();
 
   if (ctx.dryRun) {
     log.info(`[simulation] hook installé/rafraîchi : ${hookTargetPath(userHome)} <- ${hookAssetPath(REPO_ROOT)}`);
-    log.info(`[simulation] liste noire créée/complétée : ${blocklistTargetPath(userHome)} (+${protectedPaths.join(', ')})`);
+    log.info(`[simulation] liste noire créée/complétée : ${blocklistTargetPath(userHome)} (+${guarded.join(', ')})`);
     log.info(`[simulation] ${settingsPath(userHome)} : hook PreToolUse + permissions.deny fusionnés`);
     return { status: 'skipped', note: 'Mode simulation — aucune modification effectuée.' };
   }
@@ -72,12 +89,12 @@ export async function install(ctx) {
   if (hook.changed) log.ok(`Hook ${hook.created ? 'installé' : 'mis à jour'} : ${hook.path}`);
   else log.ok(`Hook déjà à jour : ${hook.path}`);
 
-  const blocklist = seedBlocklist({ repoRoot: REPO_ROOT, userHome, envPaths: protectedPaths });
+  const blocklist = seedBlocklist({ repoRoot: REPO_ROOT, userHome, envPaths: guarded });
   if (blocklist.created) log.ok(`Liste noire créée : ${blocklist.path} (${blocklist.entries.length} chemin(s))`);
   else if (blocklist.added.length) log.ok(`Liste noire complétée (+${blocklist.added.length}) : ${blocklist.path}`);
   else log.ok(`Liste noire déjà à jour : ${blocklist.path}`);
 
-  const settings = mergeSettings({ userHome, envPaths: protectedPaths });
+  const settings = mergeSettings({ userHome, envPaths: guarded });
   if (settings.hookAdded) log.ok(`Hook PreToolUse enregistré dans ${settings.path}`);
   else log.ok('Hook PreToolUse déjà enregistré.');
   if (settings.denyAdded.length) log.ok(`Règle(s) permissions.deny ajoutée(s) : ${settings.denyAdded.join(', ')}`);
@@ -90,6 +107,7 @@ export async function install(ctx) {
 
 export async function check(ctx) {
   const userHome = os.homedir();
+  const guarded = await protectedPaths();
 
   const hookOk = fs.existsSync(hookTargetPath(userHome));
 
@@ -99,7 +117,7 @@ export async function check(ctx) {
     const normalized = new Set(Array.isArray(list)
       ? list.filter((entry) => typeof entry === 'string').map((entry) => path.resolve(entry))
       : []);
-    blocklistOk = [ENV_FILE, CENTRAL_MAPPING_FILE].every((entry) => normalized.has(path.resolve(entry)));
+    blocklistOk = guarded.every((entry) => normalized.has(path.resolve(entry)));
   } catch {
     // absent or malformed -> not ok
   }
@@ -118,7 +136,7 @@ export async function check(ctx) {
       );
     const deny = settings?.permissions?.deny;
     denyOk = Array.isArray(deny)
-      && [ENV_FILE, CENTRAL_MAPPING_FILE].every((entry) => deny.includes(denyRuleFor(entry)));
+      && guarded.every((entry) => deny.includes(denyRuleFor(entry)));
   } catch {
     // absent or malformed -> not ok
   }

package/server/piecemaker/vendor/piecemaker-plugin/README.md

@@ -33,7 +33,7 @@ Légifrance est maintenu séparément dans
 
 L'installateur enregistre ces composants dans les emplacements utilisateur
 découverts par les CLI. Il fusionne tous les hooks dans les réglages Claude
-Code et la sentinelle `SessionStart` dans les réglages Codex.
+Code et la protection des pièces (`PreToolUse`) dans les réglages Codex.
 
 Chaque sous-dossier immédiat de `config.workspacePath` est traité comme un dossier
 juridique indépendant. Son historique Git est conservé hors des données client,
@@ -56,8 +56,7 @@ L'étape `09-claude-assets` enregistre, si Claude Code est présent :
 L'étape `09-codex-plugin` enregistre, si Codex CLI est présent :
 
 - `~/.codex/skills/<slug>/SKILL.md`
-- `~/.codex/hooks.json` — sentinelle `SessionStart` qui affiche l’état réel du
-  proxy : `🔒 Anonymisation PieceMaker active ✓` ou un avertissement explicite.
+- `~/.codex/hooks.json` — refus `PreToolUse` de lecture des pièces protégées.
 
 Ce sont des **liens symboliques** vers `piecemaker-plugin/` : toute
 modification du Markdown (administration ou éditeur) est prise en compte à la
@@ -80,12 +79,6 @@ Les hooks décrits par `hooks/hooks.json` sont fusionnés directement dans
 dépendent donc d'aucun cache de plugin. `piecemaker update`, le démarrage du
 serveur et l'étape 06 réconcilient cet enregistrement.
 
-Codex ne permet pas encore d’exécuter une commande arbitraire dans sa
-`tui.status_line`. PieceMaker utilise donc son hook natif `SessionStart` : le
-message figure au début de chaque session et reflète le routage Codex ainsi que
-la disponibilité du proxy au moment du lancement. Codex peut demander une fois
-de confirmer la confiance accordée à ce hook local.
-
 ## Serveur MCP Légifrance
 
 L'étape `07-legifrance` installe le plugin autonome depuis

package/server/piecemaker/vendor/piecemaker-plugin/scripts/billing-track.mjs

@@ -37,7 +37,7 @@ import {
 } from './lib/hook-io.mjs';
 
 const require = createRequire(import.meta.url);
-const { locateConfiguredCase } = require('./lib/case-folders.cjs');
+const { locateProjectCase } = require('./lib/case-folders.cjs');
 
 const DEFAULT_TIMEOUT_MS = 8000;
 const MAX_TRANSCRIPT_BYTES = 10 * 1024 * 1024; // skip duration/tool-count derivation beyond this
@@ -106,10 +106,10 @@ function derivedDurationMs(analysis) {
   return Number.isFinite(ms) && ms >= 0 ? ms : null;
 }
 
-/** Name of the explicitly registered or legacy legal case containing cwd. */
-function detectDossier(cwd, config) {
+/** Name of the project folder containing cwd. */
+function detectDossier(cwd) {
   if (!cwd) return null;
-  return locateConfiguredCase(config, cwd)?.caseName || null;
+  return locateProjectCase(cwd)?.caseName || null;
 }
 
 function synthesisFilePath(sessionId, isoTimestamp) {
@@ -133,7 +133,7 @@ async function main() {
 
   const nowIso = new Date().toISOString();
   const monthFile = path.join(BILLING_DIR, `${nowIso.slice(0, 7)}.jsonl`); // YYYY-MM.jsonl
-  const dossier = detectDossier(payload.cwd, config);
+  const dossier = detectDossier(payload.cwd);
   const analysis = await analyzeTranscript(payload.transcript_path);
 
   if (eventName === 'TaskCompleted') {

package/server/piecemaker/vendor/piecemaker-plugin/scripts/classify-ai-documents.mjs

@@ -3,12 +3,12 @@
  * PostToolUse hook (Write|Bash) — classe en « espace de travail » tout document
  * que l'IA vient de créer dans un dossier juridique enregistré.
  *
- * La protection est une propriété du fichier et le coffre-fort est le défaut :
- * `.piecemaker/protection.json` n'enregistre que les exceptions. Sans ce hook,
- * un document produit par l'IA elle-même — `.docx` de `docx-cli`, export
- * pandoc/LibreOffice, fichier écrit par `Write` — naît protégé, et le
- * `PreToolUse` `protect-originals.mjs` lui en refuse ensuite la relecture. Il
- * n'y a pourtant rien à protéger de l'IA dans un fichier qu'elle a écrit.
+ * Seuls les PDF et les images sont protégés, et `.piecemaker/protection.json`
+ * n'enregistre que les exceptions. Sans ce hook, un PDF ou une image produits
+ * par l'IA elle-même — export pandoc/LibreOffice, rendu d'une note de
+ * recherche — naît protégé, et le `PreToolUse` `protect-originals.mjs` lui en
+ * refuse ensuite la relecture. Il n'y a pourtant rien à protéger de l'IA dans
+ * un fichier qu'elle a écrit.
  *
  * Le classement reste une *exception ajoutée* : rien de ce que l'IA n'a pas
  * nommé n'est déclassé, et une pièce marquée « ressource » n'est jamais
@@ -30,7 +30,7 @@ import {
 
 const require = createRequire(import.meta.url);
 const { classifyAsWorkspace } = require('./lib/protection.cjs');
-const { locateConfiguredCase } = require('./lib/case-folders.cjs');
+const { locateProjectCase } = require('./lib/case-folders.cjs');
 
 /**
  * Une commande Bash ne dit pas quel fichier elle a créé. On ne retient donc
@@ -110,7 +110,7 @@ async function main() {
   for (const absolute of candidatePaths(payload, cwd)) {
     let located;
     try {
-      located = locateConfiguredCase(config, absolute);
+      located = locateProjectCase(absolute);
     } catch {
       continue;
     }

package/server/piecemaker/vendor/piecemaker-plugin/scripts/commit-track.mjs

@@ -28,7 +28,7 @@ import {
 
 const require = createRequire(import.meta.url);
 const { locateCaseFile } = require('./lib/commits.cjs');
-const { locateConfiguredCase } = require('./lib/case-folders.cjs');
+const { locateProjectCase } = require('./lib/case-folders.cjs');
 
 const PENDING_DIR = path.join(HOME_DIR, 'pending');
 
@@ -50,7 +50,7 @@ async function main() {
   const absolute = path.isAbsolute(filePath) ? filePath : path.resolve(cwd, filePath);
   let located;
   try {
-    const configured = locateConfiguredCase(config, absolute);
+    const configured = locateProjectCase(absolute);
     if (!configured) return null;
     located = locateCaseFile(configured.casesRoot, absolute);
   } catch {

package/server/piecemaker/vendor/piecemaker-plugin/scripts/compile-recherche.mjs

@@ -21,15 +21,14 @@ import fs from 'node:fs';
 import path from 'node:path';
 import {
   HOME_DIR,
-  loadPieceMakerConfig,
   noop,
   readHookPayload,
   runHook,
 } from './lib/hook-io.mjs';
 
 const require = createRequire(import.meta.url);
-const { locateConfiguredCase } = require('./lib/case-folders.cjs');
-const { resolveConfiguredCaseMapping, revertMapping } = require('./lib/mapping.cjs');
+const { locateProjectCase } = require('./lib/case-folders.cjs');
+const { resolveProjectCaseMapping, revertMapping } = require('./lib/mapping.cjs');
 const { renderMarkdown, reportSlug } = require('./lib/recherche-report.cjs');
 
 const HERE = path.dirname(fileURLToPath(import.meta.url));
@@ -62,10 +61,9 @@ async function main() {
 
   // Le cas cible est porté par le payload (l'agent sait dans quel dossier il
   // travaille) : un chemin absolu situé dans le dossier enregistré.
-  const config = loadPieceMakerConfig();
   const caseHint = data.caseRoot || data.case || data.dossier;
   if (!caseHint || !path.isAbsolute(caseHint)) return null;
-  const located = locateConfiguredCase(config, caseHint);
+  const located = locateProjectCase(caseHint);
   if (!located) return null;
 
   const rechercheDir = path.join(located.caseRoot, 'recherche');
@@ -77,7 +75,7 @@ async function main() {
   // lisible → on ré-identifie le Markdown final avant écriture disque (même
   // logique que commit-track sur les libellés). Idempotent.
   let markdown = renderMarkdown(data, { caseName: located.caseName });
-  const legalCase = resolveConfiguredCaseMapping(config, located.caseRoot);
+  const legalCase = resolveProjectCaseMapping(located.caseRoot);
   if (legalCase?.reverse_mapping) markdown = revertMapping(markdown, legalCase.reverse_mapping);
 
   fs.mkdirSync(rechercheDir, { recursive: true });