@tyhld/conductor 0.12.104 → 0.12.106

package/dist/autoupdate.js

@@ -11,12 +11,13 @@
  * 【決め（設計 3ed9e2b2 の 1/4・2/4 と管制の口の決まり 2f5eb92c）】
  *   ・鍵（~/.tyhld/bin/autoupdate/enabled）が無い機では何もしない（★お客さまの機には置かない）。
  *   ・管制に目標の版を聞く。autoUpdate:false・ready:false・止める（halted）・届かない → 何もしない
- *     （届かないときは更新しない＝安全側）。
+ *     （届かないときは更新しない＝安全側）。★ただし【届かなかった回】は、空きを待つ数え（busySince）と
+ *     置いた札をそのまま持ち越す（1回の通信の失敗で数えを捨てない・4時間を超えた札だけ外す）。
  *   ・conductor の目標が今と違えば conductor だけを入れ替える。★そのあいだ Claude Code は動かさない
  *     （管制も同じ順番を守る。更新係は管制が返した目標だけを見る）。
  *   ・入れ替えは全現場が空きのときだけ: 札を置く → 中継の1周ぶん待つ → もう一度空きを確かめる →
  *     版を名指しして入れる（取得先は毎回 https://registry.npmjs.org・@latest にしない）→
- *     全現場の常駐を起こし直す → 札を外す → 自己診断 → 管制へ（自己診断が届ける）。
+ *     全現場の常駐を起こし直す → 札を外す → 落ち着くのを 45秒 待つ → 自己診断 → 管制へ（自己診断が届ける）。
  *   ・空きでなければ次の回に再挑戦。30分空かなければ札を置いて新しい便を取らない形に移り、
  *     走っている便の終わりを待つ（★走っている便は止めない）。
  *   ・自己診断が FAIL → そのPCだけ前の版へ戻す → 自己診断（after-rollback＝rolledBack が管制へ届く）。
@@ -63,6 +64,29 @@ export const BUSY_LIMIT_MS = 30 * 60 * 1000;
 export const RESTART_WAIT_MS = 120_000;
 /** 起こし直した常駐の様子を見る間隔。 */
 export const RESTART_POLL_MS = 5_000;
+/**
+ * 入れ替え（戻し）の直後、自己診断を始めるまで落ち着くのを待つ長さ（★45秒・CC1 決定 2026-10-05・便 36e5680b）。
+ *
+ * 【なぜ要るか（便 e70843fa で確かめた）】
+ *   入れ替えの直後は、全現場の常駐を一度に起こし直してから、間を空けずに自己診断へ進む。
+ *   起き直した常駐の子（claude -p）と、自己診断の小さな試験が【同じログインの控えを同時に更新】して重なり、
+ *   「認証の更新が別の処理と重なった」で自己診断が落ちやすい。
+ *   ＝落ち着くのを少し待ってから測れば、重なり自体が起きにくくなる（根治は待つ側＝測る前）。
+ * ★当てるのは「入れ替えの直後」と「戻した直後」の自己診断だけ。
+ *   毎日の自己診断・人が手で流す自己診断・held の測り直しは1秒も待たない。
+ * ★既に入っている「認証の更新の重なりと明確に判定できた失敗だけ、60秒後に1回だけやり直す」
+ *   （src/selfcheck.ts の SELFCHECK_AUTH_RETRY_WAIT_MS）は1つも変えない。待つのは重なりを【減らす】ため、
+ *   やり直しは重なってしまった回を【拾う】ため＝役目が違うので、両方要る。
+ */
+export const SWAP_SETTLE_MS = 45_000;
+/** 落ち着くのを待つ長さを変える環境変数（★秒で書く・0 なら待たない）。 */
+export const SETTLE_ENV = 'CONDUCTOR_AUTOUPDATE_SETTLE_SEC';
+/**
+ * 管制に届かないまま、置いた札を外すまでの上限（★4時間・CC1 決定 2026-10-05・便 36e5680b）。
+ *   管制が入れ替え待ちの札を🟡にする値（管制 `DRAIN_ALERT_SEC`）と同じ考え＝
+ *   便を取れないPCのままにしない。★配り役（この側）に同じ意味の定数は無いので、ここに置く。
+ */
+export const DRAIN_HOLD_LIMIT_MS = 4 * 60 * 60 * 1000;
 /** 戻しても直らなかった機で、自己診断を測り直す間隔。 */
 export const HELD_RECHECK_MS = 60 * 60 * 1000;
 /**
@@ -213,6 +237,19 @@ function placeDrain(d, s) {
     s.drainOwned = true;
     d.log(`入れ替え待ちの札を置きました（新しい便を取りません・走っている便は止めません）: ${p}`);
 }
+/**
+ * この係が置いた札を、いつ置いたか（★札のファイルの1行目に書いた時刻を読む＝控えに欄を足さない）。
+ *   読めない・札が無い → null。
+ */
+export function drainPlacedAt(home, env) {
+    try {
+        const at = Date.parse(readFileSync(drainPath(home, env), 'utf8').trim().split(/\s+/)[0] ?? '');
+        return Number.isFinite(at) ? new Date(at) : null;
+    }
+    catch {
+        return null;
+    }
+}
 /** 札を外す。★この係が置いた札だけ（人が置いた札は外さない）。 */
 function removeDrain(d, s) {
     if (!s.drainOwned)
@@ -399,10 +436,42 @@ function writePin(d, bin) {
     renameSync(`${p}.tmp`, p);
     d.log(`Claude Code の指名を書きました: ${bin}`);
 }
+/**
+ * 落ち着くのを待つ長さ（ミリ秒）。★環境変数（秒）で変えられる・0 なら待たない。
+ *   数で読めない・負の数は既定（45秒）＝待たない側へ倒さない（安全側）。
+ */
+export function settleMs(env) {
+    const raw = env[SETTLE_ENV];
+    if (raw === undefined || raw.trim() === '')
+        return SWAP_SETTLE_MS;
+    const sec = Number(raw);
+    if (!Number.isFinite(sec) || sec < 0)
+        return SWAP_SETTLE_MS;
+    return Math.round(sec * 1000);
+}
+/**
+ * 入れ替え（戻し）の直後だけ、自己診断を始める前に落ち着くのを待つ。返り値は待った秒数（0＝待たない）。
+ *   ★何秒待ったかを記録に残す（あとから読めるようにする＝CC1 決定 A）。
+ */
+async function settleBeforeSelfcheck(d, trigger) {
+    const ms = settleMs(d.env);
+    if (ms <= 0) {
+        d.log(`落ち着くのを待たずに自己診断を始めます（${SETTLE_ENV}=0・きっかけ ${trigger}）`);
+        return 0;
+    }
+    const sec = Math.round(ms / 1000);
+    d.log(`常駐が落ち着くのを ${sec}秒 待ってから自己診断を始めます（認証の更新の重なりを避ける・きっかけ ${trigger}）`);
+    await d.sleep(ms);
+    d.log(`${sec}秒 待ちました。自己診断（${trigger}）を始めます`);
+    return sec;
+}
 /** 入れ替え（または戻し）の後の自己診断と、その結果の扱い。 */
 async function afterSwap(d, s) {
     const comp = s.component ?? 'conductor';
     const trigger = s.rollback ? 'after-rollback' : comp === 'conductor' ? 'after-conductor' : 'after-claude';
+    // ★起き直した常駐の子と自己診断の小さな試験が、同じログインの控えを同時に更新して重なるのを避ける。
+    const waited = await settleBeforeSelfcheck(d, trigger);
+    const note = waited > 0 ? `（自己診断の前に ${waited}秒 待ちました）` : '';
     const r = d.runSelfcheck(trigger);
     if (r.pass) {
         if (s.rollback)
@@ -412,7 +481,7 @@ async function afterSwap(d, s) {
             : `${comp} ${s.to} の自己診断が通りました`;
         s.phase = 'idle';
         delete s.rollback;
-        return done(d, s, s.lastRun?.action === 'held' ? 'recovered' : 'pass', detail);
+        return done(d, s, s.lastRun?.action === 'held' ? 'recovered' : 'pass', `${detail}${note}`);
     }
     const failed = r.failedKeys.join(',') || '不明';
     if (!s.rollback) {
@@ -425,12 +494,12 @@ async function afterSwap(d, s) {
         if (comp === 'claude-code' && back && compareVersions(back, CLAUDE_MIN_VERSION) < 0) {
             s.phase = 'held';
             s.heldRecheckAt = new Date(d.now().getTime() + HELD_RECHECK_MS).toISOString();
-            return done(d, s, 'held', `Claude Code ${s.to} の自己診断が落ちました（${failed}）。戻す先 ${back} は最低版 ${CLAUDE_MIN_VERSION} より古いので戻しません（🟡）`);
+            return done(d, s, 'held', `Claude Code ${s.to} の自己診断が落ちました（${failed}）。戻す先 ${back} は最低版 ${CLAUDE_MIN_VERSION} より古いので戻しません（🟡）${note}`);
         }
         if (!back) {
             s.phase = 'held';
             s.heldRecheckAt = new Date(d.now().getTime() + HELD_RECHECK_MS).toISOString();
-            return done(d, s, 'held', `${comp} ${s.to} の自己診断が落ちました（${failed}）。戻す先の版が分からないので戻せません（🟡）`);
+            return done(d, s, 'held', `${comp} ${s.to} の自己診断が落ちました（${failed}）。戻す先の版が分からないので戻せません（🟡）${note}`);
         }
         d.log(`${comp} ${s.to} の自己診断が落ちました（${failed}）。この機だけ ${back} へ戻します`);
         return rollBack(d, s, back);
@@ -444,7 +513,7 @@ async function afterSwap(d, s) {
         placeDrain(d, s);
     else
         removeDrain(d, s);
-    return done(d, s, 'held', `${comp} を ${s.to} へ戻しても自己診断が通りません（${failed}）。${cannotWork ? '札を残し、この機は新しい便を受け取りません' : '便の受け取りは続けます'}（🟡）`);
+    return done(d, s, 'held', `${comp} を ${s.to} へ戻しても自己診断が通りません（${failed}）。${cannotWork ? '札を残し、この機は新しい便を受け取りません' : '便の受け取りは続けます'}（🟡）${note}`);
 }
 /** 前の版へ戻す。 */
 async function rollBack(d, s, back) {
@@ -600,9 +669,21 @@ export async function runUpdater(d) {
     const { target, detail } = await fetchTarget(d, installed);
     s.nextCheckAt = new Date(now.getTime() + (target?.checkAgainMin ?? DEFAULT_CHECK_MIN) * 60_000).toISOString();
     if (!target) {
-        removeDrain(d, s);
-        s.busySince = null;
-        return done(d, s, 'skip', `管制に目標の版を聞けませんでした（${detail}）。更新しません`);
+        // ★管制に1回届かなかっただけで、空きを待つ数え（busySince）と置いた札を捨てない（便 36e5680b）。
+        //   捨てると、便が切れ目なく続くPCでは回線が30分に1回でも途切れるたびに数えが 0 に戻り、
+        //   札が置かれないので、いつまでも新しい版へ入れ替わらない（便 443e599d の発見2）。
+        //   ★更新しないことは今までどおり（届かない回に版は動かさない＝安全側）。
+        //   ★安全のための上限：管制に届かないまま札を置いてから 4時間 を超えたら札を外す
+        //     （便を取れないPCのままにしない＝管制が札を🟡にする値と同じ考え）。
+        const placedAt = s.drainOwned ? drainPlacedAt(d.home, d.env) : null;
+        const heldMs = placedAt ? now.getTime() - placedAt.getTime() : 0;
+        if (placedAt && heldMs >= DRAIN_HOLD_LIMIT_MS) {
+            removeDrain(d, s);
+            s.busySince = null;
+            return done(d, s, 'skip', `管制に目標の版を聞けませんでした（${detail}）。札を置いてから ${Math.round(DRAIN_HOLD_LIMIT_MS / 3_600_000)}時間 を超えたので札を外しました（便を取れないPCのままにしない）`);
+        }
+        const kept = s.drainOwned ? `置いた札はそのまま（${Math.round(heldMs / 60_000)}分）` : '札は置いていません';
+        return done(d, s, 'skip', `管制に目標の版を聞けませんでした（${detail}）。更新しません（${kept}・空きを待つ数えは持ち越し）`);
     }
     if (!target.ready || !target.autoUpdate || target.halted) {
         removeDrain(d, s);

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@tyhld/conductor",
-  "version": "0.12.104",
+  "version": "0.12.106",
   "description": "采配くん管制の見守りアプリ（conductor-agent）。各PCで常駐し、中央(devlog-tracker)へ定期的に生存報告(heartbeat)を送る常駐CLI。",
   "type": "module",
   "bin": {

package/scripts/hooks/policy.py

@@ -618,7 +618,9 @@ def verb_of(tokens):
     i = 0
     while i < len(tokens):
         t = tokens[i]
-        if _ASSIGN_RE.match(t):
+        # ★文の頭の予約語（do / then / until …）も剥がす（便 afb46a15・_tool_words と同じ根）。
+        #   剥がさないと `while true; do cat .env; done` の動詞が do になり、秘密の読み出しが素通りした。
+        if _ASSIGN_RE.match(t) or t in _SHELL_KEYWORDS:
             i += 1
             continue
         base = t.split('/')[-1]
@@ -1392,7 +1394,11 @@ def _tool_words(tokens):
     i = 0
     while i < len(tokens):
         t = tokens[i]
-        if _ASSIGN_RE.match(t):
+        # ★文の頭の予約語（until / while / do / if / then / ! …）も剥がす（便 afb46a15）。
+        #   剥がさないと `until gh run list …` の道具が until と読まれ、文字を扱うだけの gh が
+        #   SQL の字面検査へ落ちて人に聞いていた。逆に `until psql -h 本番 …` や
+        #   `if true; then supabase db push; fi` は道具が見えず素通りしていた（両方この1か所が根）。
+        if _ASSIGN_RE.match(t) or t in _SHELL_KEYWORDS:
             i += 1
             continue
         base = t.split('/')[-1]
@@ -1881,7 +1887,7 @@ _PG_ENV_INDIRECT = (
 _TUNNEL_TOOLS = frozenset({
     'ssh', 'autossh', 'sshuttle', 'socat', 'ncat', 'nc', 'netcat', 'chisel',
     'ngrok', 'cloudflared', 'stunnel', 'pgbouncer', 'kubectl', 'oc',
-    'cloud-sql-proxy', 'cloud_sql_proxy', 'wstunnel', 'frpc', 'iptables', 'nft',
+    'cloud-sql-proxy', 'cloud_sql_proxy', 'wstunnel', 'frpc', 'iptables', 'ip6tables', 'nft',
 })
 
 
@@ -2023,6 +2029,248 @@ def _tunneled_db_danger(command: str) -> str:
     return None
 
 
+# ─────────────────────────────────────────────────────────────────────────────
+# ★ポート転送を【単独のコマンドでも】止める（便 afb46a15・便 3747bf25 の報告の根治）
+#
+# 【なぜ要るか（実測 2026-10-05・番人 0.12.101）】上の _tunneled_db_danger は「転送と SQL クライアントが
+#   同じコマンドに在る」形しか見ていなかった。`ssh -N -L 55432:<本番>:5432 …` を先に張り、別の
+#   コマンドで `psql -h 127.0.0.1 -p 55432` を打つと、どちらも単独では allow で、番人の層だけでは
+#   本番へ届く道が残っていた（6通りのうち5番目だけが allow）。
+# 【どう止めるか】転送の行き先を読み、次のどれかなら deny。
+#   ・行き先が手元の数字の宛先（127.0.0.1・::1）でない（★名前は許さない＝psql の決まりと同じ）
+#   ・行き先のポートが DB の番号（5432・6543）
+#   ・行き先が読めない（変数・コマンド置換・設定ファイル -F・動的転送 -D・道具の設定に隠れる形）
+# 【変えないこと】転送の無い ssh（`ssh -T git@github.com`・git の ssh）・手元の使い捨てへの psql。
+# ─────────────────────────────────────────────────────────────────────────────
+
+#: 転送の行き先として止めるポート（Postgres の既定・Supabase の pooler）。
+_DB_FORWARD_PORTS = frozenset({'5432', '6543'})
+
+#: ssh の、値を1つ取る短い旗（`-NL 55432:…` のようなまとめ書きを読むため）。
+_SSH_ARG_FLAGS = frozenset('BbcDEeFIiJLlmOopQRSWw')
+
+#: 転送そのものが役目で、行き先が設定・外のサービスに隠れる道具（版・使い方の表示だけは通す）。
+_TUNNEL_ONLY_TOOLS = frozenset({
+    'sshuttle', 'chisel', 'ngrok', 'cloudflared', 'stunnel', 'pgbouncer',
+    'cloud-sql-proxy', 'cloud_sql_proxy', 'wstunnel', 'frpc',
+})
+_INFO_ONLY_ARGS = frozenset({'--version', '-v', '-V', 'version', '--help', '-h', 'help'})
+
+#: socat の、つなぎに行く側の宛先の種類。
+_SOCAT_CONNECT_TYPES = frozenset({
+    'tcp', 'tcp4', 'tcp6', 'tcp-connect', 'tcp4-connect', 'tcp6-connect', 'openssl',
+    'openssl-connect', 'ssl', 'proxy', 'proxy-connect', 'socks', 'socks4', 'socks4a', 'socks5',
+    'udp', 'udp4', 'udp6', 'udp-connect', 'udp4-connect', 'udp6-connect', 'sctp', 'sctp-connect',
+})
+#: socat の、何でも実行できる宛先（行き先が読めない＝止める）。
+_SOCAT_EXEC_TYPES = frozenset({'exec', 'system', 'shell'})
+
+
+def _split_host_parts(spec: str):
+    """`a:[::1]:5432` を ['a', '[::1]', '5432'] に割る（角括弧の中の : では割らない）。"""
+    parts, cur, depth = [], [], 0
+    for c in spec:
+        if c == '[':
+            depth += 1
+        elif c == ']':
+            depth -= 1
+        if c == ':' and depth == 0:
+            parts.append(''.join(cur))
+            cur = []
+            continue
+        cur.append(c)
+    parts.append(''.join(cur))
+    return parts
+
+
+def _forward_dest_risk(host: str, port: str, what: str):
+    """転送の行き先（ホスト・ポート）を測る。止めるなら理由、通すなら None。"""
+    host = _strip_quotes(host or '')
+    port = _strip_quotes(port or '')
+    if not host or not port or '$' in host + port or '`' in host + port:
+        return f'{what}: 行き先が読めない'
+    if port in _DB_FORWARD_PORTS:
+        return f'{what}: 行き先が DB のポート ({port})'
+    if host not in _LOCAL_HOST_LITERALS:
+        return f'{what}: 行き先が手元でない ({host})'
+    if not port.isdigit():
+        return f'{what}: 行き先のポートが読めない ({port})'
+    return None
+
+
+def _ssh_forward_spec_risk(flag: str, spec: str):
+    """-L / -R / -W の値を測る。"""
+    spec = _strip_quotes(spec or '')
+    if not spec or '$' in spec or '`' in spec:
+        return f'ssh {flag}: 行き先が読めない'
+    if flag == '-W':
+        parts = _split_host_parts(spec)
+        if len(parts) != 2:
+            return f'ssh {flag}: 行き先が読めない'
+        return _forward_dest_risk(parts[0], parts[1], f'ssh {flag}')
+    parts = _split_host_parts(spec)
+    if len(parts) >= 3:
+        return _forward_dest_risk(parts[-2], parts[-1], f'ssh {flag}')
+    # `-L 55432:/var/run/…sock`（向こうのソケットへ）・`-R 1080`（向こうでの動的転送）は行き先が読めない。
+    return f'ssh {flag}: 行き先が読めない'
+
+
+def _ssh_option_risk(opt: str):
+    """-o の値（`LocalForward=…`・`LocalForward 55432 db:5432`）を測る。"""
+    opt = _strip_quotes(opt or '')
+    if '$' in opt or '`' in opt:
+        return 'ssh -o: 設定が読めない'
+    m = re.match(r'\s*([A-Za-z]+)\s*(?:=\s*|\s+)(.*)$', opt)
+    if not m:
+        return None
+    key, value = m.group(1).lower(), m.group(2).strip()
+    if key == 'dynamicforward':
+        return 'ssh -o DynamicForward: 行き先が読めない'
+    if key in ('localforward', 'remoteforward'):
+        flag = '-L' if key == 'localforward' else '-R'
+        fields = value.split()
+        if len(fields) == 2:
+            return _ssh_forward_spec_risk(flag, f'{fields[0]}:{fields[1]}')
+        if len(fields) == 1:  # `LocalForward=55432:db:5432` のように : でつないだ形
+            return _ssh_forward_spec_risk(flag, fields[0])
+        return f'ssh -o {m.group(1)}: 行き先が読めない'
+    if key == 'include':
+        return 'ssh -o Include: 設定が読めない'
+    return None
+
+
+def _ssh_forward_risk(args):
+    """ssh / autossh の引数（道具の名前より後ろ）から転送を探して測る。"""
+    i, host_seen = 0, False
+    while i < len(args):
+        a = args[i]
+        if a == '--':
+            break
+        if not a.startswith('-') or a == '-':
+            # ★ssh は宛先のホストの【すぐ後ろ】の旗も読む（`ssh host -L …` も転送になる）。
+            #   ホストのあとに旗でない語が来たら、そこからは向こうで動くコマンド。
+            if host_seen:
+                break
+            host_seen = True
+            i += 1
+            continue
+        if a.startswith('--'):
+            i += 1
+            continue
+        j = 1
+        while j < len(a):
+            c = a[j]
+            if c in _SSH_ARG_FLAGS:
+                value = a[j + 1:]
+                if not value:
+                    i += 1
+                    value = args[i] if i < len(args) else ''
+                flag = '-' + c
+                if c in 'LRW':
+                    hit = _ssh_forward_spec_risk(flag, value)
+                    if hit:
+                        return hit
+                elif c == 'D':
+                    return 'ssh -D: 動的転送は行き先が読めない'
+                elif c == 'o':
+                    hit = _ssh_option_risk(value)
+                    if hit:
+                        return hit
+                elif c == 'F' and _strip_quotes(value) != '/dev/null':
+                    return 'ssh -F: 設定ファイルに転送が隠れうる（行き先が読めない）'
+                break
+            j += 1
+        i += 1
+    return None
+
+
+def _socat_risk(args):
+    for a in args:
+        if a.startswith('-'):
+            continue
+        a = _strip_quotes(a)
+        if '$' in a or '`' in a:
+            return 'socat: 行き先が読めない'
+        kind, _, rest = a.partition(':')
+        kind = kind.lower()
+        rest = rest.split(',', 1)[0]
+        if kind in _SOCAT_EXEC_TYPES:
+            return f'socat {kind}: 行き先が読めない'
+        if kind in _SOCAT_CONNECT_TYPES:
+            parts = _split_host_parts(rest)
+            if len(parts) < 2:
+                return f'socat {kind}: 行き先が読めない'
+            hit = _forward_dest_risk(parts[0], parts[1], f'socat {kind}')
+            if hit:
+                return hit
+        elif kind.endswith('-listen') or kind.endswith('-l'):
+            if rest in _DB_FORWARD_PORTS:
+                return f'socat {kind}: DB のポートで待ち受ける ({rest})'
+    return None
+
+
+def _nc_risk(args):
+    """nc の仲間。★待ち受け（中継に使える形）と DB のポートだけを止める（`nc -z host 443` は変えない）。"""
+    for a in args:
+        low = _strip_quotes(a)
+        if low in ('--listen', '--sh-exec', '--exec', '--lua-exec') \
+                or (low.startswith('-') and not low.startswith('--')
+                    and any(c in low[1:] for c in 'lec')):
+            return 'nc: 待ち受け・中継の形'
+        if low in _DB_FORWARD_PORTS or any(low.endswith(':' + p) for p in _DB_FORWARD_PORTS):
+            return f'nc: 行き先が DB のポート ({low})'
+    return None
+
+
+def _forward_segment_risk(tokens):
+    i, _seen = _unwrap(tokens)
+    if i >= len(tokens):
+        return None
+    tool = tokens[i].split('/')[-1].lower()
+    args = tokens[i + 1:]
+    # ★道具の一覧の正本は _TUNNEL_TOOLS の1か所（同じコマンドに並ぶ形の判定と共用・2つに割らない）。
+    if tool not in _TUNNEL_TOOLS:
+        return None
+    if tool in ('ssh', 'autossh'):
+        if tool == 'autossh':  # autossh 自身の -M <見張りのポート> を外してから ssh として読む
+            args = [a for k, a in enumerate(args)
+                    if a != '-M' and not (k > 0 and args[k - 1] == '-M')]
+        hit = _ssh_forward_risk(args)
+        return f'{tool} の転送 — {hit}' if hit else None
+    if tool in ('kubectl', 'oc') and 'port-forward' in [a.lower() for a in args]:
+        return f'{tool} port-forward（行き先が手元でない）'
+    if tool in _TUNNEL_ONLY_TOOLS:
+        if args and all(a in _INFO_ONLY_ARGS for a in args):
+            return None
+        return f'{tool}（転送の道具・行き先が読めない）'
+    if tool == 'socat':
+        return _socat_risk(args)
+    if tool in ('nc', 'ncat', 'netcat'):
+        return _nc_risk(args)
+    if tool in ('iptables', 'ip6tables', 'nft'):
+        low = ' '.join(args).lower()
+        if any(w in low for w in ('dnat', 'redirect', '--to-destination', '--to-ports', 'masquerade')):
+            return f'{tool}（通信の向け替え）'
+    return None
+
+
+def _port_forward_danger(command: str, depth: int = 0):
+    """コマンドの中のポート転送を、単独でも測る。止めるなら理由。"""
+    for seg in split_commands(command, bodies=False):
+        hit = _forward_segment_risk(tokens_of(seg))
+        if hit:
+            return f'本番へ届きうるポート転送 ({hit})'
+    if depth < _UNWRAP_MAX_DEPTH:
+        inners = [inner for kind, _r2, inner in _inner_payloads(command) if kind == 'shell']
+        inners += _subst_payloads(command)
+        for inner in inners:
+            if inner and inner.strip():
+                hit = _port_forward_danger(inner, depth + 1)
+                if hit:
+                    return hit
+    return None
+
+
 def _prod_db_change(seg, tokens):
     """1セグメントが本番 DB を直接変える道具なら理由を返す。"""
     words = _tool_words(tokens)
@@ -2053,6 +2301,12 @@ def _prod_db_change_scan(command: str, depth: int = 0):
                 hit = _prod_db_change_scan(inner, depth + 1)
                 if hit:
                     return f'{hit} (inside {runner})'
+        # ★コマンド置換の中身（`[ -n "$(psql …)" ]` の形・便 afb46a15）も同じ物差しで測る。
+        for inner in _subst_payloads(command):
+            if inner and inner.strip():
+                hit = _prod_db_change_scan(inner, depth + 1)
+                if hit:
+                    return f'{hit} (inside $())'
     return None
 
 
@@ -3544,15 +3798,27 @@ def _shell_payloads(head_tokens, body):
     return out
 
 
+#: 繰り返し・条件の頭に立つが、自分では何も実行しない語（`[ … ]`・`for x in …`・`sleep 15`）。
+#   ★中の `$(…)` は _gate_one が別のコマンドとして測るので、ここを通しても中身は見逃さない。
+_NO_EXEC_HEADS = frozenset({'[', '[[', 'for', 'case', 'select', 'sleep', ':', 'break', 'continue'})
+
+
 def _gate_one(segment: str, depth: int):
     """本物の1コマンドの関門。返り (種別, 理由) / None。"""
     head, _, body = segment.partition('\n')
     toks = tokens_of(head)
+    # ★コマンド置換・プロセス置換の中身（`$(…)`・`` `…` ``・`<(…)`）は、それ自体が1つのコマンド。
+    #   同じ物差しで測る（便 afb46a15）。外側が文字を扱うだけの道具でも、中身は実行されるため。
+    if depth < _UNWRAP_MAX_DEPTH:
+        for inner in _subst_payloads(head):
+            hit = _gate_command(inner, depth + 1)
+            if hit:
+                return hit
     words = _tool_words(toks)
     if not words:
         return None
     v = words[0]
-    if v in _SQL_TEXT_ONLY_VERBS:
+    if v in _SQL_TEXT_ONLY_VERBS or v in _NO_EXEC_HEADS:
         return None  # 文字を扱うだけ。引数・本文に何が書かれていても実行されない。
     if v in _SHELL_RUNNERS:
         if depth >= _UNWRAP_MAX_DEPTH:
@@ -3932,6 +4198,10 @@ def decide_bash(command: str, cwd=None):
 
     # ---- 1d') 手元に見せかけた回り道での DB 実行（トンネル・ポート転送・便 ee34f7e5） ----
     hit = _tunneled_db_danger(command)
+    if hit:
+        return _r(DENY, f'danger: {hit}')
+    # ---- 1d'') ポート転送を単独でも（便 afb46a15・張ってから別のコマンドで psql を打つ形） ----
+    hit = _port_forward_danger(command)
     if hit:
         return _r(DENY, f'danger: {hit}')
 

package/scripts/hooks/test_port_forward_and_wait_loop.py

@@ -0,0 +1,206 @@
+#!/usr/bin/env python3
+"""ポート転送を単独でも止める決まりと、読むだけの待ちの繰り返しを人に聞かない決まりの検査（便 afb46a15）。
+
+  実行: python3 scripts/hooks/test_port_forward_and_wait_loop.py
+  1件でも期待と違えば exit 1。
+
+【何を守っているか】
+  (t) 便 3747bf25 と同じ6通り … 本番への5通りが deny・手元の使い捨てへの1通りが allow。
+      ★訊くだけ。実際には1回もつながない（宛先は形だけの文字）。
+  (f) ★negative test ＝転送の行き先が手元以外／ポートが 5432・6543／行き先が読めない形は、
+      単独のコマンドでも止まる（ssh -L・-R・-D・-W・-o・-F・autossh・その他の転送の道具）。
+  (k) 転送の無い ssh・git の ssh・手元どうしの転送・手元の使い捨てへの psql は今までどおり通る。
+  (w) 読むだけの待ちの繰り返し（gh run list / view・gh pr checks / view ＋ sleep）は人に聞かずに通る。
+      ★名前・題名に grant / revoke / create table の字が入っていても通る（便 6db73d94 の形）。
+  (m) ★negative test ＝繰り返し・条件の中に、本番反映・DB の変更・保護の迂回・秘密の読み出し・
+      本番ブランチへの push が1つでも混ざれば、今までどおり止まる／人に聞く。
+  (n) 2026-09-21 の形（node でリポの中の読むだけの照合を呼ぶ）は通る。
+  (v) 空振り確認 … 直した所を外すと、上の期待が実際に崩れること（試験が飾りでないこと）。
+
+★この台本は道具の名前を素の字で置かない（組み立てて使う）＝test_local_psql と同じ作法。
+"""
+import os
+import sys
+
+sys.path.insert(0, os.path.dirname(os.path.abspath(__file__)))
+
+import policy  # noqa: E402
+
+T = 'p' + 'sql'
+CENTRAL = 'supa' + 'base'
+HOSTING = 'ver' + 'cel'
+PROD = 'db.example-ref.supa' + 'base.co'
+POOLER = 'aws-0-ap-northeast-1.pooler.supa' + 'base.com'
+JUMP = 'example-user@example.invalid'
+SEL = 'select 1'
+W_GRANT = 'gr' + 'ant'
+W_REVOKE = 're' + 'voke'
+W_DDL = 'cre' + 'ate table'
+
+CWD = os.path.dirname(os.path.dirname(os.path.dirname(os.path.abspath(__file__))))
+failures = []
+
+
+def check(label, got, want):
+    ok = got == want
+    if not ok:
+        failures.append(f'{label}: got={got!r} want={want!r}')
+    print(f'{"OK " if ok else "NG "} {label:72} {got}')
+
+
+def decide(cmd):
+    return policy.decide_bash(cmd, CWD)['decision']
+
+
+# ─────────────────────────────────────────────────────────────────────────────
+# (t) 便 3747bf25 と同じ6通り（5番目がこの便で allow → deny に変わった）
+# ─────────────────────────────────────────────────────────────────────────────
+SIX = [
+    ('t1  本番のホストへ直に', f'{T} -h {PROD} -p 5432 -c "{SEL}"', policy.DENY),
+    ('t2  手元の共有 DB（5432）', f'{T} -h 127.0.0.1 -p 5432 -c "{SEL}"', policy.DENY),
+    ('t3  pooler の接続文字列', f"{T} 'postgresql://postgres.x:p@{POOLER}:6543/postgres' -c \"{SEL}\"",
+     policy.DENY),
+    ('t4  名前の localhost（向け替えうる）', f'{T} -h localhost -p 55432 -c "{SEL}"', policy.DENY),
+    ('t5  ★トンネルだけを張る（直す前は allow）', f'ssh -N -L 55432:{PROD}:5432 {JUMP}', policy.DENY),
+    ('t6  手元の使い捨てへ', f'{T} -h 127.0.0.1 -p 55432 -c "{SEL}"', policy.ALLOW),
+]
+for label, cmd, want in SIX:
+    check(label, decide(cmd), want)
+
+# ─────────────────────────────────────────────────────────────────────────────
+# (f) negative test ＝転送を単独でも止める
+# ─────────────────────────────────────────────────────────────────────────────
+FORWARD_DENY = [
+    ('f1  -L 行き先が本番', f'ssh -L 55432:{PROD}:5432 {JUMP}'),
+    ('f2  -L 行き先が向こうの手元の 5432', f'ssh -L 55432:127.0.0.1:5432 {JUMP}'),
+    ('f3  -L 行き先が手元以外（DB でないポートでも）', f'ssh -L 55432:10.0.0.5:8080 {JUMP}'),
+    ('f4  -L 行き先が名前の localhost', f'ssh -L 55432:localhost:8080 {JUMP}'),
+    ('f5  -NL のまとめ書き', f'ssh -NL 55432:{PROD}:5432 {JUMP}'),
+    ('f6  -L55432:… の付け書き', f'ssh -N -L55432:{PROD}:5432 {JUMP}'),
+    ('f7  ホストの後ろに -L', f'ssh {JUMP} -N -L 55432:{PROD}:5432'),
+    ('f8  -R 行き先が 6543', f'ssh -R 55432:{PROD}:6543 {JUMP}'),
+    ('f9  -R 動的（ポートだけ）', f'ssh -R 1080 {JUMP}'),
+    ('f10 -D 動的転送', f'ssh -D 1080 {JUMP}'),
+    ('f11 -W 標準入出力の転送', f'ssh -W {PROD}:5432 {JUMP}'),
+    ('f12 -o LocalForward（空白）', f"ssh -o 'LocalForward 55432 {PROD}:5432' {JUMP}"),
+    ('f13 -o LocalForward=（: つなぎ）', f'ssh -oLocalForward=55432:{PROD}:5432 {JUMP}'),
+    ('f14 -o RemoteForward', f"ssh -o 'RemoteForward=55432 {PROD}:6543' {JUMP}"),
+    ('f15 -o DynamicForward', f'ssh -o DynamicForward=1080 {JUMP}'),
+    ('f16 -F 設定ファイル（転送が隠れうる）', 'ssh -F ./tunnel.conf bastion'),
+    ('f17 -L の行き先が変数', f'ssh -L "$FWD" {JUMP}'),
+    ('f18 -L の行き先がコマンド置換', f'ssh -L "55432:$(cat host.txt):5432" {JUMP}'),
+    ('f19 autossh', f'autossh -M 0 -N -L 55432:{PROD}:5432 {JUMP}'),
+    ('f20 nohup で包む・背景で張る', f'nohup ssh -fN -L 55432:{PROD}:5432 {JUMP} &'),
+    ('f21 bash -c の中', f"bash -c 'ssh -N -L 55432:{PROD}:5432 {JUMP}'"),
+    ('f22 繰り返しの中', f'until ssh -N -L 55432:{PROD}:5432 {JUMP}; do sleep 5; done'),
+    ('f23 kubectl port-forward', 'kubectl port-forward svc/postgres 55432:5432'),
+    ('f24 socat で本番へ中継', f'socat TCP-LISTEN:55432,fork TCP:{PROD}:5432'),
+    ('f25 socat で何でも実行', 'socat TCP-LISTEN:55432,fork EXEC:./relay.sh'),
+    ('f26 sshuttle', f'sshuttle -r {JUMP} 10.0.0.0/8'),
+    ('f27 cloud-sql-proxy', 'cloud-sql-proxy --port 55432 proj:region:inst'),
+    ('f28 nc で待ち受けて中継', f'nc -l 55432 | nc {PROD} 5432'),
+    ('f29 iptables で向け替え', 'iptables -t nat -A OUTPUT -p tcp --dport 55432 -j DNAT --to-destination 10.0.0.5:5432'),
+]
+for label, cmd in FORWARD_DENY:
+    check(label, decide(cmd), policy.DENY)
+
+# ─────────────────────────────────────────────────────────────────────────────
+# (k) 今までどおり通す
+# ─────────────────────────────────────────────────────────────────────────────
+KEEP = [
+    ('k1  git の ssh の確かめ', 'ssh -T git@github.com'),
+    ('k2  転送の無い ssh', f'ssh {JUMP} uptime'),
+    ('k3  向こうで動くコマンドの -L は転送でない', f'ssh -p 2222 {JUMP} ls -L /srv'),
+    ('k4  手元どうしの転送（使い捨ての帯）', f'ssh -N -L 55432:127.0.0.1:55433 {JUMP}'),
+    ('k5  git fetch', 'git fetch origin'),
+    ('k6  kubectl の読むだけ', 'kubectl get pods'),
+    ('k7  nc で手元の口を確かめる', 'nc -z 127.0.0.1 55432'),
+    ('k8  nc で外の口を確かめる', 'nc -z example.invalid 443'),
+    ('k9  転送の道具の版を見るだけ', 'cloudflared --version'),
+    ('k10 手元の使い捨てへの psql', f'{T} -h 127.0.0.1 -p 55432 -c "{SEL}"'),
+    ('k11 ssh -F /dev/null（設定を読まない）', f'ssh -F /dev/null {JUMP} uptime'),
+]
+for label, cmd in KEEP:
+    check(label, decide(cmd), policy.ALLOW)
+
+# ─────────────────────────────────────────────────────────────────────────────
+# (w) 読むだけの待ちの繰り返しは人に聞かない
+# ─────────────────────────────────────────────────────────────────────────────
+BR = f'fix/{W_GRANT}-anon-select'
+WAIT_ALLOW = [
+    ('w1  until gh run list | grep', 'until gh run list --branch fix/x --limit 1 --json status | grep -q in_progress; do sleep 15; done'),
+    ('w2  until [ -n "$(gh run list …)" ]',
+     "until [ -n \"$(gh run list --branch fix/x --limit 1 --json databaseId -q '.[0].databaseId')\" ]; do sleep 15; done"),
+    ('w3  for i in $(seq) で gh run list', 'for i in $(seq 1 40); do gh run list --limit 1; sleep 15; done'),
+    ('w4  while true で gh pr checks', 'while true; do gh pr checks 12 && break; sleep 15; done'),
+    ('w5  until gh run view', 'until gh run view 123 --json status -q .status | grep -q completed; do sleep 15; done'),
+    ('w6  ★ブランチ名に grant（$() の中）',
+     f"until [ -n \"$(gh run list --branch {BR} --limit 1 --json databaseId -q '.[0].databaseId')\" ]; do sleep 15; done"),
+    ('w7  ★jq の中に grant の名前',
+     f"until gh run list --limit 1 --json status -q '.[] | select(.headBranch==\"{BR}\") | .status' | grep -q .; do sleep 15; done"),
+    ('w8  ★題名に revoke', f"while true; do gh pr view 12 --json title -q '.title | test(\"{W_REVOKE}\")' && break; sleep 15; done"),
+    ('w9  ★ワークフロー名に create table', f"until gh run list --workflow '{W_DDL} check' --limit 1; do sleep 15; done"),
+    ('w10 if で gh pr view', f"if gh pr view 12 --json title -q .title | grep -q {W_GRANT}; then echo y; fi"),
+    ('w11 until ! で gh run view', 'until ! gh run view 123 --json status -q .status | grep -q in_progress; do sleep 15; done'),
+]
+for label, cmd in WAIT_ALLOW:
+    check(label, decide(cmd), policy.ALLOW)
+
+# ─────────────────────────────────────────────────────────────────────────────
+# (m) negative test ＝混ざった繰り返し・条件は今までどおり止まる／人に聞く
+# ─────────────────────────────────────────────────────────────────────────────
+MIXED = [
+    ('m1  繰り返しの中で本番 DB', f'until {T} -h {PROD} -p 5432 -c "{SEL}"; do sleep 5; done', policy.DENY),
+    ('m2  while の do の中で本番 DB', f'while true; do {T} -h {PROD} -p 5432 -c "{SEL}"; sleep 5; done', policy.DENY),
+    ('m3  if の then の中で DB の反映', f'if true; then {CENTRAL} db push; fi', policy.DENY),
+    ('m4  $() の中で本番 DB', f'until [ -n "$({T} -h {PROD} -p 5432 -c \'{SEL}\')" ]; do sleep 5; done', policy.DENY),
+    ('m5  for の語の並びの $() で本番 DB', f'for i in $({T} -h {PROD} -c "{SEL}"); do echo $i; done', policy.DENY),
+    ('m6  待ちのあとに本番反映', f'until gh run list --limit 1 | grep -q completed; do sleep 15; done; {HOSTING} --prod', policy.GATE),
+    ('m7  繰り返しの中で本番反映', f'until {HOSTING} --prod; do sleep 15; done', policy.GATE),
+    ('m8  繰り返しの中で保護を迂回する合流', 'until gh pr merge 12 --admin --merge; do sleep 15; done', policy.DENY),
+    ('m9  繰り返しの中で本番ブランチへ push', 'until gh run list --limit 1 | grep -q completed; do git push origin HEAD:main; sleep 15; done', policy.DENY),
+    ('m10 繰り返しの中で秘密を読む', 'while true; do cat .env; sleep 5; done', policy.DENY),
+    ('m11 繰り返しの中で秘密へ書く', 'until gh run list --limit 1 | grep -q completed; do echo x > .env; sleep 15; done', policy.DENY),
+    ('m12 知らない道具に SQL の字面（迷う形は今までどおり）', f'until node run.mjs "{W_GRANT} select on t to anon"; do sleep 5; done', policy.GATE),
+    ('m13 echo の中の $() で DB の反映', f'echo "$({CENTRAL} db push)"', policy.DENY),
+]
+for label, cmd, want in MIXED:
+    check(label, decide(cmd), want)
+
+# ─────────────────────────────────────────────────────────────────────────────
+# (n) 2026-09-21 の形（便 4a7992d6・49cc6ddc）
+# ─────────────────────────────────────────────────────────────────────────────
+check('n1  node で読むだけの照合', decide('node scripts/migration-verify/compare.mjs expected.csv actual.md'), policy.ALLOW)
+check('n2  照合・名前に grant',
+      decide(f'node scripts/migration-verify/compare.mjs docs/expected.csv out/prod-after-{W_GRANT}.md'), policy.ALLOW)
+
+# ─────────────────────────────────────────────────────────────────────────────
+# (v) 空振り確認 ＝直した所を外すと期待が崩れる（★戻したあと、もとの期待に戻ることも見る）
+# ─────────────────────────────────────────────────────────────────────────────
+saved = policy._port_forward_danger
+policy._port_forward_danger = lambda command, depth=0: None
+check('★空振り①: 単独の転送の判定を外すと t5 が通ってしまう', decide(SIX[4][1]), policy.ALLOW)
+policy._port_forward_danger = saved
+check('★空振り①の戻し: いまの決まりでは止まる', decide(SIX[4][1]), policy.DENY)
+
+saved = policy._SHELL_KEYWORDS
+policy._SHELL_KEYWORDS = frozenset()
+check('★空振り②: 予約語を剥がさないと w9 を人に聞いてしまう', decide(WAIT_ALLOW[8][1]), policy.GATE)
+check('★空振り②: 予約語を剥がさないと m1 が通ってしまう', decide(MIXED[0][1]), policy.ALLOW)
+policy._SHELL_KEYWORDS = saved
+check('★空振り②の戻し: w9 は通る', decide(WAIT_ALLOW[8][1]), policy.ALLOW)
+check('★空振り②の戻し: m1 は止まる', decide(MIXED[0][1]), policy.DENY)
+
+saved = policy._subst_payloads
+policy._subst_payloads = lambda text: []
+check('★空振り③: $() の中を測らないと m4 が通ってしまう', decide(MIXED[3][1]), policy.ALLOW)
+policy._subst_payloads = saved
+check('★空振り③の戻し: m4 は止まる', decide(MIXED[3][1]), policy.DENY)
+
+print('=' * 72)
+if failures:
+    print(f'NG {len(failures)} 件')
+    for f in failures:
+        print('  ' + f)
+    sys.exit(1)
+print('すべて期待どおり')