@tyhld/conductor 0.12.105 → 0.12.107

package/dist/relay.js

@@ -1959,6 +1959,73 @@ export function countStandaloneDone(text, site) {
             n += 1;
     return n;
 }
+// ───────────────────────────────────────────────────────────────────────────
+// 終わりの印が【行の中】に描かれても拾う（★Codex だけ・便 0029ef4d）
+//
+// 【何が起きたか（実物 2026-10-05 夜・便 cd7d9ea8・配り役 0.12.101）】
+//   Codex は 23:33 に返事を終え、入力待ち（`› Ask Codex to do anything`）に戻っていた。
+//   ところが返事の本文が表（マークダウンの table）で終わっていたため、Codex の画面は
+//   そのあとの2行まで【表の行として】描いた:
+//       型   =====原文ここまで=====   そのまま使える物   …
+//       型   DONE:codex-probe
+//   既存の判定（isStandaloneDoneLine）は「印と装飾を除いて何も残らない行」だけを完了とみなすので、
+//   行の頭に残った `型` のせいで永久に成立しない。配り役の記録には 178 秒めから
+//   「画面=待機」と出ていたのに、完了は 15 分の上限まで拾えず、報告本文も載らなかった。
+//
+// 【直し方の筋】印の【描かれ方】だけに頼らない。「この行は印で終わっている」＋「職人は入力待ちに
+//   戻っている」の2つで読む。印の【前】に何が付いていてもよく、印の【後ろ】に字が残っていたら拾わない。
+//
+// 【★指示文のこだま（画面に出る指示の写し）を終わりと取り違えない】守りは3重で、1つも緩めない:
+//   ① 印の【後ろ】に字が残る行は拾わない … 配達文の「最終行: DONE:{現場} とだけ出力」は
+//      印の後ろに字が続くので、この1つ目で落ちる。
+//   ② 入力欄に写った行（行頭が Codex のカーソル `›`）・アンカーを含む行は拾わない。
+//      貼った本文の写しは必ずこの形で描かれる（実測）。
+//   ③ 床（配った時点の数）より増えたときだけ完了とみなす … 端末の折り返しがたまたま印の直後で
+//      切れて①②をすり抜けても、配った直後の周で床に取り込まれるので完了にならない。
+// ───────────────────────────────────────────────────────────────────────────
+/**
+ * 印の【後ろ】に残っていても「字が無い」とみなす飾り。
+ *   既存の単独行の判定（isStandaloneDoneLine）の飾りに、表・区切りの罫線と Codex のカーソルを足す。
+ *   ★既存の判定そのものは1文字も変えない（Claude の道を動かさないため）。
+ */
+const TRAILING_DONE_DECOR_RE = /[│|>›⏺●○•*·─━┃┆┊╎—–\s]/g;
+/**
+ * 1行が「`DONE:{site}` で終わっている行」か（★印の前に何が付いていてもよい）。
+ *   - 印より後ろに、飾りと空白以外が1字も残っていないこと。
+ *   - 行頭が Codex のカーソル（`›`）の行＝入力欄に写った指示文は拾わない。
+ *   - アンカー（`CONDUCTOR_JOB`）を含む行＝貼った本文の写しは拾わない。
+ */
+export function isTrailingDoneLine(line, marker) {
+    const at = line.lastIndexOf(marker);
+    if (at < 0)
+        return false;
+    if (line.slice(at + marker.length).replace(TRAILING_DONE_DECOR_RE, '').length > 0)
+        return false;
+    const head = line.trim();
+    if (head.startsWith(CODEX_MENU_CURSOR))
+        return false;
+    if (line.includes(SEND_ANCHOR_PREFIX))
+        return false;
+    return true;
+}
+/** テキスト中に「`DONE:{site}` で終わる行」が1つでもあるか。 */
+export function hasTrailingDone(text, site) {
+    const marker = `DONE:${site}`;
+    return text
+        .replace(/\r/g, '')
+        .split('\n')
+        .some((line) => isTrailingDoneLine(line, marker));
+}
+/** テキスト中の「`DONE:{site}` で終わる行」の数（★床の基準に使う）。 */
+export function countTrailingDone(text, site) {
+    const marker = `DONE:${site}`;
+    const lines = text.replace(/\r/g, '').split('\n');
+    let n = 0;
+    for (const line of lines)
+        if (isTrailingDoneLine(line, marker))
+            n += 1;
+    return n;
+}
 /**
  * 追跡中（pending）の便について、画面から完了の合図を読む（★I/Oなし＝単体テスト可能）。
  *
@@ -1984,6 +2051,25 @@ export function scanDoneForPending(cap, site, anchor, opts) {
         return { done: true, floor: opts.doneFloor };
     return { done: false, floor: Math.min(opts.doneFloor, seen) };
 }
+/**
+ * 「職人は入力待ちに戻っている」ときだけ、行の中に描かれた終わりの印を読む（★I/Oなし）。
+ *
+ * ★上の scanDoneForPending（今までの道）は1バイトも変えない。これは【それが空振りしたときだけ】
+ *   足す2本目の道で、Codex の便で `idle:true` の周にしか効かない。
+ *   - `idle:false`（まだ手を動かしている・Claude の現場）… 何も読まない・床も動かさない。
+ *   - 床が在る … 配った時点の数より増えたときだけ完了。増えていなければ観測した数まで床を下げる。
+ *   - 床が無い（孤児の復元など）… 今までの単独行の判定と同じ危険度で、1本でも在れば完了。
+ */
+export function scanTrailingDoneForPending(cap, site, opts) {
+    if (!opts.idle)
+        return { done: false, floor: opts.floor };
+    if (opts.floor === null)
+        return { done: hasTrailingDone(cap, site), floor: null };
+    const seen = countTrailingDone(cap, site);
+    if (seen > opts.floor)
+        return { done: true, floor: opts.floor };
+    return { done: false, floor: Math.min(opts.floor, seen) };
+}
 /**
  * アンカー基準の完了判定（根治の中核）。
  *   「アンカーより下の領域」に DONE:{site} 単独行があれば完了とみなす。
@@ -4289,6 +4375,71 @@ export async function sendHeartbeat(cfg, id, busy = false, liveness) {
         log(`site=${cfg.site} id=${id} heartbeat -> 失敗: ${err instanceof Error ? err.message : String(err)}（縮退で安全）`);
     }
 }
+// ───────────────────────────────────────────────────────────────────────────
+// 「職人は入力待ちに戻っているが、終わりの印が見つからない」を管制へ知らせる（便 0029ef4d）
+//
+// 【なぜ要るか（実物 2026-10-05 夜・便 cd7d9ea8）】配り役の記録には 178 秒めから
+//   「完了待ち（画面=待機）」と出ていた。＝配り役は「職人の手は止まっている」と分かっていたのに、
+//   その事実は手元の記録にしか残らず、管制には何も届かなかった。管制の画面では
+//   「返事待ち（15分）→ 確認しています（30分）→ 回収必要」と時間だけが進み、人が Codex の画面を
+//   見るまで誰も気づけなかった。
+//
+// 【どの口を使うか（★管制のリポは触らない）】既にある出来事の口
+//   `POST /api/conductor/commands/{id}/events`（画面なし方式の職人が進捗を送っている口）へ、
+//   既にある種類 `progress` で1行送るだけ。★便の状態は1文字も書かない（完了にしない・
+//   `lastSeenAt` も動かさない＝管制の時間切れの働きを遅らせない）。
+// ───────────────────────────────────────────────────────────────────────────
+/** 「入力待ちなのに印が無い」を管制へ知らせるまでの待ち（★短すぎると普通の間（ま）で鳴る）。 */
+export const RELAY_IDLE_NO_DONE_NOTICE_MS = 5 * 60 * 1000;
+/**
+ * この周で「入力待ちなのに終わりの印が無い」を管制へ知らせるかを決める純粋関数。
+ *
+ * ★1便に1回だけ（told）。★Codex の現場だけ（Claude は画面なし方式＝終わりを実プロセスで掴める）。
+ * ★印が見つかった周・まだ手を動かしている周では鳴らさない（idleNoDoneSince が null に戻る）。
+ */
+export function decideIdleNoDoneNotice(args) {
+    if (args.kind !== 'codex')
+        return false;
+    if (args.told)
+        return false;
+    if (!args.idle || args.doneSeen)
+        return false;
+    if (args.idleNoDoneSince === null)
+        return false;
+    return args.now - args.idleNoDoneSince >= RELAY_IDLE_NO_DONE_NOTICE_MS;
+}
+/** 管制へ知らせる1行の本文（★純粋関数・秘密は1文字も入れない）。 */
+export function idleNoDoneNoticeText(site, idleSeconds) {
+    return (`職人（Codex）は入力待ちに戻っていますが、終わりの印（DONE:${site}）が画面に見つかりません` +
+        `（入力待ちになってから約${Math.max(0, Math.round(idleSeconds))}秒）。` +
+        '返事を書き終えているのに印の書き方が違う／印が表の行として描かれた、のどちらかの可能性があります。');
+}
+/**
+ * 管制の出来事の口へ1行送る（★最善努力。失敗は握りつぶしてログだけ）。
+ *   便の状態は書かない・報告も送らない＝この呼び出しで便が完了になることは無い。
+ */
+export async function sendCommandNotice(cfg, commandId, text, opts = {}) {
+    const doFetch = opts.fetchImpl ?? fetch;
+    const logLine = opts.logLine ?? log;
+    const at = new Date(opts.now?.() ?? Date.now()).toISOString();
+    try {
+        const res = await doFetch(`${cfg.url}/api/conductor/commands/${encodeURIComponent(commandId)}/events`, {
+            method: 'POST',
+            headers: { Authorization: `Bearer ${cfg.token}`, 'Content-Type': 'application/json' },
+            body: JSON.stringify({ events: [{ type: 'progress', text, at, attempt: 1 }] }),
+            signal: AbortSignal.timeout(RELAY_FETCH_TIMEOUT_MS),
+        });
+        if (res.ok)
+            return true;
+        logLine(`site=${cfg.site} id=${commandId} 気づきの知らせ -> HTTP ${res.status}（送れなくても作業は止めません）`);
+        return false;
+    }
+    catch (err) {
+        logLine(`site=${cfg.site} id=${commandId} 気づきの知らせ -> 失敗: ` +
+            `${err instanceof Error ? err.message : String(err)}（送れなくても作業は止めません）`);
+        return false;
+    }
+}
 /** 便の終わりの関門の種類（控えの数え方の見出し。★`finish_gate.py` の GATE_KINDS と同じ語）。 */
 export const FINISH_GATE_KINDS = ['report', 'pr', 'background'];
 /** 届けられなかった「終了の事実」の置き場。 */
@@ -4520,6 +4671,8 @@ export function startKeepalive(state, pending, now) {
         lastHeartbeatAt: null,
         lastCentralProbeAt: null,
         screenDoneUsable: true,
+        // ★2本目の物差しの床を引き継ぐ（★引き継がないと、履歴に残る前の便の印を拾いかねない）。
+        ...(pending.doneFloorLoose != null ? { doneFloorLoose: pending.doneFloorLoose } : {}),
     };
     return true;
 }
@@ -4637,12 +4790,26 @@ export async function keepaliveTick(cfg, state, deps = {}) {
     //   生存通知の可否(alive)は従来どおり busy ∪ メニュー＝1文字も変えない。
     const kaBusySignal = cap !== null && hasBusySignalFor(cap, kindOf(cfg));
     const kaMenu = cap !== null && hasChoiceMenuFor(cap, kindOf(cfg));
+    const kaIdle = cap !== null && looksIdleFor(cap, kindOf(cfg));
+    // ★見張りでも、今までの道（単独行）が空振りしたら2本目の道を見る（便 0029ef4d）。
+    //   Codex の便で入力待ちの周だけ・引き継いだ床より増えたときだけ＝守りは1つも緩めない。
+    const kaTrailingScan = ka.screenDoneUsable && below !== null && kindOf(cfg) === 'codex'
+        ? scanTrailingDoneForPending(below, ka.site, {
+            idle: kaIdle,
+            floor: ka.doneFloorLoose ?? null,
+        })
+        : null;
+    // ★床は下がるだけ（古い印の行が履歴から流れたぶんだけ下げる＝あとで出た合図を取りこぼさない）。
+    if (kaTrailingScan !== null && ka.doneFloorLoose != null && kaTrailingScan.floor !== ka.doneFloorLoose) {
+        ka.doneFloorLoose = kaTrailingScan.floor;
+    }
+    const kaTrailingDone = kaTrailingScan?.done === true;
     const action = decideKeepalive({
         expired,
         capOk: cap !== null,
-        doneSeen: ka.screenDoneUsable && below !== null && hasStandaloneDone(below, ka.site),
+        doneSeen: (ka.screenDoneUsable && below !== null && hasStandaloneDone(below, ka.site)) || kaTrailingDone,
         alive: cap !== null && (kaBusySignal || kaMenu),
-        idle: cap !== null && looksIdleFor(cap, kindOf(cfg)),
+        idle: kaIdle,
         throttleOk: ka.lastHeartbeatAt === null || now - ka.lastHeartbeatAt >= RELAY_HEARTBEAT_INTERVAL_MS,
         // ★中央への答え合わせのしぼり。生存通知と同じ150秒（RELAY_HEARTBEAT_INTERVAL_MS）。
         centralProbeOk: ka.lastCentralProbeAt === null || now - ka.lastCentralProbeAt >= RELAY_HEARTBEAT_INTERVAL_MS,
@@ -4702,6 +4869,8 @@ export async function keepaliveTick(cfg, state, deps = {}) {
             if (report !== null)
                 markReportProcessed(ka.id); // ★消さずに処理済みへ（二度送らない）
             logLine(`site=${cfg.site} id=${ka.id} 見張り終了: 画面のDONEを検出し完了を報告` +
+                // ★どちらの物差しで拾ったかを残す（便 0029ef4d・あとで原因を追えるように）。
+                `${kaTrailingDone ? '（印は行の中に描かれていました）' : ''}` +
                 `${report != null ? '（報告添付）' : kaDelivery.phase === 'none' ? '' : `（${kaDelivery.note}）`}`);
             // ★終わったら必ず手を下ろす（挙げっぱなしにすると現場が長くふさがる）。
             noteBusyEdge(state, cfg.site, ka.id, false, logLine);
@@ -4979,6 +5148,8 @@ export async function relayTick(cfg, state, hooks) {
             if (state.pending.doneFloor != null && state.pending.doneFloorSettled !== true) {
                 // 配達のエコーを含んだ数も床に取り込む（PendingEntry.doneFloorSettled の説明）。
                 state.pending.doneFloor = Math.max(state.pending.doneFloor, countStandaloneDone(cap, cfg.site));
+                // ★2本目の物差し（行の中に描かれた印）の床も、同じ周に決め終える（PendingEntry.doneFloorLoose）。
+                state.pending.doneFloorLoose = Math.max(state.pending.doneFloorLoose ?? 0, countTrailingDone(cap, cfg.site));
                 state.pending.doneFloorSettled = true;
             }
             const scan = scanDoneForPending(cap, cfg.site, state.pending.anchor, {
@@ -4988,7 +5159,48 @@ export async function relayTick(cfg, state, hooks) {
             if (state.pending.doneFloor != null && scan.floor !== state.pending.doneFloor) {
                 state.pending.doneFloor = scan.floor;
             }
-            if (scan.done) {
+            // ★今までの道が空振りしたときだけ、2本目の道を見る（便 0029ef4d）。
+            //   「職人は入力待ちに戻っている」＋「この行は印で終わっている」の2つで読むので、
+            //   印が表の行として描かれても（行の頭に別の字が付いても）拾える。
+            //   ★Codex の便で入力待ちの周にしか効かない＝Claude の現場は1バイトも変わらない。
+            const idle = looksIdleFor(cap, kindOf(cfg));
+            const looseScan = scanTrailingDoneForPending(cap, cfg.site, {
+                idle: kindOf(cfg) === 'codex' && idle && !scan.done,
+                floor: state.pending.doneFloorLoose ?? null,
+            });
+            if (state.pending.doneFloorLoose != null && looseScan.floor !== state.pending.doneFloorLoose) {
+                state.pending.doneFloorLoose = looseScan.floor;
+            }
+            if (looseScan.done && !scan.done) {
+                log(`site=${cfg.site} id=${state.pending.id} 終わりの印を【行の中】で見つけました` +
+                    '（職人は入力待ちに戻っています・印が表の行として描かれた形）');
+            }
+            // ── 「入力待ちなのに印が見つからない」を管制へ1回だけ知らせる（便 0029ef4d） ──
+            //   ★便の状態は書かない（完了にしない）。知らせるだけ。
+            const doneSeenNow = scan.done || looseScan.done;
+            if (!idle || doneSeenNow) {
+                state.pending.idleNoDoneSince = null;
+            }
+            else if (state.pending.idleNoDoneSince == null) {
+                state.pending.idleNoDoneSince = Date.now();
+            }
+            if (decideIdleNoDoneNotice({
+                kind: kindOf(cfg),
+                idle,
+                doneSeen: doneSeenNow,
+                idleNoDoneSince: state.pending.idleNoDoneSince ?? null,
+                now: Date.now(),
+                told: state.pending.idleNoDoneTold === true,
+            })) {
+                state.pending.idleNoDoneTold = true;
+                const idleSec = (Date.now() - (state.pending.idleNoDoneSince ?? Date.now())) / 1000;
+                const text = idleNoDoneNoticeText(cfg.site, idleSec);
+                log(`WARN site=${cfg.site} id=${state.pending.id} ${text}`);
+                await sendCommandNotice(cfg, state.pending.id, text, { logLine: log });
+                if (state.pending === null)
+                    return; // 念のため（送信中に追跡が畳まれた場合）
+            }
+            if (doneSeenNow) {
                 // ★報告は画面から読まない。職人が書いたファイルを読む（relayReportDirs / readReport）。
                 //   画面を読む方式は窓が 16〜34 行しかなく、9/5 以降 162 回すべて失敗していた（調査 d1d16a56）。
                 // ★「届いた」は形まで見る（便 461be339）。整っていなければ理由も一緒に届ける。
@@ -5035,7 +5247,7 @@ export async function relayTick(cfg, state, hooks) {
             //     ・それ以外の周      … 150秒（RELAY_HEARTBEAT_INTERVAL_MS・生存通知と同じ時計）に1回
             //   ＝HTTP の増分は1指示あたり最大で150秒に1回。画面の読み取りが外れても、中央で終わった便は
             //     必ず150秒以内の周で追跡解除され、次の便が配られる。
-            const idle = looksIdleFor(cap, kindOf(cfg));
+            // ★画面の待機の読み（idle）は、上の完了検出の手前で1回だけ測って使い回す（値は同じ・純粋関数）。
             const probeBase = state.pending.lastStatusProbeAt ?? state.pending.sentAt;
             const probeDue = Date.now() - probeBase >= RELAY_HEARTBEAT_INTERVAL_MS;
             const askedCentral = state.pending.sentMarked && (idle || probeDue);
@@ -5396,7 +5608,14 @@ export async function relayTick(cfg, state, hooks) {
             delivered: true,
             sentMarked: false,
             screenDoneWide: codexFloor !== null,
-            ...(codexFloor !== null ? { doneFloor: codexFloor, doneFloorSettled: false } : {}),
+            ...(codexFloor !== null
+                ? {
+                    doneFloor: codexFloor,
+                    // ★2本目の物差し（行の中に描かれた印）の床も、同じ画面から数えて覚える（便 0029ef4d）。
+                    doneFloorLoose: countTrailingDone(guardCap, cfg.site),
+                    doneFloorSettled: false,
+                }
+                : {}),
             ...(useAck ? { markAs: 'delivering' } : {}),
         };
         // 累計配達回数を通算（絶対上限 RELAY_DELIVER_MAX の基準）。

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@tyhld/conductor",
-  "version": "0.12.105",
+  "version": "0.12.107",
   "description": "采配くん管制の見守りアプリ（conductor-agent）。各PCで常駐し、中央(devlog-tracker)へ定期的に生存報告(heartbeat)を送る常駐CLI。",
   "type": "module",
   "bin": {

package/scripts/hooks/policy.py

@@ -618,7 +618,9 @@ def verb_of(tokens):
     i = 0
     while i < len(tokens):
         t = tokens[i]
-        if _ASSIGN_RE.match(t):
+        # ★文の頭の予約語（do / then / until …）も剥がす（便 afb46a15・_tool_words と同じ根）。
+        #   剥がさないと `while true; do cat .env; done` の動詞が do になり、秘密の読み出しが素通りした。
+        if _ASSIGN_RE.match(t) or t in _SHELL_KEYWORDS:
             i += 1
             continue
         base = t.split('/')[-1]
@@ -1392,7 +1394,11 @@ def _tool_words(tokens):
     i = 0
     while i < len(tokens):
         t = tokens[i]
-        if _ASSIGN_RE.match(t):
+        # ★文の頭の予約語（until / while / do / if / then / ! …）も剥がす（便 afb46a15）。
+        #   剥がさないと `until gh run list …` の道具が until と読まれ、文字を扱うだけの gh が
+        #   SQL の字面検査へ落ちて人に聞いていた。逆に `until psql -h 本番 …` や
+        #   `if true; then supabase db push; fi` は道具が見えず素通りしていた（両方この1か所が根）。
+        if _ASSIGN_RE.match(t) or t in _SHELL_KEYWORDS:
             i += 1
             continue
         base = t.split('/')[-1]
@@ -1881,7 +1887,7 @@ _PG_ENV_INDIRECT = (
 _TUNNEL_TOOLS = frozenset({
     'ssh', 'autossh', 'sshuttle', 'socat', 'ncat', 'nc', 'netcat', 'chisel',
     'ngrok', 'cloudflared', 'stunnel', 'pgbouncer', 'kubectl', 'oc',
-    'cloud-sql-proxy', 'cloud_sql_proxy', 'wstunnel', 'frpc', 'iptables', 'nft',
+    'cloud-sql-proxy', 'cloud_sql_proxy', 'wstunnel', 'frpc', 'iptables', 'ip6tables', 'nft',
 })
 
 
@@ -2023,6 +2029,248 @@ def _tunneled_db_danger(command: str) -> str:
     return None
 
 
+# ─────────────────────────────────────────────────────────────────────────────
+# ★ポート転送を【単独のコマンドでも】止める（便 afb46a15・便 3747bf25 の報告の根治）
+#
+# 【なぜ要るか（実測 2026-10-05・番人 0.12.101）】上の _tunneled_db_danger は「転送と SQL クライアントが
+#   同じコマンドに在る」形しか見ていなかった。`ssh -N -L 55432:<本番>:5432 …` を先に張り、別の
+#   コマンドで `psql -h 127.0.0.1 -p 55432` を打つと、どちらも単独では allow で、番人の層だけでは
+#   本番へ届く道が残っていた（6通りのうち5番目だけが allow）。
+# 【どう止めるか】転送の行き先を読み、次のどれかなら deny。
+#   ・行き先が手元の数字の宛先（127.0.0.1・::1）でない（★名前は許さない＝psql の決まりと同じ）
+#   ・行き先のポートが DB の番号（5432・6543）
+#   ・行き先が読めない（変数・コマンド置換・設定ファイル -F・動的転送 -D・道具の設定に隠れる形）
+# 【変えないこと】転送の無い ssh（`ssh -T git@github.com`・git の ssh）・手元の使い捨てへの psql。
+# ─────────────────────────────────────────────────────────────────────────────
+
+#: 転送の行き先として止めるポート（Postgres の既定・Supabase の pooler）。
+_DB_FORWARD_PORTS = frozenset({'5432', '6543'})
+
+#: ssh の、値を1つ取る短い旗（`-NL 55432:…` のようなまとめ書きを読むため）。
+_SSH_ARG_FLAGS = frozenset('BbcDEeFIiJLlmOopQRSWw')
+
+#: 転送そのものが役目で、行き先が設定・外のサービスに隠れる道具（版・使い方の表示だけは通す）。
+_TUNNEL_ONLY_TOOLS = frozenset({
+    'sshuttle', 'chisel', 'ngrok', 'cloudflared', 'stunnel', 'pgbouncer',
+    'cloud-sql-proxy', 'cloud_sql_proxy', 'wstunnel', 'frpc',
+})
+_INFO_ONLY_ARGS = frozenset({'--version', '-v', '-V', 'version', '--help', '-h', 'help'})
+
+#: socat の、つなぎに行く側の宛先の種類。
+_SOCAT_CONNECT_TYPES = frozenset({
+    'tcp', 'tcp4', 'tcp6', 'tcp-connect', 'tcp4-connect', 'tcp6-connect', 'openssl',
+    'openssl-connect', 'ssl', 'proxy', 'proxy-connect', 'socks', 'socks4', 'socks4a', 'socks5',
+    'udp', 'udp4', 'udp6', 'udp-connect', 'udp4-connect', 'udp6-connect', 'sctp', 'sctp-connect',
+})
+#: socat の、何でも実行できる宛先（行き先が読めない＝止める）。
+_SOCAT_EXEC_TYPES = frozenset({'exec', 'system', 'shell'})
+
+
+def _split_host_parts(spec: str):
+    """`a:[::1]:5432` を ['a', '[::1]', '5432'] に割る（角括弧の中の : では割らない）。"""
+    parts, cur, depth = [], [], 0
+    for c in spec:
+        if c == '[':
+            depth += 1
+        elif c == ']':
+            depth -= 1
+        if c == ':' and depth == 0:
+            parts.append(''.join(cur))
+            cur = []
+            continue
+        cur.append(c)
+    parts.append(''.join(cur))
+    return parts
+
+
+def _forward_dest_risk(host: str, port: str, what: str):
+    """転送の行き先（ホスト・ポート）を測る。止めるなら理由、通すなら None。"""
+    host = _strip_quotes(host or '')
+    port = _strip_quotes(port or '')
+    if not host or not port or '$' in host + port or '`' in host + port:
+        return f'{what}: 行き先が読めない'
+    if port in _DB_FORWARD_PORTS:
+        return f'{what}: 行き先が DB のポート ({port})'
+    if host not in _LOCAL_HOST_LITERALS:
+        return f'{what}: 行き先が手元でない ({host})'
+    if not port.isdigit():
+        return f'{what}: 行き先のポートが読めない ({port})'
+    return None
+
+
+def _ssh_forward_spec_risk(flag: str, spec: str):
+    """-L / -R / -W の値を測る。"""
+    spec = _strip_quotes(spec or '')
+    if not spec or '$' in spec or '`' in spec:
+        return f'ssh {flag}: 行き先が読めない'
+    if flag == '-W':
+        parts = _split_host_parts(spec)
+        if len(parts) != 2:
+            return f'ssh {flag}: 行き先が読めない'
+        return _forward_dest_risk(parts[0], parts[1], f'ssh {flag}')
+    parts = _split_host_parts(spec)
+    if len(parts) >= 3:
+        return _forward_dest_risk(parts[-2], parts[-1], f'ssh {flag}')
+    # `-L 55432:/var/run/…sock`（向こうのソケットへ）・`-R 1080`（向こうでの動的転送）は行き先が読めない。
+    return f'ssh {flag}: 行き先が読めない'
+
+
+def _ssh_option_risk(opt: str):
+    """-o の値（`LocalForward=…`・`LocalForward 55432 db:5432`）を測る。"""
+    opt = _strip_quotes(opt or '')
+    if '$' in opt or '`' in opt:
+        return 'ssh -o: 設定が読めない'
+    m = re.match(r'\s*([A-Za-z]+)\s*(?:=\s*|\s+)(.*)$', opt)
+    if not m:
+        return None
+    key, value = m.group(1).lower(), m.group(2).strip()
+    if key == 'dynamicforward':
+        return 'ssh -o DynamicForward: 行き先が読めない'
+    if key in ('localforward', 'remoteforward'):
+        flag = '-L' if key == 'localforward' else '-R'
+        fields = value.split()
+        if len(fields) == 2:
+            return _ssh_forward_spec_risk(flag, f'{fields[0]}:{fields[1]}')
+        if len(fields) == 1:  # `LocalForward=55432:db:5432` のように : でつないだ形
+            return _ssh_forward_spec_risk(flag, fields[0])
+        return f'ssh -o {m.group(1)}: 行き先が読めない'
+    if key == 'include':
+        return 'ssh -o Include: 設定が読めない'
+    return None
+
+
+def _ssh_forward_risk(args):
+    """ssh / autossh の引数（道具の名前より後ろ）から転送を探して測る。"""
+    i, host_seen = 0, False
+    while i < len(args):
+        a = args[i]
+        if a == '--':
+            break
+        if not a.startswith('-') or a == '-':
+            # ★ssh は宛先のホストの【すぐ後ろ】の旗も読む（`ssh host -L …` も転送になる）。
+            #   ホストのあとに旗でない語が来たら、そこからは向こうで動くコマンド。
+            if host_seen:
+                break
+            host_seen = True
+            i += 1
+            continue
+        if a.startswith('--'):
+            i += 1
+            continue
+        j = 1
+        while j < len(a):
+            c = a[j]
+            if c in _SSH_ARG_FLAGS:
+                value = a[j + 1:]
+                if not value:
+                    i += 1
+                    value = args[i] if i < len(args) else ''
+                flag = '-' + c
+                if c in 'LRW':
+                    hit = _ssh_forward_spec_risk(flag, value)
+                    if hit:
+                        return hit
+                elif c == 'D':
+                    return 'ssh -D: 動的転送は行き先が読めない'
+                elif c == 'o':
+                    hit = _ssh_option_risk(value)
+                    if hit:
+                        return hit
+                elif c == 'F' and _strip_quotes(value) != '/dev/null':
+                    return 'ssh -F: 設定ファイルに転送が隠れうる（行き先が読めない）'
+                break
+            j += 1
+        i += 1
+    return None
+
+
+def _socat_risk(args):
+    for a in args:
+        if a.startswith('-'):
+            continue
+        a = _strip_quotes(a)
+        if '$' in a or '`' in a:
+            return 'socat: 行き先が読めない'
+        kind, _, rest = a.partition(':')
+        kind = kind.lower()
+        rest = rest.split(',', 1)[0]
+        if kind in _SOCAT_EXEC_TYPES:
+            return f'socat {kind}: 行き先が読めない'
+        if kind in _SOCAT_CONNECT_TYPES:
+            parts = _split_host_parts(rest)
+            if len(parts) < 2:
+                return f'socat {kind}: 行き先が読めない'
+            hit = _forward_dest_risk(parts[0], parts[1], f'socat {kind}')
+            if hit:
+                return hit
+        elif kind.endswith('-listen') or kind.endswith('-l'):
+            if rest in _DB_FORWARD_PORTS:
+                return f'socat {kind}: DB のポートで待ち受ける ({rest})'
+    return None
+
+
+def _nc_risk(args):
+    """nc の仲間。★待ち受け（中継に使える形）と DB のポートだけを止める（`nc -z host 443` は変えない）。"""
+    for a in args:
+        low = _strip_quotes(a)
+        if low in ('--listen', '--sh-exec', '--exec', '--lua-exec') \
+                or (low.startswith('-') and not low.startswith('--')
+                    and any(c in low[1:] for c in 'lec')):
+            return 'nc: 待ち受け・中継の形'
+        if low in _DB_FORWARD_PORTS or any(low.endswith(':' + p) for p in _DB_FORWARD_PORTS):
+            return f'nc: 行き先が DB のポート ({low})'
+    return None
+
+
+def _forward_segment_risk(tokens):
+    i, _seen = _unwrap(tokens)
+    if i >= len(tokens):
+        return None
+    tool = tokens[i].split('/')[-1].lower()
+    args = tokens[i + 1:]
+    # ★道具の一覧の正本は _TUNNEL_TOOLS の1か所（同じコマンドに並ぶ形の判定と共用・2つに割らない）。
+    if tool not in _TUNNEL_TOOLS:
+        return None
+    if tool in ('ssh', 'autossh'):
+        if tool == 'autossh':  # autossh 自身の -M <見張りのポート> を外してから ssh として読む
+            args = [a for k, a in enumerate(args)
+                    if a != '-M' and not (k > 0 and args[k - 1] == '-M')]
+        hit = _ssh_forward_risk(args)
+        return f'{tool} の転送 — {hit}' if hit else None
+    if tool in ('kubectl', 'oc') and 'port-forward' in [a.lower() for a in args]:
+        return f'{tool} port-forward（行き先が手元でない）'
+    if tool in _TUNNEL_ONLY_TOOLS:
+        if args and all(a in _INFO_ONLY_ARGS for a in args):
+            return None
+        return f'{tool}（転送の道具・行き先が読めない）'
+    if tool == 'socat':
+        return _socat_risk(args)
+    if tool in ('nc', 'ncat', 'netcat'):
+        return _nc_risk(args)
+    if tool in ('iptables', 'ip6tables', 'nft'):
+        low = ' '.join(args).lower()
+        if any(w in low for w in ('dnat', 'redirect', '--to-destination', '--to-ports', 'masquerade')):
+            return f'{tool}（通信の向け替え）'
+    return None
+
+
+def _port_forward_danger(command: str, depth: int = 0):
+    """コマンドの中のポート転送を、単独でも測る。止めるなら理由。"""
+    for seg in split_commands(command, bodies=False):
+        hit = _forward_segment_risk(tokens_of(seg))
+        if hit:
+            return f'本番へ届きうるポート転送 ({hit})'
+    if depth < _UNWRAP_MAX_DEPTH:
+        inners = [inner for kind, _r2, inner in _inner_payloads(command) if kind == 'shell']
+        inners += _subst_payloads(command)
+        for inner in inners:
+            if inner and inner.strip():
+                hit = _port_forward_danger(inner, depth + 1)
+                if hit:
+                    return hit
+    return None
+
+
 def _prod_db_change(seg, tokens):
     """1セグメントが本番 DB を直接変える道具なら理由を返す。"""
     words = _tool_words(tokens)
@@ -2053,6 +2301,12 @@ def _prod_db_change_scan(command: str, depth: int = 0):
                 hit = _prod_db_change_scan(inner, depth + 1)
                 if hit:
                     return f'{hit} (inside {runner})'
+        # ★コマンド置換の中身（`[ -n "$(psql …)" ]` の形・便 afb46a15）も同じ物差しで測る。
+        for inner in _subst_payloads(command):
+            if inner and inner.strip():
+                hit = _prod_db_change_scan(inner, depth + 1)
+                if hit:
+                    return f'{hit} (inside $())'
     return None
 
 
@@ -3544,15 +3798,27 @@ def _shell_payloads(head_tokens, body):
     return out
 
 
+#: 繰り返し・条件の頭に立つが、自分では何も実行しない語（`[ … ]`・`for x in …`・`sleep 15`）。
+#   ★中の `$(…)` は _gate_one が別のコマンドとして測るので、ここを通しても中身は見逃さない。
+_NO_EXEC_HEADS = frozenset({'[', '[[', 'for', 'case', 'select', 'sleep', ':', 'break', 'continue'})
+
+
 def _gate_one(segment: str, depth: int):
     """本物の1コマンドの関門。返り (種別, 理由) / None。"""
     head, _, body = segment.partition('\n')
     toks = tokens_of(head)
+    # ★コマンド置換・プロセス置換の中身（`$(…)`・`` `…` ``・`<(…)`）は、それ自体が1つのコマンド。
+    #   同じ物差しで測る（便 afb46a15）。外側が文字を扱うだけの道具でも、中身は実行されるため。
+    if depth < _UNWRAP_MAX_DEPTH:
+        for inner in _subst_payloads(head):
+            hit = _gate_command(inner, depth + 1)
+            if hit:
+                return hit
     words = _tool_words(toks)
     if not words:
         return None
     v = words[0]
-    if v in _SQL_TEXT_ONLY_VERBS:
+    if v in _SQL_TEXT_ONLY_VERBS or v in _NO_EXEC_HEADS:
         return None  # 文字を扱うだけ。引数・本文に何が書かれていても実行されない。
     if v in _SHELL_RUNNERS:
         if depth >= _UNWRAP_MAX_DEPTH:
@@ -3932,6 +4198,10 @@ def decide_bash(command: str, cwd=None):
 
     # ---- 1d') 手元に見せかけた回り道での DB 実行（トンネル・ポート転送・便 ee34f7e5） ----
     hit = _tunneled_db_danger(command)
+    if hit:
+        return _r(DENY, f'danger: {hit}')
+    # ---- 1d'') ポート転送を単独でも（便 afb46a15・張ってから別のコマンドで psql を打つ形） ----
+    hit = _port_forward_danger(command)
     if hit:
         return _r(DENY, f'danger: {hit}')
 

package/scripts/hooks/test_port_forward_and_wait_loop.py

@@ -0,0 +1,206 @@
+#!/usr/bin/env python3
+"""ポート転送を単独でも止める決まりと、読むだけの待ちの繰り返しを人に聞かない決まりの検査（便 afb46a15）。
+
+  実行: python3 scripts/hooks/test_port_forward_and_wait_loop.py
+  1件でも期待と違えば exit 1。
+
+【何を守っているか】
+  (t) 便 3747bf25 と同じ6通り … 本番への5通りが deny・手元の使い捨てへの1通りが allow。
+      ★訊くだけ。実際には1回もつながない（宛先は形だけの文字）。
+  (f) ★negative test ＝転送の行き先が手元以外／ポートが 5432・6543／行き先が読めない形は、
+      単独のコマンドでも止まる（ssh -L・-R・-D・-W・-o・-F・autossh・その他の転送の道具）。
+  (k) 転送の無い ssh・git の ssh・手元どうしの転送・手元の使い捨てへの psql は今までどおり通る。
+  (w) 読むだけの待ちの繰り返し（gh run list / view・gh pr checks / view ＋ sleep）は人に聞かずに通る。
+      ★名前・題名に grant / revoke / create table の字が入っていても通る（便 6db73d94 の形）。
+  (m) ★negative test ＝繰り返し・条件の中に、本番反映・DB の変更・保護の迂回・秘密の読み出し・
+      本番ブランチへの push が1つでも混ざれば、今までどおり止まる／人に聞く。
+  (n) 2026-09-21 の形（node でリポの中の読むだけの照合を呼ぶ）は通る。
+  (v) 空振り確認 … 直した所を外すと、上の期待が実際に崩れること（試験が飾りでないこと）。
+
+★この台本は道具の名前を素の字で置かない（組み立てて使う）＝test_local_psql と同じ作法。
+"""
+import os
+import sys
+
+sys.path.insert(0, os.path.dirname(os.path.abspath(__file__)))
+
+import policy  # noqa: E402
+
+T = 'p' + 'sql'
+CENTRAL = 'supa' + 'base'
+HOSTING = 'ver' + 'cel'
+PROD = 'db.example-ref.supa' + 'base.co'
+POOLER = 'aws-0-ap-northeast-1.pooler.supa' + 'base.com'
+JUMP = 'example-user@example.invalid'
+SEL = 'select 1'
+W_GRANT = 'gr' + 'ant'
+W_REVOKE = 're' + 'voke'
+W_DDL = 'cre' + 'ate table'
+
+CWD = os.path.dirname(os.path.dirname(os.path.dirname(os.path.abspath(__file__))))
+failures = []
+
+
+def check(label, got, want):
+    ok = got == want
+    if not ok:
+        failures.append(f'{label}: got={got!r} want={want!r}')
+    print(f'{"OK " if ok else "NG "} {label:72} {got}')
+
+
+def decide(cmd):
+    return policy.decide_bash(cmd, CWD)['decision']
+
+
+# ─────────────────────────────────────────────────────────────────────────────
+# (t) 便 3747bf25 と同じ6通り（5番目がこの便で allow → deny に変わった）
+# ─────────────────────────────────────────────────────────────────────────────
+SIX = [
+    ('t1  本番のホストへ直に', f'{T} -h {PROD} -p 5432 -c "{SEL}"', policy.DENY),
+    ('t2  手元の共有 DB（5432）', f'{T} -h 127.0.0.1 -p 5432 -c "{SEL}"', policy.DENY),
+    ('t3  pooler の接続文字列', f"{T} 'postgresql://postgres.x:p@{POOLER}:6543/postgres' -c \"{SEL}\"",
+     policy.DENY),
+    ('t4  名前の localhost（向け替えうる）', f'{T} -h localhost -p 55432 -c "{SEL}"', policy.DENY),
+    ('t5  ★トンネルだけを張る（直す前は allow）', f'ssh -N -L 55432:{PROD}:5432 {JUMP}', policy.DENY),
+    ('t6  手元の使い捨てへ', f'{T} -h 127.0.0.1 -p 55432 -c "{SEL}"', policy.ALLOW),
+]
+for label, cmd, want in SIX:
+    check(label, decide(cmd), want)
+
+# ─────────────────────────────────────────────────────────────────────────────
+# (f) negative test ＝転送を単独でも止める
+# ─────────────────────────────────────────────────────────────────────────────
+FORWARD_DENY = [
+    ('f1  -L 行き先が本番', f'ssh -L 55432:{PROD}:5432 {JUMP}'),
+    ('f2  -L 行き先が向こうの手元の 5432', f'ssh -L 55432:127.0.0.1:5432 {JUMP}'),
+    ('f3  -L 行き先が手元以外（DB でないポートでも）', f'ssh -L 55432:10.0.0.5:8080 {JUMP}'),
+    ('f4  -L 行き先が名前の localhost', f'ssh -L 55432:localhost:8080 {JUMP}'),
+    ('f5  -NL のまとめ書き', f'ssh -NL 55432:{PROD}:5432 {JUMP}'),
+    ('f6  -L55432:… の付け書き', f'ssh -N -L55432:{PROD}:5432 {JUMP}'),
+    ('f7  ホストの後ろに -L', f'ssh {JUMP} -N -L 55432:{PROD}:5432'),
+    ('f8  -R 行き先が 6543', f'ssh -R 55432:{PROD}:6543 {JUMP}'),
+    ('f9  -R 動的（ポートだけ）', f'ssh -R 1080 {JUMP}'),
+    ('f10 -D 動的転送', f'ssh -D 1080 {JUMP}'),
+    ('f11 -W 標準入出力の転送', f'ssh -W {PROD}:5432 {JUMP}'),
+    ('f12 -o LocalForward（空白）', f"ssh -o 'LocalForward 55432 {PROD}:5432' {JUMP}"),
+    ('f13 -o LocalForward=（: つなぎ）', f'ssh -oLocalForward=55432:{PROD}:5432 {JUMP}'),
+    ('f14 -o RemoteForward', f"ssh -o 'RemoteForward=55432 {PROD}:6543' {JUMP}"),
+    ('f15 -o DynamicForward', f'ssh -o DynamicForward=1080 {JUMP}'),
+    ('f16 -F 設定ファイル（転送が隠れうる）', 'ssh -F ./tunnel.conf bastion'),
+    ('f17 -L の行き先が変数', f'ssh -L "$FWD" {JUMP}'),
+    ('f18 -L の行き先がコマンド置換', f'ssh -L "55432:$(cat host.txt):5432" {JUMP}'),
+    ('f19 autossh', f'autossh -M 0 -N -L 55432:{PROD}:5432 {JUMP}'),
+    ('f20 nohup で包む・背景で張る', f'nohup ssh -fN -L 55432:{PROD}:5432 {JUMP} &'),
+    ('f21 bash -c の中', f"bash -c 'ssh -N -L 55432:{PROD}:5432 {JUMP}'"),
+    ('f22 繰り返しの中', f'until ssh -N -L 55432:{PROD}:5432 {JUMP}; do sleep 5; done'),
+    ('f23 kubectl port-forward', 'kubectl port-forward svc/postgres 55432:5432'),
+    ('f24 socat で本番へ中継', f'socat TCP-LISTEN:55432,fork TCP:{PROD}:5432'),
+    ('f25 socat で何でも実行', 'socat TCP-LISTEN:55432,fork EXEC:./relay.sh'),
+    ('f26 sshuttle', f'sshuttle -r {JUMP} 10.0.0.0/8'),
+    ('f27 cloud-sql-proxy', 'cloud-sql-proxy --port 55432 proj:region:inst'),
+    ('f28 nc で待ち受けて中継', f'nc -l 55432 | nc {PROD} 5432'),
+    ('f29 iptables で向け替え', 'iptables -t nat -A OUTPUT -p tcp --dport 55432 -j DNAT --to-destination 10.0.0.5:5432'),
+]
+for label, cmd in FORWARD_DENY:
+    check(label, decide(cmd), policy.DENY)
+
+# ─────────────────────────────────────────────────────────────────────────────
+# (k) 今までどおり通す
+# ─────────────────────────────────────────────────────────────────────────────
+KEEP = [
+    ('k1  git の ssh の確かめ', 'ssh -T git@github.com'),
+    ('k2  転送の無い ssh', f'ssh {JUMP} uptime'),
+    ('k3  向こうで動くコマンドの -L は転送でない', f'ssh -p 2222 {JUMP} ls -L /srv'),
+    ('k4  手元どうしの転送（使い捨ての帯）', f'ssh -N -L 55432:127.0.0.1:55433 {JUMP}'),
+    ('k5  git fetch', 'git fetch origin'),
+    ('k6  kubectl の読むだけ', 'kubectl get pods'),
+    ('k7  nc で手元の口を確かめる', 'nc -z 127.0.0.1 55432'),
+    ('k8  nc で外の口を確かめる', 'nc -z example.invalid 443'),
+    ('k9  転送の道具の版を見るだけ', 'cloudflared --version'),
+    ('k10 手元の使い捨てへの psql', f'{T} -h 127.0.0.1 -p 55432 -c "{SEL}"'),
+    ('k11 ssh -F /dev/null（設定を読まない）', f'ssh -F /dev/null {JUMP} uptime'),
+]
+for label, cmd in KEEP:
+    check(label, decide(cmd), policy.ALLOW)
+
+# ─────────────────────────────────────────────────────────────────────────────
+# (w) 読むだけの待ちの繰り返しは人に聞かない
+# ─────────────────────────────────────────────────────────────────────────────
+BR = f'fix/{W_GRANT}-anon-select'
+WAIT_ALLOW = [
+    ('w1  until gh run list | grep', 'until gh run list --branch fix/x --limit 1 --json status | grep -q in_progress; do sleep 15; done'),
+    ('w2  until [ -n "$(gh run list …)" ]',
+     "until [ -n \"$(gh run list --branch fix/x --limit 1 --json databaseId -q '.[0].databaseId')\" ]; do sleep 15; done"),
+    ('w3  for i in $(seq) で gh run list', 'for i in $(seq 1 40); do gh run list --limit 1; sleep 15; done'),
+    ('w4  while true で gh pr checks', 'while true; do gh pr checks 12 && break; sleep 15; done'),
+    ('w5  until gh run view', 'until gh run view 123 --json status -q .status | grep -q completed; do sleep 15; done'),
+    ('w6  ★ブランチ名に grant（$() の中）',
+     f"until [ -n \"$(gh run list --branch {BR} --limit 1 --json databaseId -q '.[0].databaseId')\" ]; do sleep 15; done"),
+    ('w7  ★jq の中に grant の名前',
+     f"until gh run list --limit 1 --json status -q '.[] | select(.headBranch==\"{BR}\") | .status' | grep -q .; do sleep 15; done"),
+    ('w8  ★題名に revoke', f"while true; do gh pr view 12 --json title -q '.title | test(\"{W_REVOKE}\")' && break; sleep 15; done"),
+    ('w9  ★ワークフロー名に create table', f"until gh run list --workflow '{W_DDL} check' --limit 1; do sleep 15; done"),
+    ('w10 if で gh pr view', f"if gh pr view 12 --json title -q .title | grep -q {W_GRANT}; then echo y; fi"),
+    ('w11 until ! で gh run view', 'until ! gh run view 123 --json status -q .status | grep -q in_progress; do sleep 15; done'),
+]
+for label, cmd in WAIT_ALLOW:
+    check(label, decide(cmd), policy.ALLOW)
+
+# ─────────────────────────────────────────────────────────────────────────────
+# (m) negative test ＝混ざった繰り返し・条件は今までどおり止まる／人に聞く
+# ─────────────────────────────────────────────────────────────────────────────
+MIXED = [
+    ('m1  繰り返しの中で本番 DB', f'until {T} -h {PROD} -p 5432 -c "{SEL}"; do sleep 5; done', policy.DENY),
+    ('m2  while の do の中で本番 DB', f'while true; do {T} -h {PROD} -p 5432 -c "{SEL}"; sleep 5; done', policy.DENY),
+    ('m3  if の then の中で DB の反映', f'if true; then {CENTRAL} db push; fi', policy.DENY),
+    ('m4  $() の中で本番 DB', f'until [ -n "$({T} -h {PROD} -p 5432 -c \'{SEL}\')" ]; do sleep 5; done', policy.DENY),
+    ('m5  for の語の並びの $() で本番 DB', f'for i in $({T} -h {PROD} -c "{SEL}"); do echo $i; done', policy.DENY),
+    ('m6  待ちのあとに本番反映', f'until gh run list --limit 1 | grep -q completed; do sleep 15; done; {HOSTING} --prod', policy.GATE),
+    ('m7  繰り返しの中で本番反映', f'until {HOSTING} --prod; do sleep 15; done', policy.GATE),
+    ('m8  繰り返しの中で保護を迂回する合流', 'until gh pr merge 12 --admin --merge; do sleep 15; done', policy.DENY),
+    ('m9  繰り返しの中で本番ブランチへ push', 'until gh run list --limit 1 | grep -q completed; do git push origin HEAD:main; sleep 15; done', policy.DENY),
+    ('m10 繰り返しの中で秘密を読む', 'while true; do cat .env; sleep 5; done', policy.DENY),
+    ('m11 繰り返しの中で秘密へ書く', 'until gh run list --limit 1 | grep -q completed; do echo x > .env; sleep 15; done', policy.DENY),
+    ('m12 知らない道具に SQL の字面（迷う形は今までどおり）', f'until node run.mjs "{W_GRANT} select on t to anon"; do sleep 5; done', policy.GATE),
+    ('m13 echo の中の $() で DB の反映', f'echo "$({CENTRAL} db push)"', policy.DENY),
+]
+for label, cmd, want in MIXED:
+    check(label, decide(cmd), want)
+
+# ─────────────────────────────────────────────────────────────────────────────
+# (n) 2026-09-21 の形（便 4a7992d6・49cc6ddc）
+# ─────────────────────────────────────────────────────────────────────────────
+check('n1  node で読むだけの照合', decide('node scripts/migration-verify/compare.mjs expected.csv actual.md'), policy.ALLOW)
+check('n2  照合・名前に grant',
+      decide(f'node scripts/migration-verify/compare.mjs docs/expected.csv out/prod-after-{W_GRANT}.md'), policy.ALLOW)
+
+# ─────────────────────────────────────────────────────────────────────────────
+# (v) 空振り確認 ＝直した所を外すと期待が崩れる（★戻したあと、もとの期待に戻ることも見る）
+# ─────────────────────────────────────────────────────────────────────────────
+saved = policy._port_forward_danger
+policy._port_forward_danger = lambda command, depth=0: None
+check('★空振り①: 単独の転送の判定を外すと t5 が通ってしまう', decide(SIX[4][1]), policy.ALLOW)
+policy._port_forward_danger = saved
+check('★空振り①の戻し: いまの決まりでは止まる', decide(SIX[4][1]), policy.DENY)
+
+saved = policy._SHELL_KEYWORDS
+policy._SHELL_KEYWORDS = frozenset()
+check('★空振り②: 予約語を剥がさないと w9 を人に聞いてしまう', decide(WAIT_ALLOW[8][1]), policy.GATE)
+check('★空振り②: 予約語を剥がさないと m1 が通ってしまう', decide(MIXED[0][1]), policy.ALLOW)
+policy._SHELL_KEYWORDS = saved
+check('★空振り②の戻し: w9 は通る', decide(WAIT_ALLOW[8][1]), policy.ALLOW)
+check('★空振り②の戻し: m1 は止まる', decide(MIXED[0][1]), policy.DENY)
+
+saved = policy._subst_payloads
+policy._subst_payloads = lambda text: []
+check('★空振り③: $() の中を測らないと m4 が通ってしまう', decide(MIXED[3][1]), policy.ALLOW)
+policy._subst_payloads = saved
+check('★空振り③の戻し: m4 は止まる', decide(MIXED[3][1]), policy.DENY)
+
+print('=' * 72)
+if failures:
+    print(f'NG {len(failures)} 件')
+    for f in failures:
+        print('  ' + f)
+    sys.exit(1)
+print('すべて期待どおり')