@tyhld/conductor 0.12.110 → 0.12.112

package/dist/autoupdate.js

@@ -310,6 +310,60 @@ const ENTRY_SYNC = [
     //       今までどおり人が設置台本を打つ）。ここで揃えるのは【受け口のファイルだけ】。
     { from: 'scripts/codex/codex-notify.py', dir: 'hooks', to: 'codex-notify.py', exe: true },
 ];
+// ── 番人の同期を、版の入れ替えと同じ時に1回起こす（便 b649d1f8・ADR-012 の穴） ──────
+//   【何が起きていたか（実測 2026-10-06）】
+//     受け口（codex-notify.py）は上の ENTRY_SYNC で【入れ替えと同時】に届くのに、
+//     番人（stop_hook.py など）は update-guard.sh の INSTALL_FILES からしか届かず、
+//     それを流すのは tyhld-guard-sync.timer＝【1時間ごと】。
+//     メインPC が 0.12.110 になった 09:57 から、番人がそろう 10:28:45 までの31分間、
+//     「受け口だけ新しく、番人が古い」半死の状態になった。その穴の中で流れた試験
+//     e13246e8 は、報告の本文が1文字も管制に載らなかった。
+//     ＝★番人を直した版を公開するたび、各PCで最長1時間その直しが効かない。
+//
+//   【なぜ ENTRY_SYNC に足すのではなく、同期を起こすのか（甲ではなく乙を選んだ理由）】
+//     ① 番人は1ファイルで完結しない。stop_hook.py は finish_gate / hook_datalink /
+//        summary_ja を import し、finish_gate.py は report-shape.json を実行時に読む。
+//        ENTRY_SYNC は1ファイルずつ写すので、ここへ stop_hook.py だけを足すと
+//        「入口だけ新しく、判定の本体と形の決まりが古い」というズレた組み合わせを
+//        新しく作ってしまう（＝いま直している穴と同じ種類の事故）。
+//     ② それを避けて番人一式（INSTALL_FILES ＋ INSTALL_CONFIGS）を ENTRY_SYNC へ並べると、
+//        配る物の一覧がリポジトリの中で【2か所】になる。今回の穴は「一覧が2つあって
+//        片方に stop_hook.py が無かった」事そのものなので、3つ目を作るのは根治にならない。
+//     ③ 同期を1回起こせば、配る中身を決めるのは今までどおり update-guard.sh の
+//        INSTALL_FILES だけ（正本は1つ）。番人一式が【同じ版から同時に】置かれるので、
+//        ファイルどうしで版がずれる組み合わせが原理的に作れない。
+//
+//   【番人を置いていないPCへ広がらない理由】
+//     このユニットを置くのは update-guard.sh の ①-f（APPLY=1 のときだけ）＝番人を
+//     設置したPCだけ。つまり【ユニットが在る ⟺ 番人が置いてある】。
+//     下の syncGuardNow は、ユニットの実体が無ければ systemctl を1回も呼ばずに戻る。
+//     ★ここから番人を新しく設置する道は1本も無い（置く中身を1バイトも持っていない）。
+/** 番人のコードと配線を正本へ揃える systemd --user サービス（systemd/tyhld-guard-sync.service）。 */
+export const GUARD_SYNC_UNIT = 'tyhld-guard-sync.service';
+/** そのPCに番人の同期サービスが設置されているか（＝番人が置いてあるPCか）。 */
+export function guardSyncUnitPath(home) {
+    return path.join(home, '.config', 'systemd', 'user', GUARD_SYNC_UNIT);
+}
+/**
+ * 番人の同期を1回起こす。★入れ替えた配布物から番人一式が置き直される。
+ *   戻り: 記録に残す1行（何もしなかった理由まで分かる形にする）。
+ *
+ * ★`--no-block` で頼むだけにする理由: 同期の本体（update-guard.sh）は公開 npm への
+ *   問い合わせを含み、数十秒かかることがある。入れ替えの手を止めて待つと、常駐の
+ *   起こし直しがその分遅れる。頼んだ後は systemd が面倒を見るので、待たなくてよい。
+ * ★失敗しても入れ替えは止めない（今までどおり1時間ごとの同期で追いつく）。
+ */
+export function syncGuardNow(d) {
+    const unit = guardSyncUnitPath(d.home);
+    if (!existsSync(unit))
+        return '番人の同期: このPCには番人が置かれていないので何もしませんでした';
+    const r = d.exec('systemctl', ['--user', 'start', '--no-block', GUARD_SYNC_UNIT], { timeoutMs: 15_000 });
+    if (r.status !== 0) {
+        return `番人の同期: 起こせませんでした（終了 ${r.status}・${(r.error ?? r.stderr).trim().slice(-120)}）`
+            + '。1時間ごとの同期で追いつきます';
+    }
+    return '番人の同期: 起こしました（番人一式が、入れ替えた版から置き直されます）';
+}
 /** 中身が1バイトも違わないか（★同じなら書き換えない＝毎回の入れ替えで日付だけ動かない）。 */
 function sameContent(a, b) {
     try {
@@ -529,6 +583,8 @@ async function rollBack(d, s, back) {
         const r = installConductor(d, back, true);
         d.log(r.detail);
         d.log(describeEntrySync(refreshEntries(d.home, d.distRoot)));
+        // ★戻すときも番人を一緒に戻す（入口だけ古い版、番人だけ新しい版を残さない）。
+        d.log(syncGuardNow(d));
         d.log(await restartRelays(d, back));
     }
     else {
@@ -785,6 +841,8 @@ export async function runUpdater(d) {
             return done(d, s, 'install-failed', r.detail);
         }
         d.log(describeEntrySync(refreshEntries(d.home, d.distRoot)));
+        // ★番人も【この瞬間】そろえる（1時間ごとの同期を待たない＝便 b649d1f8 の穴の根治）。
+        d.log(syncGuardNow(d));
         d.log(await restartRelays(d, want));
     }
     else {

package/dist/relay.js

@@ -661,7 +661,10 @@ export function relinkClosedCodexNotices(cfg, state, deps = {}, env = process.en
             turnId: notice.turnId ?? null,
         });
         logLine(`site=${cfg.site} id=${job.id} 便を閉じたあとに届いた終わりの知らせを、この便の報告として` +
-            `結び直しました（印が一致・閉じてから${Math.round((now - job.at) / 1000)}秒）: ${got.note}` +
+            // ★どの道の知らせで本文が載ったかを記録に出す（便 b649d1f8・決定4。ここは便を閉じる
+            //   道ではないが、知らせが報告になる3つ目の場所なので、記録の読み方をそろえる）。
+            `結び直しました（印が一致・閉じてから${Math.round((now - job.at) / 1000)}秒` +
+            `${codexRouteNote(notice.route)}）: ${got.note}` +
             '／★便の状態は書き換えていません（本文は後から届ける道で管制へ渡します）');
     }
 }
@@ -1424,6 +1427,17 @@ export function codexNotifyDir(env = process.env) {
     const home = (env.HOME ?? '').trim();
     return home ? path.join(home, '.tyhld', 'codex-notify') : '';
 }
+/** 知らせの「道」を記録に出す形にする。分からなければ空（＝今までどおりの行になる）。 */
+export function codexRouteNote(route) {
+    const r = (route ?? '').trim();
+    if (r === '')
+        return '';
+    if (r === 'notify')
+        return '・道=notify（Codex の notify）';
+    if (r === 'stop')
+        return '・道=stop（Codex の Stop フック）';
+    return `・道=${r}`;
+}
 /**
  * 書きかけの行が末尾に在るとき、書き終わるのを待つ長さ。これを過ぎても改行が来なければ
  * 書き手が落ちた残骸とみなし、今までどおり捨てて進む（＝受け皿が詰まらない）。
@@ -1481,6 +1495,7 @@ export function takeCodexNotices(site, env = process.env) {
                     turnId: o.turnId ?? null,
                     jobId: typeof o.jobId === 'string' && o.jobId.trim() !== '' ? o.jobId.trim() : null,
                     at: parseNoticeAt(o.at),
+                    route: typeof o.route === 'string' && o.route.trim() !== '' ? o.route.trim() : null,
                 });
             }
         }
@@ -1578,6 +1593,7 @@ export function takeCodexNoticesForJobId(site, commandId, env = process.env) {
                 turnId: o.turnId ?? null,
                 jobId,
                 at: parseNoticeAt(o.at),
+                route: typeof o.route === 'string' && o.route.trim() !== '' ? o.route.trim() : null,
             });
         }
         else {
@@ -5100,7 +5116,9 @@ export async function keepaliveTick(cfg, state, deps = {}) {
             if (!ok)
                 return; // 書けなければ畳まない（次の周でやり直す。知らせは使い切っている＝囲みは報告ファイルに残る）
             logLine(`site=${cfg.site} id=${ka.id} 見張り終了: 追跡が切れたあとに届いた終わりの知らせで完了を報告` +
-                `（印が一致${intake.wrote ? '・囲みから報告ファイル' : body !== null ? '・報告添付' : ''}）`);
+                `（印が一致${intake.wrote ? '・囲みから報告ファイル' : body !== null ? '・報告添付' : ''}` +
+                // ★どちらの道の知らせで閉じたかを記録に出す（便 b649d1f8・決定4）。
+                `${codexRouteNote(notice.route)}）`);
             await deliverJobEndFacts(cfg, {
                 commandId: ka.id,
                 site: cfg.site,
@@ -5508,7 +5526,9 @@ export async function relayTick(cfg, state, hooks) {
                         : await patchStatus(cfg, state.pending.id, 'done', report);
                     if (written) {
                         log(`site=${cfg.site} id=${state.pending.id} done（Codexの通知` +
-                            `${intake.wrote ? '・囲みから報告ファイル' : report != null ? '・報告添付' : ''}）`);
+                            `${intake.wrote ? '・囲みから報告ファイル' : report != null ? '・報告添付' : ''}` +
+                            // ★どちらの道の知らせで閉じたかを記録に出す（便 b649d1f8・決定4）。
+                            `${codexRouteNote(notice.route)}）`);
                         // ★終了の事実を同じ項目で届ける（便 915694ac・1-3）。この配り方では実プロセスを
                         //   中継が持っていないので、終わりは【つかめていない】と伝える（終了コードは null）。
                         //   届けるのは「中継が完了を確かめた」という事実だけ。★作り話の終了を送らない。

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@tyhld/conductor",
-  "version": "0.12.110",
+  "version": "0.12.112",
   "description": "采配くん管制の見守りアプリ（conductor-agent）。各PCで常駐し、中央(devlog-tracker)へ定期的に生存報告(heartbeat)を送る常駐CLI。",
   "type": "module",
   "bin": {

package/scripts/update-guard.sh

@@ -332,13 +332,38 @@ DIST_STATE="$GUARD_HOME/dist-source.state"   # 最後に【確かめられた】
 DIST_LAST="$GUARD_HOME/dist-source.last"     # 直近の【試み】の結果
 DIST_NOTIFY="$SCRIPT_DIR/hooks/skill_sync_notify.py"
 
+# 入っている版と公開の最新がそろっているか（★控えの1行に残す印）。
+#   none   … 同じ（入っているのが公開の最新）
+#   behind … 違う（段階配布の途中・公開より古い正規の版で動いている）
+#   unknown… どちらかが読めない
+#
+# 【なぜ要るか（実測 2026-10-06・便 b649d1f8）】
+#   メインPC が 0.12.110 へ入れ替わる31分前の同期は、控えに
+#     status=ok reason=verified version=0.12.109 published=0.12.110
+#   と書いていた。★この行は「うまくいった」としか読めないが、実際には
+#   「これから入れ替わる版の一つ前の番人を配った」回だった。版の食い違いは
+#   2つの値を自分で見比べないと分からず、見落とすと「配られたつもり」になる。
+# 【決め】status と reason は1文字も変えない（成否は変えない・止めない）。
+#   ★食い違いは【別の欄】で残す。status=failed にはしない：公開の最新より古い
+#     正規の版で動くのは段階配布では正常で、2026-10-02 にその理由（version-drift）を
+#     「配らない理由」から外したばかり（便 29babc5d）。そこへ戻さない。
+dist_drift() {
+  if [[ -z "${DIST_VERSION:-}" || -z "${DIST_PUBLISHED:-}" ]]; then
+    printf 'unknown'
+  elif [[ "$DIST_VERSION" == "$DIST_PUBLISHED" ]]; then
+    printf 'none'
+  else
+    printf 'behind'
+  fi
+}
+
 # 直近の試みを1行残す。★確かめられたときだけ .state も更新する（成功と偽らない）。
 #   ★確認のみ（APPLY!=1）のときは1バイトも書かない。「見ただけ」で控えが動くと、
 #     控えが「実際に配った記録」でなくなり、外から見て何が起きたのか分からなくなる。
 dist_record() {
   [[ "$APPLY" == "1" ]] || return 0
   local status="$1" reason="$2" line
-  line="$(date '+%Y-%m-%dT%H:%M:%S%z') status=${status} reason=${reason} what=dist-source version=${DIST_VERSION:-unknown} published=${DIST_PUBLISHED:-unknown} root=${DIST_ROOT:-none}"
+  line="$(date '+%Y-%m-%dT%H:%M:%S%z') status=${status} reason=${reason} what=dist-source version=${DIST_VERSION:-unknown} published=${DIST_PUBLISHED:-unknown} drift=$(dist_drift) root=${DIST_ROOT:-none}"
   mkdir -p "$GUARD_HOME" 2>/dev/null || true
   printf '%s\n' "$line" > "$DIST_LAST" 2>/dev/null || true
   if [[ "$status" == "ok" ]]; then
@@ -1174,14 +1199,17 @@ if [[ "$SYNC_ONLY" == "1" ]]; then
 fi
 
 # ─── ④ 各現場の権限ルールを部分マージで更新 ─────────────────────────────────
+# ★実際に書き換えた現場だけを覚えておく（この下の④-b が「コミットが要るリポ」を名指しする）。
+wrote_sites=()
 for proj in "${targets[@]}"; do
   dst="$proj/.claude/settings.json"
   if [[ ! -f "$dst" ]]; then
     warn "  スキップ（settings.json なし）: $proj"
     continue
   fi
+  rc=0
   APPLY="$APPLY" \
-  python3 - "$dst" "$SETTINGS_SRC" "$SAMPLE_SETTINGS" <<'PYEOF'
+  python3 - "$dst" "$SETTINGS_SRC" "$SAMPLE_SETTINGS" <<'PYEOF' || rc=$?
 import json, os, shutil, sys, time
 
 dst_path, src_path, sample_path = sys.argv[1], sys.argv[2], sys.argv[3]
@@ -1423,7 +1451,16 @@ with open(tmp, "w", encoding="utf-8") as f:
     f.write("\n")
 os.replace(tmp, dst_path)  # 置換は原子的＝途中で壊れた settings.json を残さない
 print(f"[update-guard]     更新しました（バックアップ: {backup}）")
+# ★実際に書き換えた回だけ 10 で終わる（呼び元が「コミットが要るリポ」を名指しするため）。
+sys.exit(10)
 PYEOF
+  # 終わり方の読み方: 0＝変更なし／見るだけ、10＝実際に書き換えた、それ以外＝想定外の失敗。
+  # 想定外の失敗では、今までどおり（set -e と同じ）そこで止まる＝黙って先へ進まない。
+  if [[ "$rc" -eq 10 ]]; then
+    wrote_sites+=("$proj")
+  elif [[ "$rc" -ne 0 ]]; then
+    exit "$rc"
+  fi
 done
 
 echo
@@ -1432,3 +1469,36 @@ if [[ "$APPLY" == "1" ]]; then
 else
   info "確認のみで終了しました。適用するには APPLY=1 を付けて再実行してください。"
 fi
+
+# ─── ④-b 書き換えたリポのうち「コミットが要る」物を名指しで知らせる ──────────────
+# 【なぜ要るか（実地 2026-10-06）】④ は現場の .claude/settings.json を「禁止の一覧が強い版」へ
+#   書き換えるが、それを git に入れる所がだれの仕事にもなっていなかった。結果、6つのリポで
+#   強い設定が git に入らないまま放置された（いちばん長い utatane-backend は約2か月半・git の版は
+#   禁止 11 件のまま）。放置のあいだ、ほかのPCとクラウドの作業場には弱い設定が配られ、職人の
+#   合流のたびに誤った「失敗」が出た。＝書き換えた直後に名指しで出し、人が CC1 へ渡せるようにする。
+# 【決め】
+#   ・出すのは「実際に書き換えた回」だけ。変更なしの回・見るだけの回は1行も出さない（表示を変えない）。
+#   ・挙げるのは git が追跡している .claude/settings.json を持つリポだけ。追跡されていない物（?? だけ）は
+#     コミットが要らないので挙げない。
+#   ・確かめは読むだけの git（ls-files）。リポの中身・git の状態を1つも変えない。
+#   ・git が使えない／リポでない置き場は黙って飛ばす（台本を落とさない）。
+# ★最後に出すのは、人の目に最後まで残るため（この下に別の行を足さない）。
+if [[ ${#wrote_sites[@]} -gt 0 ]]; then
+  needs_commit=()
+  for proj in "${wrote_sites[@]}"; do
+    # 読むだけ。リポでない置き場・git が無い機では非ゼロで返るので、黙って外れる。
+    if git -C "$proj" ls-files --error-unmatch -- .claude/settings.json >/dev/null 2>&1; then
+      needs_commit+=("$proj")
+    fi
+  done
+  if [[ ${#needs_commit[@]} -gt 0 ]]; then
+    echo
+    info "★コミットが要るリポがあります（git が追跡している .claude/settings.json を書き換えました）"
+    for proj in "${needs_commit[@]}"; do
+      info "   - $(basename "$proj")  （$proj）"
+    done
+    info "   この変更は戻さない（番人の禁止の一覧が強くなった知らせ）。そのリポの職人の便でコミットする。"
+    info "   git checkout で戻すと守りが弱くなる。"
+    info "   → この一覧を CC1 に伝えてください（コミットの便を出してもらいます）。"
+  fi
+fi

package/skills/conductor-craftsman/SKILL.md

@@ -121,6 +121,7 @@ description: 采配くんの便（プロンプト末尾に CONDUCTOR_JOB:<id>
     - **電話は自由。** 外への通信（npm / GitHub / API / ドキュメント取得など）は許可済みなので、`Network request outside of sandbox` は出ない。**通信のために止まらない・人を待たない**。最後まで自走して完了まで行く。
     - **金庫は禁止。** 秘密の持ち出し（`curl -d @.env` / `cp .env` / `tar ~/.ssh` / `base64 .env` / `echo $DATABASE_URL` など）は**番人が今までどおり止める**。通信が自由になったこととは**別の仕組み**なので、「通信が許可されたから秘密も送れる」は成り立たない。本番DB・secret・`.env`・`hooks`・`.tyhld`・`.ssh` への書き込み禁止もそのまま。
     - **それでも塞がれたら回避しない。** `curl: (56) CONNECT tunnel failed, response 403` のように通信が塞がれたときは、**意図的に閉じてある接続先**（例: 本番DBへの直結）か、設定がその機体にまだ届いていないかのどちらか。**別経路を探さず、そこで止めて報告する**（人の手番＝`APPLY=1 bash scripts/update-guard.sh` → 職人を再起動）。
+    - ★**この1行（`APPLY=1 bash scripts/update-guard.sh`）を人が流したあとに `★コミットが要るリポがあります` の一覧が出たら、その一覧を CC1 に伝える**（コミットの便を出してもらう）。出た変更は戻さない（`git checkout` で戻すと守りが弱くなる）。
 13. **使い捨てファイルはリポジトリの中に作らない（えふさん決定 2026-09-03／えふさん確定 2026-10-02・判断6 で後片付けの形を改めた）**
     - **実機検品・検証用の使い捨てファイル（HTML・画像・ログ等）は、リポジトリの中に作らない。`/tmp/claude-1000/` に置く。**
     - **リポジトリの中（直下を含む）に作ってしまったときの後片付け（えふさん確定 2026-10-02・判断6）。自分で作った物に限り、`-f` を付けない `rm -r` と実在のパスの名指しで消し、消した物を報告に書く。**