@tyhld/conductor 0.12.111 → 0.12.113

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@tyhld/conductor",
-  "version": "0.12.111",
+  "version": "0.12.113",
   "description": "采配くん管制の見守りアプリ（conductor-agent）。各PCで常駐し、中央(devlog-tracker)へ定期的に生存報告(heartbeat)を送る常駐CLI。",
   "type": "module",
   "bin": {

package/sales-template/settings.json

@@ -2,6 +2,7 @@
   "_note": "采配くん販売用テンプレート — プロジェクトの .claude/settings.json に配置する。<PLACEHOLDER> を顧客環境に合わせて差し替えること。差し替え箇所は README.md の「プレースホルダ一覧」を参照。",
   "_note_guard": "★段2（2026-07-23）: 許可/確認の判定は番人（~/.tyhld/hooks の cc2_guard.py ほか3フック）が持つようになった。既定は allow（危険と関門だけを番人が deny/ask 相当で止め、それ以外は自走）。そのため settings 側の allow・ask 列挙は不要になり、空にしてある。番人フックはこのファイルではなく顧客PCの ~/.claude/settings.json に1本だけ登録する（setup.sh ⑤）。この現場ファイルには権限ルール（deny）と現場固有の sandbox だけを置く。",
   "_note_deny": "★deny は番人の allow 既定より常に先に効く（Claude Code の評価順 deny→ask→allow）。ここに残す床（.env/.ssh/鍵/.tyhld/settings.json/hooks と Supabase 書込3種など）は allow を空にしても当然そのまま優先される。deny は消さない。",
+  "_note_force_push": "★強い上書きの push の禁止は【旗の位置ごとに1行ずつ】要る（便 e619bd86・実地は便 6e8d85e6）。この一覧は公式の仕様どおり「語の並びの当てはめ」でしか測れないので、旗が動詞の直後に来る形（末尾 :* の3件）・旗が末尾ぴったりの形（* の3件）・旗の後ろにまだ語が続く形（* … * の3件）を、それぞれ書かないと閉まらない。実地（便 6e8d85e6 の 2-A）で、末尾ぴったりの形は「後ろに語が続く形」の規則では当たらず、中間の位置と後ろに別の旗が付く形は「末尾ぴったりの規則」では当たらないことを確かめたので、両方を持つ。★`*` と `:*` を混ぜた書き方は `*` がリテラルになり何も止めないので足さない（便 07ee11a2・退役済み）。★この一覧では閉められない形（部分命令の前に場所や設定を指す旗を挟む形・先頭が + の参照指定を引用符で囲う形）は、番人（policy.py の _force_push_token_danger）が語の並びに直してから止める＝二層で守る。",
   "_note_read": "★Read(…) の禁止は【二重の守りの外側】（便 93b2fa03・えふさん確定 2026-09-16）。秘密の読み取りを本当に判定しているのは番人（~/.tyhld/hooks の policy.py の secret_reason）で、そちらは Read だけでなく NotebookRead・Grep・Glob・MCP・file:// まで同じ境界で止める。この一覧は【番人が外された機体でも Read だけは止まる】ための保険なので、番人より粗い。粗さの実害は1つだけ: Read(**/*.env) は example.env のような前置きの雛形まで止める（.env.example は止まらない）。番人の方は雛形を通すので、番人が入っている機体では今までどおり雛形を読める。 ★2026-09-16（便 3a3771b1）に「名前だけの規則」を1本外し、場所で名指しする規則に替えた。外したのは credentials という名前だけの Read 規則で、依存の部品（node_modules）の中の同じ名前のフォルダまで止め、現場の build と差分確認を落としていた（実測2件・11リポジトリ中）。本物の置き場（.aws / .gcloud / .config/gcloud / .azure / .ssh / .gnupg）は場所で名指しして守っているので、止める範囲は1つも減っていない。★この一覧の書き方（glob）では「依存の部品の中だけ除く」が書けない。名前が同じでも中身が違う、という判断は場所と管理主体を見ないとできず、glob は場所のパターンしか書けないため。だから外側のこの一覧は【場所】だけで名指しし、名前だけでは言い切れない物の可否は番人（policy.py の (4)）が「機械が入れた部品の中か」を git の事実で確かめて決める。 ★2026-09-17（便 336e74e5＝D1 方式D 第一便）に、遅くて安全性に寄与しない `**/` の Read 禁止を24件 退役した（実測：ホーム由来17本で本物のツリーの囲い起動が約7秒・広い鍵/認証で約3秒遅くなる。 D1b 重大発見1）。退役の内訳＝(1) ホーム由来の `**/`（.ssh・.aws・.gnupg・.config/gcloud・.azure・.netrc・.pypirc・id_rsa* ほか・.tyhld・.config/gh/hosts.yml）＝`**/` は作業場所の中だけに当たり home には当たらない（仕様）ので、home は ~/ 絶対パスの規則で守る。(2) 広い鍵・認証の `**/`（*.pem・*.key・credentials.json・auth.json・*login.json・*.env）＝依存の部品（node_modules）を大量に歩いて遅く、番人（policy.py の secret_reason）が同じ名前を form A で止めるので重複（依存の中の credentials.json は番人が許すので通常開発も壊れない）。(3) .npmrc＝中身は ${NPM_TOKEN} の参照だけで秘密の実値は無い。囲いで /dev/null 化すると @tyhld の取り寄せが壊れる（重大発見3）。残した `**/`＝リポの中の .env 系（.env・.env.local・.env.development・.env.production・.env.test・.env.vercel・.env.*.local）＝台本経由（form B）の持ち出しを囲いの OS 層で止めるのに要る。★退役した規則は update-guard が各現場からも外す（正本が配った物だけ・顧客が足した規則は消さない）。",
   "_note_home_secret": "★ホーム配下（リポの外）の秘密の置き場は【場所で1つずつ名指し】する（えふさん確定 2026-09-17・便 230c3175＝D2）。~/ で始まる規則はホームからの場所、**/ で始まる規則は作業場所（リポ）の中だけに当たる（Claude Code 仕様）。★$HOME/** や ~/*token* のような広い書き方はしない。理由は2つ: (1) 通常の作業（npm・gh・git・build）が要るホームのファイルまで止める。(2) サンドボックスはこの一覧を OS の読み取り禁止に写すが、ホームに * を含む書き方は起動が 7〜18 秒遅くなるか、効かない（実測: ~/*/.env.local 17.5秒・~/.env* 8.5秒で効かず・~/*token* 15.7秒で効かず。場所を名指しした形は 0.25〜0.32 秒で効く）。★わざと禁止しない置き場（通常の作業に要る・中身の取り出しは番人が別に止める）: ~/.npmrc（npm install が読む。npm config get の _auth 表示は番人が止める）、~/.config/gh/hosts.yml（gh と git push が読む。gh auth token・git credential fill は番人が止める）、~/.claude/session-env（Claude Code 自身が読む）、~/.bashrc・~/.profile（シェルが読む。中に秘密を置かないのが本筋）、~/.android/debug.keystore（開発用の署名）。★機体ごとに名前が違う置き場（ホーム直下の token・secret の名前のファイル、ホーム直下に残ったリポの写しの .env など）は、配る一覧では名指しできない。番人（policy.py の _home_secret_reason）が名前で止めるほか、必要なら機体の ~/.claude/settings.json に場所を足す。★フォルダごとの持ち出し（cp -r・rsync・tar・ln -s・コマンドに書いたプログラムでの複製）は番人が、写す元の中に秘密が在るかを名前だけで調べて止める。【限界】台本のファイルの中で写す形と、名前を書かずに読む子プロセスは、サンドボックスの無い現場では番人でも止まらない（OS の層が要る）。",
   "_note_network": "★外への通信は全部通す（allowedDomains: [\"*\"]・えふさん決定 2026-09-03＝甲）。販売版もお客さま機で自走するのが既定（2026-08-23 決定）。理由: サンドボックスの通信許可の問いは管制の3ボタンでは押せず（Claude Code 2.1.258 本体の作り・実測 2026-09-03）、端末に人が居ないと職人が止まったままになるため。★緩むのは『電話をかける』だけ。『金庫を持ち出す』（秘密の持ち出し）を止めるのは番人 cc2_guard.py の別判定で、通信設定とは独立に効き続ける。★下の deniedDomains は allowedDomains より先に判定されるので、本番DBへの直結禁止は \"*\" を入れても効いたまま（実測で確認）。この行を消すと本番DBが開くので消さないこと。",
@@ -17,6 +18,9 @@
       "Bash(git push * --force)",
       "Bash(git push * -f)",
       "Bash(git push * --force-with-lease)",
+      "Bash(git push * --force *)",
+      "Bash(git push * -f *)",
+      "Bash(git push * --force-with-lease *)",
       "Bash(git push * +*)",
       "Bash(rm -rf:*)",
       "Bash(rm -fr:*)",

package/scripts/hooks/policy.py

@@ -1555,6 +1555,131 @@ def _main_push_danger(tokens, cwd):
     return None
 
 
+# ─────────────────────────────────────────────────────────────────────────────
+# 強い上書きの push を【語（トークン）】で見る（DENY・便 e619bd86）
+#
+# 【なぜ要るか（実地 便 6e8d85e6）】
+#   強い上書きの判定は、長いあいだ「`git` と `push` が隣り合っている字面」だけを見ていた
+#   （_danger_patterns の1行）。そのため部分命令の前に何かを挟むと当たらず、作り物の遠隔に
+#   対して実際に強制上書きが成立した（6形）。
+#     ・場所を指す旗・設定を足す旗・履歴の置き場を指す旗を挟む形（5形）
+#     ・先頭が + の参照指定を引用符で囲う形（1形）
+#   配る禁止の一覧（現場の .claude/settings.json）も、公式の仕様どおり「頭の語の並び」で
+#   当てるので、同じ形を1つも止めていなかった。
+#
+# 【どう見るか】殻（シェル）の決まりで語に分け、引用符を外した【語の並び】で測る。
+#   ① git の全体オプション（場所を指す物・設定を足す物・履歴や作業木の置き場を指す物など。
+#      値を「=」で付ける形と、次の語で渡す形の両方）を読み飛ばして部分命令を取り出す。
+#   ② 部分命令が push のときだけ、強い上書きの印を【位置を問わずに】探す。
+#      ・長い形（--force / --force-with-lease / --force-if-includes。--no-… は印でない）
+#      ・短い形（-f。-fu のようにまとめて書いた形も。値を取る旗の値は読まない）
+#      ・先頭が + の参照指定（引用符は語に分けた時点で外れる）
+#   ③ 語に分けられない行（引用符が閉じていない等）で git と push の語が見えていれば、
+#      中身を確かめられないので安全側（止める）に倒す。
+#   ★つなぎ（; && || |）・入れ子（$( ) ・` `）・包み（殻に渡す文字列・env や時間制限）・
+#     変数の展開には、_bypass_scan に相乗りすることで同じ判定が届く（番人のいつもの流儀）。
+#   ★いまの字面の判定（_danger_patterns）は残す。どちらかに当たれば止める＝止まる形は1つも減らない。
+# ─────────────────────────────────────────────────────────────────────────────
+
+#: git の全体オプションのうち、値を【次の語】で受け取る物（「=」で付ける形は1語で済む）。
+_GIT_GLOBAL_VALUE_FLAGS = frozenset({
+    '-C', '-c', '--git-dir', '--work-tree', '--namespace', '--super-prefix',
+})
+
+#: push の旗のうち、値を【次の語】で受け取る物（値が `-f` でも旗と読み違えないため）。
+_PUSH_VALUE_FLAGS = frozenset({
+    '--repo', '-o', '--push-option', '--receive-pack', '--exec',
+})
+
+#: 短い旗をまとめて書いた形で、後ろの文字を値として飲む文字（`-o値`）。
+_PUSH_SHORT_VALUE_CHARS = 'o'
+
+
+def _git_subcommand(args):
+    """git の後ろの語から全体オプションを読み飛ばし、(部分命令, その後ろの語) を返す。"""
+    rest = list(args)
+    while rest and rest[0].startswith('-') and rest[0] != '--':
+        flag = rest.pop(0)
+        if '=' in flag:
+            continue
+        if flag in _GIT_GLOBAL_VALUE_FLAGS and rest:
+            rest.pop(0)
+    if not rest:
+        return None, []
+    return rest[0], rest[1:]
+
+
+def _push_force_mark(push_args):
+    """push の後ろの語に、強い上書きの印が在れば その語 を返す（位置は問わない）。"""
+    i = 0
+    only_refs = False
+    while i < len(push_args):
+        t = push_args[i]
+        if t == '--':
+            only_refs = True          # ★以後は位置の語（参照指定）だけ
+            i += 1
+            continue
+        name = t.split('=', 1)[0]
+        if not only_refs and name in _PUSH_VALUE_FLAGS:
+            i += 2 if '=' not in t else 1
+            continue
+        if not only_refs and t.startswith('--'):
+            if name.startswith('--force'):
+                return t
+            i += 1
+            continue
+        if not only_refs and t.startswith('-') and len(t) > 1:
+            for ch in t[1:]:
+                if ch == 'f':
+                    return t
+                if ch in _PUSH_SHORT_VALUE_CHARS:
+                    break                # ★旗にくっつけた値は読まない（`-o値` の f を拾わない）
+            i += 1
+            continue
+        if t.startswith('+'):
+            return t
+        i += 1
+    return None
+
+
+def _word_head(token: str) -> str:
+    """語から道具の名前を取り出す（道筋・入れ子の始まり・引用符の切れ端を外す）。
+
+    ★`$(git` ・`` `git `` ・`"git` のように入れ子の始まりがくっついた語も、同じ名前として読む。
+    """
+    return token.split('/')[-1].strip('`"\'').lstrip('$({').rstrip(')}')
+
+
+def _force_push_token_danger(tokens):
+    """語の並びで見る強い上書きの push。危険なら理由を返す。"""
+    for i, t in enumerate(tokens):
+        if _word_head(t) != 'git':
+            continue
+        sub, rest = _git_subcommand(tokens[i + 1:])
+        if sub is None or _word_head(sub) != 'push':
+            continue
+        mark = _push_force_mark(rest)
+        if mark:
+            return f'force push ({mark})'
+    return None
+
+
+def _unparsable_push_danger(command: str):
+    """語に分けられない行（引用符が閉じていない等）で git と push が見えていれば止める。
+
+    ★本物の区切り（引用符の中では割らない）で見る＝ふつうの行の引用符の中に区切りが在るだけの
+      コマンドを、壊れた行と読み違えない。
+    """
+    for seg in split_commands(command, bodies=False):
+        try:
+            shlex.split(seg, comments=False, posix=True)
+        except ValueError:
+            names = {_word_head(t) for t in seg.split()}
+            if 'git' in names and 'push' in names:
+                return 'force push (語に分けられない行＝安全側に倒す)'
+    return None
+
+
 # GitHub の API の道筋（書き込み）。
 _API_MERGE_RE = re.compile(r'(^|/)pulls/[^/]+/merge/?$')
 _API_PROTECTION_RE = re.compile(
@@ -1758,6 +1883,10 @@ _SKIP_PERMISSION_FLAGS = frozenset({
 
 def _bypass_segment_danger(seg, tokens, cwd, command):
     """1セグメントの抜け道（main 直 push 以外）。"""
+    # ★強い上書きの push は、道具の語が読めなくても（包みの中でも）語の並びで見る（便 e619bd86）。
+    hit = _force_push_token_danger(tokens)
+    if hit:
+        return hit
     words = _tool_words(tokens)
     if not words:
         return None
@@ -1811,6 +1940,9 @@ def _bypass_scan(command: str, cwd=None):
     ★機械的な区切りで1回、本物の区切り（本文なし）でもう1回測る（便 2.5）。複数行の引用符の
       中に書いた GraphQL の本文などを、ひとかたまりのまま読むため。止める側は減らない。
     """
+    hit = _unparsable_push_danger(command)
+    if hit:
+        return hit
     for segs in (split_segments(command), split_commands(command, bodies=False)):
         here = cwd
         for seg in segs:

package/scripts/hooks/test_force_push_tokens.py

@@ -0,0 +1,193 @@
+#!/usr/bin/env python3
+"""強い上書きの push を【語（トークン）】で見る判定の試験（便 e619bd86）。
+
+  実行: python3 scripts/hooks/test_force_push_tokens.py
+  1件でも期待と違えば exit 1。
+
+【なぜ要るか（実地 便 6e8d85e6）】
+  判定が「`git` と `push` が隣り合っている字面」だけを見ていたため、部分命令の前に何かを挟む
+  5形と、先頭が + の参照指定を引用符で囲う1形が、禁止の一覧でも番人でも止まらず、
+  作り物の遠隔に対して強制上書きが【実際に成立】した。語の並びで見る判定を足して閉じる。
+
+【ここで固定すること】
+  (1) 素通りだった6形が止まる（★この6形は語で見る判定だけが止める＝足した判定が効いている証拠）
+  (2) つないだ行・入れ子・包み・短い旗のまとめ書き・「=」つきと次の語渡しにも判定が届く
+  (3) 語に分けられない行（引用符が閉じていない等）は安全側に倒す
+  (4) ★止めてはいけない形は止めない（普通の push・全体オプションつきの普通の push・
+      取り寄せ側で + の参照指定を使う形・push でない部分命令で同じ旗を使う形）
+  (5) ★いまの字面の判定は1つも弱めていない（元から止まっていた形はそのまま止まる）
+
+★見本の危険語は部品から組み立てる（番人の見本に危険語をそのまま書かない）。
+"""
+import os
+import sys
+
+sys.path.insert(0, os.path.dirname(os.path.abspath(__file__)))
+
+import policy  # noqa: E402
+
+failures = []
+
+
+def check(label, got, want):
+    ok = got == want
+    if not ok:
+        failures.append(f'{label}: got={got!r} want={want!r}')
+    print(f'{"OK " if ok else "NG "} {label:72} {str(got)[:32]}')
+
+
+# ── 部品（危険語を直接書かない） ──
+PUSH = 'pu' + 'sh'
+FORCE = '--for' + 'ce'
+LEASE = FORCE + '-with-lease'
+SHORT = '-' + 'f'
+NOVERIFY = '--no-' + 'verify'
+WORK = '/tmp/claude-1000'          # 判定に使う作業場所（実物のリポを指さない）
+BR = 'probe'
+
+# ─────────────────────────────────────────────────────────────────────────────
+# (1) 素通りだった6形（実地 便 6e8d85e6 の重大発見1・2）
+# ─────────────────────────────────────────────────────────────────────────────
+LEAKED = [
+    f'git -C {WORK}/x {PUSH} {FORCE} origin {BR}',
+    f'git -C "$DIR" {PUSH} {FORCE} origin {BR}',
+    f'git -c {PUSH}.default=current {PUSH} {FORCE} origin {BR}',
+    f"git '{PUSH}' {FORCE} origin {BR}",
+    f'git --git-dir={WORK}/x/.git --work-tree={WORK}/x {PUSH} {FORCE} origin {BR}',
+    f'git {PUSH} origin "+{BR}"',
+]
+
+print('\n=== (1) 素通りだった6形が止まる ===')
+for cmd in LEAKED:
+    r = policy.decide_bash(cmd, cwd=WORK)
+    check(f'deny {cmd[:62]}', r['decision'], policy.DENY)
+
+print('\n=== (1b) ★この6形は【語で見る判定】が止めている（足した判定が効いている証拠） ===')
+for cmd in LEAKED:
+    got = policy._force_push_token_danger(policy.tokens_of(cmd))
+    check(f'語で見る判定が当たる {cmd[:52]}', bool(got), True)
+
+# ─────────────────────────────────────────────────────────────────────────────
+# (2) 旗の位置・つなぎ・入れ子・包み・まとめ書き・値の渡し方
+# ─────────────────────────────────────────────────────────────────────────────
+DENY_SHAPES = [
+    # 旗の位置（便 6e8d85e6 の P1〜P12）
+    f'git {PUSH} {FORCE} origin {BR}',
+    f'git {PUSH} origin {BR} {FORCE}',
+    f'git {PUSH} origin {BR} {FORCE} {NOVERIFY}',
+    f'git {PUSH} {SHORT} origin {BR}',
+    f'git {PUSH} origin {BR} {SHORT}',
+    f'git {PUSH} origin {SHORT} {BR}',
+    f'git {PUSH} {LEASE} origin {BR}',
+    f'git {PUSH} origin {BR} {LEASE}',
+    f'git {PUSH} origin +{BR}',
+    f'git {PUSH} origin +refs/heads/{BR}:refs/heads/{BR}',
+    # 短い旗のまとめ書き
+    f'git {PUSH} -u{SHORT[1:]} origin {BR}',
+    f'git {PUSH} -v{SHORT[1:]} origin {BR}',
+    # 全体オプションの「=」つきと、次の語で渡す形
+    f'git --git-dir={WORK}/x/.git {PUSH} {FORCE} origin {BR}',
+    f'git --git-dir {WORK}/x/.git {PUSH} {FORCE} origin {BR}',
+    f'git --work-tree {WORK}/x {PUSH} {FORCE} origin {BR}',
+    f'git --namespace ns {PUSH} {FORCE} origin {BR}',
+    f'git --exec-path={WORK}/x {PUSH} {FORCE} origin {BR}',
+    f'git -C {WORK}/x -c user.name=x {PUSH} {LEASE}=refs/heads/{BR}:abc origin {BR}',
+    # つないだ行
+    f'echo hi && git -C {WORK}/x {PUSH} {FORCE} origin {BR}',
+    f'echo hi ; git -C {WORK}/x {PUSH} origin +{BR}',
+    f'true || git -C {WORK}/x {PUSH} {SHORT} origin {BR}',
+    f'echo hi | xargs -I{{}} git -C {WORK}/x {PUSH} {FORCE} origin {BR}',
+    # 入れ子・包み
+    f'bash -c "git -C {WORK}/x {PUSH} {FORCE} origin {BR}"',
+    f'sh -c \'git -C {WORK}/x {PUSH} origin "+{BR}"\'',
+    f'echo $(git -C {WORK}/x {PUSH} {FORCE} origin {BR})',
+    f'env -C {WORK}/x git {PUSH} {FORCE} origin {BR}',
+    f'timeout 60 git -C {WORK}/x {PUSH} {FORCE} origin {BR}',
+    f'nohup git -C {WORK}/x {PUSH} {SHORT} origin {BR}',
+    f'GIT_TRACE=1 git -C {WORK}/x {PUSH} {FORCE} origin {BR}',
+    # 変数に入れた場所
+    f'D={WORK}/x; git -C "$D" {PUSH} {FORCE} origin {BR}',
+    # 参照指定の前に区切りを置く形
+    f'git {PUSH} origin -- +{BR}',
+]
+
+print('\n=== (2) つなぎ・入れ子・包み・まとめ書き・値の渡し方にも届く ===')
+for cmd in DENY_SHAPES:
+    r = policy.decide_bash(cmd, cwd=WORK)
+    check(f'deny {cmd[:62]}', r['decision'], policy.DENY)
+
+# ─────────────────────────────────────────────────────────────────────────────
+# (3) 語に分けられない行は安全側（止める）
+# ─────────────────────────────────────────────────────────────────────────────
+print('\n=== (3) 語に分けられない行（引用符が閉じていない）は安全側に倒す ===')
+for cmd in [
+    f'git {PUSH} origin "+{BR}',
+    f'git -C {WORK}/x {PUSH} origin \'{BR}',
+]:
+    r = policy.decide_bash(cmd, cwd=WORK)
+    check(f'deny {cmd[:62]}', r['decision'], policy.DENY)
+
+# ─────────────────────────────────────────────────────────────────────────────
+# (4) ★止めてはいけない形
+# ─────────────────────────────────────────────────────────────────────────────
+ALLOWED_SHAPES = [
+    # 普通の push（枝を名指し）
+    f'git {PUSH} origin {BR}',
+    f'git {PUSH} origin feat/my-branch',
+    f'git {PUSH} -u origin {BR}',
+    f'git {PUSH} --dry-run origin {BR}',
+    f'git {PUSH} --delete origin {BR}',
+    f'git {PUSH} origin {BR}:refs/heads/{BR}',
+    f'git {PUSH} origin feature+x',
+    # 全体オプションつきの普通の push
+    f'git -C {WORK}/x {PUSH} origin {BR}',
+    f'git -c user.name=x {PUSH} origin {BR}',
+    f'git --git-dir={WORK}/x/.git --work-tree={WORK}/x {PUSH} origin {BR}',
+    # 値を取る旗の値を旗と読み違えない
+    f'git {PUSH} -o ci.skip origin {BR}',
+    f'git {PUSH} --push-option=ci.skip origin {BR}',
+    # 打ち消しの旗は印ではない
+    f'git {PUSH} --no{LEASE[1:]} origin {BR}',
+    # 取り寄せ側で + の参照指定を使う形
+    'git fetch origin +refs/heads/x:refs/heads/x',
+    f'git fetch {FORCE} origin +refs/heads/x:refs/heads/x',
+    'git pull origin +x',
+    # push でない部分命令で同じ旗を使う形
+    f'git checkout {FORCE} {BR}',
+    f'git branch {SHORT} {BR} HEAD',
+    f'git tag {SHORT} v1 HEAD',
+    f'git submodule update --init {FORCE}',
+    f'git -C {WORK}/x stash {PUSH} -m hold',
+    # 字面が本文の中にあるだけの形
+    f'git commit -m "note: {PUSH} origin {BR}"',
+]
+
+print('\n=== (4) 止めてはいけない形は止めない ===')
+for cmd in ALLOWED_SHAPES:
+    r = policy.decide_bash(cmd, cwd=WORK)
+    check(f'not deny {cmd[:58]}', r['decision'] != policy.DENY, True)
+
+print('\n=== (4b) 語で見る判定も、止めてはいけない形には当たらない ===')
+for cmd in ALLOWED_SHAPES:
+    got = policy._force_push_token_danger(policy.tokens_of(cmd))
+    check(f'当たらない {cmd[:58]}', got, None)
+
+# ─────────────────────────────────────────────────────────────────────────────
+# (5) ★いまの字面の判定を弱めていない（元から止まっていた形はそのまま）
+# ─────────────────────────────────────────────────────────────────────────────
+print('\n=== (5) 字面の判定はそのまま残っている（二層で止める） ===')
+for cmd in [
+    f'git {PUSH} {FORCE} origin main',
+    f'git {PUSH} {SHORT} origin main',
+    f'git {PUSH} {LEASE} origin main',
+]:
+    check(f'字面の判定が当たる {cmd[:52]}',
+          bool(policy._danger_patterns(cmd.lower())), True)
+
+print()
+if failures:
+    print(f'FAIL {len(failures)} 件')
+    for f in failures:
+        print(f'  - {f}')
+    sys.exit(1)
+print('ALL PASS')

package/scripts/update-guard.sh

@@ -1199,14 +1199,17 @@ if [[ "$SYNC_ONLY" == "1" ]]; then
 fi
 
 # ─── ④ 各現場の権限ルールを部分マージで更新 ─────────────────────────────────
+# ★実際に書き換えた現場だけを覚えておく（この下の④-b が「コミットが要るリポ」を名指しする）。
+wrote_sites=()
 for proj in "${targets[@]}"; do
   dst="$proj/.claude/settings.json"
   if [[ ! -f "$dst" ]]; then
     warn "  スキップ（settings.json なし）: $proj"
     continue
   fi
+  rc=0
   APPLY="$APPLY" \
-  python3 - "$dst" "$SETTINGS_SRC" "$SAMPLE_SETTINGS" <<'PYEOF'
+  python3 - "$dst" "$SETTINGS_SRC" "$SAMPLE_SETTINGS" <<'PYEOF' || rc=$?
 import json, os, shutil, sys, time
 
 dst_path, src_path, sample_path = sys.argv[1], sys.argv[2], sys.argv[3]
@@ -1448,7 +1451,16 @@ with open(tmp, "w", encoding="utf-8") as f:
     f.write("\n")
 os.replace(tmp, dst_path)  # 置換は原子的＝途中で壊れた settings.json を残さない
 print(f"[update-guard]     更新しました（バックアップ: {backup}）")
+# ★実際に書き換えた回だけ 10 で終わる（呼び元が「コミットが要るリポ」を名指しするため）。
+sys.exit(10)
 PYEOF
+  # 終わり方の読み方: 0＝変更なし／見るだけ、10＝実際に書き換えた、それ以外＝想定外の失敗。
+  # 想定外の失敗では、今までどおり（set -e と同じ）そこで止まる＝黙って先へ進まない。
+  if [[ "$rc" -eq 10 ]]; then
+    wrote_sites+=("$proj")
+  elif [[ "$rc" -ne 0 ]]; then
+    exit "$rc"
+  fi
 done
 
 echo
@@ -1457,3 +1469,36 @@ if [[ "$APPLY" == "1" ]]; then
 else
   info "確認のみで終了しました。適用するには APPLY=1 を付けて再実行してください。"
 fi
+
+# ─── ④-b 書き換えたリポのうち「コミットが要る」物を名指しで知らせる ──────────────
+# 【なぜ要るか（実地 2026-10-06）】④ は現場の .claude/settings.json を「禁止の一覧が強い版」へ
+#   書き換えるが、それを git に入れる所がだれの仕事にもなっていなかった。結果、6つのリポで
+#   強い設定が git に入らないまま放置された（いちばん長い utatane-backend は約2か月半・git の版は
+#   禁止 11 件のまま）。放置のあいだ、ほかのPCとクラウドの作業場には弱い設定が配られ、職人の
+#   合流のたびに誤った「失敗」が出た。＝書き換えた直後に名指しで出し、人が CC1 へ渡せるようにする。
+# 【決め】
+#   ・出すのは「実際に書き換えた回」だけ。変更なしの回・見るだけの回は1行も出さない（表示を変えない）。
+#   ・挙げるのは git が追跡している .claude/settings.json を持つリポだけ。追跡されていない物（?? だけ）は
+#     コミットが要らないので挙げない。
+#   ・確かめは読むだけの git（ls-files）。リポの中身・git の状態を1つも変えない。
+#   ・git が使えない／リポでない置き場は黙って飛ばす（台本を落とさない）。
+# ★最後に出すのは、人の目に最後まで残るため（この下に別の行を足さない）。
+if [[ ${#wrote_sites[@]} -gt 0 ]]; then
+  needs_commit=()
+  for proj in "${wrote_sites[@]}"; do
+    # 読むだけ。リポでない置き場・git が無い機では非ゼロで返るので、黙って外れる。
+    if git -C "$proj" ls-files --error-unmatch -- .claude/settings.json >/dev/null 2>&1; then
+      needs_commit+=("$proj")
+    fi
+  done
+  if [[ ${#needs_commit[@]} -gt 0 ]]; then
+    echo
+    info "★コミットが要るリポがあります（git が追跡している .claude/settings.json を書き換えました）"
+    for proj in "${needs_commit[@]}"; do
+      info "   - $(basename "$proj")  （$proj）"
+    done
+    info "   この変更は戻さない（番人の禁止の一覧が強くなった知らせ）。そのリポの職人の便でコミットする。"
+    info "   git checkout で戻すと守りが弱くなる。"
+    info "   → この一覧を CC1 に伝えてください（コミットの便を出してもらいます）。"
+  fi
+fi

package/skills/conductor-craftsman/SKILL.md

@@ -121,6 +121,7 @@ description: 采配くんの便（プロンプト末尾に CONDUCTOR_JOB:<id>
     - **電話は自由。** 外への通信（npm / GitHub / API / ドキュメント取得など）は許可済みなので、`Network request outside of sandbox` は出ない。**通信のために止まらない・人を待たない**。最後まで自走して完了まで行く。
     - **金庫は禁止。** 秘密の持ち出し（`curl -d @.env` / `cp .env` / `tar ~/.ssh` / `base64 .env` / `echo $DATABASE_URL` など）は**番人が今までどおり止める**。通信が自由になったこととは**別の仕組み**なので、「通信が許可されたから秘密も送れる」は成り立たない。本番DB・secret・`.env`・`hooks`・`.tyhld`・`.ssh` への書き込み禁止もそのまま。
     - **それでも塞がれたら回避しない。** `curl: (56) CONNECT tunnel failed, response 403` のように通信が塞がれたときは、**意図的に閉じてある接続先**（例: 本番DBへの直結）か、設定がその機体にまだ届いていないかのどちらか。**別経路を探さず、そこで止めて報告する**（人の手番＝`APPLY=1 bash scripts/update-guard.sh` → 職人を再起動）。
+    - ★**この1行（`APPLY=1 bash scripts/update-guard.sh`）を人が流したあとに `★コミットが要るリポがあります` の一覧が出たら、その一覧を CC1 に伝える**（コミットの便を出してもらう）。出た変更は戻さない（`git checkout` で戻すと守りが弱くなる）。
 13. **使い捨てファイルはリポジトリの中に作らない（えふさん決定 2026-09-03／えふさん確定 2026-10-02・判断6 で後片付けの形を改めた）**
     - **実機検品・検証用の使い捨てファイル（HTML・画像・ログ等）は、リポジトリの中に作らない。`/tmp/claude-1000/` に置く。**
     - **リポジトリの中（直下を含む）に作ってしまったときの後片付け（えふさん確定 2026-10-02・判断6）。自分で作った物に限り、`-f` を付けない `rm -r` と実在のパスの名指しで消し、消した物を報告に書く。**
@@ -139,6 +140,7 @@ description: 采配くんの便（プロンプト末尾に CONDUCTOR_JOB:<id>
 14. **`.env` 類（`.env`・`.env.local`・`.env.example` などの雛形も含む）は職人が書き換えない（えふさん確定 2026-09-18・便 3d11f913）**
     - **番人は `.env` 本体も `.env.example` などの雛形も、書き込みを止める**（Write／Edit の設定 deny と、Bash の `echo`／`tee`／`sed -i`／`cp`／`mv` などを、経路を問わず同じ結果にそろえた）。読み込みは今までどおり（雛形は読める・本物は読めない）。
     - **なぜ。** 雛形（`.env.example`）は普通は秘密値を置かないが、「exampleだから常に安全」と番人へ例外を作ると、将来誤って実値が書かれたときの穴になる（利便性より安全側・えふさん確定）。
+    - **★雛形（`.env.example`）を読むときは Read の道具で読む（実測 便 6e8d85e6）。** `cat .env.example` は**禁止の一覧で止まる**（配っている `Bash(cat .env.*)` に当たる）。番人は雛形の読みを許しているので、Read の道具・Grep の道具なら今までどおり読める。★規則は緩めない（実名に絞ると、将来の新しい枝名が漏れる）。止まったら回避せず、Read の道具に替える。
     - **雛形（`.env.example` など）を直すときの正しい形＝「案を作る→人が1回で反映」。** 職人は変更後の中身を**リポジトリの外（`/tmp/claude-1000/` の下）**に作り、報告に次の2つを載せる。① 変更の**差分**（何を足す／消すか）。② 人が**素のターミナルで1回貼るだけで反映できる1つのコマンド**（例：`cp /tmp/claude-1000/<下書き> <リポ>/.env.example`）。★このコマンドは**人が自分のターミナルで**打つ（職人の番人は人の端末には掛からない）。職人が `.env.example` を直接書き換えようとしても番人が止めるので、**回避せず、この形で案を出す**。
     - **本物の `.env`・`.env.local` は、これまでどおり中身も書き込みも扱わない**（秘密の値は1文字も読まない・書かない＝鉄則12の金庫）。
 15. **工程の区切りで「いま何をしているか」を日本語1行で出す（えふさん確定 2026-10-02・便 fbaba4b1）**
@@ -169,7 +171,9 @@ description: 采配くんの便（プロンプト末尾に CONDUCTOR_JOB:<id>
   - 止まる例: `rm -rf /tmp/claude-1000/作業名`（禁止の一覧）／ `rm -r "$DIR/x"`・`rm -r build/*`（番人）／ `rm -r .git`・`rm -r .claude/hooks`・`rm -r .tyhld`（番人＝相対パスでも消せない）
   - ★**探すだけの道具の「探す言葉」に `rm …` と書いても、もう止まらない**（便 915694ac で直した）。鉄則や台本を調べるときの `grep -rn 'rm -rf .git' skills`・`git grep -n 'rm -r' -- skills`・`rg 'rm -rf /' docs` は通る。★囲みの外に書いた `rm` は今までどおり測るので、`grep -rn 'x' docs; rm -rf .git` のように**後ろで消す形は止まる**。
 - **まとめて全部を記録に入れる `git add`・`git commit`**（`git add -A`・`git add .`・`git commit -a`・`git commit -am 説明`・`git commit --all`）→ 止まる。着手前から変わっていたファイル（例 `.claude/settings.json`）まで入り、番人がそれを記録から外す操作も止めるので取り返せない（便 4cf71dde）。**ファイルを名指しで `git add <ファイル>` してから `git commit -m 説明`**（鉄則1-④）。
-- **作業場所が変数のままの `git push`**（`git -C "$DIR" push`・行き先のブランチを確かめられない形）→ 止まる。**リポの中で、ブランチを名指しして** `git push origin <作業ブランチ名>`（★`-u` は付けない＝鉄則7-⓪。上流の設定を書くと、囲いが `.git/config` を塞いでいるPCで止まる）。
+- **行き先のブランチを確かめられない `git push`**（作業場所が変数のままの `git -C "$DIR" push`・`git push` とだけ打つ形・保護ブランチを狙う形）→ 止まる。**リポの中で、ブランチを名指しして** `git push origin <作業ブランチ名>`（★`-u` は付けない＝鉄則7-⓪。上流の設定を書くと、囲いが `.git/config` を塞いでいるPCで止まる）。
+  - ★**止まるのは「行き先が分からない形」と「保護ブランチを狙う形」**（実測 便 6e8d85e6）。場所を指す旗を付けても枝を名指しした形（`git -C <場所> push origin <作業ブランチ名>`）は止まらないので、「場所を指す旗が付いているか」で安全を判断しない。
+  - ★**強い上書き（`--force`／`-f`／`--force-with-lease`／先頭が `+` の参照指定）は、旗の位置を問わず止まる。** 旗を末尾や中間に置く形・短い旗をまとめた形（`-fu`）・`git` と `push` の間に場所や設定を指す旗を挟む形・`+` を引用符で囲う形・つないだ行や包みの中に書いた形も、すべて止まる（便 e619bd86 で語の並びを見る判定に替えた。それまでは挟む形と引用符で囲う形が素通りしていた＝実地 便 6e8d85e6）。**そもそも強い上書きは打たない**（便の本文の「force-push と reset はしない」）。
 
 ## 便の終え方