@tyhld/conductor 0.12.13 → 0.12.14

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@tyhld/conductor",
-  "version": "0.12.13",
+  "version": "0.12.14",
   "description": "采配くん管制の見守りアプリ（conductor-agent）。各PCで常駐し、中央(devlog-tracker)へ定期的に生存報告(heartbeat)を送る常駐CLI。",
   "type": "module",
   "bin": {

package/sales-template/settings.json

@@ -3,6 +3,7 @@
   "_note_guard": "★段2（2026-07-23）: 許可/確認の判定は番人（~/.tyhld/hooks の cc2_guard.py ほか3フック）が持つようになった。既定は allow（危険と関門だけを番人が deny/ask 相当で止め、それ以外は自走）。そのため settings 側の allow・ask 列挙は不要になり、空にしてある。番人フックはこのファイルではなく顧客PCの ~/.claude/settings.json に1本だけ登録する（setup.sh ⑤）。この現場ファイルには権限ルール（deny）と現場固有の sandbox だけを置く。",
   "_note_deny": "★deny は番人の allow 既定より常に先に効く（Claude Code の評価順 deny→ask→allow）。ここに残す床（.env/.ssh/鍵/.tyhld/settings.json/hooks と Supabase 書込3種など）は allow を空にしても当然そのまま優先される。deny は消さない。",
   "_note_read": "★Read(…) の禁止は【二重の守りの外側】（便 93b2fa03・えふさん確定 2026-09-16）。秘密の読み取りを本当に判定しているのは番人（~/.tyhld/hooks の policy.py の secret_reason）で、そちらは Read だけでなく NotebookRead・Grep・Glob・MCP・file:// まで同じ境界で止める。この一覧は【番人が外された機体でも Read だけは止まる】ための保険なので、番人より粗い。粗さの実害は1つだけ: Read(**/*.env) は example.env のような前置きの雛形まで止める（.env.example は止まらない）。番人の方は雛形を通すので、番人が入っている機体では今までどおり雛形を読める。 ★2026-09-16（便 3a3771b1）に「名前だけの規則」を1本外し、場所で名指しする規則に替えた。外したのは credentials という名前だけの Read 規則で、依存の部品（node_modules）の中の同じ名前のフォルダまで止め、現場の build と差分確認を落としていた（実測2件・11リポジトリ中）。本物の置き場（.aws / .gcloud / .config/gcloud / .azure / .ssh / .gnupg）は場所で名指しして守っているので、止める範囲は1つも減っていない。★この一覧の書き方（glob）では「依存の部品の中だけ除く」が書けない。名前が同じでも中身が違う、という判断は場所と管理主体を見ないとできず、glob は場所のパターンしか書けないため。だから外側のこの一覧は【場所】だけで名指しし、名前だけでは言い切れない物の可否は番人（policy.py の (4)）が「機械が入れた部品の中か」を git の事実で確かめて決める。",
+  "_note_home_secret": "★ホーム配下（リポの外）の秘密の置き場は【場所で1つずつ名指し】する（えふさん確定 2026-09-17・便 230c3175＝D2）。~/ で始まる規則はホームからの場所、**/ で始まる規則は作業場所（リポ）の中だけに当たる（Claude Code 仕様）。★$HOME/** や ~/*token* のような広い書き方はしない。理由は2つ: (1) 通常の作業（npm・gh・git・build）が要るホームのファイルまで止める。(2) サンドボックスはこの一覧を OS の読み取り禁止に写すが、ホームに * を含む書き方は起動が 7〜18 秒遅くなるか、効かない（実測: ~/*/.env.local 17.5秒・~/.env* 8.5秒で効かず・~/*token* 15.7秒で効かず。場所を名指しした形は 0.25〜0.32 秒で効く）。★わざと禁止しない置き場（通常の作業に要る・中身の取り出しは番人が別に止める）: ~/.npmrc（npm install が読む。npm config get の _auth 表示は番人が止める）、~/.config/gh/hosts.yml（gh と git push が読む。gh auth token・git credential fill は番人が止める）、~/.claude/session-env（Claude Code 自身が読む）、~/.bashrc・~/.profile（シェルが読む。中に秘密を置かないのが本筋）、~/.android/debug.keystore（開発用の署名）。★機体ごとに名前が違う置き場（ホーム直下の token・secret の名前のファイル、ホーム直下に残ったリポの写しの .env など）は、配る一覧では名指しできない。番人（policy.py の _home_secret_reason）が名前で止めるほか、必要なら機体の ~/.claude/settings.json に場所を足す。★フォルダごとの持ち出し（cp -r・rsync・tar・ln -s・コマンドに書いたプログラムでの複製）は番人が、写す元の中に秘密が在るかを名前だけで調べて止める。【限界】台本のファイルの中で写す形と、名前を書かずに読む子プロセスは、サンドボックスの無い現場では番人でも止まらない（OS の層が要る）。",
   "_note_network": "★外への通信は全部通す（allowedDomains: [\"*\"]・えふさん決定 2026-09-03＝甲）。販売版もお客さま機で自走するのが既定（2026-08-23 決定）。理由: サンドボックスの通信許可の問いは管制の3ボタンでは押せず（Claude Code 2.1.258 本体の作り・実測 2026-09-03）、端末に人が居ないと職人が止まったままになるため。★緩むのは『電話をかける』だけ。『金庫を持ち出す』（秘密の持ち出し）を止めるのは番人 cc2_guard.py の別判定で、通信設定とは独立に効き続ける。★下の deniedDomains は allowedDomains より先に判定されるので、本番DBへの直結禁止は \"*\" を入れても効いたまま（実測で確認）。この行を消すと本番DBが開くので消さないこと。",
   "permissions": {
     "defaultMode": "default",
@@ -107,7 +108,33 @@
       "Read(**/.credentials.json)",
       "Read(**/auth.json)",
       "Read(**/*login.json)",
-      "Read(**/.config/gh/hosts.yml)"
+      "Read(**/.config/gh/hosts.yml)",
+      "Read(**/.env.vercel)",
+      "Read(**/.env.*.local)",
+      "Read(~/.conductor.env)",
+      "Read(~/.conductor.env.tmp)",
+      "Read(~/.claude/.credentials.json)",
+      "Read(~/.claude/daemon/**)",
+      "Read(~/.codex/**)",
+      "Read(~/.config/gcloud/**)",
+      "Read(~/.config/google-chrome/**)",
+      "Read(~/.config/chromium/**)",
+      "Read(~/.config/kenzokun/**)",
+      "Read(~/.config/vercel-plugin/**)",
+      "Read(~/.config/stripe/**)",
+      "Read(~/.config/.wrangler/**)",
+      "Read(~/.local/share/com.vercel.cli/**)",
+      "Read(~/.supabase/**)",
+      "Read(~/.wrangler/**)",
+      "Read(~/.aws/**)",
+      "Read(~/.azure/**)",
+      "Read(~/.gnupg/**)",
+      "Read(~/.ssh/**)",
+      "Read(~/.kube/**)",
+      "Read(~/.docker/config.json)",
+      "Read(~/.netrc)",
+      "Read(~/.pypirc)",
+      "Read(~/.tyhld/ai-saku-login.json)"
     ]
   },
   "sandbox": {

package/scripts/hooks/policy.py

@@ -91,6 +91,55 @@ _LOCATION_SECRET_FILE_RE = re.compile(
     r'^(credentials|known' + r'_hosts|credentials\.json)$', re.IGNORECASE
 )
 
+# ★リポの外（ホーム配下）の秘密の置き場（便 230c3175・D2）。
+#   【なぜ要るか（実測 2026-09-17）】名前だけの判定では、ホーム配下の CLI の認証情報や
+#     製品ごとの鍵の置き場（~/.supabase/access-token・~/.local/share/com.vercel.cli/auth.json・
+#     ~/.config/kenzokun/migration.env など）を「秘密」と言い切れない名前が多い。
+#     そこで【ホームからの場所】で決める。★ホームの外の同じ名前（リポの中の .codex など）は巻き込まない。
+#   ★道具ごとの置き場のうち、番人の判定に道具名を持ち込まない決め（test/guard-for-codex）に当たる物は
+#     ここに書かない（名前で当たる auth.json などは名前の判定が止める。置き場全体は配る権限ルールが止める）。
+#   ★ホーム全体（$HOME/**）は止めない。職人の通常作業（npm・gh・git・Playwright）が要る置き場は
+#     ここに入れない（~/.npmrc・~/.config/gh・~/.claude/session-env・~/.tyhld/pw-venv など）。
+_HOME_SECRET_DIRS = (
+    '.supabase',                       # Supabase CLI の合言葉
+    '.wrangler', '.config/.wrangler',  # Cloudflare の CLI
+    '.azure', '.kube',                 # クラウドの CLI
+    '.claude/daemon',                  # Claude Code の制御用の鍵
+    '.config/kenzokun',                # 建造くんのサービス用の鍵（移行用）
+    '.config/google-chrome', '.config/chromium',  # ブラウザのログイン状態（Cookie など）
+    '.config/vercel-plugin',           # Vercel の道具の接続状態
+    '.config/stripe',                  # Stripe の CLI
+    '.local/share/com.vercel.cli',     # Vercel の CLI のログイン
+)
+#: ホームの直下に置かれたときだけ秘密と分かる名前（合言葉・鍵・設定の控え）。
+_HOME_ROOT_SECRET_RE = re.compile(
+    r'(token|secret|passw)|^\.(bashrc|bash_profile|profile|zshrc|npmrc)\.bak|^\.conductor\.env|'
+    r'\.(pem|key|p12|pfx)$',
+    re.IGNORECASE,
+)
+
+
+def _home_dir():
+    try:
+        return os.path.realpath(os.path.expanduser('~'))
+    except Exception:  # noqa: BLE001
+        return ''
+
+
+def _home_secret_reason(abs_path: str):
+    """ホームからの場所だけで決まる理由（★ホームの外は見ない）。"""
+    home = _home_dir()
+    if not home or not abs_path or not abs_path.startswith(home + '/'):
+        return None
+    rel = abs_path[len(home) + 1:]
+    for d in _HOME_SECRET_DIRS:
+        if rel == d or rel.startswith(d + '/'):
+            return f'secret directory (~/{d})'
+    if '/' not in rel and _HOME_ROOT_SECRET_RE.search(rel):
+        return f'secret file (~/{rel})'
+    return None
+
+
 # ★機械（パッケージ管理）が入れる部品の置き場の名前。★決め打ちの一覧・大文字小文字を区別する。
 #   ここに無い名前は、どんなに依存らしく見えても部品置き場として扱わない。
 _DEPENDENCY_DIR_NAMES = frozenset({'node_modules', 'vendor', 'site-packages', '.venv', 'venv'})
@@ -257,7 +306,12 @@ def resolved_path(path: str, cwd=None) -> str:
     ★これが迂回対策の土台。別名から本物へ回り込む道は、ここで正体が出る。
     """
     try:
-        q = os.path.expanduser(path.strip())
+        q = path.strip()
+        for var in ('${HOME}', '$HOME'):
+            if q == var or q.startswith(var + '/'):
+                q = os.path.expanduser('~') + q[len(var):]
+                break
+        q = os.path.expanduser(q)
         if not os.path.isabs(q):
             base = cwd if (cwd and os.path.isabs(cwd)) else os.getcwd()
             q = os.path.join(base, q)
@@ -300,6 +354,13 @@ def secret_reason(path: str, cwd=None):
         if rsr:
             return f'{rsr} (via link)'
 
+    # ★ホーム配下の秘密の置き場（場所で決まる・便 230c3175）。字面が絶対パスならそれも見る。
+    hsr = _home_secret_reason(real)
+    if not hsr and os.path.isabs(path):
+        hsr = _home_secret_reason(os.path.normpath(path))
+    if hsr:
+        return hsr
+
     # (4) 名前だけでは言い切れないもの。★機械が入れた部品の中のときだけ通す。
     #   字面の名前と、解いた実体の名前の【どちらか】が当たれば見る（別名で隠せない）。
     names = [name]
@@ -629,6 +690,9 @@ def _wrapper_danger(command: str, depth: int = 0, cwd=None):
             sr = _code_secret_reason(inner)
             if sr:
                 return f'{sr} referenced {where}'
+            hit = _code_bulk_danger(inner, cwd)
+            if hit:
+                return f'{hit} copied {where}'
             continue
         # shell: 中身をコマンドとして測り直す（秘密・システム領域・危険な rm）。
         hit = _rm_danger(inner)
@@ -636,7 +700,9 @@ def _wrapper_danger(command: str, depth: int = 0, cwd=None):
             return f'{hit} ({where})'
         for seg in split_segments(inner):
             toks = tokens_of(seg)
-            hit = _secret_danger(seg, verb_of(toks), toks, cwd)
+            v = verb_of(toks)
+            hit = (_secret_danger(seg, v, toks, cwd) or _bulk_copy_danger(v, toks, cwd)
+                   or _recursive_read_danger(v, toks, cwd))
             if hit:
                 return f'{hit} ({where})'
         hit = _wrapper_danger(inner, depth + 1, cwd)
@@ -645,6 +711,288 @@ def _wrapper_danger(command: str, depth: int = 0, cwd=None):
     return None
 
 
+# ═════════════════════════════════════════════════════════════════════════════
+# フォルダごとの持ち出し（便 230c3175・D2）
+#
+# 【なぜ要るか（実測 2026-09-17・開発履歴 02d3df12）】
+#   サンドボックスの無い現場（ai-saku）の職人が、作業用の写しを作るときに、ファイル名を書かない
+#   フォルダごとの複製（rsync）で、ai-saku と meilink の .env.local・.env.vercel を中身ごと
+#   /tmp へ写していた。番人は「名前を書いたコマンド」しか止めないので素通りした。
+#   ★「元のファイルの読み取りを止めた」だけでは足りない。写しから読めてしまう。
+#
+# 【どう止めるか】複製・固め・同期・リンクの道具に【フォルダ】が渡されたら、そのフォルダの中を
+#   名前と場所だけで見て回り、秘密に当たる物が1つでも在れば止める（中身は開かない）。
+#   ・除外の指定（rsync / tar の --exclude・zip の -x）で外した名前は数えない
+#     ＝「秘密を除いて写す」作業は通る
+#   ・依存の部品の置き場（node_modules 等）と履歴（.git）は見て回らない（量が多く、秘密の置き場ではない）
+#   ・数が多すぎて見て回り切れないときは止める（確かめられない物を通さない）
+# 【限界】台本の【ファイル】（node copy.mjs など）の中でフォルダを写す形は、番人では止めない
+#   （台本を開いて推し量ると、例としてコマンドを含む試験のファイルまで止めてしまうため）。
+#   サンドボックスの無い現場では、ここが残る穴になる。確実に止めるのは OS の層（サンドボックス）。
+# ═════════════════════════════════════════════════════════════════════════════
+
+#: フォルダごと持ち出せる道具。
+_BULK_VERBS = frozenset({
+    'cp', 'rsync', 'tar', 'zip', '7z', '7za', 'scp', 'ln', 'ditto', 'cpio', 'pax',
+    'rclone', 'unison', 'bsdtar', 'gtar',
+})
+
+#: 見て回らない置き場（依存の部品・履歴・作り物）。
+_SCAN_SKIP_DIRS = frozenset({
+    'node_modules', '.git', '.next', '.venv', 'venv', '__pycache__', '.turbo', '.cache',
+    '.pnpm-store', 'site-packages', 'coverage', '.nuxt', '.svelte-kit', '.parcel-cache',
+})
+
+#: 見て回る数の上限（これを超えたら確かめられない＝止める）。
+_SCAN_LIMIT = 20000
+
+
+def _bulk_excludes(verb: str, args):
+    """除外の指定（名前の形）を集める。"""
+    out = []
+    i = 0
+    while i < len(args):
+        a = args[i]
+        if a.startswith('--exclude='):
+            out.append(a.split('=', 1)[1])
+        elif a == '--exclude' and i + 1 < len(args):
+            out.append(args[i + 1])
+            i += 1
+        elif verb == 'zip' and a == '-x':
+            j = i + 1
+            while j < len(args) and not args[j].startswith('-'):
+                out.append(args[j])
+                j += 1
+            i = j - 1
+        i += 1
+    return [x.strip().strip('"').strip("'") for x in out if x]
+
+
+def _excluded(name: str, rel: str, patterns) -> bool:
+    import fnmatch
+    for pat in patterns:
+        pat = pat.rstrip('/')
+        if fnmatch.fnmatch(name, pat) or fnmatch.fnmatch(rel, pat):
+            return True
+    return False
+
+
+def find_secret_in_tree(root: str, patterns=()):
+    """フォルダの中に秘密に当たる物があれば理由を返す（★中身は開かない）。
+
+    返り: None（無い）／理由の文字列（在る・または数が多すぎて確かめられない）。
+    """
+    count = 0
+    for dirpath, dirnames, filenames in os.walk(root, followlinks=False):
+        rel_dir = os.path.relpath(dirpath, root)
+        keep = []
+        for d in dirnames:
+            rel = os.path.normpath(os.path.join(rel_dir, d))
+            if _excluded(d, rel, patterns):
+                continue
+            full = os.path.join(dirpath, d)
+            sr = secret_reason(full)
+            if sr:
+                return f'{sr} inside {root}'
+            if d in _SCAN_SKIP_DIRS or os.path.islink(full):
+                continue
+            keep.append(d)
+        dirnames[:] = keep
+        for f in filenames:
+            count += 1
+            if count > _SCAN_LIMIT:
+                return f'folder too large to verify for secrets ({root})'
+            rel = os.path.normpath(os.path.join(rel_dir, f))
+            if _excluded(f, rel, patterns):
+                continue
+            sr = secret_reason(os.path.join(dirpath, f))
+            if sr:
+                return f'{sr} inside {root}'
+    return None
+
+
+def _existing_dir(arg: str, cwd=None):
+    """引数が実在のフォルダ（近道を解いた先を含む）なら、その場所を返す。"""
+    if not arg or arg.startswith('-'):
+        return None
+    real = resolved_path(arg, cwd)
+    try:
+        return real if os.path.isdir(real) else None
+    except Exception:  # noqa: BLE001
+        return None
+
+
+def _bulk_copy_danger(verb: str, tokens, cwd=None):
+    """フォルダごとの複製・固め・同期・リンクで、中に秘密が在れば理由を返す。"""
+    if verb not in _BULK_VERBS:
+        return None
+    args = tokens[1:] if tokens else []
+    patterns = _bulk_excludes(verb, args)
+    values = [a for a in args if not a.startswith('-')]
+    # 複製先（最後の引数）は持ち出し元ではない（cp・rsync・scp・ln の形）。
+    #   ★ln は「最初の引数＝指す先」が持ち出し元。
+    if verb == 'ln':
+        sources = values[:1]
+    elif verb in ('cp', 'rsync', 'scp', 'ditto', 'rclone', 'unison') and len(values) >= 2:
+        sources = values[:-1]
+    else:
+        sources = values
+    for src in sources:
+        d = _existing_dir(src, cwd)
+        if not d:
+            continue
+        hit = find_secret_in_tree(d, patterns)
+        if hit:
+            return f'{hit} copied as a folder by {verb}'
+    return None
+
+
+#: フォルダの中を名前を書かずに読む検索の道具（再帰の旗つき）。
+_RECURSIVE_GREP_VERBS = frozenset({'grep', 'egrep', 'fgrep', 'ugrep', 'zgrep'})
+#: 既定では隠しファイル・除外設定を飛ばすが、旗で全部読むようになる検索の道具。
+_HIDDEN_SEARCH_VERBS = frozenset({'rg', 'ag', 'ack', 'pt'})
+
+
+def _search_excludes(args):
+    out = []
+    i = 0
+    while i < len(args):
+        a = args[i]
+        for key in ('--exclude=', '--exclude-dir=', '--glob=!', '--ignore='):
+            if a.startswith(key):
+                out.append(a[len(key):])
+        if a in ('--exclude', '--exclude-dir', '--ignore') and i + 1 < len(args):
+            out.append(args[i + 1])
+            i += 1
+        elif a in ('-g', '--glob') and i + 1 < len(args) and args[i + 1].startswith('!'):
+            out.append(args[i + 1][1:])
+            i += 1
+        i += 1
+    return [x.strip().strip('"').strip("'") for x in out if x]
+
+
+def _recursive_read_danger(verb: str, tokens, cwd=None):
+    """名前を書かずにフォルダの中を読む検索で、中に秘密が在れば理由を返す。
+
+    ・grep 系は -r / -R / --recursive のとき
+    ・rg / ag などは隠しファイルや除外設定を無視する旗（--hidden / -u / --no-ignore など）のとき
+      （★旗が無ければ、隠しファイル（.env.local など）は既定で読まないので止めない）
+    ・探す場所が書かれていなければ、作業場所（cwd）を探す場所とみなす
+    ★除外の指定（--exclude=.env* など）で外した名前は数えない＝「秘密を除いて探す」は通る。
+    """
+    args = tokens[1:] if tokens else []
+    if verb in _RECURSIVE_GREP_VERBS:
+        flags = ''.join(a[1:] for a in args if a.startswith('-') and not a.startswith('--'))
+        if not ('r' in flags or 'R' in flags or '--recursive' in args
+                or '--dereference-recursive' in args):
+            return None
+    elif verb in _HIDDEN_SEARCH_VERBS:
+        loud = {'--hidden', '--no-ignore', '-u', '-uu', '-uuu', '--unrestricted', '--all-types',
+                '--skip-vcs-ignores', '-U', '--no-ignore-vcs'}
+        if not any(a in loud for a in args):
+            return None
+    else:
+        return None
+    patterns = _search_excludes(args)
+    skip = pattern_arg_index(verb, args)
+    roots = []
+    for pos, a in enumerate(args):
+        if pos == skip or a.startswith('-'):
+            continue
+        d = _existing_dir(a, cwd)
+        if d:
+            roots.append(d)
+    if not roots:
+        base = cwd if (cwd and os.path.isabs(cwd)) else os.getcwd()
+        roots = [os.path.realpath(base)]
+    for d in roots:
+        hit = find_secret_in_tree(d, patterns)
+        if hit:
+            return f'{hit} read without naming it by {verb}'
+    return None
+
+
+def _find_feed_danger(command: str, cwd=None):
+    """`find <場所> -exec cat {}` や `find <場所> | xargs cat` の形で、場所の中に秘密が在れば理由を返す。"""
+    low = command
+    if not re.search(r'\bfind\b', low):
+        return None
+    feeds = re.search(r'-exec(dir)?\b|-ok(dir)?\b|\|\s*xargs\b', low)
+    if not feeds:
+        return None
+    readers = READ_VERBS | EXFIL_VERBS | _BULK_VERBS
+    words = set(re.findall(r'[A-Za-z0-9_.-]+', low[feeds.start():]))
+    if not (words & readers):
+        return None
+    for seg in split_segments(command):
+        toks = tokens_of(seg)
+        if verb_of(toks) != 'find':
+            continue
+        args = toks[1:]
+        roots = []
+        for a in args:
+            if a.startswith('-') or a in ('(', ')', '!'):
+                break
+            d = _existing_dir(a, cwd)
+            if d:
+                roots.append(d)
+        if not roots:
+            base = cwd if (cwd and os.path.isabs(cwd)) else os.getcwd()
+            roots = [os.path.realpath(base)]
+        for d in roots:
+            hit = find_secret_in_tree(d)
+            if hit:
+                return f'{hit} read through find'
+    return None
+
+
+#: プログラムの中で「フォルダを写す・固める」道具の呼び方（★シェルの文字列ではなく、言語の道具）。
+_CODE_BULK_API_RE = re.compile(
+    r'cpSync|\bfs\.cp\b|\bcp\s*\(|copyFile|copytree|shutil\.copy|make_archive|'
+    r'tarfile\.open|zipfile\.ZipFile|\barchiver\s*\(|FileUtils\.cp_r',
+)
+
+
+def _code_bulk_danger(text: str, cwd=None):
+    """コマンドに書かれたプログラムがフォルダを写す・固める形なら、写す元の中に秘密が無いか見る。
+
+    ・文字列で書かれたシェルのコマンド（execSync('rsync -a . /tmp/x') など）は、コマンドとして測り直す
+    ・言語の道具（fs.cpSync・shutil.copytree など）の行は、同じ行に文字列で書かれた実在のフォルダを
+      写す元とみなす。無ければ作業場所（cwd）を写す元とみなす（process.cwd() などで渡される形）
+    ★台本の【ファイル】は開かない。試験のファイルなどが例としてコマンドを含むため、誤って止めるから。
+      台本のファイル経由のフォルダ複製は、OS の層（サンドボックス）でしか確実には止められない。
+    """
+    if not text:
+        return None
+    # (a) 文字列で書かれたシェルのコマンド。
+    for m in _QUOTED_RE.finditer(text):
+        lit = m.group(1).strip()
+        toks = tokens_of(lit)
+        v = verb_of(toks)
+        if v in _BULK_VERBS:
+            hit = _bulk_copy_danger(v, toks, cwd)
+            if hit:
+                return hit
+    # (b) 言語の道具。
+    base = cwd if (cwd and os.path.isabs(cwd)) else os.getcwd()
+    tmp_real = os.path.realpath('/tmp')
+    for line in text.splitlines():
+        if not _CODE_BULK_API_RE.search(line):
+            continue
+        dirs = []
+        for m in _QUOTED_RE.finditer(line):
+            d = _existing_dir(m.group(1).strip(), cwd)
+            if d and d not in dirs and d not in ('/tmp', '/var/tmp', tmp_real):
+                dirs.append(d)
+        if not dirs:
+            dirs = [os.path.realpath(base)]
+        for d in dirs:
+            hit = find_secret_in_tree(d)
+            if hit:
+                return hit
+    return None
+
+
 def is_inplace_edit(verb: str, tokens) -> bool:
     """sed -i / perl -i のような「その場書き換え」か。"""
     if verb in ('sed', 'perl', 'ruby'):
@@ -678,6 +1026,23 @@ def _danger_patterns(low: str):
         return 'sudo rm'
     if re.search(r'\bprintenv\b', low):
         return 'printenv (環境変数の一括露出)'
+    # ★CLI が持っている合言葉を画面に出すコマンド（便 230c3175・D2）。
+    #   gh・git・npm は職人の通常作業で自分の認証の置き場を読む必要があるので、置き場そのものは
+    #   締め出せない（~/.config/gh/hosts.yml・~/.npmrc）。代わりに「中身を出すコマンド」を止める。
+    if re.search(r'\bgh\s+auth\s+token\b', low):
+        return 'gh auth token (合言葉の表示)'
+    if re.search(r'\bgh\s+auth\s+status\b[^;&|\n]*(\s-[a-z]*t\b|--show-token)', low):
+        return 'gh auth status --show-token (合言葉の表示)'
+    if re.search(r'\bgh\s+auth\s+git-credential\s+get\b', low):
+        return 'gh auth git-credential get (合言葉の表示)'
+    if re.search(r'\bgit\s+credential(-[a-z]+)?\s+(fill|get)\b', low):
+        return 'git credential fill (合言葉の表示)'
+    if re.search(r'\bnpm\s+config\s+(get|list|ls)\b[^;&|\n]*_auth', low):
+        return 'npm config get _authToken (合言葉の表示)'
+    if re.search(r'\bvercel\s+env\s+pull\b', low):
+        return 'vercel env pull (本番の環境設定の取り寄せ)'
+    if re.search(r'\bsupabase\s+projects\s+api-keys\b', low):
+        return 'supabase projects api-keys (鍵の表示)'
     return None
 
 
@@ -892,6 +1257,13 @@ def decide_bash(command: str, cwd=None):
         hit = _secret_danger(seg, v, toks, cwd)
         if hit:
             return _r(DENY, f'danger: {hit}')
+        # ★フォルダごとの持ち出し（名前を書かない複製・固め・同期・リンク）。
+        hit = _bulk_copy_danger(v, toks, cwd) or _recursive_read_danger(v, toks, cwd)
+        if hit:
+            return _r(DENY, f'danger: {hit}')
+    hit = _find_feed_danger(command, cwd)
+    if hit:
+        return _r(DENY, f'danger: {hit}')
 
     # ---- 1c) 危険（ラッパの中身にも同じ物差しを当てる） ----
     #      `bash -c "cat .env"` / `python3 -c "open('.env')"` / ヒアドキュメント経由。