@tyhld/conductor 0.12.16 → 0.12.18

package/scripts/hooks/test_gate_wait.py

@@ -0,0 +1,216 @@
+#!/usr/bin/env python3
+"""関門は入口の番人が管制に聞いて【答えが返るまで実行させない】（便 ab6e36ca）の実物の試験。
+
+  実行: python3 scripts/hooks/test_gate_wait.py
+  1件でも期待と違えば exit 1。
+
+【なぜ要るか】
+  便 c525bb2b の実機: 職人が auto モードで動くと、関門を ask で返しても Claude Code は
+  確認の番人（管制の答え待ち）を待たずに実行を許した。入口の番人の deny はどのモードでも効くので、
+  入口の番人が自分で聞いて待ち、答えが無ければ deny を返す形にした。
+  ここでは【実物の cc2_guard.py を別の手続きとして起動】し、手元に立てた偽の管制と
+  本物の通信（HTTP）でやり取りさせて確かめる（関数の差し替えではない）。
+
+【何を守っているか】
+  ① 答えが来ない関門は deny（＝どのモードでも実行されない）。カードを閉じる（DELETE）
+  ② 「いいえ」は deny／「はい」は allow（この1回だけ）
+  ③ 管制に届かない関門は deny
+  ④ 管制が応答しないまま固まっても、最後の歯止めで上限の内側に deny を返す
+  ⑤ ふつうの操作は管制に1回も聞かない
+  ⑥ カードは2択・期限（waitMs）は待つ上限と同じ
+  ⑦ 同じ操作の答えを使い回さない（1回の実行ごとに新しい鍵・登録の時点の答えは使わない）
+
+  ★空振り確認: 待つ処理（ask_gate_now）を外して ask を返す形に戻すと ①②④ が落ちる。
+"""
+import json
+import os
+import socket
+import subprocess
+import sys
+import tempfile
+import threading
+import time
+from http.server import BaseHTTPRequestHandler, ThreadingHTTPServer
+from urllib.parse import parse_qs, urlparse
+
+HERE = os.path.dirname(os.path.abspath(__file__))
+GUARD = os.path.join(HERE, 'cc2_guard.py')
+
+failures = []
+
+
+def check(label, got, want):
+    ok = got == want
+    if not ok:
+        failures.append(f'{label}: got={got!r} want={want!r}')
+    print(f'{"OK " if ok else "NG "} {label:62} {str(got)[:50]}')
+
+
+class FakeConsole:
+    """偽の管制。mode で答え方を決める: allow / deny / none（答えない）/ hang（固まる）。"""
+
+    def __init__(self, mode):
+        self.mode = mode
+        self.posts, self.gets, self.deletes = [], 0, 0
+        console = self
+
+        class Handler(BaseHTTPRequestHandler):
+            def log_message(self, *a):  # 試験の出力を汚さない
+                pass
+
+            def _send(self, obj):
+                body = json.dumps(obj).encode()
+                self.send_response(200)
+                self.send_header('Content-Type', 'application/json')
+                self.send_header('Content-Length', str(len(body)))
+                self.end_headers()
+                self.wfile.write(body)
+
+            def do_POST(self):
+                n = int(self.headers.get('Content-Length') or 0)
+                console.posts.append(json.loads(self.rfile.read(n) or b'{}'))
+                if console.mode == 'preanswered':
+                    # 管制が同じ鍵の行をまとめ、前に出た答えを返してきた形
+                    self._send({'id': 'req-1', 'status': 'answered', 'decision': 'allow'})
+                    return
+                self._send({'id': 'req-1', 'status': 'waiting'})
+
+            def do_GET(self):
+                console.gets += 1
+                if console.mode == 'hang':
+                    time.sleep(30)
+                    return
+                if console.mode in ('allow', 'deny'):
+                    self._send({'status': 'answered', 'outcome': 'decided', 'decision': console.mode})
+                    return
+                wait_ms = int((parse_qs(urlparse(self.path).query).get('waitMs') or ['0'])[0])
+                time.sleep(wait_ms / 1000)
+                self._send({'status': 'waiting', 'outcome': 'pending'})
+
+            def do_DELETE(self):
+                console.deletes += 1
+                self._send({})
+
+        self.server = ThreadingHTTPServer(('127.0.0.1', 0), Handler)
+        self.server.daemon_threads = True
+        self.url = f'http://127.0.0.1:{self.server.server_address[1]}'
+        threading.Thread(target=self.server.serve_forever, daemon=True).start()
+
+    def close(self):
+        self.server.shutdown()
+
+
+def free_port():
+    s = socket.socket()
+    s.bind(('127.0.0.1', 0))
+    port = s.getsockname()[1]
+    s.close()
+    return port
+
+
+def run_guard(command, url, extra_env=None, home=None):
+    """実物の番人を起動し、(permissionDecision, 理由, かかった秒) を返す。"""
+    env = {
+        'PATH': os.environ.get('PATH', ''),
+        'HOME': home,
+        'CONDUCTOR_URL': url,
+        'CONDUCTOR_TOKEN': 'test-token-not-secret',
+        'CONDUCTOR_GUARD_LOG': os.path.join(home, 'guard.log'),
+        'CONDUCTOR_HOOK_LOG': os.path.join(home, 'hook.log'),
+        'CC2_GATE_WAIT_SEC': '2',
+    }
+    env.update(extra_env or {})
+    event = {'tool_name': 'Bash', 'tool_input': {'command': command, 'description': '見本'},
+             'cwd': '/home/x/projects/demo', 'session_id': 'gate-wait-test'}
+    t0 = time.time()
+    p = subprocess.run([sys.executable, GUARD], input=json.dumps(event), capture_output=True,
+                       text=True, env=env, timeout=60)
+    took = time.time() - t0
+    if not p.stdout.strip():
+        return None, None, took
+    out = json.loads(p.stdout)['hookSpecificOutput']
+    return out.get('permissionDecision'), out.get('permissionDecisionReason'), took
+
+
+GATE_CMD = 'psql -c "select 1"'   # 関門 db の見本（危険語を含まない・実行はしない）
+ROUTINE_CMD = 'npm test'
+
+with tempfile.TemporaryDirectory() as home:
+    print('── ① 答えが来ない関門は deny（どのモードでも実行されない） ' + '─' * 10)
+    c = FakeConsole('none')
+    d, reason, took = run_guard(GATE_CMD, c.url, home=home)
+    check('① 答えが来ない → deny', d, 'deny')
+    check('① 理由は人の言葉（確認が取れなかった）', '確認' in (reason or '') and '実行しません' in reason, True)
+    check('① ★ask を返さない（auto モードで通りうる返事をしない）', d != 'ask', True)
+    check('① 管制へ1回だけ聞いた（カード1枚）', len(c.posts), 1)
+    check('① 答えを待った（問い合わせ1回以上）', c.gets >= 1, True)
+    check('① 答えが来ないのでカードを閉じた', c.deletes, 1)
+    check('① 待つ上限（2秒）で返した', 1.5 <= took < 10, True)
+    c.close()
+
+    print('── ② 「いいえ」は deny／「はい」は allow ' + '─' * 26)
+    c = FakeConsole('deny')
+    d, reason, _ = run_guard(GATE_CMD, c.url, home=home)
+    check('② 「いいえ」→ deny', d, 'deny')
+    check('② 理由に「いいえ」', '「いいえ」' in (reason or ''), True)
+    c.close()
+    c = FakeConsole('allow')
+    d, reason, _ = run_guard(GATE_CMD, c.url, home=home)
+    check('② 「はい」→ allow', d, 'allow')
+    check('② 「はい」のときカードは閉じない（答えがある）', c.deletes, 0)
+    c.close()
+
+    print('── ③ 管制に届かない関門は deny ' + '─' * 36)
+    d, reason, took = run_guard(GATE_CMD, f'http://127.0.0.1:{free_port()}', home=home)
+    check('③ 届かない → deny', d, 'deny')
+    check('③ 理由は人の言葉（つながらない）', 'つながらない' in (reason or ''), True)
+    check('③ すぐ返る', took < 10, True)
+
+    print('── ④ 管制が固まっても、最後の歯止めで上限の内側に deny ' + '─' * 12)
+    c = FakeConsole('hang')
+    d, reason, took = run_guard(GATE_CMD, c.url, home=home,
+                                extra_env={'CC2_GATE_WAIT_SEC': '20', 'CC2_GATE_HARD_LIMIT_SEC': '3'})
+    check('④ 固まった管制 → deny', d, 'deny')
+    check('④ 歯止め（3秒）で返した', 2.5 <= took < 8, True)
+    check('④ 理由は人の言葉（時間内に取れなかった）', '時間内' in (reason or ''), True)
+    c.close()
+
+    print('── ⑤ ふつうの操作は管制に1回も聞かない ' + '─' * 28)
+    c = FakeConsole('none')
+    d, _, took = run_guard(ROUTINE_CMD, c.url, home=home)
+    check('⑤ npm test → allow', d, 'allow')
+    check('⑤ 管制へ0回', (len(c.posts), c.gets), (0, 0))
+    check('⑤ すぐ返る', took < 5, True)
+    c.close()
+
+    print('── ⑥ カードは2択・期限は待つ上限と同じ ' + '─' * 28)
+    c = FakeConsole('allow')
+    run_guard(GATE_CMD, c.url, home=home)
+    p = c.posts[0] if c.posts else {}
+    check('⑥ 2択（今後は聞かないを出さない）', [x.get('value') for x in p.get('choices', [])],
+          ['allow', 'deny'])
+    check('⑥ カードの期限 = 待つ上限（2秒）', p.get('waitMs'), 2000)
+    check('⑥ 題はデータベースの変更', (p.get('summary') or '').startswith('【お客さまの確認：データベース'),
+          True)
+    c.close()
+
+    print('── ⑦ 同じ操作の答えを使い回さない ' + '─' * 34)
+    c = FakeConsole('allow')
+    run_guard(GATE_CMD, c.url, home=home)
+    run_guard(GATE_CMD, c.url, home=home)
+    keys = [x.get('requestKey') for x in c.posts]
+    check('⑦ 同じ操作を2回 → カードも2枚・鍵は毎回ちがう', len(set(k for k in keys if k)), 2)
+    c.close()
+    c = FakeConsole('preanswered')
+    d, _, _ = run_guard(GATE_CMD, c.url, home=home)
+    check('⑦ ★登録の時点で付いてきた「はい」は使わず、答えを待つ（来なければ deny）', d, 'deny')
+    c.close()
+
+print('\n' + '=' * 72)
+if failures:
+    print(f'NG {len(failures)} 件:')
+    for f in failures:
+        print('  -', f)
+    sys.exit(1)
+print('すべて期待どおり')
+sys.exit(0)

package/scripts/hooks/test_policy.py

@@ -74,17 +74,19 @@ for cmd, want_gate in GATE_CASES:
     r = policy.decide_bash(cmd)
     check(f'gate {cmd[:58]}', (r['decision'], r['gate']), (policy.GATE, want_gate))
 
-# ★関門はフックから、管制に到達できるときだけ "defer"（＝何も出力しない）で返る。
-#   実機検証 26c878b7: defer なら確認カードが3択（はい／今後は聞かない／いいえ）になる。
-#   ask にすると permission_suggestions が null になり2択に落ちるため、defer を選ぶ。
+# ★関門はフックから、管制に到達できるときは "ask"（確認を必ず出す）で返る（便 918ce835）。
+#   以前は defer（何も出力しない）だったが、defer は一致する allow 規則に負けて確認なしで
+#   実行される（便 e6c5658a の実測で21件）。関門の確認はもともと2択なので ask で失うものは無い。
 #   到達できないときは deny（フェイルクローズ）——下の (a3) で確かめる。
 class GuardDatalink:
     """cc2_guard 用の偽 datalink（到達可否を固定し、ネットワークもディスクも触らない）。"""
 
-    def __init__(self, cfg, reachable):
+    def __init__(self, cfg, reachable, answer='allow'):
         self._cfg = cfg
         self._reachable = reachable
+        self._answer = answer
         self.decisions = []
+        self.registered = 0
 
     def load_config(self):
         return self._cfg
@@ -92,6 +94,17 @@ class GuardDatalink:
     def ping(self, cfg):
         return self._reachable
 
+    # ★便 ab6e36ca: 入口の番人が関門をその場で聞く。届かなければ登録できない。
+    def register(self, cfg, payload):
+        self.registered += 1
+        return {'id': 'r1', 'status': 'waiting'} if self._reachable else None
+
+    def wait_for_decision(self, cfg, request_id, max_wait_sec=None):
+        return self._answer
+
+    def abandon(self, cfg, request_id):
+        pass
+
     def record_decision(self, tool_name, decision, gate=None):
         self.decisions.append((tool_name, decision, gate))
 
@@ -100,12 +113,22 @@ GATE_CMDS = ['git push origin main', 'vercel --prod', 'npx prisma migrate deploy
              'git push -u origin master', 'npm publish', 'supabase db push',
              'psql -c "select 1"']
 
-print('\n=== (a2) 関門は「管制に到達できる」ときは defer（何も出力しない） ===')
+print('\n=== (a2) 関門は入口の番人がその場で管制に聞き、答えで allow / deny を返す（便 ab6e36ca） ===')
 gd_ok = GuardDatalink({'url': 'http://x', 'token': 't'}, reachable=True)
 for cmd in GATE_CMDS:
     out = cc2_guard.build_output({'tool_name': 'Bash', 'tool_input': {'command': cmd}}, datalink=gd_ok)
-    check(f'{cmd} → defer（到達可）', out, None)
+    check(f'{cmd} → allow（「はい」）', out['hookSpecificOutput']['permissionDecision'] if out else None,
+          'allow')
+check('関門ごとに管制へ1回聞いた', gd_ok.registered, len(GATE_CMDS))
 check('起動記録が残る（呼ばれた事実）', len(gd_ok.decisions) >= len(GATE_CMDS), True)
+for answer in ('deny', None, 'weird'):
+    gd = GuardDatalink({'url': 'http://x', 'token': 't'}, reachable=True, answer=answer)
+    out = cc2_guard.build_output({'tool_name': 'Bash', 'tool_input': {'command': 'npm publish'}},
+                                 datalink=gd)
+    check(f'答え {answer!r} → deny', out['hookSpecificOutput']['permissionDecision'], 'deny')
+for cmd in GATE_CMDS:
+    out = cc2_guard.build_output({'tool_name': 'Bash', 'tool_input': {'command': cmd}}, datalink=gd_ok)
+    check(f'★ask は返さない: {cmd[:40]}', out['hookSpecificOutput']['permissionDecision'] != 'ask', True)
 
 print('\n=== (a3) ★フェイルクローズ: 聞けないとき関門は deny（素通りさせない） ===')
 gd_ng = GuardDatalink({'url': 'http://x', 'token': 't'}, reachable=False)
@@ -127,11 +150,17 @@ out = cc2_guard.build_output({'tool_name': 'Bash', 'tool_input': {'command': 'ca
                              datalink=gd_unset)
 check('危険は管制不通でも deny のまま', out['hookSpecificOutput']['permissionDecision'], 'deny')
 
-# 無効化フラグ（人間が「不通の間は止めない」と決めたとき）→ 従来どおり defer。
+# ★便 ab6e36ca: 以前の無効化フラグ（CC2_GATE_FAILCLOSE=0 で止めずに ask）は外した。
+#   ask は auto モードでは人の答えを待たずに実行されうる（便 c525bb2b）＝止めが消える回避路になるため。
 os.environ['CC2_GATE_FAILCLOSE'] = '0'
 out = cc2_guard.build_output({'tool_name': 'Bash', 'tool_input': {'command': 'git push origin main'}},
                              datalink=gd_unset)
-check('CC2_GATE_FAILCLOSE=0 なら関門は defer', out, None)
+check('★CC2_GATE_FAILCLOSE=0 でも関門は deny（回避路を作らない）',
+      out['hookSpecificOutput']['permissionDecision'], 'deny')
+out = cc2_guard.build_output({'tool_name': 'Bash', 'tool_input': {'command': 'git push origin main'}},
+                             datalink=gd_ng)
+check('★CC2_GATE_FAILCLOSE=0 でも管制不通の関門は deny',
+      out['hookSpecificOutput']['permissionDecision'], 'deny')
 os.environ.pop('CC2_GATE_FAILCLOSE', None)
 
 # 関門でも、人に見せる日本語1行は用意できている（管制のカードへ送る文言）。
@@ -154,14 +183,34 @@ MERGE_ALLOW = [
     'cd /srv/app && gh pr merge 12 --squash',       # 複合コマンドでも自走
     'bash -c "gh pr merge 12 --squash"',            # 包んでも自走
     'gh pr merge 12 --squash && git pull',
-    # ★便（指示）で実際に使う形。鉄則7「便の終点はマージまで」の2通りをそのまま置く。
-    'gh pr merge 151 --admin --merge --delete-branch',
+    # ★便（指示）で実際に使う形。鉄則7「便の終点はマージまで」の形をそのまま置く。
     'gh pr merge 151 --auto --merge --delete-branch',
+    'gh pr merge 151 --merge --delete-branch',
 ]
 for cmd in MERGE_ALLOW:
     r = policy.decide_bash(cmd)
     check(f'merge allow {cmd[:56]}', (r['decision'], r['gate']), (policy.ALLOW, None))
 
+# ★保護を迂回する合流（--admin）は職人には禁止（便 918ce835・えふさん確定 2026-09-17）。
+MERGE_ADMIN_DENY = [
+    'gh pr merge 151 --admin --merge --delete-branch',
+    'gh pr merge --admin 12',
+    'gh pr merge 12 --squash --admin',
+    'gh pr merge 12 --admin=true',
+    'gh pr merge -R o/r 12 --admin',
+    'cd /srv/app && gh pr merge 12 --admin',
+    'bash -c "gh pr merge 12 --admin"',
+]
+for cmd in MERGE_ADMIN_DENY:
+    r = policy.decide_bash(cmd)
+    check(f'merge --admin deny {cmd[:48]}', r['decision'], policy.DENY)
+# 字面に --admin が出るだけの操作は止めない（PR の本文・コミットの説明・検索）。
+for cmd in ['gh pr create --title x --body "gh pr merge --admin は使わない"',
+            'git commit -m "gh pr merge --admin を禁止"',
+            'gh pr view 12 --json mergeStateStatus',
+            'gh api repos/o/r --jq .admin']:
+    check(f'--admin の字面だけは allow {cmd[:40]}', policy.decide_bash(cmd)['decision'], policy.ALLOW)
+
 # フックの出口でも allow（＝確認カードを出さずに実行される）。管制が不通でも止まらない。
 for _gd in (GuardDatalink({'url': 'http://x', 'token': 't'}, reachable=True),
             GuardDatalink(None, reachable=False)):