@tyhld/conductor 0.12.17 → 0.12.19

package/scripts/hooks/policy.py

@@ -10,11 +10,15 @@
 
 【この版の判定（上から順に1つだけ当たる）】
   1. 危険     → deny   … 本番破壊・force push・データ消失・認証情報の露出/持ち出し
-  2. 3関門    → gate   … main直変更 / 本番確認 / DB実行（人が必ず判断する）
+                         ★抜け道（便 fc22bc34）: main 直 push・保護の迂回と変更・秘密の値の設定・
+                           リポの削除・検査の省略・本番 DB の直接変更（_bypass_scan / _prod_db_change）
+  2. 関門     → gate   … 本番確認 / DB実行（人が必ず判断する）
   3. それ以外 → allow  … 自走してよい。★新しいコマンドは必ずここへ落ちる
 
-★PRのマージ（`gh pr merge`）は関門ではない（決定・案B完全自動化）。詳しくは _gate_merge の説明。
-  ただし保護を迂回する `gh pr merge --admin` は危険（deny）。詳しくは _admin_merge_danger の説明。
+★PRのマージ（`gh pr merge`）は関門ではない（決定・案B完全自動化）。
+  ただし保護を迂回する `gh pr merge --admin` と、API での合流（pulls/N/merge）は危険（deny）。
+★main など保護ブランチへの直接 push は、関門から危険（deny）へ移した（えふさん確定 2026-09-18①）。
+  通常は PR 経由に統一する。関門の種別の字面 'merge' は管制の表示・集計のために残してある。
 
 【危険は「動詞」ではなく「対象と作用」で見る】
   旧番人は動詞を白に入れた瞬間に対象を見なくなり、`curl -d @.env`・`cp .env /tmp`・
@@ -38,9 +42,10 @@ import shlex
 DENY, GATE, ALLOW = 'deny', 'gate', 'allow'
 
 # 関門の種類（表示・集計用）。
-# ★GATE_MERGE の中身は「PRのマージ」から「main への直接 push」へ縮んだ（_gate_merge 参照）。
-#   種別の字面 'merge' は管制の表示・集計が使っているので変えない。
-GATE_MERGE = 'merge'      # 関門1 本番ブランチの直接変更
+# ★GATE_MERGE は「PRのマージ」→「main への直接 push」→（便 fc22bc34）関門でなくなった
+#   （main 直 push は deny・_main_push_danger）。種別の字面 'merge' は管制の表示・集計が
+#   使っているので、定数は残す（policy からはもう返さない）。
+GATE_MERGE = 'merge'      # 旧 関門1 本番ブランチの直接変更（いまは deny）
 GATE_RELEASE = 'release'  # 関門2 本番確認
 GATE_DB = 'db'            # 関門3 DB実行
 
@@ -706,6 +711,10 @@ def _wrapper_danger(command: str, depth: int = 0, cwd=None):
                    or _recursive_read_danger(v, toks, cwd) or _admin_merge_danger(v, toks))
             if hit:
                 return f'{hit} ({where})'
+        # ★抜け道も包みの中で測り直す（`bash -c "git push origin main"` を素通りさせない）。
+        hit = _bypass_scan(inner, cwd)
+        if hit:
+            return f'{hit} ({where})'
         hit = _wrapper_danger(inner, depth + 1, cwd)
         if hit:
             return hit
@@ -1068,6 +1077,411 @@ def _admin_merge_danger(verb: str, tokens):
     return None
 
 
+# ═════════════════════════════════════════════════════════════════════════════
+# 抜け道（DENY・便 fc22bc34・えふさん確定 2026-09-18）
+#
+# 【考え方】ALLOW＝普通の開発・練習環境／ASK＝正当だが実世界に影響する操作／
+#   DENY＝職人が行う必要が無い抜け道（main 直 push・本番 DB の直接変更・秘密の値の操作・
+#   保護の変更・検査の省略・迂回による保護回避）。ここは DENY の側。
+# 【字面だけでは止めない】どれも「実際に動く道具の語の並び」で見る。コミットの説明や PR の本文に
+#   同じ語が書かれているだけの操作は止めない（動詞と、その後ろの語の並びで決める）。
+#   ★例外は [skip ci] 類: コミットの説明に書かれた時点で GitHub が CI を飛ばす（本物の省略）。
+# ═════════════════════════════════════════════════════════════════════════════
+
+# npx / pnpm dlx などの「道具を呼ぶための前置き」。取り除いて道具の語の並びを見る。
+_TOOL_RUNNERS = frozenset({'npx', 'pnpx', 'bunx'})
+_PKG_MANAGERS = frozenset({'npm', 'pnpm', 'yarn'})
+_PKG_EXEC_WORDS = frozenset({'exec', 'dlx', 'x'})
+# 前置きの後ろに直接書かれる道具（`pnpm vercel env add` の形）。
+_KNOWN_TOOLS = frozenset({
+    'vercel', 'supabase', 'wrangler', 'prisma', 'drizzle-kit', 'fly', 'flyctl', 'heroku',
+    'netlify', 'gh', 'psql', 'dropdb', 'claude',
+})
+# 値を1つ取る旗（語の並びから値ごと外す）。
+_VALUE_FLAGS = frozenset({
+    '--scope', '-S', '--token', '-t', '--cwd', '--project-ref', '--app', '-a', '--config',
+    '-c', '-C', '--account-id', '--site', '--env', '-e', '--repo', '-R', '--schema',
+})
+
+# 作業場所が変数などで決まり、確かめられないことを表す印（None＝「指定なし＝今の場所」とは別）。
+_UNKNOWN_DIR = object()
+
+
+def _tool_words(tokens):
+    """道具の語の並び（前置き・変数代入・旗を外し、小文字にしたもの）。無ければ []。"""
+    i = 0
+    while i < len(tokens):
+        t = tokens[i]
+        if _ASSIGN_RE.match(t):
+            i += 1
+            continue
+        base = t.split('/')[-1]
+        if base in _WRAPPERS:
+            i += 1
+            while i < len(tokens) and tokens[i].startswith('-'):
+                i += 1
+            if base in ('timeout', 'nice', 'ionice') and i < len(tokens) \
+                    and not tokens[i].startswith('-'):
+                i += 1
+            continue
+        break
+    rest = tokens[i:]
+    if not rest:
+        return []
+    head = rest[0].split('/')[-1].lower()
+    if head in _TOOL_RUNNERS or head in _PKG_MANAGERS:
+        j = 1
+        while j < len(rest) and (rest[j].startswith('-') or rest[j].lower() in _PKG_EXEC_WORDS):
+            j += 1
+        nxt = rest[j].split('/')[-1].lower() if j < len(rest) else ''
+        if head in _TOOL_RUNNERS or rest[1:2] and rest[1].lower() in _PKG_EXEC_WORDS \
+                or nxt in _KNOWN_TOOLS:
+            rest = rest[j:]
+    words = []
+    skip = False
+    for k, t in enumerate(rest):
+        if skip:
+            skip = False
+            continue
+        if k > 0 and t.startswith('-'):
+            if t in _VALUE_FLAGS:
+                skip = True
+            continue
+        words.append(t.split('/')[-1].lower() if k == 0 else t.lower())
+    return words
+
+
+def _current_branch_targets(cwd):
+    """cwd のリポで、引数なしの push が書き込む先のブランチ名の集合。確かめられなければ None。
+
+    ★今のブランチ（rev-parse --abbrev-ref HEAD）と、設定された push 先（@{push}）の両方を見る。
+      切り離された HEAD・git が無い・遅い（5秒）・cwd が分からない、は確かめられない＝None。
+    """
+    try:
+        import subprocess
+        def out(args):
+            r = subprocess.run(['git'] + args, cwd=cwd or None, capture_output=True,
+                               text=True, timeout=5)
+            return r.stdout.strip() if r.returncode == 0 else None
+        head = out(['rev-parse', '--abbrev-ref', 'HEAD'])
+        if not head or head == 'HEAD':
+            return None
+        targets = {head}
+        push = out(['rev-parse', '--abbrev-ref', '--symbolic-full-name', '@{push}'])
+        if push and '/' in push:
+            targets.add(push.split('/', 1)[1])
+        return targets
+    except Exception:  # noqa: BLE001
+        return None
+
+
+def _main_push_danger(tokens, cwd):
+    """main など保護ブランチへの直接 push（★便 fc22bc34 で関門から DENY へ・えふさん確定①）。
+
+    ★通常は PR 経由に統一する。職人が main へ直接 push する必要は無い。
+    ★書き込む先を書かない形（`git push` / `git push origin` / `git push origin HEAD`）は、
+      今のブランチを git で確かめる。確かめられないとき（切り離された HEAD・git が答えない・
+      作業場所が変数で決まる）は DENY に倒す＝main へ書く可能性を消せないものは通さない。
+    ★`--all` / `--mirror` / `--branches` は全部のブランチを書くので DENY。
+    """
+    words = _tool_words(tokens)
+    if not words or words[0] != 'git':
+        return None
+    try:
+        start = [t.split('/')[-1] for t in tokens].index('git')
+    except ValueError:
+        return None
+    # git の前置きの旗（-C 場所 / -c 設定）を読む。
+    where = cwd
+    args = list(tokens[start + 1:])
+    while args and args[0].startswith('-'):
+        flag = args.pop(0)
+        if flag == '-C' and args:
+            p = args.pop(0)
+            if any(c in p for c in '$`') or where is _UNKNOWN_DIR:
+                where = _UNKNOWN_DIR
+            else:
+                p = os.path.expanduser(p)
+                where = p if os.path.isabs(p) else os.path.join(where or os.getcwd(), p)
+        elif flag == '-c' and args:
+            args.pop(0)
+    if not args or args[0] != 'push':
+        return None
+    push_args = args[1:]
+    positional = []
+    it = iter(push_args)
+    for t in it:
+        if t in ('--all', '--mirror', '--branches'):
+            return f'git push {t} (全部のブランチ＝保護ブランチも書く)'
+        if t in ('--repo', '-o', '--push-option', '--receive-pack', '--exec'):
+            next(it, None)
+            continue
+        if t.startswith('-'):
+            continue
+        positional.append(t)
+    refspecs = positional[1:]
+    needs_head = not refspecs
+    for spec in refspecs:
+        spec = spec.lstrip('+')
+        src, _, dst = spec.partition(':')
+        target = dst if dst else src
+        if target in ('HEAD', '@'):
+            needs_head = True
+            continue
+        name = target.removeprefix('refs/heads/')
+        if name in PROTECTED_BRANCHES:
+            return f'git push to protected branch ({name})'
+    if needs_head:
+        if where is _UNKNOWN_DIR:
+            return 'git push (書き込む先のブランチを確かめられない＝作業場所が変数)'
+        targets = _current_branch_targets(where)
+        if targets is None:
+            return 'git push (書き込む先のブランチを確かめられない)'
+        hit = sorted(targets & PROTECTED_BRANCHES)
+        if hit:
+            return f'git push to protected branch ({hit[0]}・今のブランチ)'
+    return None
+
+
+# GitHub の API の道筋（書き込み）。
+_API_MERGE_RE = re.compile(r'(^|/)pulls/[^/]+/merge/?$')
+_API_PROTECTION_RE = re.compile(
+    r'/branches/[^/]+/protection(/|$)|(^|/)rulesets(/|$)|/environments/[^/]+/?$'
+    r'|/deployment-branch-policies(/|$)|/deployment_protection_rules(/|$)')
+_API_SECRET_RE = re.compile(
+    r'/(actions|dependabot|codespaces|agents)/(secrets|variables)(/|$)'
+    r'|/environments/[^/]+/(secrets|variables)(/|$)')
+_API_REPO_RE = re.compile(r'^repos/[^/]+/[^/]+/?$')
+
+
+def _github_api_write(endpoint: str, method: str, body_low: str):
+    """GitHub の API への書き込み1件が抜け道なら理由を返す（読み取りは通す）。"""
+    ep = re.sub(r'^https?://api\.github\.com/', '', endpoint.strip()).lstrip('/').split('?')[0]
+    if method in ('GET', 'HEAD'):
+        return None
+    if _API_MERGE_RE.search(ep) and method in ('PUT', 'POST'):
+        return 'API での合流 (pulls/N/merge・保護を迂回する合流)'
+    if ep.rstrip('/') == 'graphql' and 'mergepullrequest' in body_low:
+        return 'GraphQL での合流 (mergePullRequest・保護を迂回する合流)'
+    if _API_PROTECTION_RE.search(ep):
+        return f'保護の変更 ({method} {ep})'
+    if _API_SECRET_RE.search(ep):
+        return f'秘密の値・変数の変更 ({method} {ep})'
+    if _API_REPO_RE.match(ep) and method == 'DELETE':
+        return 'リポの削除 (API)'
+    return None
+
+
+_GH_API_VALUE_FLAGS = frozenset({
+    '-X', '--method', '-H', '--header', '-f', '--raw-field', '-F', '--field', '--input',
+    '-q', '--jq', '-t', '--template', '--hostname', '-p', '--preview', '--cache',
+})
+_GH_API_BODY_FLAGS = frozenset({'-f', '--raw-field', '-F', '--field', '--input'})
+
+
+def _gh_api_danger(words, tokens, seg_low):
+    if words[:2] != ['gh', 'api']:
+        return None
+    try:
+        start = [t.split('/')[-1].lower() for t in tokens].index('gh')
+    except ValueError:
+        return None
+    args = tokens[start + 2:]
+    method, endpoint, has_body = None, None, False
+    k = 0
+    while k < len(args):
+        t = args[k]
+        if t.startswith('-X') and len(t) > 2:
+            method = t[2:]
+        elif t.startswith('--method='):
+            method = t.split('=', 1)[1]
+        elif t in _GH_API_VALUE_FLAGS:
+            if t in ('-X', '--method') and k + 1 < len(args):
+                method = args[k + 1]
+            if t in _GH_API_BODY_FLAGS:
+                has_body = True
+            k += 2
+            continue
+        elif any(t.startswith(f + '=') for f in ('--raw-field', '--field', '--input')):
+            has_body = True
+        elif not t.startswith('-') and endpoint is None:
+            endpoint = t
+        k += 1
+    if endpoint is None:
+        return None
+    method = (method or ('POST' if has_body else 'GET')).upper()
+    return _github_api_write(endpoint, method, seg_low)
+
+
+_HTTP_VERBS = frozenset({'curl', 'wget', 'http', 'https', 'xh'})
+
+
+def _http_github_danger(words, tokens, seg_low):
+    """curl などで GitHub の API へ直接書き込む形（gh を通さない抜け道）。"""
+    if not words or words[0] not in _HTTP_VERBS:
+        return None
+    urls = [t for t in tokens if 'api.github.com/' in t.lower()]
+    if not urls:
+        return None
+    method = None
+    for k, t in enumerate(tokens):
+        if t in ('-X', '--request', '--method') and k + 1 < len(tokens):
+            method = tokens[k + 1]
+        elif t.startswith('-X') and len(t) > 2:
+            method = t[2:]
+        elif t.startswith('--method='):
+            method = t.split('=', 1)[1]
+    if method is None:
+        has_body = any(t in ('-d', '--data', '--data-raw', '--data-binary', '--json', '-F', '--form')
+                       or t.startswith('--data') for t in tokens)
+        method = 'POST' if has_body else 'GET'
+        if words[0] in ('http', 'https', 'xh') and len(words) > 1 \
+                and words[1].upper() in ('PUT', 'POST', 'PATCH', 'DELETE'):
+            method = words[1]
+    for u in urls:
+        hit = _github_api_write(u.split('api.github.com/', 1)[1], method.upper(), seg_low)
+        if hit:
+            return hit
+    return None
+
+
+_SECRET_SET_RE = re.compile(
+    r'^(vercel env (add|rm|remove|update)'
+    r'|supabase secrets (set|unset)'
+    r'|wrangler (versions )?secret (put|delete|bulk)'
+    r'|gh variable (set|delete)'
+    r'|(fly|flyctl) secrets (set|unset|import)'
+    r'|heroku config:(set|unset)'
+    r'|netlify env:(set|unset|import))( |$)')
+
+# GitHub が「CI を飛ばす」と読む書き方（コミットの説明に入った時点で効く）。
+_SKIP_CI_RE = re.compile(
+    r'\[\s*(skip ci|ci skip|no ci|skip actions|actions skip)\s*\]|skip-checks\s*:\s*true',
+    re.IGNORECASE)
+
+_SKIP_PERMISSION_FLAGS = frozenset({
+    '--dangerously-skip-permissions', '--allow-dangerously-skip-permissions',
+})
+
+
+def _bypass_segment_danger(seg, tokens, cwd, command):
+    """1セグメントの抜け道（main 直 push 以外）。"""
+    words = _tool_words(tokens)
+    if not words:
+        return None
+    seg_low = seg.lower()
+    hit = _gh_api_danger(words, tokens, seg_low) or _http_github_danger(words, tokens, seg_low)
+    if hit:
+        return hit
+    joined = ' '.join(words)
+    if _SECRET_SET_RE.match(joined):
+        return f'秘密の値の設定・削除 ({" ".join(words[:3])})'
+    if words[:3] == ['gh', 'repo', 'delete']:
+        return 'リポの削除 (gh repo delete)'
+    if words[0] == 'git':
+        if '--no-verify' in tokens:
+            return 'git --no-verify (手元の検査の省略)'
+        sub = next((w for w in words[1:] if w != 'git'), '')
+        if sub == 'commit' and '-n' in tokens:
+            return 'git commit -n (手元の検査の省略)'
+        if any(t.lower().startswith('core.hookspath=') for t in tokens):
+            return 'git -c core.hooksPath (手元の検査の差し替え)'
+        if sub == 'commit' and _SKIP_CI_RE.search(command):
+            return 'コミットの説明に [skip ci] 類 (CI の省略)'
+    if words[:3] == ['gh', 'pr', 'merge'] and _SKIP_CI_RE.search(command):
+        return '合流の説明に [skip ci] 類 (CI の省略)'
+    if words[0] in ('claude', 'claude-code'):
+        if any(t in _SKIP_PERMISSION_FLAGS for t in tokens):
+            return 'claude --dangerously-skip-permissions (安全設定の省略)'
+        for k, t in enumerate(tokens):
+            v = t.split('=', 1)[1] if t.startswith('--permission-mode=') else (
+                tokens[k + 1] if t == '--permission-mode' and k + 1 < len(tokens) else None)
+            if v and v.lower() == 'bypasspermissions':
+                return 'claude --permission-mode bypassPermissions (安全設定の省略)'
+    return None
+
+
+def _bypass_scan(command: str, cwd=None):
+    """コマンド全体の抜け道を探す。★`cd 場所` を追って、後ろの push の作業場所に使う。"""
+    here = cwd
+    for seg in split_segments(command):
+        toks = tokens_of(seg)
+        v = verb_of(toks)
+        if v == 'cd':
+            after = toks[toks.index('cd') + 1:] if 'cd' in toks else []
+            dest = next((t for t in after if t != '--'), '~')
+            p = os.path.expanduser(dest)
+            if dest == '-' or any(c in dest for c in '$`*?') or here is _UNKNOWN_DIR:
+                here = _UNKNOWN_DIR
+            elif os.path.isabs(p):
+                here = p
+            else:
+                here = os.path.join(here or os.getcwd(), p)
+            continue
+        hit = _bypass_segment_danger(seg, toks, here, command) or _main_push_danger(toks, here)
+        if hit:
+            return hit
+    return None
+
+
+# ─────────────────────────────────────────────────────────────────────────────
+# 本番 DB の直接変更（★えふさん確定② 2026-09-18）
+#
+# 【いまは DENY】判定は _prod_db_change の1か所、決定は PROD_DB_CHANGE_DECISION の1か所。
+#   対象は、今の設定の deny（ホーム＋全20現場に共通）と同じ道具に揃えた。
+# 【あとで ASK へ移すとき】「職人が本番の鍵を持たない＋人が承認した専用の経路」が完成したら、
+#   PROD_DB_CHANGE_DECISION を GATE へ差し替える（1行）。判定の中身はそのまま使える。
+#   GATE にすると関門 db（管制の2択）として返る（試験 test_policy の (p2) で固定）。
+#   ★差し替えるときは、設定の deny（ホーム・各現場）も人の手番で外す。外さないと、番人が
+#     「はい」を受けても設定の deny で止まる（便 df4accf8 の重大発見2）。
+# ─────────────────────────────────────────────────────────────────────────────
+PROD_DB_CHANGE_DECISION = DENY
+
+# ★頭の語は道具の名前と【完全に一致】するときだけ当てる（`psql"` のような文字列の切れ端を拾わない）。
+_PROD_DB_CHANGE_RE = re.compile(
+    r'^(psql|dropdb)( |$)'
+    r'|^prisma (db push|migrate (deploy|reset))( |$)'
+    r'|^supabase (db push|migration up)( |$)'
+    r'|^drizzle-kit push( |$)')
+# npm / pnpm / yarn 自身の台本の実行（`npm run migrate` / `pnpm migrate:prod`）。
+_PKG_MIGRATE_RE = re.compile(r'^(npm|pnpm|yarn) ((run|run-script) )?migrate')
+
+
+def _prod_db_change(seg, tokens):
+    """1セグメントが本番 DB を直接変える道具なら理由を返す。"""
+    words = _tool_words(tokens)
+    if not words:
+        return None
+    joined = ' '.join(words)
+    if _PROD_DB_CHANGE_RE.match(joined):
+        return f'本番 DB の直接変更 ({" ".join(words[:3])})'
+    if _PKG_MIGRATE_RE.match(joined):
+        return f'本番 DB の直接変更 ({" ".join(words[:3])})'
+    if words[0] in _HTTP_VERBS and 'rest/v1/rpc/exec_sql' in seg.lower():
+        return '本番 DB の直接変更 (REST の exec_sql)'
+    return None
+
+
+def _prod_db_change_scan(command: str, depth: int = 0):
+    for seg in split_segments(command):
+        hit = _prod_db_change(seg, tokens_of(seg))
+        if hit:
+            return hit
+    if depth < _UNWRAP_MAX_DEPTH:
+        for kind, runner, inner in _inner_payloads(command):
+            if kind == 'shell' and inner and inner.strip():
+                hit = _prod_db_change_scan(inner, depth + 1)
+                if hit:
+                    return f'{hit} (inside {runner})'
+    return None
+
+
+def _prod_db_change_result(reason):
+    if PROD_DB_CHANGE_DECISION == GATE:
+        return _r(GATE, f'gate(db): {reason}', GATE_DB)
+    return _r(DENY, f'danger: {reason}')
+
+
 # 危険でない作業フォルダの絶対パス先頭成分（/tmp/xxx は限定削除として通す）。
 _SAFE_ABS_TOP = frozenset({'tmp'})
 
@@ -1196,26 +1610,6 @@ _SQL_TEXT_ONLY_VERBS = frozenset({
 })
 
 
-def _gate_merge(low: str, verb: str, tokens):
-    """関門1: 本番ブランチ（main 等）を【PRを通さずに】直接書き換える操作。
-
-    ★PRのマージ（`gh pr merge` / `gh api …/pulls/N/merge`）は関門から外した（案B完全自動化）。
-      理由: マージを関門にすると、職人は最後の1手で必ず人を待つことになり、
-      「指示を出したら終わりまで進む」が成立しなかった。マージはPRという記録が残り、
-      レビューとCIの結果が付いた上での操作なので、人が毎回押す価値より止まる損の方が大きい。
-      ★外したのはマージだけ。main への【直接 push】は関門のまま残す。こちらはPRもレビューも
-        CIも通らずに本番の元が変わるため、性質がまったく違う（外すと歯止めが無くなる）。
-    """
-    if verb == 'git' and len(tokens) >= 2 and tokens[1] == 'push':
-        for t in tokens[2:]:
-            if t.startswith('-'):
-                continue
-            ref = t.split(':')[-1].strip()
-            if ref in PROTECTED_BRANCHES:
-                return f'git push to protected branch ({ref})'
-    return None
-
-
 def _gate_release(low: str, verb: str, tokens):
     if verb == 'vercel' or (verb == 'npx' and 'vercel' in tokens[:3]):
         if '--prod' in tokens or '--production' in tokens:
@@ -1294,14 +1688,21 @@ def decide_bash(command: str, cwd=None):
     if hit:
         return _r(DENY, f'danger: {hit}')
 
+    # ---- 1d) 抜け道（便 fc22bc34・main 直 push・保護の迂回と変更・秘密の値・検査の省略） ----
+    hit = _bypass_scan(command, cwd)
+    if hit:
+        return _r(DENY, f'danger: {hit}')
+
+    # ---- 1e) 本番 DB の直接変更（★判定の置き場は _prod_db_change の1か所・決定は下の定数） ----
+    hit = _prod_db_change_scan(command)
+    if hit:
+        return _prod_db_change_result(hit)
+
     # ---- 2) 3関門 ----
     for seg in segments:
         toks = tokens_of(seg)
         v = verb_of(toks)
         seg_low = seg.lower()
-        hit = _gate_merge(seg_low, v, toks)
-        if hit:
-            return _r(GATE, f'gate(merge): {hit}', GATE_MERGE)
         hit = _gate_release(seg_low, v, toks)
         if hit:
             return _r(GATE, f'gate(release): {hit}', GATE_RELEASE)
@@ -1550,6 +1951,10 @@ def decide_event(data):
         return decide_read(fp, data.get('cwd'))
     if tool in SEARCH_TOOLS:
         return decide_search(tin, data.get('cwd'), tool)
+    # ★保護の変更（便 fc22bc34）: つなぎ先の道具で本番のデプロイの保護を変える形。
+    #   強める向きも含めて DENY（字面では強める・弱めるを見分けられない）。
+    if isinstance(tool, str) and re.search(r'(^|__)update_project_deployment_protection$', tool):
+        return _r(DENY, 'danger: 保護の変更 (デプロイの保護・つなぎ先の道具)')
     # ★知らない道具（MCP・将来増える組み込み）も、入力にパスらしい項目があれば同じ判定を通す。
     #   当たらなければ従来どおり自走する（WebSearch・道具の呼び出し等は1つも止まらない）。
     return decide_any_path(tin, data.get('cwd'))

package/scripts/hooks/settings.sample.json

@@ -27,6 +27,7 @@
         "hooks": [
           {
             "type": "command",
+            "timeout": 600,
             "command": "python3 $HOME/projects/conductor/scripts/hooks/cc2_guard.py"
           }
         ]