@tyhld/conductor 0.12.18 → 0.12.19

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@tyhld/conductor",
-  "version": "0.12.18",
+  "version": "0.12.19",
   "description": "采配くん管制の見守りアプリ（conductor-agent）。各PCで常駐し、中央(devlog-tracker)へ定期的に生存報告(heartbeat)を送る常駐CLI。",
   "type": "module",
   "bin": {

package/scripts/hooks/README.md

@@ -7,17 +7,19 @@
 **関門でない確認（3ボタンのカード）は出しません。**
 関門でない確認は**すべてその場で「はい」**として通し、この機の記録に「**聞かずに通した**」を1行残します。
 
-★**3関門（main直変更／本番確認／DB実行）だけは、自走モードでも人に聞きます**
+★**関門（本番確認／DB実行）だけは、自走モードでも人に聞きます**
 （便 918ce835・えふさん確定 2026-09-17「本番操作は人承認へ戻す」）。
+★main 直変更と、本番 DB を直接変える道具は、関門ではなく **`deny`** です（便 fc22bc34・1-2節）。
 2026-09-06〜09-17 は関門も聞かずに通していました（便 e6c5658a の実測で、関門の判定21件が確認なしで実行）。
 ★2026-09-18 から、関門は**入口の番人が管制に聞いて、答えが返るまで実行させません**。
 auto モードでも同じです（便 ab6e36ca・4節）。
 
 | | 自走モード（既定） | 従来（`CC2_AUTORUN=0`） |
 | --- | --- | --- |
-| 3関門（main直変更／本番確認／DB実行） | ★**管制の2択（はい／いいえ）で人が判断** | 同左 |
+| 関門（本番確認／DB実行） | ★**管制の2択（はい／いいえ）で人が判断** | 同左 |
 | そのほかの確認（`cd` / `npx` / 削除 など） | **聞かずに通す**＋この機の記録に1行 | 管制の3ボタンで人が判断 |
 | **危険**（持ち出し・秘密・番人の設定への書き込み・`gh pr merge --admin`） | **`deny`** | 同左 |
+| **抜け道**（main 直 push・API での合流・保護の変更・秘密の値の設定・リポの削除・検査の省略・本番 DB の直接変更） | **`deny`**（便 fc22bc34・1-2節） | 同左 |
 | 管制へつながらないとき | 関門は **`deny`**（フェイルクローズ）。それ以外の職人の作業は止まりません | 関門は `deny`（フェイルクローズ） |
 | PR の合流（`gh pr merge --auto` など・鉄則7） | **聞かずに通す**（関門ではない・ADR-007） | 同左 |
 
@@ -57,28 +59,53 @@ CC2_AUTORUN=0
 
 | 順番 | 何に当たるか | どうなるか |
 | --- | --- | --- |
-| 1 | **危険**（本番破壊・force push・データ消失・認証情報の露出/持ち出し） | `deny`（実行させない） |
-| 2 | **3関門**（main直変更／本番確認／DB実行） | ★入口の番人が**その場で管制の2択で聞き、答えが出るまで待つ**。「はい」→ `allow`／「いいえ」・答えが来ない・聞けない → **`deny`**（便 ab6e36ca・4節）。自走モードでも・auto モードでも同じ |
+| 1 | **危険**（本番破壊・force push・データ消失・認証情報の露出/持ち出し）＋★**抜け道**（1-2節） | `deny`（実行させない） |
+| 2 | **関門**（本番確認／DB実行） | ★入口の番人が**その場で管制の2択で聞き、答えが出るまで待つ**。「はい」→ `allow`／「いいえ」・答えが来ない・聞けない → **`deny`**（便 ab6e36ca・4節）。自走モードでも・auto モードでも同じ |
 | 3 | それ以外 | `allow`（自走） |
 
 ★**新しいコマンドは必ず 3 に落ちます**。これが「将来出てくる道具が自動的に正しい側へ行く」形です。
 
 ### ★PRのマージは関門ではありません（ADR-007）
 
-`gh pr merge`（および `gh api …/pulls/N/merge`）は**関門から外し、職人が自走できます**。
+`gh pr merge`（`--auto`・`--merge`・`--squash`・`--rebase`・`--delete-branch`）は**関門から外し、職人が自走できます**。
 マージを関門にすると、職人は毎回**最後の1手で人を待って止まる**ため、「指示を出したら終わりまで進む」が
 成立しませんでした。マージはPRという記録が残り、レビューとCIの結果が付いた上での操作です。
 
-**外したのはマージだけ**です。`git push origin main` のような**本番ブランチへの直接 push** は
-関門のまま残ります（PRもレビューもCIも通らずに本番の元が変わるため、性質がまったく違います）。
-関門1の呼び名も「マージ」から「**main直変更**」へ変わりました（種別の字面 `merge` は管制の表示・
-集計が使っているのでそのままです）。
+**外したのはマージだけ**です。`git push origin main` のような**本番ブランチへの直接 push** は、
+便 fc22bc34 で関門から **`deny`** へ移しました（1-2節）。★API での合流（`gh api …/pulls/N/merge` の書き込み）も `deny` です。
 
 ★**保護を迂回する合流 `gh pr merge --admin` は `deny`** です（便 918ce835・えふさん確定 2026-09-17）。
 branch protection は「CI が通っていない物を main に入れない」歯止めで、`--admin` はそれを外します。
 止めるのは動詞が `gh` で `pr merge` の後ろに `--admin` があるときだけで、PR の本文やコミットの説明に
 字面が出るだけの操作は止めません。本番の DDL を含む PR の合流も、鉄則7の自動合流のままです（本番操作の承認とは分けます）。
 
+## 1-2. ★抜け道は `deny`（便 fc22bc34・えふさん確定 2026-09-18）
+
+考え方：**ALLOW**＝普通の開発・検索・試験・練習環境（本番を変えない）／**ASK**＝外部への送信・公開など、
+正当な仕事だが実世界に影響する操作／**DENY**＝職人が行う必要が無い抜け道。ここは DENY の側です。
+
+| 抜け道 | 止める形（`policy.py`） |
+| --- | --- |
+| main など保護ブランチへの直接 push | `git push <remote> main`・`HEAD:master`・`--all`・`--mirror`。★書き込む先を書かない形（`git push`・`git push origin`・`git push origin HEAD`）は、**今のブランチと push 先（`@{push}`）を git に確かめ**、保護ブランチなら止める。確かめられない（切り離された HEAD・git リポでない・作業場所が変数）ときも止める（`_main_push_danger`） |
+| 保護の迂回 | `gh pr merge --admin`・API での合流（`gh api` / `curl` で `pulls/N/merge` を PUT/POST・GraphQL の `mergePullRequest`） |
+| 保護の変更（強める向きも） | ブランチの保護・ruleset・必須の検査・環境（`environments/<名前>`）・デプロイの保護（つなぎ先の `update_project_deployment_protection`）への書き込み |
+| 秘密の値の設定・削除 | `vercel env add/rm`・`supabase secrets set/unset`・`wrangler secret put/delete`・`gh variable set/delete`・`fly secrets`・`heroku config:set`・`netlify env:set`、API の `actions/secrets`・`variables` への書き込み |
+| リポの削除 | `gh repo delete`・API の `DELETE repos/<o>/<r>` |
+| 検査・安全設定の省略 | `claude --dangerously-skip-permissions`・`--permission-mode bypassPermissions`・`git … --no-verify`・`git commit -n`・`git -c core.hooksPath=…`・コミットの説明や合流の説明に入った `[skip ci]` 類（GitHub が本当に CI を飛ばす） |
+| 本番 DB の直接変更 | `psql`・`dropdb`・`prisma db push / migrate deploy / migrate reset`・`supabase db push / migration up`・`drizzle-kit push`・`npm/pnpm/yarn run migrate…`・REST の `rpc/exec_sql`（今の設定の deny と揃えた） |
+
+★**字面だけでは止めません**。どれも「実際に動く道具の語の並び」（`_tool_words`）で見ます。PR の本文やコミットの説明に
+「--admin」「skip ci」と書くだけの操作は通ります（`[skip ci]` 類は、コミットの説明に入った時点で GitHub が本当に CI を飛ばすので止めます）。
+★`bash -c "…"` などの包みの中も同じ物差しで測り直します。
+
+### ★本番 DB の直接変更は、あとで ASK へ移せる形
+
+判定は `_prod_db_change` の1か所、決定は `PROD_DB_CHANGE_DECISION` の1か所（いまは `DENY`）。
+「職人が本番の鍵を持たない＋人が承認した専用の経路」が完成したら、この定数を `GATE` に差し替えるだけで、
+同じ判定が関門 db（管制の2択）として返ります（`test_bypass_deny.py` の (7) で差し替えを確かめています）。
+★差し替えるときは、ホームと各現場の設定の deny（`Bash(psql:*)` など）も人の手番で外してください。
+外さないと、番人が「はい」を受けても設定の deny で止まります（便 df4accf8 の重大発見2）。
+
 ## 2. ファイルの役割
 
 | ファイル | 役割 |
@@ -90,6 +117,7 @@ branch protection は「CI が通っていない物を main に入れない」
 | `hook_datalink.py` | フックと管制のやり取り（HTTP）。**製品固有の前提を持たない＝切り出し可能** |
 | `summary_ja.py` | 確認カードに出す**日本語1行**の組み立て |
 | `test_policy.py` | 単体テスト（297件）。`python3 scripts/hooks/test_policy.py` |
+| `test_bypass_deny.py` | 抜け道の `deny` と、止めてはいけない操作の試験（便 fc22bc34）。`python3 scripts/hooks/test_bypass_deny.py` |
 | （`../check_permission_rules.py`） | 現場の許可設定に残った「番人と食い違う行」を洗い出す検査（読むだけ・ADR-009） |
 | `test_hook_datalink.py` | 連絡線の単体テスト。`python3 scripts/hooks/test_hook_datalink.py` |
 | `settings.sample.json` | フック登録の見本（★人間が `~/.claude/settings.json` へ反映する） |

package/scripts/hooks/policy.py

@@ -10,11 +10,15 @@
 
 【この版の判定（上から順に1つだけ当たる）】
   1. 危険     → deny   … 本番破壊・force push・データ消失・認証情報の露出/持ち出し
-  2. 3関門    → gate   … main直変更 / 本番確認 / DB実行（人が必ず判断する）
+                         ★抜け道（便 fc22bc34）: main 直 push・保護の迂回と変更・秘密の値の設定・
+                           リポの削除・検査の省略・本番 DB の直接変更（_bypass_scan / _prod_db_change）
+  2. 関門     → gate   … 本番確認 / DB実行（人が必ず判断する）
   3. それ以外 → allow  … 自走してよい。★新しいコマンドは必ずここへ落ちる
 
-★PRのマージ（`gh pr merge`）は関門ではない（決定・案B完全自動化）。詳しくは _gate_merge の説明。
-  ただし保護を迂回する `gh pr merge --admin` は危険（deny）。詳しくは _admin_merge_danger の説明。
+★PRのマージ（`gh pr merge`）は関門ではない（決定・案B完全自動化）。
+  ただし保護を迂回する `gh pr merge --admin` と、API での合流（pulls/N/merge）は危険（deny）。
+★main など保護ブランチへの直接 push は、関門から危険（deny）へ移した（えふさん確定 2026-09-18①）。
+  通常は PR 経由に統一する。関門の種別の字面 'merge' は管制の表示・集計のために残してある。
 
 【危険は「動詞」ではなく「対象と作用」で見る】
   旧番人は動詞を白に入れた瞬間に対象を見なくなり、`curl -d @.env`・`cp .env /tmp`・
@@ -38,9 +42,10 @@ import shlex
 DENY, GATE, ALLOW = 'deny', 'gate', 'allow'
 
 # 関門の種類（表示・集計用）。
-# ★GATE_MERGE の中身は「PRのマージ」から「main への直接 push」へ縮んだ（_gate_merge 参照）。
-#   種別の字面 'merge' は管制の表示・集計が使っているので変えない。
-GATE_MERGE = 'merge'      # 関門1 本番ブランチの直接変更
+# ★GATE_MERGE は「PRのマージ」→「main への直接 push」→（便 fc22bc34）関門でなくなった
+#   （main 直 push は deny・_main_push_danger）。種別の字面 'merge' は管制の表示・集計が
+#   使っているので、定数は残す（policy からはもう返さない）。
+GATE_MERGE = 'merge'      # 旧 関門1 本番ブランチの直接変更（いまは deny）
 GATE_RELEASE = 'release'  # 関門2 本番確認
 GATE_DB = 'db'            # 関門3 DB実行
 
@@ -706,6 +711,10 @@ def _wrapper_danger(command: str, depth: int = 0, cwd=None):
                    or _recursive_read_danger(v, toks, cwd) or _admin_merge_danger(v, toks))
             if hit:
                 return f'{hit} ({where})'
+        # ★抜け道も包みの中で測り直す（`bash -c "git push origin main"` を素通りさせない）。
+        hit = _bypass_scan(inner, cwd)
+        if hit:
+            return f'{hit} ({where})'
         hit = _wrapper_danger(inner, depth + 1, cwd)
         if hit:
             return hit
@@ -1068,6 +1077,411 @@ def _admin_merge_danger(verb: str, tokens):
     return None
 
 
+# ═════════════════════════════════════════════════════════════════════════════
+# 抜け道（DENY・便 fc22bc34・えふさん確定 2026-09-18）
+#
+# 【考え方】ALLOW＝普通の開発・練習環境／ASK＝正当だが実世界に影響する操作／
+#   DENY＝職人が行う必要が無い抜け道（main 直 push・本番 DB の直接変更・秘密の値の操作・
+#   保護の変更・検査の省略・迂回による保護回避）。ここは DENY の側。
+# 【字面だけでは止めない】どれも「実際に動く道具の語の並び」で見る。コミットの説明や PR の本文に
+#   同じ語が書かれているだけの操作は止めない（動詞と、その後ろの語の並びで決める）。
+#   ★例外は [skip ci] 類: コミットの説明に書かれた時点で GitHub が CI を飛ばす（本物の省略）。
+# ═════════════════════════════════════════════════════════════════════════════
+
+# npx / pnpm dlx などの「道具を呼ぶための前置き」。取り除いて道具の語の並びを見る。
+_TOOL_RUNNERS = frozenset({'npx', 'pnpx', 'bunx'})
+_PKG_MANAGERS = frozenset({'npm', 'pnpm', 'yarn'})
+_PKG_EXEC_WORDS = frozenset({'exec', 'dlx', 'x'})
+# 前置きの後ろに直接書かれる道具（`pnpm vercel env add` の形）。
+_KNOWN_TOOLS = frozenset({
+    'vercel', 'supabase', 'wrangler', 'prisma', 'drizzle-kit', 'fly', 'flyctl', 'heroku',
+    'netlify', 'gh', 'psql', 'dropdb', 'claude',
+})
+# 値を1つ取る旗（語の並びから値ごと外す）。
+_VALUE_FLAGS = frozenset({
+    '--scope', '-S', '--token', '-t', '--cwd', '--project-ref', '--app', '-a', '--config',
+    '-c', '-C', '--account-id', '--site', '--env', '-e', '--repo', '-R', '--schema',
+})
+
+# 作業場所が変数などで決まり、確かめられないことを表す印（None＝「指定なし＝今の場所」とは別）。
+_UNKNOWN_DIR = object()
+
+
+def _tool_words(tokens):
+    """道具の語の並び（前置き・変数代入・旗を外し、小文字にしたもの）。無ければ []。"""
+    i = 0
+    while i < len(tokens):
+        t = tokens[i]
+        if _ASSIGN_RE.match(t):
+            i += 1
+            continue
+        base = t.split('/')[-1]
+        if base in _WRAPPERS:
+            i += 1
+            while i < len(tokens) and tokens[i].startswith('-'):
+                i += 1
+            if base in ('timeout', 'nice', 'ionice') and i < len(tokens) \
+                    and not tokens[i].startswith('-'):
+                i += 1
+            continue
+        break
+    rest = tokens[i:]
+    if not rest:
+        return []
+    head = rest[0].split('/')[-1].lower()
+    if head in _TOOL_RUNNERS or head in _PKG_MANAGERS:
+        j = 1
+        while j < len(rest) and (rest[j].startswith('-') or rest[j].lower() in _PKG_EXEC_WORDS):
+            j += 1
+        nxt = rest[j].split('/')[-1].lower() if j < len(rest) else ''
+        if head in _TOOL_RUNNERS or rest[1:2] and rest[1].lower() in _PKG_EXEC_WORDS \
+                or nxt in _KNOWN_TOOLS:
+            rest = rest[j:]
+    words = []
+    skip = False
+    for k, t in enumerate(rest):
+        if skip:
+            skip = False
+            continue
+        if k > 0 and t.startswith('-'):
+            if t in _VALUE_FLAGS:
+                skip = True
+            continue
+        words.append(t.split('/')[-1].lower() if k == 0 else t.lower())
+    return words
+
+
+def _current_branch_targets(cwd):
+    """cwd のリポで、引数なしの push が書き込む先のブランチ名の集合。確かめられなければ None。
+
+    ★今のブランチ（rev-parse --abbrev-ref HEAD）と、設定された push 先（@{push}）の両方を見る。
+      切り離された HEAD・git が無い・遅い（5秒）・cwd が分からない、は確かめられない＝None。
+    """
+    try:
+        import subprocess
+        def out(args):
+            r = subprocess.run(['git'] + args, cwd=cwd or None, capture_output=True,
+                               text=True, timeout=5)
+            return r.stdout.strip() if r.returncode == 0 else None
+        head = out(['rev-parse', '--abbrev-ref', 'HEAD'])
+        if not head or head == 'HEAD':
+            return None
+        targets = {head}
+        push = out(['rev-parse', '--abbrev-ref', '--symbolic-full-name', '@{push}'])
+        if push and '/' in push:
+            targets.add(push.split('/', 1)[1])
+        return targets
+    except Exception:  # noqa: BLE001
+        return None
+
+
+def _main_push_danger(tokens, cwd):
+    """main など保護ブランチへの直接 push（★便 fc22bc34 で関門から DENY へ・えふさん確定①）。
+
+    ★通常は PR 経由に統一する。職人が main へ直接 push する必要は無い。
+    ★書き込む先を書かない形（`git push` / `git push origin` / `git push origin HEAD`）は、
+      今のブランチを git で確かめる。確かめられないとき（切り離された HEAD・git が答えない・
+      作業場所が変数で決まる）は DENY に倒す＝main へ書く可能性を消せないものは通さない。
+    ★`--all` / `--mirror` / `--branches` は全部のブランチを書くので DENY。
+    """
+    words = _tool_words(tokens)
+    if not words or words[0] != 'git':
+        return None
+    try:
+        start = [t.split('/')[-1] for t in tokens].index('git')
+    except ValueError:
+        return None
+    # git の前置きの旗（-C 場所 / -c 設定）を読む。
+    where = cwd
+    args = list(tokens[start + 1:])
+    while args and args[0].startswith('-'):
+        flag = args.pop(0)
+        if flag == '-C' and args:
+            p = args.pop(0)
+            if any(c in p for c in '$`') or where is _UNKNOWN_DIR:
+                where = _UNKNOWN_DIR
+            else:
+                p = os.path.expanduser(p)
+                where = p if os.path.isabs(p) else os.path.join(where or os.getcwd(), p)
+        elif flag == '-c' and args:
+            args.pop(0)
+    if not args or args[0] != 'push':
+        return None
+    push_args = args[1:]
+    positional = []
+    it = iter(push_args)
+    for t in it:
+        if t in ('--all', '--mirror', '--branches'):
+            return f'git push {t} (全部のブランチ＝保護ブランチも書く)'
+        if t in ('--repo', '-o', '--push-option', '--receive-pack', '--exec'):
+            next(it, None)
+            continue
+        if t.startswith('-'):
+            continue
+        positional.append(t)
+    refspecs = positional[1:]
+    needs_head = not refspecs
+    for spec in refspecs:
+        spec = spec.lstrip('+')
+        src, _, dst = spec.partition(':')
+        target = dst if dst else src
+        if target in ('HEAD', '@'):
+            needs_head = True
+            continue
+        name = target.removeprefix('refs/heads/')
+        if name in PROTECTED_BRANCHES:
+            return f'git push to protected branch ({name})'
+    if needs_head:
+        if where is _UNKNOWN_DIR:
+            return 'git push (書き込む先のブランチを確かめられない＝作業場所が変数)'
+        targets = _current_branch_targets(where)
+        if targets is None:
+            return 'git push (書き込む先のブランチを確かめられない)'
+        hit = sorted(targets & PROTECTED_BRANCHES)
+        if hit:
+            return f'git push to protected branch ({hit[0]}・今のブランチ)'
+    return None
+
+
+# GitHub の API の道筋（書き込み）。
+_API_MERGE_RE = re.compile(r'(^|/)pulls/[^/]+/merge/?$')
+_API_PROTECTION_RE = re.compile(
+    r'/branches/[^/]+/protection(/|$)|(^|/)rulesets(/|$)|/environments/[^/]+/?$'
+    r'|/deployment-branch-policies(/|$)|/deployment_protection_rules(/|$)')
+_API_SECRET_RE = re.compile(
+    r'/(actions|dependabot|codespaces|agents)/(secrets|variables)(/|$)'
+    r'|/environments/[^/]+/(secrets|variables)(/|$)')
+_API_REPO_RE = re.compile(r'^repos/[^/]+/[^/]+/?$')
+
+
+def _github_api_write(endpoint: str, method: str, body_low: str):
+    """GitHub の API への書き込み1件が抜け道なら理由を返す（読み取りは通す）。"""
+    ep = re.sub(r'^https?://api\.github\.com/', '', endpoint.strip()).lstrip('/').split('?')[0]
+    if method in ('GET', 'HEAD'):
+        return None
+    if _API_MERGE_RE.search(ep) and method in ('PUT', 'POST'):
+        return 'API での合流 (pulls/N/merge・保護を迂回する合流)'
+    if ep.rstrip('/') == 'graphql' and 'mergepullrequest' in body_low:
+        return 'GraphQL での合流 (mergePullRequest・保護を迂回する合流)'
+    if _API_PROTECTION_RE.search(ep):
+        return f'保護の変更 ({method} {ep})'
+    if _API_SECRET_RE.search(ep):
+        return f'秘密の値・変数の変更 ({method} {ep})'
+    if _API_REPO_RE.match(ep) and method == 'DELETE':
+        return 'リポの削除 (API)'
+    return None
+
+
+_GH_API_VALUE_FLAGS = frozenset({
+    '-X', '--method', '-H', '--header', '-f', '--raw-field', '-F', '--field', '--input',
+    '-q', '--jq', '-t', '--template', '--hostname', '-p', '--preview', '--cache',
+})
+_GH_API_BODY_FLAGS = frozenset({'-f', '--raw-field', '-F', '--field', '--input'})
+
+
+def _gh_api_danger(words, tokens, seg_low):
+    if words[:2] != ['gh', 'api']:
+        return None
+    try:
+        start = [t.split('/')[-1].lower() for t in tokens].index('gh')
+    except ValueError:
+        return None
+    args = tokens[start + 2:]
+    method, endpoint, has_body = None, None, False
+    k = 0
+    while k < len(args):
+        t = args[k]
+        if t.startswith('-X') and len(t) > 2:
+            method = t[2:]
+        elif t.startswith('--method='):
+            method = t.split('=', 1)[1]
+        elif t in _GH_API_VALUE_FLAGS:
+            if t in ('-X', '--method') and k + 1 < len(args):
+                method = args[k + 1]
+            if t in _GH_API_BODY_FLAGS:
+                has_body = True
+            k += 2
+            continue
+        elif any(t.startswith(f + '=') for f in ('--raw-field', '--field', '--input')):
+            has_body = True
+        elif not t.startswith('-') and endpoint is None:
+            endpoint = t
+        k += 1
+    if endpoint is None:
+        return None
+    method = (method or ('POST' if has_body else 'GET')).upper()
+    return _github_api_write(endpoint, method, seg_low)
+
+
+_HTTP_VERBS = frozenset({'curl', 'wget', 'http', 'https', 'xh'})
+
+
+def _http_github_danger(words, tokens, seg_low):
+    """curl などで GitHub の API へ直接書き込む形（gh を通さない抜け道）。"""
+    if not words or words[0] not in _HTTP_VERBS:
+        return None
+    urls = [t for t in tokens if 'api.github.com/' in t.lower()]
+    if not urls:
+        return None
+    method = None
+    for k, t in enumerate(tokens):
+        if t in ('-X', '--request', '--method') and k + 1 < len(tokens):
+            method = tokens[k + 1]
+        elif t.startswith('-X') and len(t) > 2:
+            method = t[2:]
+        elif t.startswith('--method='):
+            method = t.split('=', 1)[1]
+    if method is None:
+        has_body = any(t in ('-d', '--data', '--data-raw', '--data-binary', '--json', '-F', '--form')
+                       or t.startswith('--data') for t in tokens)
+        method = 'POST' if has_body else 'GET'
+        if words[0] in ('http', 'https', 'xh') and len(words) > 1 \
+                and words[1].upper() in ('PUT', 'POST', 'PATCH', 'DELETE'):
+            method = words[1]
+    for u in urls:
+        hit = _github_api_write(u.split('api.github.com/', 1)[1], method.upper(), seg_low)
+        if hit:
+            return hit
+    return None
+
+
+_SECRET_SET_RE = re.compile(
+    r'^(vercel env (add|rm|remove|update)'
+    r'|supabase secrets (set|unset)'
+    r'|wrangler (versions )?secret (put|delete|bulk)'
+    r'|gh variable (set|delete)'
+    r'|(fly|flyctl) secrets (set|unset|import)'
+    r'|heroku config:(set|unset)'
+    r'|netlify env:(set|unset|import))( |$)')
+
+# GitHub が「CI を飛ばす」と読む書き方（コミットの説明に入った時点で効く）。
+_SKIP_CI_RE = re.compile(
+    r'\[\s*(skip ci|ci skip|no ci|skip actions|actions skip)\s*\]|skip-checks\s*:\s*true',
+    re.IGNORECASE)
+
+_SKIP_PERMISSION_FLAGS = frozenset({
+    '--dangerously-skip-permissions', '--allow-dangerously-skip-permissions',
+})
+
+
+def _bypass_segment_danger(seg, tokens, cwd, command):
+    """1セグメントの抜け道（main 直 push 以外）。"""
+    words = _tool_words(tokens)
+    if not words:
+        return None
+    seg_low = seg.lower()
+    hit = _gh_api_danger(words, tokens, seg_low) or _http_github_danger(words, tokens, seg_low)
+    if hit:
+        return hit
+    joined = ' '.join(words)
+    if _SECRET_SET_RE.match(joined):
+        return f'秘密の値の設定・削除 ({" ".join(words[:3])})'
+    if words[:3] == ['gh', 'repo', 'delete']:
+        return 'リポの削除 (gh repo delete)'
+    if words[0] == 'git':
+        if '--no-verify' in tokens:
+            return 'git --no-verify (手元の検査の省略)'
+        sub = next((w for w in words[1:] if w != 'git'), '')
+        if sub == 'commit' and '-n' in tokens:
+            return 'git commit -n (手元の検査の省略)'
+        if any(t.lower().startswith('core.hookspath=') for t in tokens):
+            return 'git -c core.hooksPath (手元の検査の差し替え)'
+        if sub == 'commit' and _SKIP_CI_RE.search(command):
+            return 'コミットの説明に [skip ci] 類 (CI の省略)'
+    if words[:3] == ['gh', 'pr', 'merge'] and _SKIP_CI_RE.search(command):
+        return '合流の説明に [skip ci] 類 (CI の省略)'
+    if words[0] in ('claude', 'claude-code'):
+        if any(t in _SKIP_PERMISSION_FLAGS for t in tokens):
+            return 'claude --dangerously-skip-permissions (安全設定の省略)'
+        for k, t in enumerate(tokens):
+            v = t.split('=', 1)[1] if t.startswith('--permission-mode=') else (
+                tokens[k + 1] if t == '--permission-mode' and k + 1 < len(tokens) else None)
+            if v and v.lower() == 'bypasspermissions':
+                return 'claude --permission-mode bypassPermissions (安全設定の省略)'
+    return None
+
+
+def _bypass_scan(command: str, cwd=None):
+    """コマンド全体の抜け道を探す。★`cd 場所` を追って、後ろの push の作業場所に使う。"""
+    here = cwd
+    for seg in split_segments(command):
+        toks = tokens_of(seg)
+        v = verb_of(toks)
+        if v == 'cd':
+            after = toks[toks.index('cd') + 1:] if 'cd' in toks else []
+            dest = next((t for t in after if t != '--'), '~')
+            p = os.path.expanduser(dest)
+            if dest == '-' or any(c in dest for c in '$`*?') or here is _UNKNOWN_DIR:
+                here = _UNKNOWN_DIR
+            elif os.path.isabs(p):
+                here = p
+            else:
+                here = os.path.join(here or os.getcwd(), p)
+            continue
+        hit = _bypass_segment_danger(seg, toks, here, command) or _main_push_danger(toks, here)
+        if hit:
+            return hit
+    return None
+
+
+# ─────────────────────────────────────────────────────────────────────────────
+# 本番 DB の直接変更（★えふさん確定② 2026-09-18）
+#
+# 【いまは DENY】判定は _prod_db_change の1か所、決定は PROD_DB_CHANGE_DECISION の1か所。
+#   対象は、今の設定の deny（ホーム＋全20現場に共通）と同じ道具に揃えた。
+# 【あとで ASK へ移すとき】「職人が本番の鍵を持たない＋人が承認した専用の経路」が完成したら、
+#   PROD_DB_CHANGE_DECISION を GATE へ差し替える（1行）。判定の中身はそのまま使える。
+#   GATE にすると関門 db（管制の2択）として返る（試験 test_policy の (p2) で固定）。
+#   ★差し替えるときは、設定の deny（ホーム・各現場）も人の手番で外す。外さないと、番人が
+#     「はい」を受けても設定の deny で止まる（便 df4accf8 の重大発見2）。
+# ─────────────────────────────────────────────────────────────────────────────
+PROD_DB_CHANGE_DECISION = DENY
+
+# ★頭の語は道具の名前と【完全に一致】するときだけ当てる（`psql"` のような文字列の切れ端を拾わない）。
+_PROD_DB_CHANGE_RE = re.compile(
+    r'^(psql|dropdb)( |$)'
+    r'|^prisma (db push|migrate (deploy|reset))( |$)'
+    r'|^supabase (db push|migration up)( |$)'
+    r'|^drizzle-kit push( |$)')
+# npm / pnpm / yarn 自身の台本の実行（`npm run migrate` / `pnpm migrate:prod`）。
+_PKG_MIGRATE_RE = re.compile(r'^(npm|pnpm|yarn) ((run|run-script) )?migrate')
+
+
+def _prod_db_change(seg, tokens):
+    """1セグメントが本番 DB を直接変える道具なら理由を返す。"""
+    words = _tool_words(tokens)
+    if not words:
+        return None
+    joined = ' '.join(words)
+    if _PROD_DB_CHANGE_RE.match(joined):
+        return f'本番 DB の直接変更 ({" ".join(words[:3])})'
+    if _PKG_MIGRATE_RE.match(joined):
+        return f'本番 DB の直接変更 ({" ".join(words[:3])})'
+    if words[0] in _HTTP_VERBS and 'rest/v1/rpc/exec_sql' in seg.lower():
+        return '本番 DB の直接変更 (REST の exec_sql)'
+    return None
+
+
+def _prod_db_change_scan(command: str, depth: int = 0):
+    for seg in split_segments(command):
+        hit = _prod_db_change(seg, tokens_of(seg))
+        if hit:
+            return hit
+    if depth < _UNWRAP_MAX_DEPTH:
+        for kind, runner, inner in _inner_payloads(command):
+            if kind == 'shell' and inner and inner.strip():
+                hit = _prod_db_change_scan(inner, depth + 1)
+                if hit:
+                    return f'{hit} (inside {runner})'
+    return None
+
+
+def _prod_db_change_result(reason):
+    if PROD_DB_CHANGE_DECISION == GATE:
+        return _r(GATE, f'gate(db): {reason}', GATE_DB)
+    return _r(DENY, f'danger: {reason}')
+
+
 # 危険でない作業フォルダの絶対パス先頭成分（/tmp/xxx は限定削除として通す）。
 _SAFE_ABS_TOP = frozenset({'tmp'})
 
@@ -1196,26 +1610,6 @@ _SQL_TEXT_ONLY_VERBS = frozenset({
 })
 
 
-def _gate_merge(low: str, verb: str, tokens):
-    """関門1: 本番ブランチ（main 等）を【PRを通さずに】直接書き換える操作。
-
-    ★PRのマージ（`gh pr merge` / `gh api …/pulls/N/merge`）は関門から外した（案B完全自動化）。
-      理由: マージを関門にすると、職人は最後の1手で必ず人を待つことになり、
-      「指示を出したら終わりまで進む」が成立しなかった。マージはPRという記録が残り、
-      レビューとCIの結果が付いた上での操作なので、人が毎回押す価値より止まる損の方が大きい。
-      ★外したのはマージだけ。main への【直接 push】は関門のまま残す。こちらはPRもレビューも
-        CIも通らずに本番の元が変わるため、性質がまったく違う（外すと歯止めが無くなる）。
-    """
-    if verb == 'git' and len(tokens) >= 2 and tokens[1] == 'push':
-        for t in tokens[2:]:
-            if t.startswith('-'):
-                continue
-            ref = t.split(':')[-1].strip()
-            if ref in PROTECTED_BRANCHES:
-                return f'git push to protected branch ({ref})'
-    return None
-
-
 def _gate_release(low: str, verb: str, tokens):
     if verb == 'vercel' or (verb == 'npx' and 'vercel' in tokens[:3]):
         if '--prod' in tokens or '--production' in tokens:
@@ -1294,14 +1688,21 @@ def decide_bash(command: str, cwd=None):
     if hit:
         return _r(DENY, f'danger: {hit}')
 
+    # ---- 1d) 抜け道（便 fc22bc34・main 直 push・保護の迂回と変更・秘密の値・検査の省略） ----
+    hit = _bypass_scan(command, cwd)
+    if hit:
+        return _r(DENY, f'danger: {hit}')
+
+    # ---- 1e) 本番 DB の直接変更（★判定の置き場は _prod_db_change の1か所・決定は下の定数） ----
+    hit = _prod_db_change_scan(command)
+    if hit:
+        return _prod_db_change_result(hit)
+
     # ---- 2) 3関門 ----
     for seg in segments:
         toks = tokens_of(seg)
         v = verb_of(toks)
         seg_low = seg.lower()
-        hit = _gate_merge(seg_low, v, toks)
-        if hit:
-            return _r(GATE, f'gate(merge): {hit}', GATE_MERGE)
         hit = _gate_release(seg_low, v, toks)
         if hit:
             return _r(GATE, f'gate(release): {hit}', GATE_RELEASE)
@@ -1550,6 +1951,10 @@ def decide_event(data):
         return decide_read(fp, data.get('cwd'))
     if tool in SEARCH_TOOLS:
         return decide_search(tin, data.get('cwd'), tool)
+    # ★保護の変更（便 fc22bc34）: つなぎ先の道具で本番のデプロイの保護を変える形。
+    #   強める向きも含めて DENY（字面では強める・弱めるを見分けられない）。
+    if isinstance(tool, str) and re.search(r'(^|__)update_project_deployment_protection$', tool):
+        return _r(DENY, 'danger: 保護の変更 (デプロイの保護・つなぎ先の道具)')
     # ★知らない道具（MCP・将来増える組み込み）も、入力にパスらしい項目があれば同じ判定を通す。
     #   当たらなければ従来どおり自走する（WebSearch・道具の呼び出し等は1つも止まらない）。
     return decide_any_path(tin, data.get('cwd'))

package/scripts/hooks/test_autorun.py

@@ -55,12 +55,31 @@ def check_true(label, got):
 CFG = {'url': 'https://example.invalid', 'token': 'super-secret-token-value'}
 
 
+def make_work_repo(branch):
+    """作業ブランチに居る本物の git リポを使い捨ての場所に作る（便 fc22bc34）。
+    ★書き込む先を書かない push（`git push origin HEAD`）は、番人が今のブランチを git に確かめる。"""
+    import atexit
+    import shutil
+    import subprocess
+    d = tempfile.mkdtemp(prefix='guard-work-')
+    atexit.register(shutil.rmtree, d, True)
+    g = ['git', '-c', 'user.name=t', '-c', 'user.email=t@example.invalid', '-c', 'commit.gpgsign=false']
+    for args in (['init', '-q'], ['commit', '-q', '--allow-empty', '-m', 'init'],
+                 ['switch', '-q', '-c', branch]):
+        subprocess.run(g + args, cwd=d, check=True, capture_output=True)
+    return d
+
+
+WORK_REPO = make_work_repo('feat/gate-sample')
+
+
 def event(command='npx tsc --noEmit', tool='Bash'):
     # ★既定は関門でない操作（型の確認）。関門は自走でも人に聞くので、自走の見本には使わない。
+    # ★作業場所は、作業ブランチに居る本物の git リポ（ふつうの便の形）。
     return {
         'tool_name': tool,
         'tool_input': {'command': command, 'description': '型を確かめる'},
-        'cwd': '/home/x/projects/demo',
+        'cwd': WORK_REPO,
         'session_id': 's1',
     }
 
@@ -246,7 +265,7 @@ def pre(out):
 check('自走: 関門でない操作は管制に聞けなくても allow',
       pre(cc2_guard.build_output(event('npm run build'),
                                  datalink=FakeDatalink(reachable=False))), 'allow')
-ev = event('git push origin main')
+ev = event('npm publish')
 check('★自走: 関門は管制に聞けないなら止める（便 918ce835）',
       pre(cc2_guard.build_output(ev, datalink=FakeDatalink(reachable=False))), 'deny')
 check('従来: 管制に聞けないなら止める（フェイルクローズは健在）',
@@ -260,10 +279,11 @@ check('★自走でも危険は PreToolUse で止まる', pre(danger), 'deny')
 print('\n── (h) ★便 918ce835: 本番操作（関門）は自走でも人の承認に回す ' + '─' * 10)
 GATE_SAMPLES = [
     # ★危険語を含まない見本（番人の deny に当たらない書き方）。
-    ('本番の元へ直接(関門merge)', 'git push origin main', 'merge'),
+    # ★main 直 push と本番 DB を直接変える道具（psql 等）は便 fc22bc34 で deny へ移した
+    #   （test_bypass_deny.py）。ここは今も関門の操作だけ。
     ('本番へ反映(関門release)', 'npx vercel deploy --prod', 'release'),
     ('パッケージ公開(関門release)', 'npm publish', 'release'),
-    ('データベース(関門db)', 'psql -c "select 1"', 'db'),
+    ('データベース(関門db)', 'createdb newdb', 'db'),
     ('台本の中の SQL の字面(関門db)', 'python3 apply.py --mode grant', 'db'),
 ]
 ROUTINE = [
@@ -327,16 +347,16 @@ for label, cmd, gate in GATE_SAMPLES:
     check(f'② {label}: 人の「いいえ」で deny', behavior(prh.decide(event(cmd), datalink=fake)), 'deny')
 # 関門の種別がカードの文言に渡っている（管制の表示・集計で使う）。
 fake = FakeDatalink()
-prh.decide(event('git push origin main'), datalink=fake)
-check('② 関門のカードは本番の元の変更として説明する',
+prh.decide(event('npm publish'), datalink=fake)
+check('② 関門のカードは本番への反映として説明する',
       bool(fake.payloads)
-      and fake.payloads[0]['summary'].startswith('【お客さまの確認：本番の元を直接変更】'), True)
+      and fake.payloads[0]['summary'].startswith('【お客さまの確認：本番へ反映】'), True)
 # Codex: PreToolUse は従来どおり委譲（ask の受け付けは未確認）→ 確認の番人で2択に回す。
 check('② Codex: PreToolUse の関門は委譲（Codex の承認の流れへ渡す）',
-      cc2_guard.build_output(event('git push origin main'),
+      cc2_guard.build_output(event('npm publish'),
                              datalink=FakeDatalink(reachable=True), codex=True), None)
 fake = FakeDatalink(answer='allow')
-out = prh.decide(event('git push origin main'), datalink=fake, codex=True)
+out = prh.decide(event('npm publish'), datalink=fake, codex=True)
 check('② Codex: 確認の番人は自走でも管制へ聞く', fake.asked >= 1, True)
 check('② Codex: 「はい」でも updatedInput を添えない',
       'updatedInput' in (out or {}).get('hookSpecificOutput', {}).get('decision', {}), False)
@@ -347,7 +367,7 @@ for label, cmd, _gate in GATE_SAMPLES:
           pre(cc2_guard.build_output(event(cmd), datalink=FakeDatalink(reachable=False))), 'deny')
     check(f'③ {label}: 管制が未設定なら deny',
           pre(cc2_guard.build_output(event(cmd), datalink=FakeDatalink(cfg=None))), 'deny')
-cmd = 'git push origin main'
+cmd = 'npm publish'
 check('③ 確認の番人: 管制が未設定なら deny',
       behavior(prh.decide(event(cmd), datalink=FakeDatalink(cfg=None))), 'deny')
 check('③ 確認の番人: 登録できないなら deny',
@@ -425,20 +445,20 @@ for label, cmd in ROUTINE[:3]:
 
 print('  ⑦ 待ち時間の上限（Claude Code の上限の内側・カードの期限とそろえる）')
 fake = FakeDatalink(answer='allow')
-cc2_guard.build_output(event('git push origin main'), datalink=fake)
+cc2_guard.build_output(event('npm publish'), datalink=fake)
 check('⑦ 人の答えを待つ上限は 480 秒', fake.waited, 480)
 
 print('  ⑧ 同じ操作の答えを使い回さない（1回の実行ごとに新しいカード）')
 fake = FakeDatalink(answer='allow')
 for _ in range(2):
-    cc2_guard.build_output(event('git push origin main'), datalink=fake)
+    cc2_guard.build_output(event('npm publish'), datalink=fake)
 keys = [p.get('requestKey') for p in fake.payloads]
 check('⑧ 同じ操作を2回 → カードも2枚', len(keys), 2)
 check('⑧ 鍵は毎回ちがう（管制に前の答えでまとめさせない）', len(set(keys)) == 2 and None not in keys, True)
 check('⑧ 鍵は会話と関門の印つき', all(k.startswith('hook:s1:gate:') for k in keys if k), True)
 stale = FakeDatalink(pre_answer='allow', answer=None)
 check('⑧ ★登録の時点で付いてきた「はい」は使わない（答えが来なければ deny）',
-      pre(cc2_guard.build_output(event('git push origin main'), datalink=stale)), 'deny')
+      pre(cc2_guard.build_output(event('npm publish'), datalink=stale)), 'deny')
 check('⑦ カードの期限（waitMs）も 480 秒にそろえる',
       (fake.payloads[0] if fake.payloads else {}).get('waitMs'), 480_000)
 check('⑦ 待つ上限 < 最後の歯止め < Claude Code の上限',

package/scripts/hooks/test_bypass_deny.py

@@ -0,0 +1,299 @@
+#!/usr/bin/env python3
+"""便1「絶対に通してはいけない抜け道」を閉じる（DENY を強める・便 fc22bc34）の試験。
+
+  実行: python3 scripts/hooks/test_bypass_deny.py
+  1件でも期待と違えば exit 1。
+
+【えふさん確定 2026-09-18】
+  ALLOW 普通の開発・検索・試験・練習環境。本番を変えない。
+  ASK   外部への送信・公開など、正当な仕事だが実世界に影響する操作。
+  DENY  main 直接 push・本番 DB 直接変更・秘密値の操作・保護変更・検査省略・迂回による保護回避。
+
+【何を守っているか】
+  (1) main など保護ブランチへの直接 push は DENY（書き込む先を書かない push は今のブランチを確かめる。
+      確かめられないときは DENY）
+  (2) 保護の迂回＝gh pr merge --admin・API での合流（pulls/N/merge・GraphQL の mergePullRequest）
+  (3) 保護の変更＝ブランチの保護・ruleset・必須の検査・環境の保護・デプロイの保護（強める向きも）
+  (4) 秘密の値の設定・削除
+  (5) リポの削除
+  (6) 検査・安全設定の省略（--dangerously-skip-permissions・--no-verify・[skip ci] 類 ほか）
+  (7) 本番 DB の直接変更（設定の deny と揃える）。★判定1か所＋決定1か所＝あとで ASK へ移せる
+  (9) 止めてはいけないもの（普通の合流・作業ブランチへの push・PR・試験・報告の経路・字面だけの文章）
+
+★見本の危険語は部品から組み立てる（番人の見本に危険語をそのまま書かない）。
+"""
+import atexit
+import os
+import shutil
+import subprocess
+import sys
+import tempfile
+
+sys.path.insert(0, os.path.dirname(os.path.abspath(__file__)))
+
+import cc2_guard  # noqa: E402
+import policy  # noqa: E402
+
+failures = []
+
+
+def check(label, got, want):
+    ok = got == want
+    if not ok:
+        failures.append(f'{label}: got={got!r} want={want!r}')
+    print(f'{"OK " if ok else "NG "} {label:70} {str(got)[:36]}')
+
+
+# ── 部品（危険語を直接書かない） ──
+PUSH = 'pu' + 'sh'
+MAIN = 'ma' + 'in'
+MASTER = 'mas' + 'ter'
+PROD = 'produc' + 'tion'
+ADMIN = '--ad' + 'min'
+MERGE = 'mer' + 'ge'
+SKIPCI = '[sk' + 'ip ci]'
+NOVERIFY = '--no-' + 'verify'
+DSP = '--dangerously-' + 'skip-permissions'
+BYPASS = 'bypass' + 'Permissions'
+SECRETS = 'sec' + 'rets'
+SECRET = 'sec' + 'ret'
+DB_PUSH = 'db ' + PUSH
+MIGRATE = 'mig' + 'rate'
+PSQL = 'ps' + 'ql'
+DROPDB = 'drop' + 'db'
+PROTECTION = 'protec' + 'tion'
+
+
+def make_repo(branch=None, detached=False, upstream=None):
+    """使い捨ての本物の git リポ。branch に居る／切り離された HEAD。"""
+    d = tempfile.mkdtemp(prefix='guard-bypass-')
+    atexit.register(shutil.rmtree, d, True)
+    g = ['git', '-c', 'user.name=t', '-c', 'user.email=t@example.invalid',
+         '-c', 'commit.gpgsign=false']
+    subprocess.run(g + ['init', '-q', '-b', MAIN], cwd=d, check=True, capture_output=True)
+    subprocess.run(g + ['commit', '-q', '--allow-empty', '-m', 'init'], cwd=d, check=True,
+                   capture_output=True)
+    if branch:
+        subprocess.run(g + ['switch', '-q', '-c', branch], cwd=d, check=True, capture_output=True)
+    if detached:
+        subprocess.run(g + ['switch', '-q', '--detach'], cwd=d, check=True, capture_output=True)
+    if upstream:
+        # 作業ブランチの push 先を main に向けた形（push.default=upstream）。
+        bare = tempfile.mkdtemp(prefix='guard-bypass-remote-')
+        atexit.register(shutil.rmtree, bare, True)
+        subprocess.run(['git', 'init', '-q', '--bare', bare], check=True, capture_output=True)
+        for args in (['remote', 'add', 'origin', bare],
+                     ['config', 'push.default', 'upstream'],
+                     ['config', f'branch.{branch}.remote', 'origin'],
+                     ['config', f'branch.{branch}.merge', f'refs/heads/{upstream}'],
+                     ['update-ref', f'refs/remotes/origin/{upstream}', 'HEAD']):
+            subprocess.run(g + args, cwd=d, check=True, capture_output=True)
+    return d
+
+
+REPO_MAIN = make_repo()
+REPO_FEAT = make_repo('feat/gate-sample')
+REPO_DETACHED = make_repo(detached=True)
+REPO_FEAT_TO_MAIN = make_repo('feat/sneaky', upstream=MAIN)
+NOT_A_REPO = tempfile.mkdtemp(prefix='guard-bypass-plain-')
+atexit.register(shutil.rmtree, NOT_A_REPO, True)
+
+
+def decide(cmd, cwd=REPO_FEAT):
+    return policy.decide_bash(cmd, cwd)['decision']
+
+
+def expect(label, cmd, want, cwd=REPO_FEAT):
+    check(f'{label}: {cmd[:46]}', decide(cmd, cwd), want)
+
+
+print('── (1) main など保護ブランチへの直接 push は DENY ' + '─' * 20)
+for cmd in [f'git {PUSH} origin {MAIN}', f'git {PUSH} -u origin {MAIN}',
+            f'git {PUSH} origin HEAD:{MASTER}', f'git {PUSH} origin {PROD}',
+            f'git {PUSH} origin feat/x:refs/heads/{MAIN}', f'git {PUSH} --all origin',
+            f'git {PUSH} --mirror origin', f'bash -c "git {PUSH} origin {MAIN}"',
+            f'cd /srv/app && git {PUSH} origin {MAIN}']:
+    expect('(1) 名指し', cmd, policy.DENY)
+# 書き込む先を書かない push は、今のブランチを確かめる。
+for cmd in [f'git {PUSH}', f'git {PUSH} origin', f'git {PUSH} origin HEAD', f'git {PUSH} -u origin HEAD']:
+    expect('(1) main に居る', cmd, policy.DENY, REPO_MAIN)
+    expect('(1) 作業ブランチに居る＝allow', cmd, policy.ALLOW, REPO_FEAT)
+    expect('(1) 切り離された HEAD＝確かめられない', cmd, policy.DENY, REPO_DETACHED)
+    expect('(1) git リポでない＝確かめられない', cmd, policy.DENY, NOT_A_REPO)
+expect('(1) push 先が main の作業ブランチ', f'git {PUSH}', policy.DENY, REPO_FEAT_TO_MAIN)
+expect('(1) cd で main のリポへ移ってから', f'cd {REPO_MAIN} && git {PUSH}', policy.DENY, REPO_FEAT)
+expect('(1) cd で作業ブランチのリポへ移ってから', f'cd {REPO_FEAT} && git {PUSH}', policy.ALLOW,
+       REPO_MAIN)
+expect('(1) git -C で main のリポ', f'git -C {REPO_MAIN} {PUSH}', policy.DENY, REPO_FEAT)
+expect('(1) 作業場所が変数', f'cd $APP_DIR && git {PUSH}', policy.DENY, REPO_FEAT)
+expect('(1) git -C が変数', f'git -C "$APP_DIR" {PUSH} origin HEAD', policy.DENY, REPO_FEAT)
+for cmd in [f'git {PUSH} -u origin feat/gate-sample', f'git {PUSH} origin feat/{MAIN}-fix',
+            f'git {PUSH} origin HEAD:feat/x', f'git {PUSH} --tags']:
+    expect('(1) 作業ブランチは allow', cmd, policy.ALLOW, REPO_MAIN if 'feat/' in cmd else REPO_FEAT)
+
+print('\n── (2) 保護の迂回（--admin・API での合流） ' + '─' * 26)
+for cmd in [f'gh pr {MERGE} 12 {ADMIN}', f'gh pr {MERGE} 151 {ADMIN} --{MERGE} --delete-branch',
+            f'gh api -X PUT repos/o/r/pulls/1/{MERGE}',
+            f'gh api --method PUT repos/o/r/pulls/1/{MERGE}',
+            f'gh api -XPUT /repos/o/r/pulls/7/{MERGE} -f {MERGE}_method=squash',
+            f'gh api repos/o/r/pulls/7/{MERGE} -f {MERGE}_method=squash',
+            f'gh api graphql -f query=\'mutation {{ {MERGE}PullRequest(input:{{pullRequestId:"x"}}) {{ clientMutationId }} }}\'',
+            f'curl -X PUT -H "Accept: application/vnd.github+json" https://api.github.com/repos/o/r/pulls/1/{MERGE}',
+            f'bash -c "gh api -X PUT repos/o/r/pulls/1/{MERGE}"']:
+    expect('(2)', cmd, policy.DENY)
+for cmd in [f'gh api repos/o/r/pulls/1/{MERGE}', 'gh api repos/o/r/pulls/1',
+            f'gh pr {MERGE} 12 --auto --{MERGE} --delete-branch',
+            'gh api graphql -f query=\'mutation { enablePullRequestAutoMerge(input:{pullRequestId:"x"}) { clientMutationId } }\'']:
+    expect('(2) 読み取り・普通の合流は allow', cmd, policy.ALLOW)
+
+print('\n── (3) 保護の変更（強める向きも DENY） ' + '─' * 30)
+for cmd in [f'gh api -X PUT repos/o/r/branches/{MAIN}/{PROTECTION} --input rules.json',
+            f'gh api -X DELETE repos/o/r/branches/{MAIN}/{PROTECTION}',
+            f'gh api -X POST repos/o/r/branches/{MAIN}/{PROTECTION}/required_status_checks/contexts -f contexts[]=test',
+            f'gh api -X PATCH repos/o/r/branches/{MAIN}/{PROTECTION}/required_pull_request_reviews -F x=1',
+            'gh api -X POST repos/o/r/rulesets --input ruleset.json',
+            'gh api -X PUT repos/o/r/rulesets/5 --input ruleset.json',
+            'gh api -X DELETE orgs/o/rulesets/5',
+            f'gh api -X PUT repos/o/r/environments/{PROD}',
+            f'curl -X DELETE https://api.github.com/repos/o/r/branches/{MAIN}/{PROTECTION}']:
+    expect('(3)', cmd, policy.DENY)
+for cmd in [f'gh api repos/o/r/branches/{MAIN}/{PROTECTION}', 'gh api repos/o/r/rulesets',
+            f'gh api repos/o/r/environments/{PROD}']:
+    expect('(3) 読み取りは allow', cmd, policy.ALLOW)
+check('(3) つなぎ先の道具でデプロイの保護を変える',
+      policy.decide_event({'tool_name': 'mcp__plugin_vercel_vercel__update_project_deployment_' + PROTECTION,
+                           'tool_input': {'projectId': 'p'}})['decision'], policy.DENY)
+check('(3) つなぎ先の読み取りは allow',
+      policy.decide_event({'tool_name': 'mcp__plugin_vercel_vercel__get_project_deployment_' + PROTECTION,
+                           'tool_input': {'projectId': 'p'}})['decision'], policy.ALLOW)
+
+print('\n── (4) 秘密の値の設定・削除 ' + '─' * 40)
+for cmd in ['vercel env add API_URL production', 'npx vercel env rm API_URL',
+            'pnpm dlx vercel env add API_URL', 'vercel --scope team env add API_URL',
+            f'supabase {SECRETS} set K=1', f'npx supabase {SECRETS} unset K',
+            f'wrangler {SECRET} put K', f'npx wrangler {SECRET} delete K',
+            f'wrangler versions {SECRET} put K', 'gh variable set K --body v', 'gh variable delete K',
+            f'fly {SECRETS} set K=1', f'flyctl {SECRETS} unset K', 'heroku config:set K=1',
+            'netlify env:set K v', f'gh api -X PUT repos/o/r/actions/{SECRETS}/K -f x=1',
+            'gh api -X POST repos/o/r/actions/variables -f name=K -f value=v',
+            f'gh api -X DELETE repos/o/r/environments/{PROD}/{SECRETS}/K']:
+    expect('(4)', cmd, policy.DENY)
+for cmd in ['vercel env ls', 'gh variable list', f'wrangler {SECRET} list', f'supabase {SECRETS} list',
+            'git commit -m "docs: vercel env add の手順を書く"',
+            f'gh api repos/o/r/actions/{SECRETS}']:
+    expect('(4) 一覧・字面だけは allow', cmd, policy.ALLOW)
+
+print('\n── (5) リポの削除 ' + '─' * 50)
+for cmd in ['gh repo delete o/r --yes', 'gh api -X DELETE repos/o/r']:
+    expect('(5)', cmd, policy.DENY)
+for cmd in ['gh repo view o/r', 'gh api repos/o/r', 'gh api -X DELETE repos/o/r/labels/bug']:
+    expect('(5) 読み取り・ほかの削除は allow', cmd, policy.ALLOW)
+
+print('\n── (6) 検査・安全設定の省略 ' + '─' * 40)
+for cmd in [f'claude {DSP} -p hello', f'claude --permission-mode {BYPASS}',
+            f'claude --permission-mode={BYPASS} -p x', f'npx @anthropic-ai/claude-code {DSP}',
+            f'git {PUSH} {NOVERIFY} origin feat/x', f'git commit {NOVERIFY} -m x',
+            'git commit -n -m x', 'git -c core.hooksPath=/dev/null commit -m x',
+            f'git commit -m "fix: 直す {SKIPCI}"', 'git commit -m "x [CI SKIP]"',
+            'git commit -m "x" -m "skip-checks: true"',
+            f'gh pr {MERGE} 3 --{MERGE} --subject "x {SKIPCI}"']:
+    expect('(6)', cmd, policy.DENY)
+for cmd in [f'gh pr create --title x --body "{SKIPCI} は使わない"',
+            'git commit -m "docs: skip ci は使わない方針"',
+            f'git commit -m "{NOVERIFY} を禁止する"',
+            f'gh pr create --title x --body "{DSP} を禁止"',
+            'claude --permission-mode auto -p x', f'git {PUSH} -n origin feat/x', 'git log -n 5']:
+    expect('(6) 字面だけ・ほかの旗は allow', cmd, policy.ALLOW)
+
+print('\n── (7) 本番 DB の直接変更（設定の deny と揃える） ' + '─' * 18)
+PROD_DB = [f'{PSQL} -c "select 1"', f'{DROPDB} olddb', f'npx prisma {DB_PUSH}',
+           f'prisma {MIGRATE} deploy', f'npx prisma {MIGRATE} reset', f'supabase {DB_PUSH}',
+           f'npx supabase {MIGRATE[:-1]}ion up', f'pnpm exec drizzle-kit {PUSH}', f'npm run {MIGRATE}',
+           f'pnpm {MIGRATE}:prod', f'pnpm run {MIGRATE}', f'echo "select 1" | {PSQL}',
+           'curl -X POST https://x.example.invalid/rest/v1/rpc/exec_sql -d "{}"',
+           f'bash -c "npx prisma {DB_PUSH}"']
+for cmd in PROD_DB:
+    expect('(7)', cmd, policy.DENY)
+for cmd in ['npx prisma generate', 'npx prisma studio', 'npm run build']:
+    expect('(7) 本番を変えない道具は allow', cmd, policy.ALLOW)
+# ★文字列の切れ端は本番 DB の道具と読まない（7日分の記録に実在した形・便 fc22bc34 の自己点検）。
+#   ・検索の文字の中の `…|psql`（区切られて `psql"` という語になる）
+#   ・ヒアドキュメントの中の箇条書きの行（`- prisma db push は…`）
+for cmd in [f'grep -n "timeout|{PSQL}" notes.md',
+            f'cat <<EOF > notes.md\n- prisma {DB_PUSH} は人が行う\n- supabase {DB_PUSH} も同じ\nEOF']:
+    check(f'(7) 切れ端は DENY にしない: {cmd[:34]!r}', decide(cmd) != policy.DENY, True)
+for cmd in ['createdb newdb', f'npx prisma {MIGRATE} dev', 'run-sql "ALTER TABLE x ADD y int"']:
+    check(f'(7) 設定の deny に無い DB 実行は関門のまま（便3で見分ける）: {cmd[:30]}',
+          policy.decide_bash(cmd)['decision'], policy.GATE)
+# ★あとで ASK へ移せる形: 決定の定数を1つ差し替えると、同じ判定が関門 db（管制の2択）になる。
+check('(7) 決定の置き場は1か所（いまは DENY）', policy.PROD_DB_CHANGE_DECISION, policy.DENY)
+_saved = policy.PROD_DB_CHANGE_DECISION
+policy.PROD_DB_CHANGE_DECISION = policy.GATE
+try:
+    for cmd in PROD_DB[:3]:
+        r = policy.decide_bash(cmd)
+        check(f'(7) 差し替えると関門 db になる: {cmd[:30]}', (r['decision'], r['gate']),
+              (policy.GATE, policy.GATE_DB))
+finally:
+    policy.PROD_DB_CHANGE_DECISION = _saved
+check('(7) 差し替えを戻すと DENY', decide(PROD_DB[0]), policy.DENY)
+
+print('\n── (9) 止めてはいけないもの ' + '─' * 40)
+ROUTINE = [
+    f'gh pr {MERGE} 12 --auto --{MERGE} --delete-branch', f'gh pr {MERGE} 12 --{MERGE} --delete-branch',
+    f'gh pr {MERGE} 12 --squash', f'gh pr {MERGE} 12 --rebase', f'gh pr {MERGE} 12 --auto --squash',
+    f'git {PUSH} -u origin feat/gate-sample', f'git {PUSH} origin HEAD',
+    'gh pr create --title x --body y', 'npm install', 'npm test', 'npx tsc --noEmit', 'npm run build',
+    'git commit -m "docs: 説明を直す"',
+    f'gh pr create --title x --body "{ADMIN} も {SKIPCI} も使わない"',
+    f'git commit -m "gh pr {MERGE} {ADMIN} を禁止する"',
+]
+for cmd in ROUTINE:
+    expect('(9)', cmd, policy.ALLOW)
+for tool in ('mcp__claude_ai_ai-kana__conductor_complete', 'mcp__claude_ai_ai-kana__devlog_create_entry',
+             'mcp__claude_ai_ai-kana__devlog_recent_entries'):
+    check(f'(9) 報告の経路は allow: {tool[-28:]}',
+          policy.decide_event({'tool_name': tool, 'tool_input': {'commandId': 'x', 'report': 'r'}})['decision'],
+          policy.ALLOW)
+
+
+class NoAsk:
+    """管制の代わり。DENY は管制に聞かずに止まることを確かめる。"""
+    asked = 0
+
+    def load_config(self):
+        return {'url': 'http://x', 'token': 't'}
+
+    def register(self, cfg, payload):
+        NoAsk.asked += 1
+        return {'id': 'r', 'status': 'waiting'}
+
+    def wait_for_decision(self, cfg, request_id, max_wait_sec=None):
+        return 'allow'
+
+    def abandon(self, cfg, request_id):
+        pass
+
+    def ping(self, cfg):
+        return True
+
+    def record_decision(self, *a, **k):
+        pass
+
+
+print('\n── 入口の番人: DENY は管制に聞かずに止まる（人が「はい」を押しても通らない） ' + '─' * 2)
+for cmd in [f'git {PUSH} origin {MAIN}', f'gh api -X PUT repos/o/r/pulls/1/{MERGE}', PROD_DB[0],
+            f'wrangler {SECRET} put K']:
+    out = cc2_guard.build_output({'tool_name': 'Bash', 'tool_input': {'command': cmd},
+                                  'cwd': REPO_FEAT}, datalink=NoAsk())
+    check(f'入口 deny: {cmd[:40]}', out['hookSpecificOutput']['permissionDecision'], 'deny')
+check('入口: 管制へ0回（カードを出さない）', NoAsk.asked, 0)
+
+print('\n' + '=' * 72)
+if failures:
+    print(f'NG {len(failures)} 件:')
+    for f in failures:
+        print('  -', f)
+    sys.exit(1)
+print('すべて期待どおり')
+sys.exit(0)

package/scripts/hooks/test_gate_wait.py

@@ -132,7 +132,9 @@ def run_guard(command, url, extra_env=None, home=None):
     return out.get('permissionDecision'), out.get('permissionDecisionReason'), took
 
 
-GATE_CMD = 'psql -c "select 1"'   # 関門 db の見本（危険語を含まない・実行はしない）
+# 関門 db の見本（危険語を含まない・実行はしない）。★psql は便 fc22bc34 で deny へ移したので、
+# 今も関門のまま残る「台本に SQL の字面を渡す形」を使う。
+GATE_CMD = 'python3 apply.py --mode grant'
 ROUTINE_CMD = 'npm test'
 
 with tempfile.TemporaryDirectory() as home:

package/scripts/hooks/test_policy.py

@@ -40,11 +40,8 @@ def check(label, got, want):
 # (a) 3関門は必ず gate（＝人へ）
 # ─────────────────────────────────────────────────────────────────────────────
 GATE_CASES = [
-    # 関門1 本番ブランチの直接変更（★PRのマージは関門ではない → (a4) で確かめる）
-    ('git push origin main', policy.GATE_MERGE),
-    ('git push -u origin main', policy.GATE_MERGE),
-    ('git push origin HEAD:master', policy.GATE_MERGE),
-    ('git push origin production', policy.GATE_MERGE),
+    # ★旧 関門1（main など保護ブランチへの直接 push）は便 fc22bc34 で deny へ移した
+    #   → test_bypass_deny.py で確かめる。PRのマージは関門ではない → (a4)。
     # 関門2 本番確認
     ('vercel --prod', policy.GATE_RELEASE),
     ('vercel deploy --prod', policy.GATE_RELEASE),
@@ -56,14 +53,10 @@ GATE_CASES = [
     ('supabase functions deploy hello', policy.GATE_RELEASE),
     ('npm run deploy -- --production', policy.GATE_RELEASE),
     # 関門3 DB実行
-    ('psql -c "select 1"', policy.GATE_DB),
-    ('npx prisma migrate deploy', policy.GATE_DB),
-    ('npx prisma db push', policy.GATE_DB),
-    ('supabase db push', policy.GATE_DB),
-    ('supabase migration up', policy.GATE_DB),
-    ('npx drizzle-kit push', policy.GATE_DB),
+    # ★本番 DB を直接変える道具（psql・prisma db push / migrate deploy・supabase db push /
+    #   migration up・drizzle-kit push 等）は便 fc22bc34 で deny へ移した（設定の deny と揃える）
+    #   → test_bypass_deny.py。ここに残るのは、それ以外の DB 実行（見分けられないので人に聞く）。
     ('createdb newdb', policy.GATE_DB),
-    ('echo "CREATE TABLE x (id uuid)" | psql', policy.GATE_DB),
     ('supabase db query "GRANT SELECT ON x TO authenticated"', policy.GATE_DB),
     ('run-sql "ALTER TABLE x ENABLE ROW LEVEL SECURITY"', policy.GATE_DB),
     ('apply "CREATE POLICY p ON x"', policy.GATE_DB),
@@ -109,9 +102,8 @@ class GuardDatalink:
         self.decisions.append((tool_name, decision, gate))
 
 
-GATE_CMDS = ['git push origin main', 'vercel --prod', 'npx prisma migrate deploy',
-             'git push -u origin master', 'npm publish', 'supabase db push',
-             'psql -c "select 1"']
+GATE_CMDS = ['vercel --prod', 'npm publish', 'createdb newdb',
+             'supabase db query "select 1"', 'run-sql "ALTER TABLE x ADD COLUMN y int"']
 
 print('\n=== (a2) 関門は入口の番人がその場で管制に聞き、答えで allow / deny を返す（便 ab6e36ca） ===')
 gd_ok = GuardDatalink({'url': 'http://x', 'token': 't'}, reachable=True)
@@ -138,7 +130,7 @@ for cmd in GATE_CMDS:
     check(f'{cmd} → deny（管制不通）', got, 'deny')
 
 gd_unset = GuardDatalink(None, reachable=False)  # 管制未設定（load_config が None）
-out = cc2_guard.build_output({'tool_name': 'Bash', 'tool_input': {'command': 'git push origin main'}},
+out = cc2_guard.build_output({'tool_name': 'Bash', 'tool_input': {'command': 'npm publish'}},
                              datalink=gd_unset)
 check('管制未設定でも関門は deny', out['hookSpecificOutput']['permissionDecision'], 'deny')
 
@@ -153,11 +145,11 @@ check('危険は管制不通でも deny のまま', out['hookSpecificOutput']['p
 # ★便 ab6e36ca: 以前の無効化フラグ（CC2_GATE_FAILCLOSE=0 で止めずに ask）は外した。
 #   ask は auto モードでは人の答えを待たずに実行されうる（便 c525bb2b）＝止めが消える回避路になるため。
 os.environ['CC2_GATE_FAILCLOSE'] = '0'
-out = cc2_guard.build_output({'tool_name': 'Bash', 'tool_input': {'command': 'git push origin main'}},
+out = cc2_guard.build_output({'tool_name': 'Bash', 'tool_input': {'command': 'npm publish'}},
                              datalink=gd_unset)
 check('★CC2_GATE_FAILCLOSE=0 でも関門は deny（回避路を作らない）',
       out['hookSpecificOutput']['permissionDecision'], 'deny')
-out = cc2_guard.build_output({'tool_name': 'Bash', 'tool_input': {'command': 'git push origin main'}},
+out = cc2_guard.build_output({'tool_name': 'Bash', 'tool_input': {'command': 'npm publish'}},
                              datalink=gd_ng)
 check('★CC2_GATE_FAILCLOSE=0 でも管制不通の関門は deny',
       out['hookSpecificOutput']['permissionDecision'], 'deny')
@@ -179,7 +171,8 @@ MERGE_ALLOW = [
     'gh pr merge --auto 12',
     'gh pr merge 3 --merge --delete-branch',
     'gh pr merge --rebase 7',
-    'gh api -X PUT repos/o/r/pulls/1/merge',
+    # ★API での合流（gh api -X PUT …/pulls/N/merge）は便 fc22bc34 で deny へ移した
+    #   （保護の迂回・えふさん確定 2026-09-18）→ test_bypass_deny.py。
     'cd /srv/app && gh pr merge 12 --squash',       # 複合コマンドでも自走
     'bash -c "gh pr merge 12 --squash"',            # 包んでも自走
     'gh pr merge 12 --squash && git pull',
@@ -220,12 +213,12 @@ for _gd in (GuardDatalink({'url': 'http://x', 'token': 't'}, reachable=True),
           out['hookSpecificOutput']['permissionDecision'], 'allow')
 
 # ★マージを外しても、他の関門と危険は一切緩めていない（取り違え防止の回帰テスト）。
-check('main 直 push は関門のまま',
-      policy.decide_bash('git push origin main')['gate'], policy.GATE_MERGE)
+check('main 直 push は deny（便 fc22bc34 で関門から移した）',
+      policy.decide_bash('git push origin main')['decision'], policy.DENY)
 check('force push は deny のまま',
       policy.decide_bash('git push --force origin main')['decision'], policy.DENY)
-check('DB実行は関門のまま',
-      policy.decide_bash('supabase db push')['gate'], policy.GATE_DB)
+check('DB実行（見分けられないもの）は関門のまま',
+      policy.decide_bash('createdb newdb')['gate'], policy.GATE_DB)
 check('SQL DDL は関門のまま',
       policy.decide_bash('run-sql "CREATE TABLE x (id int)"')['gate'], policy.GATE_DB)
 check('本番反映は関門のまま',
@@ -566,12 +559,11 @@ check('枝への push は通常の文言',
       summary_ja.summarize_bash('git push origin feat/main-fix'),
       '作業内容をGitHubへ送ってよいですか')
 # ★見出しは「関門に当たったセグメント」から作る（複合コマンドの先頭語 cd に引きずられない）。
-check('複合コマンドでも関門セグメントから見出し（main直変更）',
-      summary_ja.summarize_bash('cd /srv/app && git push origin main', 'merge'),
-      '【お客さまの確認：本番の元を直接変更】本番の元（main）を直接書き換えてよいですか')
-check('複合コマンドでも関門セグメントから見出し（DB）',
-      summary_ja.summarize_bash('cd /srv && supabase db push', 'db'),
-      '【お客さまの確認：データベースの変更】データベースの構造を変更してよいですか')
+# ★main 直 push と本番 DB を直接変える道具は、便 fc22bc34 で関門から deny へ移した
+#   （カードは出ない）。見出しの作り方は、今も関門のままの操作で確かめる。
+check('複合コマンドでも関門セグメントから見出し（公開）',
+      summary_ja.summarize_bash('cd /srv/app && npm publish', 'release'),
+      '【お客さまの確認：本番へ反映】部品を公開（配布）してよいですか')
 
 
 # ─────────────────────────────────────────────────────────────────────────────
@@ -663,7 +655,7 @@ check('保存先は session（設定を汚さない）', up[0]['destination'], '
 
 # 関門には恒久許可を与えない。
 fd = FakeDatalink('allow_always')
-GATE_EV = {'tool_name': 'Bash', 'tool_input': {'command': 'git push origin main'},
+GATE_EV = {'tool_name': 'Bash', 'tool_input': {'command': 'npm publish'},
            'cwd': '/home/fshim/projects/conductor', 'session_id': 's1'}
 out = permission_request_hook.decide(GATE_EV, cfg={'url': 'http://x', 'token': 't'}, datalink=fd)
 check('関門に恒久許可を与えない',
@@ -693,7 +685,7 @@ check('送る payload に choices が入る（3択）',
 
 # ★フェイルクローズ: 関門は「聞けない」とき deny を返す（委譲＝素通りにしない）。
 print('\n=== (g2) PermissionRequest フックのフェイルクローズ（関門のみ） ===')
-GATE_PR_EV = {'tool_name': 'Bash', 'tool_input': {'command': 'git push origin main'},
+GATE_PR_EV = {'tool_name': 'Bash', 'tool_input': {'command': 'npm publish'},
               'cwd': '/home/fshim/projects/conductor', 'session_id': 's1'}