@tyhld/conductor 0.12.18 → 0.12.20

package/scripts/hooks/policy.py

@@ -10,11 +10,15 @@
 
 【この版の判定（上から順に1つだけ当たる）】
   1. 危険     → deny   … 本番破壊・force push・データ消失・認証情報の露出/持ち出し
-  2. 3関門    → gate   … main直変更 / 本番確認 / DB実行（人が必ず判断する）
+                         ★抜け道（便 fc22bc34）: main 直 push・保護の迂回と変更・秘密の値の設定・
+                           リポの削除・検査の省略・本番 DB の直接変更（_bypass_scan / _prod_db_change）
+  2. 関門     → gate   … 本番確認 / DB実行（人が必ず判断する）
   3. それ以外 → allow  … 自走してよい。★新しいコマンドは必ずここへ落ちる
 
-★PRのマージ（`gh pr merge`）は関門ではない（決定・案B完全自動化）。詳しくは _gate_merge の説明。
-  ただし保護を迂回する `gh pr merge --admin` は危険（deny）。詳しくは _admin_merge_danger の説明。
+★PRのマージ（`gh pr merge`）は関門ではない（決定・案B完全自動化）。
+  ただし保護を迂回する `gh pr merge --admin` と、API での合流（pulls/N/merge）は危険（deny）。
+★main など保護ブランチへの直接 push は、関門から危険（deny）へ移した（えふさん確定 2026-09-18①）。
+  通常は PR 経由に統一する。関門の種別の字面 'merge' は管制の表示・集計のために残してある。
 
 【危険は「動詞」ではなく「対象と作用」で見る】
   旧番人は動詞を白に入れた瞬間に対象を見なくなり、`curl -d @.env`・`cp .env /tmp`・
@@ -38,9 +42,10 @@ import shlex
 DENY, GATE, ALLOW = 'deny', 'gate', 'allow'
 
 # 関門の種類（表示・集計用）。
-# ★GATE_MERGE の中身は「PRのマージ」から「main への直接 push」へ縮んだ（_gate_merge 参照）。
-#   種別の字面 'merge' は管制の表示・集計が使っているので変えない。
-GATE_MERGE = 'merge'      # 関門1 本番ブランチの直接変更
+# ★GATE_MERGE は「PRのマージ」→「main への直接 push」→（便 fc22bc34）関門でなくなった
+#   （main 直 push は deny・_main_push_danger）。種別の字面 'merge' は管制の表示・集計が
+#   使っているので、定数は残す（policy からはもう返さない）。
+GATE_MERGE = 'merge'      # 旧 関門1 本番ブランチの直接変更（いまは deny）
 GATE_RELEASE = 'release'  # 関門2 本番確認
 GATE_DB = 'db'            # 関門3 DB実行
 
@@ -471,10 +476,108 @@ _SPLIT_RE = re.compile(r'&&|\|\||[;|&\n]')
 
 
 def split_segments(command: str):
-    """複合コマンドを単純コマンドへ割る（判定は各セグメントに対して行う）。"""
+    """複合コマンドを単純コマンドへ割る（判定は各セグメントに対して行う）。
+
+    ★機械的に割る（引用符・ヒアドキュメントの中でも割る）。危険（deny）の判定はこちらを使う
+      ＝割り方を変えても止める側は1件も減らない（便 ad6b5db9）。関門は split_commands を使う。
+    """
     return [s.strip() for s in _SPLIT_RE.split(command) if s.strip()]
 
 
+# ヒアドキュメントの始まり（<<EOF / <<-EOF / <<'EOF' / <<"EOF"）。<<< は文字列を渡す別物。
+_HEREDOC_START_RE = re.compile(r'<<(-?)[ \t]*([\'"]?)([A-Za-z_][A-Za-z0-9_]*)\2')
+
+
+def split_commands(command: str):
+    """★本物の区切りだけで割る（便 ad6b5db9・関門の判定に使う）。
+
+    【なぜ要るか（便 df4accf8 の重大発見1・便 30879701）】split_segments は引用符や
+      ヒアドキュメントの中でも割るので、コミットの説明・PR の本文・検索の文字・手順書の中の
+      「create table」「vercel --prod」が、ひとつのコマンドとして関門に当たっていた（7日で90件）。
+    【どう割るか】
+      ・引用符（' " `）の中は割らない。\\ の後ろの1文字もそのまま。
+      ・ヒアドキュメントの本文は、行の終わりで【その時点の最後のコマンド】に付けてひとかたまりにする
+        （`cat <<EOF > f` なら cat に、`cat <<EOF | psql` なら流れ込む先の psql に付く）。
+      ・# から行末までの注釈は捨てる（語の頭にあるときだけ）。
+      ・2>&1 / &> / >& の & は区切りではない。
+    """
+    out, cur = [], []
+    pending = []          # 本文を待っているヒアドキュメント [(区切りの語, 字下げを許すか)]
+    quote = None
+    i, n = 0, len(command or '')
+
+    def flush():
+        s = ''.join(cur).strip()
+        if s:
+            out.append(s)
+        cur.clear()
+
+    while i < n:
+        c = command[i]
+        if quote:
+            cur.append(c)
+            if c == '\\' and quote != "'" and i + 1 < n:
+                cur.append(command[i + 1])
+                i += 2
+                continue
+            if c == quote:
+                quote = None
+            i += 1
+            continue
+        if c == '\\' and i + 1 < n:
+            cur.append(command[i:i + 2])
+            i += 2
+            continue
+        if c in ('"', "'", '`'):
+            quote = c
+            cur.append(c)
+            i += 1
+            continue
+        if c == '#' and (i == 0 or command[i - 1] in ' \t\n;&|('):
+            j = command.find('\n', i)
+            i = n if j < 0 else j
+            continue
+        if command.startswith('<<', i) and not command.startswith('<<<', i):
+            m = _HEREDOC_START_RE.match(command, i)
+            if m:
+                pending.append((m.group(3), m.group(1) == '-'))
+                cur.append(m.group(0))
+                i = m.end()
+                continue
+        if c == '\n':
+            i += 1
+            if pending:
+                for delim, strip_tabs in pending:
+                    body = []
+                    while i < n:
+                        j = command.find('\n', i)
+                        line = command[i:n if j < 0 else j]
+                        i = n if j < 0 else j + 1
+                        if (line.lstrip('\t') if strip_tabs else line).strip() == delim:
+                            break
+                        body.append(line)
+                    cur.append('\n' + '\n'.join(body))
+                pending = []
+            flush()
+            continue
+        if command.startswith('&&', i) or command.startswith('||', i):
+            flush()
+            i += 2
+            continue
+        if c == '&' and ((i > 0 and command[i - 1] == '>') or command.startswith('&>', i)):
+            cur.append(c)
+            i += 1
+            continue
+        if c in ';|&':
+            flush()
+            i += 1
+            continue
+        cur.append(c)
+        i += 1
+    flush()
+    return out
+
+
 def tokens_of(segment: str):
     """1セグメントを語に割る。クォートが壊れていても落ちない（安全側で素朴分割へ）。"""
     try:
@@ -706,6 +809,10 @@ def _wrapper_danger(command: str, depth: int = 0, cwd=None):
                    or _recursive_read_danger(v, toks, cwd) or _admin_merge_danger(v, toks))
             if hit:
                 return f'{hit} ({where})'
+        # ★抜け道も包みの中で測り直す（`bash -c "git push origin main"` を素通りさせない）。
+        hit = _bypass_scan(inner, cwd)
+        if hit:
+            return f'{hit} ({where})'
         hit = _wrapper_danger(inner, depth + 1, cwd)
         if hit:
             return hit
@@ -1068,6 +1175,442 @@ def _admin_merge_danger(verb: str, tokens):
     return None
 
 
+# ═════════════════════════════════════════════════════════════════════════════
+# 抜け道（DENY・便 fc22bc34・えふさん確定 2026-09-18）
+#
+# 【考え方】ALLOW＝普通の開発・練習環境／ASK＝正当だが実世界に影響する操作／
+#   DENY＝職人が行う必要が無い抜け道（main 直 push・本番 DB の直接変更・秘密の値の操作・
+#   保護の変更・検査の省略・迂回による保護回避）。ここは DENY の側。
+# 【字面だけでは止めない】どれも「実際に動く道具の語の並び」で見る。コミットの説明や PR の本文に
+#   同じ語が書かれているだけの操作は止めない（動詞と、その後ろの語の並びで決める）。
+#   ★例外は [skip ci] 類: コミットの説明に書かれた時点で GitHub が CI を飛ばす（本物の省略）。
+# ═════════════════════════════════════════════════════════════════════════════
+
+# npx / pnpm dlx などの「道具を呼ぶための前置き」。取り除いて道具の語の並びを見る。
+_TOOL_RUNNERS = frozenset({'npx', 'pnpx', 'bunx'})
+_PKG_MANAGERS = frozenset({'npm', 'pnpm', 'yarn'})
+_PKG_EXEC_WORDS = frozenset({'exec', 'dlx', 'x'})
+# 前置きの後ろに直接書かれる道具（`pnpm vercel env add` の形）。
+_KNOWN_TOOLS = frozenset({
+    'vercel', 'supabase', 'wrangler', 'prisma', 'drizzle-kit', 'fly', 'flyctl', 'heroku',
+    'netlify', 'gh', 'psql', 'dropdb', 'claude',
+})
+# 値を1つ取る旗（語の並びから値ごと外す）。
+_VALUE_FLAGS = frozenset({
+    '--scope', '-S', '--token', '-t', '--cwd', '--project-ref', '--app', '-a', '--config',
+    '-c', '-C', '--account-id', '--site', '--env', '-e', '--repo', '-R', '--schema',
+})
+
+# 前置き（npm / pnpm / yarn / npx）の、値を1つ取る旗（`--filter <部品>` など）。
+_RUNNER_VALUE_FLAGS = frozenset({
+    '--filter', '-F', '--dir', '-C', '--workspace', '-w', '--prefix', '--package', '-p',
+})
+
+# 作業場所が変数などで決まり、確かめられないことを表す印（None＝「指定なし＝今の場所」とは別）。
+_UNKNOWN_DIR = object()
+
+
+def _tool_words(tokens):
+    """道具の語の並び（前置き・変数代入・旗を外し、小文字にしたもの）。無ければ []。"""
+    i = 0
+    while i < len(tokens):
+        t = tokens[i]
+        if _ASSIGN_RE.match(t):
+            i += 1
+            continue
+        base = t.split('/')[-1]
+        if base in _WRAPPERS:
+            i += 1
+            while i < len(tokens) and tokens[i].startswith('-'):
+                i += 1
+            if base in ('timeout', 'nice', 'ionice') and i < len(tokens) \
+                    and not tokens[i].startswith('-'):
+                i += 1
+            continue
+        break
+    rest = tokens[i:]
+    if not rest:
+        return []
+    head = rest[0].split('/')[-1].lower()
+    if head in _TOOL_RUNNERS or head in _PKG_MANAGERS:
+        # ★`pnpm --filter <部品> exec <道具>` / `npm -w <部品> exec -- <道具>` / `npx -p <部品> <道具>` /
+        #   `yarn workspace <部品> <道具>` の前置きを剥がす（便 ad6b5db9・便 30879701 の実機）。
+        j, saw_exec = 1, head in _TOOL_RUNNERS
+        while j < len(rest):
+            t = rest[j]
+            if t in _RUNNER_VALUE_FLAGS:
+                j += 2
+                continue
+            if t.startswith('-'):
+                j += 1
+                continue
+            if t.lower() in _PKG_EXEC_WORDS:
+                saw_exec = True
+                j += 1
+                continue
+            if head == 'yarn' and t.lower() == 'workspace':
+                j += 2
+                continue
+            break
+        nxt = _strip_version(rest[j].split('/')[-1].lower()) if j < len(rest) else ''
+        if saw_exec or nxt in _KNOWN_TOOLS:
+            rest = rest[j:]
+        if not rest:
+            return []  # 前置きだけで道具が無い（`npx` だけ等）。★例外で落とさない。
+    # 前置きの旗（-p・-w 等）は、頭が npm / pnpm / yarn のまま残ったときだけ値ごと外す
+    # （`mkdir -p` や `grep -w` の後ろの語を消さないため）。
+    value_flags = _VALUE_FLAGS | (_RUNNER_VALUE_FLAGS
+                                  if rest[0].split('/')[-1].lower() in _PKG_MANAGERS else frozenset())
+    words = []
+    skip = False
+    for k, t in enumerate(rest):
+        if skip:
+            skip = False
+            continue
+        if k > 0 and t.startswith('-'):
+            if t in value_flags:
+                skip = True
+            continue
+        words.append(_strip_version(t.split('/')[-1].lower()) if k == 0 else t.lower())
+    return words
+
+
+def _strip_version(name: str) -> str:
+    """`wrangler@3` → `wrangler`（版の指定を外す）。`@scope` の頭の @ は残す。"""
+    return name.split('@', 1)[0] if '@' in name[1:] else name
+
+
+def _current_branch_targets(cwd):
+    """cwd のリポで、引数なしの push が書き込む先のブランチ名の集合。確かめられなければ None。
+
+    ★今のブランチ（rev-parse --abbrev-ref HEAD）と、設定された push 先（@{push}）の両方を見る。
+      切り離された HEAD・git が無い・遅い（5秒）・cwd が分からない、は確かめられない＝None。
+    """
+    try:
+        import subprocess
+        def out(args):
+            r = subprocess.run(['git'] + args, cwd=cwd or None, capture_output=True,
+                               text=True, timeout=5)
+            return r.stdout.strip() if r.returncode == 0 else None
+        head = out(['rev-parse', '--abbrev-ref', 'HEAD'])
+        if not head or head == 'HEAD':
+            return None
+        targets = {head}
+        push = out(['rev-parse', '--abbrev-ref', '--symbolic-full-name', '@{push}'])
+        if push and '/' in push:
+            targets.add(push.split('/', 1)[1])
+        return targets
+    except Exception:  # noqa: BLE001
+        return None
+
+
+def _main_push_danger(tokens, cwd):
+    """main など保護ブランチへの直接 push（★便 fc22bc34 で関門から DENY へ・えふさん確定①）。
+
+    ★通常は PR 経由に統一する。職人が main へ直接 push する必要は無い。
+    ★書き込む先を書かない形（`git push` / `git push origin` / `git push origin HEAD`）は、
+      今のブランチを git で確かめる。確かめられないとき（切り離された HEAD・git が答えない・
+      作業場所が変数で決まる）は DENY に倒す＝main へ書く可能性を消せないものは通さない。
+    ★`--all` / `--mirror` / `--branches` は全部のブランチを書くので DENY。
+    """
+    words = _tool_words(tokens)
+    if not words or words[0] != 'git':
+        return None
+    try:
+        start = [t.split('/')[-1] for t in tokens].index('git')
+    except ValueError:
+        return None
+    # git の前置きの旗（-C 場所 / -c 設定）を読む。
+    where = cwd
+    args = list(tokens[start + 1:])
+    while args and args[0].startswith('-'):
+        flag = args.pop(0)
+        if flag == '-C' and args:
+            p = args.pop(0)
+            if any(c in p for c in '$`') or where is _UNKNOWN_DIR:
+                where = _UNKNOWN_DIR
+            else:
+                p = os.path.expanduser(p)
+                where = p if os.path.isabs(p) else os.path.join(where or os.getcwd(), p)
+        elif flag == '-c' and args:
+            args.pop(0)
+    if not args or args[0] != 'push':
+        return None
+    push_args = args[1:]
+    positional = []
+    it = iter(push_args)
+    for t in it:
+        if t in ('--all', '--mirror', '--branches'):
+            return f'git push {t} (全部のブランチ＝保護ブランチも書く)'
+        if t in ('--repo', '-o', '--push-option', '--receive-pack', '--exec'):
+            next(it, None)
+            continue
+        if t.startswith('-'):
+            continue
+        positional.append(t)
+    refspecs = positional[1:]
+    needs_head = not refspecs
+    for spec in refspecs:
+        spec = spec.lstrip('+')
+        src, _, dst = spec.partition(':')
+        target = dst if dst else src
+        if target in ('HEAD', '@'):
+            needs_head = True
+            continue
+        name = target.removeprefix('refs/heads/')
+        if name in PROTECTED_BRANCHES:
+            return f'git push to protected branch ({name})'
+    if needs_head:
+        if where is _UNKNOWN_DIR:
+            return 'git push (書き込む先のブランチを確かめられない＝作業場所が変数)'
+        targets = _current_branch_targets(where)
+        if targets is None:
+            return 'git push (書き込む先のブランチを確かめられない)'
+        hit = sorted(targets & PROTECTED_BRANCHES)
+        if hit:
+            return f'git push to protected branch ({hit[0]}・今のブランチ)'
+    return None
+
+
+# GitHub の API の道筋（書き込み）。
+_API_MERGE_RE = re.compile(r'(^|/)pulls/[^/]+/merge/?$')
+_API_PROTECTION_RE = re.compile(
+    r'/branches/[^/]+/protection(/|$)|(^|/)rulesets(/|$)|/environments/[^/]+/?$'
+    r'|/deployment-branch-policies(/|$)|/deployment_protection_rules(/|$)')
+_API_SECRET_RE = re.compile(
+    r'/(actions|dependabot|codespaces|agents)/(secrets|variables)(/|$)'
+    r'|/environments/[^/]+/(secrets|variables)(/|$)')
+_API_REPO_RE = re.compile(r'^repos/[^/]+/[^/]+/?$')
+
+
+def _github_api_write(endpoint: str, method: str, body_low: str):
+    """GitHub の API への書き込み1件が抜け道なら理由を返す（読み取りは通す）。"""
+    ep = re.sub(r'^https?://api\.github\.com/', '', endpoint.strip()).lstrip('/').split('?')[0]
+    if method in ('GET', 'HEAD'):
+        return None
+    if _API_MERGE_RE.search(ep) and method in ('PUT', 'POST'):
+        return 'API での合流 (pulls/N/merge・保護を迂回する合流)'
+    if ep.rstrip('/') == 'graphql' and 'mergepullrequest' in body_low:
+        return 'GraphQL での合流 (mergePullRequest・保護を迂回する合流)'
+    if _API_PROTECTION_RE.search(ep):
+        return f'保護の変更 ({method} {ep})'
+    if _API_SECRET_RE.search(ep):
+        return f'秘密の値・変数の変更 ({method} {ep})'
+    if _API_REPO_RE.match(ep) and method == 'DELETE':
+        return 'リポの削除 (API)'
+    return None
+
+
+_GH_API_VALUE_FLAGS = frozenset({
+    '-X', '--method', '-H', '--header', '-f', '--raw-field', '-F', '--field', '--input',
+    '-q', '--jq', '-t', '--template', '--hostname', '-p', '--preview', '--cache',
+})
+_GH_API_BODY_FLAGS = frozenset({'-f', '--raw-field', '-F', '--field', '--input'})
+
+
+def _gh_api_danger(words, tokens, seg_low):
+    if words[:2] != ['gh', 'api']:
+        return None
+    try:
+        start = [t.split('/')[-1].lower() for t in tokens].index('gh')
+    except ValueError:
+        return None
+    args = tokens[start + 2:]
+    method, endpoint, has_body = None, None, False
+    k = 0
+    while k < len(args):
+        t = args[k]
+        if t.startswith('-X') and len(t) > 2:
+            method = t[2:]
+        elif t.startswith('--method='):
+            method = t.split('=', 1)[1]
+        elif t in _GH_API_VALUE_FLAGS:
+            if t in ('-X', '--method') and k + 1 < len(args):
+                method = args[k + 1]
+            if t in _GH_API_BODY_FLAGS:
+                has_body = True
+            k += 2
+            continue
+        elif any(t.startswith(f + '=') for f in ('--raw-field', '--field', '--input')):
+            has_body = True
+        elif not t.startswith('-') and endpoint is None:
+            endpoint = t
+        k += 1
+    if endpoint is None:
+        return None
+    method = (method or ('POST' if has_body else 'GET')).upper()
+    return _github_api_write(endpoint, method, seg_low)
+
+
+_HTTP_VERBS = frozenset({'curl', 'wget', 'http', 'https', 'xh'})
+
+
+def _http_github_danger(words, tokens, seg_low):
+    """curl などで GitHub の API へ直接書き込む形（gh を通さない抜け道）。"""
+    if not words or words[0] not in _HTTP_VERBS:
+        return None
+    urls = [t for t in tokens if 'api.github.com/' in t.lower()]
+    if not urls:
+        return None
+    method = None
+    for k, t in enumerate(tokens):
+        if t in ('-X', '--request', '--method') and k + 1 < len(tokens):
+            method = tokens[k + 1]
+        elif t.startswith('-X') and len(t) > 2:
+            method = t[2:]
+        elif t.startswith('--method='):
+            method = t.split('=', 1)[1]
+    if method is None:
+        has_body = any(t in ('-d', '--data', '--data-raw', '--data-binary', '--json', '-F', '--form')
+                       or t.startswith('--data') for t in tokens)
+        method = 'POST' if has_body else 'GET'
+        if words[0] in ('http', 'https', 'xh') and len(words) > 1 \
+                and words[1].upper() in ('PUT', 'POST', 'PATCH', 'DELETE'):
+            method = words[1]
+    for u in urls:
+        hit = _github_api_write(u.split('api.github.com/', 1)[1], method.upper(), seg_low)
+        if hit:
+            return hit
+    return None
+
+
+_SECRET_SET_RE = re.compile(
+    r'^(vercel env (add|rm|remove|update)'
+    r'|supabase secrets (set|unset)'
+    r'|wrangler (versions )?secret (put|delete|bulk)'
+    r'|gh variable (set|delete)'
+    r'|(fly|flyctl) secrets (set|unset|import)'
+    r'|heroku config:(set|unset)'
+    r'|netlify env:(set|unset|import))( |$)')
+
+# GitHub が「CI を飛ばす」と読む書き方（コミットの説明に入った時点で効く）。
+_SKIP_CI_RE = re.compile(
+    r'\[\s*(skip ci|ci skip|no ci|skip actions|actions skip)\s*\]|skip-checks\s*:\s*true',
+    re.IGNORECASE)
+
+_SKIP_PERMISSION_FLAGS = frozenset({
+    '--dangerously-skip-permissions', '--allow-dangerously-skip-permissions',
+})
+
+
+def _bypass_segment_danger(seg, tokens, cwd, command):
+    """1セグメントの抜け道（main 直 push 以外）。"""
+    words = _tool_words(tokens)
+    if not words:
+        return None
+    seg_low = seg.lower()
+    hit = _gh_api_danger(words, tokens, seg_low) or _http_github_danger(words, tokens, seg_low)
+    if hit:
+        return hit
+    joined = ' '.join(words)
+    if _SECRET_SET_RE.match(joined):
+        return f'秘密の値の設定・削除 ({" ".join(words[:3])})'
+    if words[:3] == ['gh', 'repo', 'delete']:
+        return 'リポの削除 (gh repo delete)'
+    if words[0] == 'git':
+        if '--no-verify' in tokens:
+            return 'git --no-verify (手元の検査の省略)'
+        sub = next((w for w in words[1:] if w != 'git'), '')
+        if sub == 'commit' and '-n' in tokens:
+            return 'git commit -n (手元の検査の省略)'
+        if any(t.lower().startswith('core.hookspath=') for t in tokens):
+            return 'git -c core.hooksPath (手元の検査の差し替え)'
+        if sub == 'commit' and _SKIP_CI_RE.search(command):
+            return 'コミットの説明に [skip ci] 類 (CI の省略)'
+    if words[:3] == ['gh', 'pr', 'merge'] and _SKIP_CI_RE.search(command):
+        return '合流の説明に [skip ci] 類 (CI の省略)'
+    if words[0] in ('claude', 'claude-code'):
+        if any(t in _SKIP_PERMISSION_FLAGS for t in tokens):
+            return 'claude --dangerously-skip-permissions (安全設定の省略)'
+        for k, t in enumerate(tokens):
+            v = t.split('=', 1)[1] if t.startswith('--permission-mode=') else (
+                tokens[k + 1] if t == '--permission-mode' and k + 1 < len(tokens) else None)
+            if v and v.lower() == 'bypasspermissions':
+                return 'claude --permission-mode bypassPermissions (安全設定の省略)'
+    return None
+
+
+def _bypass_scan(command: str, cwd=None):
+    """コマンド全体の抜け道を探す。★`cd 場所` を追って、後ろの push の作業場所に使う。"""
+    here = cwd
+    for seg in split_segments(command):
+        toks = tokens_of(seg)
+        v = verb_of(toks)
+        if v == 'cd':
+            after = toks[toks.index('cd') + 1:] if 'cd' in toks else []
+            dest = next((t for t in after if t != '--'), '~')
+            p = os.path.expanduser(dest)
+            if dest == '-' or any(c in dest for c in '$`*?') or here is _UNKNOWN_DIR:
+                here = _UNKNOWN_DIR
+            elif os.path.isabs(p):
+                here = p
+            else:
+                here = os.path.join(here or os.getcwd(), p)
+            continue
+        hit = _bypass_segment_danger(seg, toks, here, command) or _main_push_danger(toks, here)
+        if hit:
+            return hit
+    return None
+
+
+# ─────────────────────────────────────────────────────────────────────────────
+# 本番 DB の直接変更（★えふさん確定② 2026-09-18）
+#
+# 【いまは DENY】判定は _prod_db_change の1か所、決定は PROD_DB_CHANGE_DECISION の1か所。
+#   対象は、今の設定の deny（ホーム＋全20現場に共通）と同じ道具に揃えた。
+# 【あとで ASK へ移すとき】「職人が本番の鍵を持たない＋人が承認した専用の経路」が完成したら、
+#   PROD_DB_CHANGE_DECISION を GATE へ差し替える（1行）。判定の中身はそのまま使える。
+#   GATE にすると関門 db（管制の2択）として返る（試験 test_policy の (p2) で固定）。
+#   ★差し替えるときは、設定の deny（ホーム・各現場）も人の手番で外す。外さないと、番人が
+#     「はい」を受けても設定の deny で止まる（便 df4accf8 の重大発見2）。
+# ─────────────────────────────────────────────────────────────────────────────
+PROD_DB_CHANGE_DECISION = DENY
+
+# ★頭の語は道具の名前と【完全に一致】するときだけ当てる（`psql"` のような文字列の切れ端を拾わない）。
+_PROD_DB_CHANGE_RE = re.compile(
+    r'^(psql|dropdb)( |$)'
+    r'|^prisma (db push|migrate (deploy|reset))( |$)'
+    r'|^supabase (db push|migration up)( |$)'
+    r'|^drizzle-kit push( |$)')
+# npm / pnpm / yarn 自身の台本の実行（`npm run migrate` / `pnpm migrate:prod`）。
+_PKG_MIGRATE_RE = re.compile(r'^(npm|pnpm|yarn) ((run|run-script) )?migrate')
+
+
+def _prod_db_change(seg, tokens):
+    """1セグメントが本番 DB を直接変える道具なら理由を返す。"""
+    words = _tool_words(tokens)
+    if not words:
+        return None
+    joined = ' '.join(words)
+    if _PROD_DB_CHANGE_RE.match(joined):
+        return f'本番 DB の直接変更 ({" ".join(words[:3])})'
+    if _PKG_MIGRATE_RE.match(joined):
+        return f'本番 DB の直接変更 ({" ".join(words[:3])})'
+    if words[0] in _HTTP_VERBS and 'rest/v1/rpc/exec_sql' in seg.lower():
+        return '本番 DB の直接変更 (REST の exec_sql)'
+    return None
+
+
+def _prod_db_change_scan(command: str, depth: int = 0):
+    for seg in split_segments(command):
+        hit = _prod_db_change(seg, tokens_of(seg))
+        if hit:
+            return hit
+    if depth < _UNWRAP_MAX_DEPTH:
+        for kind, runner, inner in _inner_payloads(command):
+            if kind == 'shell' and inner and inner.strip():
+                hit = _prod_db_change_scan(inner, depth + 1)
+                if hit:
+                    return f'{hit} (inside {runner})'
+    return None
+
+
+def _prod_db_change_result(reason):
+    if PROD_DB_CHANGE_DECISION == GATE:
+        return _r(GATE, f'gate(db): {reason}', GATE_DB)
+    return _r(DENY, f'danger: {reason}')
+
+
 # 危険でない作業フォルダの絶対パス先頭成分（/tmp/xxx は限定削除として通す）。
 _SAFE_ABS_TOP = frozenset({'tmp'})
 
@@ -1196,62 +1739,120 @@ _SQL_TEXT_ONLY_VERBS = frozenset({
 })
 
 
-def _gate_merge(low: str, verb: str, tokens):
-    """関門1: 本番ブランチ（main 等）を【PRを通さずに】直接書き換える操作。
-
-    ★PRのマージ（`gh pr merge` / `gh api …/pulls/N/merge`）は関門から外した（案B完全自動化）。
-      理由: マージを関門にすると、職人は最後の1手で必ず人を待つことになり、
-      「指示を出したら終わりまで進む」が成立しなかった。マージはPRという記録が残り、
-      レビューとCIの結果が付いた上での操作なので、人が毎回押す価値より止まる損の方が大きい。
-      ★外したのはマージだけ。main への【直接 push】は関門のまま残す。こちらはPRもレビューも
-        CIも通らずに本番の元が変わるため、性質がまったく違う（外すと歯止めが無くなる）。
-    """
-    if verb == 'git' and len(tokens) >= 2 and tokens[1] == 'push':
-        for t in tokens[2:]:
-            if t.startswith('-'):
-                continue
-            ref = t.split(':')[-1].strip()
-            if ref in PROTECTED_BRANCHES:
-                return f'git push to protected branch ({ref})'
-    return None
-
-
-def _gate_release(low: str, verb: str, tokens):
-    if verb == 'vercel' or (verb == 'npx' and 'vercel' in tokens[:3]):
+# ─────────────────────────────────────────────────────────────────────────────
+# ★関門は「実際に動く道具」で決める（便 ad6b5db9・えふさん確定 2026-09-18）
+#
+# 【直したずれ（便 30879701 の実機）】
+#   ・本物の本番反映 `pnpm --filter <部品> exec wrangler deploy --env production` が素通りした
+#     （頭の pnpm --filter … exec を剥がさず、wrangler deploy も関門に入っていなかった）。
+#   ・報告をヒアドキュメントで書くだけの Bash が、本文の「反映」の文字で関門に当たり8分止まった。
+# 【どう決めるか】
+#   1. split_commands で本物の区切りだけで割る（引用符・ヒアドキュメントの中は割らない）。
+#   2. 頭の前置き（pnpm --filter … exec・pnpm exec・npm exec・npx・yarn・bunx・env 変数=…・time・
+#      nohup・xargs 等）を剥がして、実際に動く道具の語の並び（_tool_words）を見る。
+#   3. 文字を扱うだけの道具（echo・cat・tee・grep・rg・git・gh …）は関門にしない。
+#      その引数・ヒアドキュメントの本文に何が書かれていても、実行はされないため。
+#   4. シェル（bash -c "…" / bash <<EOF）は、中身を同じ物差しで測り直す。
+#   5. SQL の字面は「実行しうる入口」のときだけ見る＝DB の道具・移行の道具・その場で走らせる形
+#      （python3 -c・node -e・python3 - <<EOF・DB の道具へ流す形）・知らない実行ファイル。
+# ★止める側（deny）はこの判定の前に済んでいて、ここでは1件も変えない。
+# ─────────────────────────────────────────────────────────────────────────────
+_DB_CLIENTS = frozenset({'psql', 'mysql', 'mongosh', 'dropdb', 'createdb', 'pg_restore', 'pg_dump'})
+
+
+def _gate_release(words, tokens):
+    """本番反映の関門（実際に動く道具の語の並びで見る）。"""
+    if not words:
+        return None
+    v = words[0]
+    if v == 'vercel':
         if '--prod' in tokens or '--production' in tokens:
             return 'vercel --prod'
-        for t in tokens:
-            if t in ('promote', 'alias', 'rollback'):
-                return f'vercel {t}'
-    if verb in ('npm', 'pnpm', 'yarn') and 'publish' in tokens[1:3]:
-        return f'{verb} publish'
-    if re.search(r'\bsupabase\s+functions\s+deploy\b', low):
+        for w in words[1:]:
+            if w in ('promote', 'alias', 'rollback'):
+                return f'vercel {w}'
+    if v == 'wrangler' and '--dry-run' not in tokens and (
+            words[1:2] in (['deploy'], ['publish'])
+            or words[1:3] in (['versions', 'deploy'], ['pages', 'deploy'])):
+        return 'wrangler ' + (' '.join(words[1:3]) if words[1] in ('versions', 'pages') else words[1])
+    if v in _PKG_MANAGERS and 'publish' in words[1:3]:
+        return f'{v} publish'
+    if words[:3] == ['supabase', 'functions', 'deploy']:
         return 'supabase functions deploy'
-    # 「deploy っぽい語」＋「本番の指定」の組み合わせ（新しい道具にも効く一般形）。
-    if re.search(r'\bdeploy\b', low) and re.search(r'--prod(uction)?\b', low):
+    # 「deploy の語」＋「本番の指定」の組み合わせ（新しい道具にも効く一般形）。
+    if 'deploy' in words and ('--prod' in tokens or '--production' in tokens):
         return 'deploy --prod'
     return None
 
 
-def _gate_db(low: str, verb: str, tokens, segment: str):
-    if verb in ('psql', 'mysql', 'mongosh', 'dropdb', 'createdb', 'pg_restore', 'pg_dump'):
-        return f'database client ({verb})'
-    if re.search(r'\bprisma\s+(migrate|db)\b', low):
+def _gate_db(words, tokens, segment: str):
+    """DB 実行の関門（実際に動く道具の語の並びで見る）。"""
+    if not words:
+        return None
+    v = words[0]
+    if v in _DB_CLIENTS:
+        return f'database client ({v})'
+    joined = ' '.join(words)
+    if re.match(r'prisma (migrate|db)( |$)', joined):
         return 'prisma migrate/db'
-    if re.search(r'\bsupabase\s+(db\s+(push|reset|query|execute)|migration\s+up)\b', low):
+    if re.match(r'supabase (db (push|reset|query|execute)|migration up)( |$)', joined):
         return 'supabase db/migration'
-    if re.search(r'\bdrizzle-kit\s+(push|migrate)\b', low):
+    if re.match(r'drizzle-kit (push|migrate)( |$)', joined):
         return 'drizzle-kit push/migrate'
-    # SQL 文字列（DDL / GRANT / RLS）を根拠にした関門。
-    #   ★「実際にSQLを実行しうる入口」に限る。文字列を扱うだけの動詞（echo / grep / git …）は
-    #     引数にSQLの字面があっても実行しないので関門にしない（＝誤検知を消す・緩める変更）。
-    #     一方、psql/mysql への `| psql` は分割後に psql セグメントが別途上で関門に当たり、
-    #     run-sql / apply のような未知のSQL実行入口は safe 集合に無いのでここで関門に落ちる。
-    if verb not in _SQL_TEXT_ONLY_VERBS and _SQL_GATE_RE.search(segment):
+    # SQL の字面（DDL / GRANT / RLS）。★ここへ来るのは「実行しうる入口」だけ
+    #   （文字を扱うだけの道具とシェルは _gate_one で先に振り分け済み）。
+    if _SQL_GATE_RE.search(segment):
         return 'SQL DDL/GRANT/RLS'
     return None
 
 
+def _shell_payloads(head_tokens, body):
+    """シェルに渡された中身（-c の文字列・ヒアドキュメントの本文）。"""
+    out = []
+    for k, t in enumerate(head_tokens):
+        if t in _CODE_FLAGS and k + 1 < len(head_tokens):
+            out.append(head_tokens[k + 1])
+    if body.strip():
+        out.append(body)
+    return out
+
+
+def _gate_one(segment: str, depth: int):
+    """本物の1コマンドの関門。返り (種別, 理由) / None。"""
+    head, _, body = segment.partition('\n')
+    toks = tokens_of(head)
+    words = _tool_words(toks)
+    if not words:
+        return None
+    v = words[0]
+    if v in _SQL_TEXT_ONLY_VERBS:
+        return None  # 文字を扱うだけ。引数・本文に何が書かれていても実行されない。
+    if v in _SHELL_RUNNERS:
+        if depth >= _UNWRAP_MAX_DEPTH:
+            return None
+        for inner in _shell_payloads(toks, body):
+            hit = _gate_command(inner, depth + 1)
+            if hit:
+                return hit
+        return None
+    hit = _gate_release(words, toks)
+    if hit:
+        return GATE_RELEASE, hit
+    hit = _gate_db(words, toks, segment)
+    if hit:
+        return GATE_DB, hit
+    return None
+
+
+def _gate_command(command: str, depth: int = 0):
+    """コマンド全体の関門（最初に当たったもの）。返り (種別, 理由) / None。"""
+    for seg in split_commands(command):
+        hit = _gate_one(seg, depth)
+        if hit:
+            return hit
+    return None
+
+
 # ═════════════════════════════════════════════════════════════════════════════
 # 入口: Bash
 # ═════════════════════════════════════════════════════════════════════════════
@@ -1294,20 +1895,21 @@ def decide_bash(command: str, cwd=None):
     if hit:
         return _r(DENY, f'danger: {hit}')
 
-    # ---- 2) 3関門 ----
-    for seg in segments:
-        toks = tokens_of(seg)
-        v = verb_of(toks)
-        seg_low = seg.lower()
-        hit = _gate_merge(seg_low, v, toks)
-        if hit:
-            return _r(GATE, f'gate(merge): {hit}', GATE_MERGE)
-        hit = _gate_release(seg_low, v, toks)
-        if hit:
-            return _r(GATE, f'gate(release): {hit}', GATE_RELEASE)
-        hit = _gate_db(seg_low, v, toks, seg)
-        if hit:
-            return _r(GATE, f'gate(db): {hit}', GATE_DB)
+    # ---- 1d) 抜け道（便 fc22bc34・main 直 push・保護の迂回と変更・秘密の値・検査の省略） ----
+    hit = _bypass_scan(command, cwd)
+    if hit:
+        return _r(DENY, f'danger: {hit}')
+
+    # ---- 1e) 本番 DB の直接変更（★判定の置き場は _prod_db_change の1か所・決定は下の定数） ----
+    hit = _prod_db_change_scan(command)
+    if hit:
+        return _prod_db_change_result(hit)
+
+    # ---- 2) 関門（★本物の区切りと、実際に動く道具で見る・便 ad6b5db9） ----
+    hit = _gate_command(command)
+    if hit:
+        gate, reason = hit
+        return _r(GATE, f'gate({gate}): {reason}', gate)
 
     # ---- 3) それ以外は自走 ----
     return _r(ALLOW, 'no gate, no danger')
@@ -1550,6 +2152,10 @@ def decide_event(data):
         return decide_read(fp, data.get('cwd'))
     if tool in SEARCH_TOOLS:
         return decide_search(tin, data.get('cwd'), tool)
+    # ★保護の変更（便 fc22bc34）: つなぎ先の道具で本番のデプロイの保護を変える形。
+    #   強める向きも含めて DENY（字面では強める・弱めるを見分けられない）。
+    if isinstance(tool, str) and re.search(r'(^|__)update_project_deployment_protection$', tool):
+        return _r(DENY, 'danger: 保護の変更 (デプロイの保護・つなぎ先の道具)')
     # ★知らない道具（MCP・将来増える組み込み）も、入力にパスらしい項目があれば同じ判定を通す。
     #   当たらなければ従来どおり自走する（WebSearch・道具の呼び出し等は1つも止まらない）。
     return decide_any_path(tin, data.get('cwd'))