@tyhld/conductor 0.12.19 → 0.12.21

package/scripts/hooks/policy.py

@@ -32,6 +32,7 @@
 import os
 import re
 import shlex
+import urllib.parse
 
 # ═════════════════════════════════════════════════════════════════════════════
 # 判定の返り値
@@ -476,10 +477,115 @@ _SPLIT_RE = re.compile(r'&&|\|\||[;|&\n]')
 
 
 def split_segments(command: str):
-    """複合コマンドを単純コマンドへ割る（判定は各セグメントに対して行う）。"""
+    """複合コマンドを単純コマンドへ割る（判定は各セグメントに対して行う）。
+
+    ★機械的に割る（引用符・ヒアドキュメントの中でも割る）。危険（deny）の判定はこちらを使う
+      ＝割り方を変えても止める側は1件も減らない（便 ad6b5db9）。関門は split_commands を使う。
+    """
     return [s.strip() for s in _SPLIT_RE.split(command) if s.strip()]
 
 
+# ヒアドキュメントの始まり（<<EOF / <<-EOF / <<'EOF' / <<"EOF"）。<<< は文字列を渡す別物。
+_HEREDOC_START_RE = re.compile(r'<<(-?)[ \t]*([\'"]?)([A-Za-z_][A-Za-z0-9_]*)\2')
+
+
+def split_commands(command: str, bodies: bool = True):
+    """★本物の区切りだけで割る（便 ad6b5db9・関門の判定に使う）。
+
+    【なぜ要るか（便 df4accf8 の重大発見1・便 30879701）】split_segments は引用符や
+      ヒアドキュメントの中でも割るので、コミットの説明・PR の本文・検索の文字・手順書の中の
+      「create table」「vercel --prod」が、ひとつのコマンドとして関門に当たっていた（7日で90件）。
+    【どう割るか】
+      ・引用符（' " `）の中は割らない。\\ の後ろの1文字もそのまま。
+      ・ヒアドキュメントの本文は、行の終わりで【その時点の最後のコマンド】に付けてひとかたまりにする
+        （`cat <<EOF > f` なら cat に、`cat <<EOF | psql` なら流れ込む先の psql に付く）。
+      ・# から行末までの注釈は捨てる（語の頭にあるときだけ）。
+      ・2>&1 / &> / >& の & は区切りではない。
+      ・bodies=False のときは、ヒアドキュメントの本文を付けずに読み飛ばす（便 2.5・止める側の
+        読み直しに使う。本文の文字をコマンドの引数と取り違えないため）。
+    """
+    out, cur = [], []
+    pending = []          # 本文を待っているヒアドキュメント [(区切りの語, 字下げを許すか)]
+    quote = None
+    i, n = 0, len(command or '')
+
+    def flush():
+        s = ''.join(cur).strip()
+        if s:
+            out.append(s)
+        cur.clear()
+
+    while i < n:
+        c = command[i]
+        if quote:
+            cur.append(c)
+            if c == '\\' and quote != "'" and i + 1 < n:
+                cur.append(command[i + 1])
+                i += 2
+                continue
+            if c == quote:
+                quote = None
+            i += 1
+            continue
+        if c == '\\' and i + 1 < n:
+            cur.append(command[i:i + 2])
+            i += 2
+            continue
+        if c in ('"', "'", '`'):
+            quote = c
+            cur.append(c)
+            i += 1
+            continue
+        if c == '#' and (i == 0 or command[i - 1] in ' \t\n;&|('):
+            j = command.find('\n', i)
+            i = n if j < 0 else j
+            continue
+        if command.startswith('<<', i) and not command.startswith('<<<', i):
+            m = _HEREDOC_START_RE.match(command, i)
+            if m:
+                pending.append((m.group(3), m.group(1) == '-'))
+                cur.append(m.group(0))
+                i = m.end()
+                continue
+        if c == '\n':
+            i += 1
+            if pending:
+                for delim, strip_tabs in pending:
+                    body = []
+                    while i < n:
+                        j = command.find('\n', i)
+                        line = command[i:n if j < 0 else j]
+                        i = n if j < 0 else j + 1
+                        if (line.lstrip('\t') if strip_tabs else line).strip() == delim:
+                            break
+                        body.append(line)
+                    if bodies:
+                        cur.append('\n' + '\n'.join(body))
+                pending = []
+            flush()
+            continue
+        if command.startswith('&&', i) or command.startswith('||', i):
+            flush()
+            i += 2
+            continue
+        if c == '&' and ((i > 0 and command[i - 1] == '>') or command.startswith('&>', i)):
+            cur.append(c)
+            i += 1
+            continue
+        if c == '|' and i > 0 and command[i - 1] == '>':
+            cur.append(c)  # `>|`（上書きのリダイレクト）は縦棒ではない（便 2.5）
+            i += 1
+            continue
+        if c in ';|&':
+            flush()
+            i += 1
+            continue
+        cur.append(c)
+        i += 1
+    flush()
+    return out
+
+
 def tokens_of(segment: str):
     """1セグメントを語に割る。クォートが壊れていても落ちない（安全側で素朴分割へ）。"""
     try:
@@ -704,7 +810,10 @@ def _wrapper_danger(command: str, depth: int = 0, cwd=None):
         hit = _rm_danger(inner)
         if hit:
             return f'{hit} ({where})'
-        for seg in split_segments(inner):
+        hit = _guard_write_scan(inner, cwd)
+        if hit:
+            return f'{hit} ({where})'
+        for seg in _real_segments(inner):
             toks = tokens_of(seg)
             v = verb_of(toks)
             hit = (_secret_danger(seg, v, toks, cwd) or _bulk_copy_danger(v, toks, cwd)
@@ -1103,6 +1212,11 @@ _VALUE_FLAGS = frozenset({
     '-c', '-C', '--account-id', '--site', '--env', '-e', '--repo', '-R', '--schema',
 })
 
+# 前置き（npm / pnpm / yarn / npx）の、値を1つ取る旗（`--filter <部品>` など）。
+_RUNNER_VALUE_FLAGS = frozenset({
+    '--filter', '-F', '--dir', '-C', '--workspace', '-w', '--prefix', '--package', '-p',
+})
+
 # 作業場所が変数などで決まり、確かめられないことを表す印（None＝「指定なし＝今の場所」とは別）。
 _UNKNOWN_DIR = object()
 
@@ -1130,13 +1244,34 @@ def _tool_words(tokens):
         return []
     head = rest[0].split('/')[-1].lower()
     if head in _TOOL_RUNNERS or head in _PKG_MANAGERS:
-        j = 1
-        while j < len(rest) and (rest[j].startswith('-') or rest[j].lower() in _PKG_EXEC_WORDS):
-            j += 1
-        nxt = rest[j].split('/')[-1].lower() if j < len(rest) else ''
-        if head in _TOOL_RUNNERS or rest[1:2] and rest[1].lower() in _PKG_EXEC_WORDS \
-                or nxt in _KNOWN_TOOLS:
+        # ★`pnpm --filter <部品> exec <道具>` / `npm -w <部品> exec -- <道具>` / `npx -p <部品> <道具>` /
+        #   `yarn workspace <部品> <道具>` の前置きを剥がす（便 ad6b5db9・便 30879701 の実機）。
+        j, saw_exec = 1, head in _TOOL_RUNNERS
+        while j < len(rest):
+            t = rest[j]
+            if t in _RUNNER_VALUE_FLAGS:
+                j += 2
+                continue
+            if t.startswith('-'):
+                j += 1
+                continue
+            if t.lower() in _PKG_EXEC_WORDS:
+                saw_exec = True
+                j += 1
+                continue
+            if head == 'yarn' and t.lower() == 'workspace':
+                j += 2
+                continue
+            break
+        nxt = _strip_version(rest[j].split('/')[-1].lower()) if j < len(rest) else ''
+        if saw_exec or nxt in _KNOWN_TOOLS:
             rest = rest[j:]
+        if not rest:
+            return []  # 前置きだけで道具が無い（`npx` だけ等）。★例外で落とさない。
+    # 前置きの旗（-p・-w 等）は、頭が npm / pnpm / yarn のまま残ったときだけ値ごと外す
+    # （`mkdir -p` や `grep -w` の後ろの語を消さないため）。
+    value_flags = _VALUE_FLAGS | (_RUNNER_VALUE_FLAGS
+                                  if rest[0].split('/')[-1].lower() in _PKG_MANAGERS else frozenset())
     words = []
     skip = False
     for k, t in enumerate(rest):
@@ -1144,13 +1279,18 @@ def _tool_words(tokens):
             skip = False
             continue
         if k > 0 and t.startswith('-'):
-            if t in _VALUE_FLAGS:
+            if t in value_flags:
                 skip = True
             continue
-        words.append(t.split('/')[-1].lower() if k == 0 else t.lower())
+        words.append(_strip_version(t.split('/')[-1].lower()) if k == 0 else t.lower())
     return words
 
 
+def _strip_version(name: str) -> str:
+    """`wrangler@3` → `wrangler`（版の指定を外す）。`@scope` の頭の @ は残す。"""
+    return name.split('@', 1)[0] if '@' in name[1:] else name
+
+
 def _current_branch_targets(cwd):
     """cwd のリポで、引数なしの push が書き込む先のブランチ名の集合。確かめられなければ None。
 
@@ -1253,12 +1393,92 @@ _API_SECRET_RE = re.compile(
     r'|/environments/[^/]+/(secrets|variables)(/|$)')
 _API_REPO_RE = re.compile(r'^repos/[^/]+/[^/]+/?$')
 
+# ─────────────────────────────────────────────────────────────────────────────
+# API で main の先端を書き換える形（DENY・便 2.5・便 fc22bc34 の要判断1）
+#   ・git/refs/heads/<保護ブランチ> の PATCH・POST・PUT・DELETE（先端の差し替え・消去）
+#   ・git/refs の POST で ref に保護ブランチを書く形
+#   ・contents の PUT・DELETE で保護ブランチのファイルを直接書く形（branch を書かない＝既定の
+#     ブランチ＝main へ書くので DENY）
+#   ・GraphQL の createCommitOnBranch・updateRefs（保護ブランチ）・updateRef（先が確かめられない）
+#   ★git/commits・git/trees を作るだけでは main は変わらない。「作って先端を差し替える一連の形」は、
+#     先端を差し替える一手（refs の書き換え）で止まる。
+#   ★書き込む先のブランチが変数（$BR・{branch}）で確かめられないときは DENY に倒す（main 直 push と同じ）。
+#   ★作業ブランチへの書き込み（branch=feat/…）は通す。
+# ─────────────────────────────────────────────────────────────────────────────
+_API_REFS_RE = re.compile(r'(^|/)git/refs(/(?P<ref>.+))?/?$')
+_API_CONTENTS_RE = re.compile(r'(^|/)contents(/|$)')
+# 本文の中の「ブランチ名」の書き方（-f branch=… / "branch":"…" / branchName:"…" / ref=refs/heads/…）。
+_BODY_BRANCH_RE = re.compile(
+    r'''["']?\b(branch|branchname|qualifiedname|ref|name)["']?\s*[:=]\s*["']?([^\s"',{}\\)]+)''')
+
+
+def _branch_state(name: str) -> str:
+    """ブランチ名（refs/heads/ 付きも）が 'protected' / 'unknown' / 'ok' のどれか。"""
+    n = name.strip().strip('"\'')
+    for pre in ('refs/heads/', 'heads/'):
+        if n.startswith(pre):
+            n = n[len(pre):]
+            break
+    if not n or any(c in n for c in '$`{}'):
+        return 'unknown'
+    return 'protected' if n in PROTECTED_BRANCHES else 'ok'
+
+
+def _body_branches(body_low: str, keys):
+    return [m.group(2) for m in _BODY_BRANCH_RE.finditer(body_low or '') if m.group(1) in keys]
+
+
+def _main_tip_write(ep: str, method: str, body_low: str):
+    """API で保護ブランチの先端を書き換える形なら理由。"""
+    m = _API_REFS_RE.search(ep)
+    if m:
+        ref = m.group('ref')
+        if ref:
+            if ref.startswith('heads/') or '$' in ref or '{' in ref:
+                st = _branch_state(ref)
+                if st == 'protected':
+                    return f'API で保護ブランチの先端を書き換える ({method} git/refs/{ref})'
+                if st == 'unknown':
+                    return f'API で先端を書き換える (git/refs/{ref}・書き込む先を確かめられない)'
+            return None
+        if method == 'POST':
+            refs = _body_branches(body_low, ('ref',))
+            states = {_branch_state(r) for r in refs if r.startswith(('refs/heads/', '$', '{'))}
+            if not refs or 'protected' in states or 'unknown' in states:
+                return 'API で保護ブランチの ref を作る (POST git/refs・書き込む先が保護か確かめられない)'
+        return None
+    if _API_CONTENTS_RE.search(ep) and method in ('PUT', 'DELETE'):
+        branches = _body_branches(body_low, ('branch',))
+        if not branches:
+            return f'API でファイルを既定のブランチへ直接書く ({method} contents・branch の指定なし)'
+        states = {_branch_state(b) for b in branches}
+        if 'protected' in states:
+            return f'API で保護ブランチのファイルを直接書く ({method} contents)'
+        if 'unknown' in states:
+            return f'API でファイルを直接書く ({method} contents・書き込む先を確かめられない)'
+        return None
+    if ep.rstrip('/') == 'graphql':
+        if 'updateref(' in re.sub(r'\s', '', body_low):
+            return 'GraphQL の updateRef (先端の書き換え・書き込む先を確かめられない)'
+        for mut, keys in (('createcommitonbranch', ('branchname', 'qualifiedname', 'branch')),
+                          ('updaterefs', ('name', 'branchname', 'qualifiedname'))):
+            if mut in body_low:
+                names = _body_branches(body_low, keys)
+                states = {_branch_state(b) for b in names}
+                if not names or 'protected' in states or 'unknown' in states:
+                    return f'GraphQL の {mut} (保護ブランチの先端の書き換え・または確かめられない)'
+    return None
+
 
 def _github_api_write(endpoint: str, method: str, body_low: str):
     """GitHub の API への書き込み1件が抜け道なら理由を返す（読み取りは通す）。"""
     ep = re.sub(r'^https?://api\.github\.com/', '', endpoint.strip()).lstrip('/').split('?')[0]
+    ep = urllib.parse.unquote(ep)
     if method in ('GET', 'HEAD'):
         return None
+    hit = _main_tip_write(ep, method, body_low)
+    if hit:
+        return hit
     if _API_MERGE_RE.search(ep) and method in ('PUT', 'POST'):
         return 'API での合流 (pulls/N/merge・保護を迂回する合流)'
     if ep.rstrip('/') == 'graphql' and 'mergepullrequest' in body_low:
@@ -1401,26 +1621,35 @@ def _bypass_segment_danger(seg, tokens, cwd, command):
     return None
 
 
+def _cd_dest(toks, here):
+    """`cd 場所` の後の作業場所。変数・`cd -`・分からないときは _UNKNOWN_DIR。"""
+    after = toks[toks.index('cd') + 1:] if 'cd' in toks else []
+    dest = next((t for t in after if t != '--'), '~')
+    p = os.path.expanduser(dest)
+    if dest == '-' or any(c in dest for c in '$`*?') or here is _UNKNOWN_DIR:
+        return _UNKNOWN_DIR
+    if os.path.isabs(p):
+        return p
+    return os.path.join(here or os.getcwd(), p)
+
+
 def _bypass_scan(command: str, cwd=None):
-    """コマンド全体の抜け道を探す。★`cd 場所` を追って、後ろの push の作業場所に使う。"""
-    here = cwd
-    for seg in split_segments(command):
-        toks = tokens_of(seg)
-        v = verb_of(toks)
-        if v == 'cd':
-            after = toks[toks.index('cd') + 1:] if 'cd' in toks else []
-            dest = next((t for t in after if t != '--'), '~')
-            p = os.path.expanduser(dest)
-            if dest == '-' or any(c in dest for c in '$`*?') or here is _UNKNOWN_DIR:
-                here = _UNKNOWN_DIR
-            elif os.path.isabs(p):
-                here = p
-            else:
-                here = os.path.join(here or os.getcwd(), p)
-            continue
-        hit = _bypass_segment_danger(seg, toks, here, command) or _main_push_danger(toks, here)
-        if hit:
-            return hit
+    """コマンド全体の抜け道を探す。★`cd 場所` を追って、後ろの push の作業場所に使う。
+
+    ★機械的な区切りで1回、本物の区切り（本文なし）でもう1回測る（便 2.5）。複数行の引用符の
+      中に書いた GraphQL の本文などを、ひとかたまりのまま読むため。止める側は減らない。
+    """
+    for segs in (split_segments(command), split_commands(command, bodies=False)):
+        here = cwd
+        for seg in segs:
+            toks = tokens_of(seg)
+            v = verb_of(toks)
+            if v == 'cd':
+                here = _cd_dest(toks, here)
+                continue
+            hit = _bypass_segment_danger(seg, toks, here, command) or _main_push_danger(toks, here)
+            if hit:
+                return hit
     return None
 
 
@@ -1560,7 +1789,9 @@ def _secret_danger(segment: str, verb: str, tokens, cwd=None):
             #   コミットメッセージや説明文に .env と書いただけで止まる（実際に止まった）。
             #   その代わり、未知の道具に秘密を渡す形（`mytool .env`）は素通りする＝
             #   限界として README に明記してある。
-            if verb in READ_VERBS or verb in WRITE_VERBS or verb in EXFIL_VERBS:
+            # ★探す道具（rg・ag・ack・ugrep …）も中身を画面に出す＝読む（便 2.5・`rg "a|b" .env`）。
+            if verb in READ_VERBS or verb in WRITE_VERBS or verb in EXFIL_VERBS \
+                    or verb in _PATTERN_FIRST_VERBS:
                 return f'{sr} touched by {verb}'
         if verb in WRITE_VERBS or is_inplace_edit(verb, tokens):
             syr = system_write_reason(a)
@@ -1578,6 +1809,400 @@ def _secret_danger(segment: str, verb: str, tokens, cwd=None):
     return None
 
 
+def _real_segments(command: str):
+    """止める側の読み直しに使う区切り（便 2.5）。機械的な区切りに、本物の区切りを【足す】。
+
+    ★機械的な区切り（split_segments）は1件も外さない＝止める側は減らない。
+    ★本物の区切り（split_commands・本文なし）を足すと、引用符の中の `|` `;` で動詞が千切れた
+      コマンド（`grep -n "x|y" .env` → `y" .env` という切れ端）も、正しい動詞で測り直せる。
+    """
+    segs = split_segments(command)
+    seen = set(segs)
+    for s in split_commands(command, bodies=False):
+        if s not in seen:
+            seen.add(s)
+            segs.append(s)
+    return segs
+
+
+# ═════════════════════════════════════════════════════════════════════════════
+# 番人の設定への書き込み（DENY・便 2.5・えふさん確定 2026-09-18）
+#
+# 【なぜ要るか（便 ad6b5db9 の重大発見1(ア)）】書き込みの道具（Write）では止まるのに、Bash の
+#   リダイレクト・tee・cp・mv・sed -i・python3 で開いて書く形では止まらなかった（リダイレクトの
+#   行き先は秘密とシステム領域しか見ていなかった）。番人の設定を職人が書き換えられると、番人
+#   そのものが外れる。
+# 【守る場所】~/.claude/settings.json・~/.claude/settings.local.json（と、各現場の
+#   .claude/settings*.json＝Write と同じ判定 is_guard_settings_path）・~/.tyhld/hooks 配下・
+#   ~/.codex/hooks.json・~/.codex/config.toml・~/.config/systemd 配下。
+#   ★ホーム直下の隠しフォルダの hooks.json・config.toml は、道具の名前を持たない一般の形で守る
+#     （~/.codex の2つはこれに当たる）。番人の判定に道具名を持ち込まない決め（test/guard-for-codex・
+#     ADR-022）を守るため。ほかの道具の同じ形の登録ファイルも、同じく守る側に入る。
+# 【止めないもの】読むだけ（cat・grep・diff・jq・cp で外へ写す）。使い捨ての作業場（/tmp の下）に
+#   作った同じ名前（Write と同じ例外 is_throwaway_path）。
+# 【どう見るか】本物の区切り（引用符・ヒアドキュメントの本文の中は割らない）で割った各コマンドの
+#   「書き込む先」だけを見る。報告やコミットの説明に同じ場所の名前が書いてあるだけでは止めない。
+# ═════════════════════════════════════════════════════════════════════════════
+
+#: ★~/.claude/settings*.json は Write と同じ名前の判定（is_guard_settings_path）で守る（一覧は持たない）。
+#: ホーム直下の隠しフォルダに置かれたときだけ、道具の番人の登録・設定と分かる名前。
+_AGENT_CONFIG_NAMES = frozenset({'hooks.json', 'config.toml'})
+#: ホームの下の、中身ぜんぶが番人の設定の置き場。
+_GUARD_HOME_DIRS = ('.tyhld/hooks', '.config/systemd')
+#: 番人の設定を中に持つ置き場（消す・動かす・フォルダごと写し込むと設定が変わる）。
+#: ★ほかに、ホーム直下の隠しフォルダで hooks.json・config.toml を持つものも同じ扱い。
+_GUARD_HOME_PARENTS = ('.claude', '.tyhld', '.config')
+
+
+def _expand_path(path: str, cwd=None) -> str:
+    """字面のパスを、近道を解かずに絶対パスへ（$HOME・~・相対を解く）。"""
+    q = normalize_redirect_target(path)
+    for var in ('${HOME}', '$HOME'):
+        if q == var or q.startswith(var + '/'):
+            q = os.path.expanduser('~') + q[len(var):]
+            break
+    q = os.path.expanduser(q)
+    if not os.path.isabs(q):
+        base = cwd if (isinstance(cwd, str) and os.path.isabs(cwd)) else os.getcwd()
+        q = os.path.join(base, q)
+    return os.path.normpath(q)
+
+
+def _home_rels(abs_paths):
+    """絶対パスたちの、ホームからの相対（ホームの外は落とす）。字面のホームと実体のホームの両方。"""
+    homes = {os.path.expanduser('~').rstrip('/'), _home_dir().rstrip('/')}
+    out = []
+    for p in abs_paths:
+        for h in homes:
+            if h and p.startswith(h + '/'):
+                out.append(p[len(h) + 1:])
+    return out
+
+
+def guard_config_reason(path: str, cwd=None):
+    """書き込むと番人の設定が変わる場所なら理由、そうでなければ None（★読むだけには使わない）。
+
+    ★字面と、近道(symlink)を解いた実体の両方を見る（別名から本物へ書くのを塞ぐ）。
+    """
+    if not path or not path.strip():
+        return None
+    try:
+        lit = _expand_path(path, cwd)
+        real = resolved_path(lit)
+    except Exception:  # noqa: BLE001
+        return None
+    for p in (lit, real):
+        if is_guard_settings_path(p) and not is_throwaway_path(p):
+            return 'guard settings (.claude/settings*.json)'
+    for rel in _home_rels((lit, real)):
+        parts = rel.split('/')
+        if len(parts) == 2 and parts[0].startswith('.') and parts[1] in _AGENT_CONFIG_NAMES:
+            return f'agent hook settings (~/{rel})'
+        for d in _GUARD_HOME_DIRS:
+            if rel == d or rel.startswith(d + '/'):
+                return f'guard directory (~/{d})'
+    return None
+
+
+def _guard_parent_reason(path: str, cwd=None):
+    """番人の設定を中に持つ置き場そのもの（~/.claude・~/.tyhld・~/.config・現場の .claude・
+    ホーム直下の隠しフォルダで hooks.json か config.toml を持つもの）。"""
+    try:
+        lit = _expand_path(path, cwd)
+        real = resolved_path(lit)
+    except Exception:  # noqa: BLE001
+        return None
+    for p in (lit, real):
+        if p.rstrip('/').split('/')[-1] == '.claude' and not is_throwaway_path(p):
+            return 'guard settings folder (.claude)'
+    for rel in _home_rels((lit, real)):
+        rel = rel.rstrip('/')
+        if rel in _GUARD_HOME_PARENTS or any(d.startswith(rel + '/') for d in _GUARD_HOME_DIRS):
+            return f'guard settings folder (~/{rel})'
+        if '/' not in rel and rel.startswith('.') and any(
+                os.path.exists(os.path.join(os.path.expanduser('~'), rel, n)) for n in _AGENT_CONFIG_NAMES):
+            return f'agent hook settings folder (~/{rel})'
+    return None
+
+
+# リダイレクトの記号（語の頭に付いたもの）。`2>&1` `>&2` のような写しは書き込みではない。
+_REDIRECT_TOKEN_RE = re.compile(r'^\d*(>>|>\||&>>|&>|>&|>|<<<|<<-?|<>|<)')
+#: 書き込む先が「最後の引数（か -t の値）」の道具。それより前は読むだけ。
+_COPY_VERBS = frozenset({'cp', 'install', 'ln', 'rsync', 'ditto'})
+#: 引数ぜんぶが書き換え・削除の対象になる道具。
+_TOUCH_ALL_VERBS = frozenset({
+    'tee', 'rm', 'rmdir', 'shred', 'truncate', 'touch', 'chmod', 'chown', 'chgrp', 'patch',
+    'sponge', 'unlink', 'mkdir',
+})
+#: その場で書き換える旗を持つ道具（sed -i・perl -i・yq -i など）。
+_INPLACE_VERBS = frozenset({'sed', 'perl', 'ruby', 'yq'})
+#: systemctl --user の、~/.config/systemd の中を書き換える操作。
+_SYSTEMCTL_WRITE = frozenset({
+    'enable', 'disable', 'reenable', 'edit', 'link', 'mask', 'unmask', 'revert', 'preset',
+    'set-property', 'add-wants', 'add-requires',
+})
+
+
+def _real_redirect_targets(segment: str):
+    """引用符の外にある本物のリダイレクトの書き込み先（`>` `>>` `>|` `&>`）。"""
+    out = []
+    head = segment.split('\n', 1)[0] if '<<' in segment else segment
+    quote = None
+    i, n = 0, len(head)
+    while i < n:
+        c = head[i]
+        if quote:
+            if c == '\\' and quote == '"':
+                i += 2
+                continue
+            if c == quote:
+                quote = None
+            i += 1
+            continue
+        if c == '\\':
+            i += 2
+            continue
+        if c in '"\'`':
+            quote = c
+            i += 1
+            continue
+        if c != '>':
+            i += 1
+            continue
+        j = i + 1
+        if j < n and head[j] in '>|':
+            j += 1
+        if j < n and head[j] in '&(':
+            i = j + 1  # `>&2` / `2>&1`（写し）・`>(…)`（プロセス置換）は書き込み先ではない
+            continue
+        while j < n and head[j] in ' \t':
+            j += 1
+        k, q = j, None
+        while k < n:
+            ch = head[k]
+            if q:
+                if ch == q:
+                    q = None
+            elif ch in '"\'':
+                q = ch
+            elif ch in ' \t;|&<>()':
+                break
+            k += 1
+        word = head[j:k].replace('"', '').replace("'", '')
+        if word:
+            out.append(word)
+        i = k
+    return out
+
+
+def _plain_args(tokens, start):
+    """動詞より後ろの、リダイレクトを除いた引数。"""
+    out, skip = [], False
+    for t in tokens[start:]:
+        if skip:
+            skip = False
+            continue
+        m = _REDIRECT_TOKEN_RE.match(t)
+        if m:
+            if m.end() == len(t):
+                skip = True
+            continue
+        out.append(t)
+    return out
+
+
+def _verb_pos(tokens):
+    """verb_of と同じ読み方で、動詞の位置を返す（無ければ len(tokens)）。"""
+    i = 0
+    while i < len(tokens):
+        t = tokens[i]
+        if _ASSIGN_RE.match(t):
+            i += 1
+            continue
+        base = t.split('/')[-1]
+        if base in _WRAPPERS:
+            i += 1
+            while i < len(tokens) and tokens[i].startswith('-'):
+                i += 1
+            if base in ('timeout', 'nice', 'ionice') and i < len(tokens) \
+                    and not tokens[i].startswith('-'):
+                i += 1
+            continue
+        return i
+    return len(tokens)
+
+
+def _guard_write_segment(segment: str, cwd=None):
+    """本物の1コマンドが番人の設定へ書くなら理由。"""
+    for t in _real_redirect_targets(segment):
+        r = guard_config_reason(t, cwd)
+        if r:
+            return f'redirect into {r}'
+    head = segment.split('\n', 1)[0] if '<<' in segment else segment
+    tokens = tokens_of(head)
+    pos = _verb_pos(tokens)
+    if pos >= len(tokens):
+        return None
+    verb = tokens[pos].split('/')[-1]
+    args = _plain_args(tokens, pos + 1)
+    paths = [a for a in args if not a.startswith('-')]
+    targets, parents = [], []
+    if verb in _TOUCH_ALL_VERBS:
+        targets = paths
+        if verb in ('rm', 'rmdir', 'shred', 'unlink'):
+            parents = paths
+    elif verb == 'mv':
+        targets = parents = paths  # 動かす元も、動かした先も変わる
+    elif verb in _COPY_VERBS:
+        dest = None
+        for k, a in enumerate(args):
+            if a in ('-t', '--target-directory') and k + 1 < len(args):
+                dest = args[k + 1]
+            elif a.startswith('--target-directory='):
+                dest = a.split('=', 1)[1]
+        srcs = [p for p in paths if p != dest]
+        if dest is None and paths:
+            dest, srcs = paths[-1], paths[:-1]
+        if dest:
+            targets = [dest] + [os.path.join(_expand_path(dest, cwd), os.path.basename(s.rstrip('/')))
+                                for s in srcs if s.rstrip('/')]
+            recursive = any(a in ('-r', '-R', '--recursive', '-a', '--archive')
+                            or (re.match(r'^-[A-Za-z]+$', a) and ('r' in a or 'R' in a or 'a' in a))
+                            for a in args)
+            if recursive or verb == 'rsync':
+                parents = [dest]
+    elif verb == 'dd':
+        targets = [a[3:] for a in args if a.startswith('of=')]
+    elif verb in _INPLACE_VERBS and (
+            is_inplace_edit(verb if verb != 'yq' else 'sed', tokens[pos:])
+            or any(re.match(r'^-[a-zA-Z]*i', a) for a in args if not a.startswith('--'))):
+        targets = paths  # `perl -pi -e …` のように旗をまとめた形も
+    elif verb == 'systemctl' and '--user' in args:
+        if any(a in _SYSTEMCTL_WRITE for a in paths):
+            return 'guard directory (~/.config/systemd) changed by systemctl --user'
+    for p in targets:
+        r = guard_config_reason(p, cwd)
+        if r:
+            return f'{r} written by {verb}'
+    for p in parents:
+        r = _guard_parent_reason(p, cwd)
+        if r:
+            return f'{r} changed by {verb}'
+    return None
+
+
+def _guard_write_scan(command: str, cwd=None):
+    """コマンド全体で、番人の設定への書き込みを探す（本物の区切り・`cd 場所` を追う）。
+
+    ★同じコマンドの中で先に決めた変数（`P=/tmp/x; … > $P/.claude/settings.json`）は解いてから測る。
+      解けない変数は、そのまま（＝使い捨ての作業場と確かめられない＝守る側）で測る。
+    """
+    here, env = cwd, {}
+    for seg in split_commands(command, bodies=False):
+        toks = tokens_of(seg)
+        if toks and all(_ASSIGN_RE.match(t) for t in toks):
+            for t in toks:
+                k, _, v = t.partition('=')
+                env[k] = _expand_vars(v, env)
+            continue
+        seg = _expand_vars(seg, env)
+        toks = tokens_of(seg)
+        if verb_of(toks) == 'cd':
+            here = _cd_dest(toks, here)
+            continue
+        where = None if here is _UNKNOWN_DIR else here
+        hit = _guard_write_segment(seg, where)
+        if hit:
+            return hit
+        for code in _code_payloads(seg, command):
+            hit = _code_guard_write(code, where)
+            if hit:
+                return hit
+    return None
+
+
+def _expand_vars(text: str, env) -> str:
+    """同じコマンドの中で決めた変数だけを解く（$HOME などほかの変数は触らない）。"""
+    if not env:
+        return text
+    return re.sub(r'\$\{?([A-Za-z_][A-Za-z0-9_]*)\}?',
+                  lambda m: env.get(m.group(1), m.group(0)), text)
+
+
+def _code_payloads(segment: str, command: str):
+    """1コマンドがその場で走らせるプログラムの中身（python3 -c・node -e・python3 - <<EOF）。"""
+    head = segment.split('\n', 1)[0]
+    toks = tokens_of(head)
+    if verb_of(toks) not in _CODE_RUNNERS:
+        return []
+    out = [toks[k + 1] for k, t in enumerate(toks) if t in _CODE_FLAGS and k + 1 < len(toks)]
+    m = _HEREDOC_START_RE.search(head)
+    if m:
+        body = _HEREDOC_RE.search(command[command.find(m.group(0)):] if m.group(0) in command else '')
+        if body:
+            out.append(body.group(2))
+    return out
+
+
+# プログラム（python3 -c・node -e・python3 - <<EOF）の中の、番人の設定の場所の書き方。
+#   ① 文字列そのものが場所（'~/.claude/settings.json'）→ guard_config_reason で測る
+#   ② 部品で組み立てた形（Path.home() / '.claude' / 'settings.json'・join(h, '.<隠しフォルダ>', 'hooks.json')）
+#   ★報告の文の中に場所の名前が出てくるだけ（空白を含む文字列）は場所と読まない。
+_CODE_GUARD_JOIN_RE = re.compile(
+    r'''['"]\.claude['"]\s*[,/+]\s*['"]settings[\w.]*\.json['"]'''
+    r'''|['"]\.tyhld['"]\s*[,/+]\s*['"]hooks['"/]'''
+    r'''|['"]\.[\w-]+['"]\s*[,/+]\s*['"](hooks\.json|config\.toml)['"]'''
+    r'''|['"]\.config['"]\s*[,/+]\s*['"]systemd['"/]''')
+_CODE_PATH_LITERAL_RE = re.compile(r'''['"`]([^'"`\s*?\[\]]{1,300})['"`]''')
+# ホームを式で足した後ろの部分（homedir() + '/.codex/hooks.json'・`${os.homedir()}/.claude/…`）。
+_CODE_HOME_TAIL_RE = re.compile(r'^(?:\$\{[^}]*\})?(/\..+)$')
+# プログラムの中の「書く」書き方（開いて書く・写す・動かす・消す）。
+_CODE_WRITE_RE = re.compile(
+    r'''open\s*\([^)]*['"](?:[wax]|r\+)[bt+]*['"]|mode\s*=\s*['"](?:[wax]|r\+)'''
+    r'''|\.write(_text|_bytes)?\s*\(|json\.dump\s*\(|shutil\.(copy\w*|move|rmtree)'''
+    r'''|os\.(rename|replace|remove|unlink|symlink|rmdir)\s*\(|\.(unlink|rename|replace|symlink_to|touch)\s*\('''
+    r'''|writefile|appendfile|fs\.(write|copy|rename|rm|unlink|symlink|cp)\w*'''
+    r'''|file\.write|io\.write|['"]>>?['"]''', re.IGNORECASE)
+
+
+def _code_mentions_guard(stmt: str, cwd=None) -> bool:
+    if _CODE_GUARD_JOIN_RE.search(stmt):
+        return True
+    for m in _CODE_PATH_LITERAL_RE.finditer(stmt):
+        lit = m.group(1)
+        if '/' in lit and guard_config_reason(lit, cwd):
+            return True
+        tail = _CODE_HOME_TAIL_RE.match(lit)
+        if tail and guard_config_reason('~' + tail.group(1), cwd):
+            return True
+    return False
+
+
+def _code_guard_write(text: str, cwd=None):
+    """プログラムの中で、番人の設定の場所を書き換えるなら理由。★読むだけ（json.load）は止めない。
+
+    ★場所が【書く呼び出しと同じ文】に出てくるか、場所を入れた変数が書く文で使われるときだけ止める
+      （別のファイルを書き換えるプログラムの文の中に、場所の名前が書いてあるだけでは止めない）。
+    """
+    if not text or not _CODE_WRITE_RE.search(text):
+        return None
+    names = set()
+    for stmt in re.split(r'[\n;]', text):
+        if not stmt.strip():
+            continue
+        if _code_mentions_guard(stmt, cwd):
+            if _CODE_WRITE_RE.search(stmt):
+                return 'guard settings written by a program'
+            m = re.match(r'\s*(?:const |let |var |my )?\$?([A-Za-z_][A-Za-z0-9_]*)\s*=[^=]', stmt)
+            if m:
+                names.add(m.group(1))
+            continue
+        if names and _CODE_WRITE_RE.search(stmt) and any(
+                re.search(rf'(?<![\w.]){re.escape(n)}\b', stmt) for n in names):
+            return 'guard settings written by a program'
+    return None
+
+
 # ═════════════════════════════════════════════════════════════════════════════
 # 2) 3関門（gate）
 # ═════════════════════════════════════════════════════════════════════════════
@@ -1610,42 +2235,120 @@ _SQL_TEXT_ONLY_VERBS = frozenset({
 })
 
 
-def _gate_release(low: str, verb: str, tokens):
-    if verb == 'vercel' or (verb == 'npx' and 'vercel' in tokens[:3]):
+# ─────────────────────────────────────────────────────────────────────────────
+# ★関門は「実際に動く道具」で決める（便 ad6b5db9・えふさん確定 2026-09-18）
+#
+# 【直したずれ（便 30879701 の実機）】
+#   ・本物の本番反映 `pnpm --filter <部品> exec wrangler deploy --env production` が素通りした
+#     （頭の pnpm --filter … exec を剥がさず、wrangler deploy も関門に入っていなかった）。
+#   ・報告をヒアドキュメントで書くだけの Bash が、本文の「反映」の文字で関門に当たり8分止まった。
+# 【どう決めるか】
+#   1. split_commands で本物の区切りだけで割る（引用符・ヒアドキュメントの中は割らない）。
+#   2. 頭の前置き（pnpm --filter … exec・pnpm exec・npm exec・npx・yarn・bunx・env 変数=…・time・
+#      nohup・xargs 等）を剥がして、実際に動く道具の語の並び（_tool_words）を見る。
+#   3. 文字を扱うだけの道具（echo・cat・tee・grep・rg・git・gh …）は関門にしない。
+#      その引数・ヒアドキュメントの本文に何が書かれていても、実行はされないため。
+#   4. シェル（bash -c "…" / bash <<EOF）は、中身を同じ物差しで測り直す。
+#   5. SQL の字面は「実行しうる入口」のときだけ見る＝DB の道具・移行の道具・その場で走らせる形
+#      （python3 -c・node -e・python3 - <<EOF・DB の道具へ流す形）・知らない実行ファイル。
+# ★止める側（deny）はこの判定の前に済んでいて、ここでは1件も変えない。
+# ─────────────────────────────────────────────────────────────────────────────
+_DB_CLIENTS = frozenset({'psql', 'mysql', 'mongosh', 'dropdb', 'createdb', 'pg_restore', 'pg_dump'})
+
+
+def _gate_release(words, tokens):
+    """本番反映の関門（実際に動く道具の語の並びで見る）。"""
+    if not words:
+        return None
+    v = words[0]
+    if v == 'vercel':
         if '--prod' in tokens or '--production' in tokens:
             return 'vercel --prod'
-        for t in tokens:
-            if t in ('promote', 'alias', 'rollback'):
-                return f'vercel {t}'
-    if verb in ('npm', 'pnpm', 'yarn') and 'publish' in tokens[1:3]:
-        return f'{verb} publish'
-    if re.search(r'\bsupabase\s+functions\s+deploy\b', low):
+        for w in words[1:]:
+            if w in ('promote', 'alias', 'rollback'):
+                return f'vercel {w}'
+    if v == 'wrangler' and '--dry-run' not in tokens and (
+            words[1:2] in (['deploy'], ['publish'])
+            or words[1:3] in (['versions', 'deploy'], ['pages', 'deploy'])):
+        return 'wrangler ' + (' '.join(words[1:3]) if words[1] in ('versions', 'pages') else words[1])
+    if v in _PKG_MANAGERS and 'publish' in words[1:3]:
+        return f'{v} publish'
+    if words[:3] == ['supabase', 'functions', 'deploy']:
         return 'supabase functions deploy'
-    # 「deploy っぽい語」＋「本番の指定」の組み合わせ（新しい道具にも効く一般形）。
-    if re.search(r'\bdeploy\b', low) and re.search(r'--prod(uction)?\b', low):
+    # 「deploy の語」＋「本番の指定」の組み合わせ（新しい道具にも効く一般形）。
+    if 'deploy' in words and ('--prod' in tokens or '--production' in tokens):
         return 'deploy --prod'
     return None
 
 
-def _gate_db(low: str, verb: str, tokens, segment: str):
-    if verb in ('psql', 'mysql', 'mongosh', 'dropdb', 'createdb', 'pg_restore', 'pg_dump'):
-        return f'database client ({verb})'
-    if re.search(r'\bprisma\s+(migrate|db)\b', low):
+def _gate_db(words, tokens, segment: str):
+    """DB 実行の関門（実際に動く道具の語の並びで見る）。"""
+    if not words:
+        return None
+    v = words[0]
+    if v in _DB_CLIENTS:
+        return f'database client ({v})'
+    joined = ' '.join(words)
+    if re.match(r'prisma (migrate|db)( |$)', joined):
         return 'prisma migrate/db'
-    if re.search(r'\bsupabase\s+(db\s+(push|reset|query|execute)|migration\s+up)\b', low):
+    if re.match(r'supabase (db (push|reset|query|execute)|migration up)( |$)', joined):
         return 'supabase db/migration'
-    if re.search(r'\bdrizzle-kit\s+(push|migrate)\b', low):
+    if re.match(r'drizzle-kit (push|migrate)( |$)', joined):
         return 'drizzle-kit push/migrate'
-    # SQL 文字列（DDL / GRANT / RLS）を根拠にした関門。
-    #   ★「実際にSQLを実行しうる入口」に限る。文字列を扱うだけの動詞（echo / grep / git …）は
-    #     引数にSQLの字面があっても実行しないので関門にしない（＝誤検知を消す・緩める変更）。
-    #     一方、psql/mysql への `| psql` は分割後に psql セグメントが別途上で関門に当たり、
-    #     run-sql / apply のような未知のSQL実行入口は safe 集合に無いのでここで関門に落ちる。
-    if verb not in _SQL_TEXT_ONLY_VERBS and _SQL_GATE_RE.search(segment):
+    # SQL の字面（DDL / GRANT / RLS）。★ここへ来るのは「実行しうる入口」だけ
+    #   （文字を扱うだけの道具とシェルは _gate_one で先に振り分け済み）。
+    if _SQL_GATE_RE.search(segment):
         return 'SQL DDL/GRANT/RLS'
     return None
 
 
+def _shell_payloads(head_tokens, body):
+    """シェルに渡された中身（-c の文字列・ヒアドキュメントの本文）。"""
+    out = []
+    for k, t in enumerate(head_tokens):
+        if t in _CODE_FLAGS and k + 1 < len(head_tokens):
+            out.append(head_tokens[k + 1])
+    if body.strip():
+        out.append(body)
+    return out
+
+
+def _gate_one(segment: str, depth: int):
+    """本物の1コマンドの関門。返り (種別, 理由) / None。"""
+    head, _, body = segment.partition('\n')
+    toks = tokens_of(head)
+    words = _tool_words(toks)
+    if not words:
+        return None
+    v = words[0]
+    if v in _SQL_TEXT_ONLY_VERBS:
+        return None  # 文字を扱うだけ。引数・本文に何が書かれていても実行されない。
+    if v in _SHELL_RUNNERS:
+        if depth >= _UNWRAP_MAX_DEPTH:
+            return None
+        for inner in _shell_payloads(toks, body):
+            hit = _gate_command(inner, depth + 1)
+            if hit:
+                return hit
+        return None
+    hit = _gate_release(words, toks)
+    if hit:
+        return GATE_RELEASE, hit
+    hit = _gate_db(words, toks, segment)
+    if hit:
+        return GATE_DB, hit
+    return None
+
+
+def _gate_command(command: str, depth: int = 0):
+    """コマンド全体の関門（最初に当たったもの）。返り (種別, 理由) / None。"""
+    for seg in split_commands(command):
+        hit = _gate_one(seg, depth)
+        if hit:
+            return hit
+    return None
+
+
 # ═════════════════════════════════════════════════════════════════════════════
 # 入口: Bash
 # ═════════════════════════════════════════════════════════════════════════════
@@ -1664,7 +2367,8 @@ def decide_bash(command: str, cwd=None):
     if hit:
         return _r(DENY, f'danger: {hit}')
 
-    segments = split_segments(command)
+    # ★機械的な区切りに、本物の区切りを足して測る（便 2.5・`grep -n "x|y" .env` の動詞を取り戻す）。
+    segments = _real_segments(command)
 
     # ---- 1) 危険（セグメントごと・対象と作用） ----
     for seg in segments:
@@ -1688,6 +2392,11 @@ def decide_bash(command: str, cwd=None):
     if hit:
         return _r(DENY, f'danger: {hit}')
 
+    # ---- 1c') 番人の設定への書き込み（便 2.5・リダイレクト・tee・cp・mv・sed -i ほか） ----
+    hit = _guard_write_scan(command, cwd)
+    if hit:
+        return _r(DENY, f'danger: {hit}')
+
     # ---- 1d) 抜け道（便 fc22bc34・main 直 push・保護の迂回と変更・秘密の値・検査の省略） ----
     hit = _bypass_scan(command, cwd)
     if hit:
@@ -1698,17 +2407,11 @@ def decide_bash(command: str, cwd=None):
     if hit:
         return _prod_db_change_result(hit)
 
-    # ---- 2) 3関門 ----
-    for seg in segments:
-        toks = tokens_of(seg)
-        v = verb_of(toks)
-        seg_low = seg.lower()
-        hit = _gate_release(seg_low, v, toks)
-        if hit:
-            return _r(GATE, f'gate(release): {hit}', GATE_RELEASE)
-        hit = _gate_db(seg_low, v, toks, seg)
-        if hit:
-            return _r(GATE, f'gate(db): {hit}', GATE_DB)
+    # ---- 2) 関門（★本物の区切りと、実際に動く道具で見る・便 ad6b5db9） ----
+    hit = _gate_command(command)
+    if hit:
+        gate, reason = hit
+        return _r(GATE, f'gate({gate}): {reason}', gate)
 
     # ---- 3) それ以外は自走 ----
     return _r(ALLOW, 'no gate, no danger')
@@ -1752,6 +2455,11 @@ def decide_write(file_path: str, cwd=None):
     comps = [c for c in path.split('/') if c]
     if '.tyhld' in comps:
         return _r(DENY, 'danger: write to guard directory (.tyhld)')
+    # ★Bash と同じ場所の一覧で守る（ホーム直下の隠しフォルダの hooks.json・config.toml・
+    #   ~/.config/systemd・便 2.5）。
+    gr = guard_config_reason(path)
+    if gr:
+        return _r(DENY, f'danger: write to {gr}')
     return _r(ALLOW, 'no gate, no danger')