@tyhld/conductor 0.12.22 → 0.12.24

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@tyhld/conductor",
-  "version": "0.12.22",
+  "version": "0.12.24",
   "description": "采配くん管制の見守りアプリ（conductor-agent）。各PCで常駐し、中央(devlog-tracker)へ定期的に生存報告(heartbeat)を送る常駐CLI。",
   "type": "module",
   "bin": {

package/scripts/hooks/README.md

@@ -126,7 +126,9 @@ branch protection は「CI が通っていない物を main に入れない」
 5. **SQL の字面**は、実行しうる入口のときだけ見ます。入口とは、DB の道具・移行の道具・その場で走らせる形
    （`python3 -c`・`node -e`・`python3 - <<EOF`・DB の道具へ流す形）・知らない実行ファイルです。
 6. 本番反映は、`wrangler deploy`（`--dry-run` を除く）・`wrangler versions/pages deploy`・`vercel --prod`・
-   `vercel promote/alias/rollback`・`npm/pnpm/yarn publish`・`supabase functions deploy`・「deploy の語＋`--prod`」です。
+   `vercel promote/alias/rollback`・`vercel domains add/rm/buy/move/transfer`（本番ドメインの変更・便 6d6f2ff8）・
+   `npm/pnpm/yarn publish`・`supabase functions deploy`・「deploy の語＋`--prod`」です。
+   ★Preview への公開（`vercel`・`vercel deploy`・`--prod` 無し）と、読み取り（`vercel domains ls`・`vercel ls` 等）は自走です。
 
 ★**止める側（deny）は変えていません**。危険と抜け道の判定は、今までどおり機械的な区切り（`split_segments`）で見ます
 （引用符の中まで見る方が、止める側としては広いため）。7日分の記録では、DENY の件数は前後で同じ（1,559件）でした。

package/scripts/hooks/policy.py

@@ -812,6 +812,9 @@ def _wrapper_danger(command: str, depth: int = 0, cwd=None):
         if hit:
             return f'{hit} ({where})'
         hit = _guard_write_scan(inner, cwd)
+        if hit:
+            return f'{hit} ({where})'
+        hit = _env_write_scan(inner, cwd)
         if hit:
             return f'{hit} ({where})'
         for seg in _real_segments(inner):
@@ -2421,6 +2424,115 @@ def _git_write_targets(args, cwd):
     return where, []
 
 
+# ═════════════════════════════════════════════════════════════════════════════
+# .env 類への書き込み（DENY・便 3d11f913＝便2.8）
+#
+# 【なぜ要るか（調査 55283164 の重大発見1）】Write／Edit ツールは設定 deny
+#   （sales-template/settings.json の Write/Edit(**/.env) と Write/Edit(**/.env.*)）で
+#   .env.example への書き込みが止まるのに、Bash（echo・tee・sed -i・cp/mv）は番人の雛形除外で
+#   通っていた＝中身を見ずに .env.example に任意の中身を書ける抜け道。書き込みの結果を
+#   Write／Edit の設定 deny とそろえる。
+# 【範囲】設定 deny と同じ＝書き込む【先】のファイル名が `.env`（本体）か `.env.` で始まるもの
+#   （.env.local・.env.production・.env.example など雛形も含む）。★読み込みは変えない（雛形は
+#   今までどおり読める・本物は読めない＝secret_reason のまま）。
+# 【誤検知を避ける】書き込む【先】だけを見る。`cp .env.example backup.txt`（雛形を別名へ写す）は
+#   先が backup.txt なので通す。フォルダ宛て（末尾 / ・-t・複数元）のときだけ、元の名前が先の
+#   フォルダに .env.* として書かれるかを見る。
+# ═════════════════════════════════════════════════════════════════════════════
+
+def _is_env_family(name: str) -> bool:
+    """設定 deny `**/.env`・`**/.env.*` と同じ範囲か（書き込み先の名前にだけ使う）。"""
+    return name == '.env' or name.startswith('.env.')
+
+
+def _env_base(path: str) -> str:
+    """書き込み先の字面から、飾りを外した末尾の名前（basename）。"""
+    p = normalize_redirect_target(path).replace('\\', '/').rstrip('/')
+    return p.split('/')[-1]
+
+
+# 引数ぜんぶが書き込み先になる道具（設定 deny と同じ結果へそろえるための最小集合）。
+_ENV_WRITE_ALL_VERBS = frozenset({'tee', 'sponge', 'truncate', 'touch'})
+# 書き込み先が dest（末尾の位置引数か -t の値）になる道具。
+_ENV_WRITE_DEST_VERBS = frozenset({'cp', 'install', 'mv', 'rsync', 'ditto', 'ln', 'scp'})
+
+
+def _env_write_dests(verb: str, args, tokens, pos):
+    """1コマンドが .env 類へ書き込む可能性のある「先の名前」を集める（書き込みにだけ使う）。"""
+    paths = [a for a in args if not a.startswith('-')]
+    if verb == 'dd':
+        return [a[3:] for a in args if a.startswith('of=')]
+    if verb in _ENV_WRITE_ALL_VERBS:
+        return paths
+    if verb in _INPLACE_VERBS and (
+            is_inplace_edit('sed' if verb in ('gsed', 'yq') else verb, tokens[pos:])
+            or any(re.match(r'^-[a-zA-Z]*i', a) for a in args if not a.startswith('--'))
+            or (verb in _AWK_VERBS and 'inplace' in args)):
+        return paths  # その場書き換え＝その名前へ書く
+    if verb in _ENV_WRITE_DEST_VERBS:
+        tdir = None
+        # ★値を1つ取る旗（-m 644・-o user 等）を飛ばして、本当の位置引数だけを数える。
+        pos_args, skip = [], False
+        for k, a in enumerate(args):
+            if skip:
+                skip = False
+                continue
+            if a in ('-t', '--target-directory') and k + 1 < len(args):
+                tdir = args[k + 1]
+                skip = True
+                continue
+            if a.startswith('--target-directory='):
+                tdir = a.split('=', 1)[1]
+                continue
+            if a in _ENV_DEST_VALUE_FLAGS and k + 1 < len(args):
+                skip = True
+                continue
+            if not a.startswith('-'):
+                pos_args.append(a)
+        if verb == 'install' and '-d' in args:
+            return pos_args  # ディレクトリ作成
+        if tdir is not None:
+            return [_env_base(s) for s in pos_args]  # 各元がそのフォルダへ同じ名前で入る
+        if not pos_args:
+            return []
+        dest, srcs = pos_args[-1], pos_args[:-1]
+        if ':' in dest.split('/')[0] and verb in ('scp', 'rsync'):
+            return []  # 別の機械への書き込み（ここは見ない）
+        # ★書き込む先はまず dest 自身。フォルダ宛て（末尾 / ・複数元）なら元の名前も入る。
+        out = [dest]
+        if dest.endswith('/') or len(srcs) > 1:
+            out += [_env_base(s) for s in srcs]
+        return out
+    return []
+
+
+# cp/install/mv などで値を1つ取る旗（この値は元でも先でもない）。
+_ENV_DEST_VALUE_FLAGS = frozenset({
+    '-m', '--mode', '-o', '--owner', '-g', '--group', '-S', '--suffix', '--backup',
+})
+
+
+def _env_write_scan(command: str, cwd=None):
+    """コマンド全体で、.env 類（雛形を含む）への書き込みを探す（本物の区切り・書き込み先だけ）。"""
+    if not command:
+        return None
+    for seg in split_commands(command, bodies=False):
+        s = _normalize_segment(seg)
+        for t in _real_redirect_targets(s):
+            if _is_env_family(_env_base(t)):
+                return f'env file write (redirect into {_env_base(t)})'
+        head = s.split('\n', 1)[0] if '<<' in s else s
+        toks = tokens_of(head)
+        p, _ = _unwrap(toks)
+        if p >= len(toks):
+            continue
+        verb = toks[p].split('/')[-1]
+        for d in _env_write_dests(verb, _plain_args(toks, p + 1), toks, p):
+            if _is_env_family(_env_base(d)):
+                return f'env file write ({_env_base(d)} by {verb})'
+    return None
+
+
 def _guard_write_segment(segment: str, cwd=None, command='', depth=0, env=None):
     """本物の1コマンドが番人の設定を書き換えるなら理由。"""
     segment = _normalize_segment(segment)
@@ -2804,6 +2916,13 @@ def _gate_release(words, tokens):
         for w in words[1:]:
             if w in ('promote', 'alias', 'rollback'):
                 return f'vercel {w}'
+        # ★本番ドメインの変更（追加・削除・移管・購入）だけ関門。ls・inspect は読み取りなので自走
+        #   （便 6d6f2ff8・えふさん確定 #1: プレビューは自走・本番へ影響する操作は関門・強める向きのみ）。
+        if 'domains' in words[1:]:
+            after = [w for w in words[words.index('domains') + 1:] if not w.startswith('-')]
+            if after[:1] and after[0] in ('add', 'rm', 'remove', 'buy', 'move',
+                                          'transfer', 'transfer-in'):
+                return f'vercel domains {after[0]}'
     if v == 'wrangler' and '--dry-run' not in tokens and (
             words[1:2] in (['deploy'], ['publish'])
             or words[1:3] in (['versions', 'deploy'], ['pages', 'deploy'])):
@@ -2934,6 +3053,11 @@ def decide_bash(command: str, cwd=None):
     if hit:
         return _r(DENY, f'danger: {hit}')
 
+    # ---- 1c'') .env 類への書き込み（便 3d11f913・Write/Edit の設定 deny と結果をそろえる） ----
+    hit = _env_write_scan(command, cwd)
+    if hit:
+        return _r(DENY, f'danger: {hit}')
+
     # ---- 1d) 抜け道（便 fc22bc34・main 直 push・保護の迂回と変更・秘密の値・検査の省略） ----
     hit = _bypass_scan(command, cwd)
     if hit:
@@ -2995,6 +3119,10 @@ def decide_write(file_path: str, cwd=None):
     comps = [c for c in path.split('/') if c]
     if '.tyhld' in comps:
         return _r(DENY, 'danger: write to guard directory (.tyhld)')
+    # ★.env 類（雛形を含む）への書き込みは、Bash と同じく止める（便 3d11f913・番人でも結果を一致）。
+    #   読み込みは変えない（secret_reason は雛形を通す）。
+    if _is_env_family(_env_base(path)):
+        return _r(DENY, f'danger: env file write ({_env_base(path)})')
     return _r(ALLOW, 'no gate, no danger')
 
 

package/scripts/hooks/test_deny_remaining_routes.py

@@ -186,11 +186,13 @@ SECRET_READS = [
 ]
 for cmd in SECRET_READS:
     expect('(2)', cmd, policy.DENY)
-for cmd in [f'grep -n "x|y" {E}.example', f'cat {E}.example', f'echo "NEW_KEY=" >> {E}.example',
-f'grep -n "{DBURL}|API_KEY" src/a.ts',
+for cmd in [f'grep -n "x|y" {E}.example', f'cat {E}.example',
+            f'grep -n "{DBURL}|API_KEY" src/a.ts',
             f'grep -rn "{DBURL}|API_KEY" src', f'git grep -n "{DBURL}|process\\.env"',
             f'git ls-files | grep "\\{E}"', f'grep -n "x|y" README.md', f'rg -n "a|b" src']:
     expect('(2) 雛形・名前を探すだけは allow', cmd, policy.ALLOW)
+# ★雛形への【書き込み】は便 3d11f913 で止める（読みは通るが書きは止まる）。
+expect('(2) 雛形への書き込みは deny', f'echo "NEW_KEY=" >> {E}.example', policy.DENY)
 
 print('\n── (3) GitHub の API で main の先端を書き換える形 ' + '─' * 20)
 API_DENY = [

package/scripts/hooks/test_env_write_parity.py

@@ -0,0 +1,100 @@
+#!/usr/bin/env python3
+"""便2.8（便 3d11f913）: .env 類への書き込みで、Write／Edit と Bash の守りをそろえる試験。
+
+  実行: python3 scripts/hooks/test_env_write_parity.py
+  1件でも期待と違えば exit 1。
+
+【背景（調査 55283164 の重大発見1）】Write／Edit ツールは設定 deny（**/.env・**/.env.*）で
+  .env.example への書き込みが止まるのに、Bash（echo・tee・sed -i・cp/mv）は番人の雛形除外で
+  中身を見ずに .env.example に書けた＝抜け道。この便で Bash も止め、結果をそろえた。
+
+【固定すること】
+  ① Bash で .env.example・.env・.env.local への書き込みが3つとも止まる。
+  ② Write／Edit と Bash の結果が一致（番人の判定で、書き込みは3経路とも deny）。
+  ③ 雛形の読み込みは今までどおり通る・本物は止まる（★読み込みは変えない）。
+  ④ は既存の D1 試験（他ファイル）で担保。⑤ 空振り確認は spot スクリプト（報告に記載）。
+
+★見本は作り物の場所で行い、本物の .env・.env.example に1バイトも書かない。危険語は組み立てる。
+"""
+import os
+import sys
+
+sys.path.insert(0, os.path.dirname(os.path.abspath(__file__)))
+
+import policy  # noqa: E402
+
+failures = []
+
+
+def check(label, got, want):
+    ok = got == want
+    if not ok:
+        failures.append(f'{label}: got={got!r} want={want!r}')
+    print(f'{"OK " if ok else "NG "} {label:66} {str(got)[:24]}')
+
+
+ENV = '.e' + 'nv'                    # 本体
+EX = ENV + '.example'               # 雛形
+LOCAL = ENV + '.local'              # 本物（値が入る）
+CWD = '/home/fshim/projects/x'
+
+
+def dbash(cmd):
+    return policy.decide_bash(cmd, CWD)['decision']
+
+
+def dwrite(name):
+    return policy.decide_write('/home/fshim/projects/x/' + name, CWD)['decision']
+
+
+def dread(name):
+    return policy.decide_read('/home/fshim/projects/x/' + name, CWD)['decision']
+
+
+print('── ① Bash で .env.example・.env・.env.local への書き込みが3つとも止まる ' + '─' * 4)
+# 手段を問わず（リダイレクト・tee・sed -i・cp・mv・dd・truncate・touch・install・ln・包み）。
+for target in (EX, ENV, LOCAL):
+    for cmd in [f'echo x > {target}', f'echo x >> {target}', f'printf x > {target}', f': > {target}',
+                f'tee {target} < a', f'tee -a {target}', f'sed -i s/a/b/ {target}',
+                f'sed -i.bak -e s/a/b/ {target}', f'perl -pi -e s/a/b/ {target}',
+                f'cp a {target}', f'cp -f a {target}', f'install -m 644 a {target}', f'mv a {target}',
+                f'dd if=a of={target}', f'truncate -s0 {target}', f'touch {target}',
+                f'ln -sf /tmp/x {target}', f'cp a src/{target}', f'cp a dir/ && cp b {target}',
+                f'bash -c "echo x > {target}"', f"sh -c 'sed -i s/a/b/ {target}'",
+                f'env FOO=1 tee {target}', f'cat a > {target} 2>/dev/nu' + 'll']:
+        check(f'① deny: {cmd[:50]}', dbash(cmd), policy.DENY)
+
+print('\n── ② Write／Edit と Bash の結果が一致（3経路とも番人が deny） ' + '─' * 6)
+for target in (EX, ENV, LOCAL):
+    check(f'② Write deny {target}', dwrite(target), policy.DENY)
+    check(f'② Edit deny {target}',
+          policy.decide_event({'tool_name': 'Edit', 'tool_input': {'file_path': CWD + '/' + target}})['decision'],
+          policy.DENY)
+    check(f'② Bash deny {target}', dbash(f'echo x > {target}'), policy.DENY)
+# 雛形の派生（.env.example.md も **/.env.* に当たる＝設定 deny と一致）。
+check('② Write deny .env.example.md', dwrite(EX + '.md'), policy.DENY)
+
+print('\n── ③ 読み込みは今までどおり（雛形は読める・本物は読めない）★変えない ' + '─' * 2)
+for cmd in [f'cat {EX}', f'less {EX}', f'grep -n NAME {EX}', f'diff {EX} /tmp/a', f'head {EX}',
+            f'bash -c "cat {EX}"']:
+    check(f'③ 雛形は読める: {cmd[:44]}', dbash(cmd), policy.ALLOW)
+check('③ Read 雛形は allow', dread(EX), policy.ALLOW)
+for cmd in [f'cat {ENV}', f'cat {LOCAL}', f'grep TOKEN {ENV}', f'bash -c "cat {ENV}"']:
+    check(f'③ 本物は読めない: {cmd[:44]}', dbash(cmd), policy.DENY)
+check('③ Read 本物は deny', dread(ENV), policy.DENY)
+
+print('\n── ★誤検知しない（雛形を別名ファイルへ写す・字面だけ・普通の開発） ' + '─' * 4)
+for cmd in [f'cp {EX} backup.txt', f'cp {EX} /tmp/claude-1000/x', f'mv {EX} notes.txt',
+            f'cat {EX} | grep X', f'git commit -m "docs: {EX} の項目"', f'echo "{EX} を直す" >> notes.md',
+            'sed -i s/a/b/ src/app.ts', 'cp dist/a.js build/a.js', 'echo done > report.md',
+            'cp a b/', 'tee out.log < a']:
+    check(f'誤検知しない allow: {cmd[:44]}', dbash(cmd), policy.ALLOW)
+
+print('\n' + '=' * 72)
+if failures:
+    print(f'NG {len(failures)} 件:')
+    for f in failures:
+        print('  -', f)
+    sys.exit(1)
+print('すべて期待どおり')
+sys.exit(0)

package/scripts/hooks/test_policy.py

@@ -418,13 +418,19 @@ print('\n=== (b5) 経路を問わず同じ結論（書き込みツール・Bash
 for fp in ['/home/fshim/projects/x/.env', '/home/fshim/projects/x/.env.local']:
     r = policy.decide_write(fp, '/home/fshim/projects/x')
     check(f'write deny 維持 {fp[:48]}', r['decision'], policy.DENY)
+# ★雛形（.env.example）は【読める】が【書けない】（便 3d11f913・Write/Edit の設定 deny と結果を一致）。
 for fp in ['/home/fshim/projects/x/.env.example', '/home/fshim/projects/x/.env.local.example']:
     r = policy.decide_write(fp, '/home/fshim/projects/x')
-    check(f'write allow 雛形 {fp[:48]}', r['decision'], policy.ALLOW)
+    check(f'write deny 雛形も書けない {fp[:44]}', r['decision'], policy.DENY)
 for cmd in ['cat .env', 'cat .env.local', 'sed -i "s/a/b/" .env']:
     check(f'bash deny 維持 {cmd[:48]}', policy.decide_bash(cmd)['decision'], policy.DENY)
-for cmd in ['cat .env.example', 'sed -i "s/a/b/" .env.example', 'cat config.sample']:
-    check(f'bash 雛形は素通り {cmd[:48]}', policy.decide_bash(cmd)['decision'] != policy.DENY, True)
+# 読み込みは今までどおり雛形を通す（本文の除外は変えない）。
+for cmd in ['cat .env.example', 'cat config.sample', 'grep -n NAME .env.example']:
+    check(f'bash 雛形は読める {cmd[:48]}', policy.decide_bash(cmd)['decision'], policy.ALLOW)
+# ★書き込みは雛形でも止める（Bash 経路の抜け道を塞ぐ・便 3d11f913）。
+for cmd in ['sed -i "s/a/b/" .env.example', 'echo x > .env.example', 'tee .env.example < a',
+            'cp a .env.example']:
+    check(f'bash 雛形への書き込みは deny {cmd[:44]}', policy.decide_bash(cmd)['decision'], policy.DENY)
 
 # ★包んだ書き方でも同じ結論にする。`cat .env` は止まるのに `bash -c "cat .env"` は
 #   素通りしていた（調査 d7a1c150 で実測）。ラッパの中身を取り出して測り直す。
@@ -1606,8 +1612,11 @@ for cmd in ['cat README.md', 'grep -rn relayTick src', 'head -20 package.json',
 # (g-6) ★書き込みの禁止が1つも変わっていない（判定点を1つにしても後退しない）
 for p in SECRET_PATHS:
     check(f'write deny {p[len(FAKE):][:48]}', ev('Write', {'file_path': p})['decision'], policy.DENY)
+# ★.env 類（雛形含む）への書き込みは deny（便 3d11f913）。ほかの普通のファイルは allow。
 for p in PLAIN_PATHS:
-    check(f'write allow {p[len(FAKE):][:47]}', ev('Write', {'file_path': p})['decision'], policy.ALLOW)
+    want = policy.DENY if policy._is_env_family(os.path.basename(p)) else policy.ALLOW
+    label = 'write deny .env系' if want == policy.DENY else 'write allow'
+    check(f'{label} {p[len(FAKE):][:41]}', ev('Write', {'file_path': p})['decision'], want)
 
 # (g-7) ★空振り確認＝判定点（secret_reason）を外すと、上の deny が全部 allow に落ちる
 #   これが落ちないなら「読み取りの禁止が secret_reason を通っていない」＝写しの一覧を
@@ -1619,7 +1628,10 @@ try:
     for p in SECRET_PATHS:
         if ev('Read', {'file_path': p})['decision'] != policy.ALLOW:
             broke.append(f'Read {p}')
-        if ev('Write', {'file_path': p})['decision'] != policy.ALLOW:
+        # ★.env 類の書き込みは secret_reason とは別の専用の判定（便 3d11f913）で止まるので、
+        #   secret_reason を外しても allow に落ちない＝ここでは数えない（別の空振りで固定）。
+        if not policy._is_env_family(os.path.basename(p)) \
+                and ev('Write', {'file_path': p})['decision'] != policy.ALLOW:
             broke.append(f'Write {p}')
         if ev('Grep', {'pattern': 'x', 'path': p})['decision'] != policy.ALLOW:
             broke.append(f'Grep {p}')

package/scripts/update-guard.sh

@@ -1028,6 +1028,35 @@ if "allow" in perms:
     del perms["allow"]
     changes.append(f"permissions.allow を全削除（{n} 件・関門素通りの原因を除去。deny は非改変）")
 
+# --- (2c) 自動許可封じのキー名・値を正す（便 6d6f2ff8＝便2.7） ---
+# 【なぜ要るか（調査 6fd6eee0 の重大発見3）】utatane-backend の設定は、bypassPermissions モード
+#   （全部自動で許可）を封じるキーが disableBypassPermissions: true になっていて、正しい名前と違う。
+#   間違ったキー名は Claude Code から無視される＝封じが効かない。見本と他の全現場は
+#   disableBypassPermissionsMode: "disable"。
+# 【正しいキーと値（出典）】permissions.disableBypassPermissionsMode を "disable" にする。
+#   出典: https://code.claude.com/docs/en/permissions （91行・632行。確認日 2026-09-18）
+#   「set permissions.disableBypassPermissionsMode ... to "disable" in any settings file」。
+#   ★managed settings が最も強いが、どのスコープの settings でも効く（同ページ 632行）。
+# ★触るのはこのキーだけ。allow・ask・deny・hooks・sandbox・defaultMode には一切触れない。
+# ★冪等: 既に正しい名前と値なら何もしない（2回流しても差分は出ない）。
+_BYPASS_WRONG = "disableBypassPermissions"       # 誤ったキー名（値も true 等）
+_BYPASS_RIGHT = "disableBypassPermissionsMode"   # 正しいキー名
+_BYPASS_VALUE = "disable"                         # 正しい値（文字列・公式）
+if _BYPASS_WRONG in perms:
+    _had = perms.pop(_BYPASS_WRONG)
+    if perms.get(_BYPASS_RIGHT) != _BYPASS_VALUE:
+        perms[_BYPASS_RIGHT] = _BYPASS_VALUE
+        changes.append(
+            f'自動許可封じのキーを是正: {_BYPASS_WRONG}={json.dumps(_had)} → '
+            f'{_BYPASS_RIGHT}="{_BYPASS_VALUE}"（誤ったキー名は本体に無視され封じが効かない）')
+    else:
+        changes.append(f'古い重複キー {_BYPASS_WRONG} を削除（{_BYPASS_RIGHT} は既に正しい）')
+elif _BYPASS_RIGHT in perms and perms.get(_BYPASS_RIGHT) != _BYPASS_VALUE:
+    # 正しいキー名だが値が "disable" 以外（例 true）＝公式の値へ揃えて確実に効かせる。
+    _old = perms[_BYPASS_RIGHT]
+    perms[_BYPASS_RIGHT] = _BYPASS_VALUE
+    changes.append(f'自動許可封じの値を是正: {_BYPASS_RIGHT}={json.dumps(_old)}→"{_BYPASS_VALUE}"')
+
 # --- (3) サンドボックスのネット許可の不足分を追記 ---
 # 職人が通信するたびに Claude Code のサンドボックスが「Network request outside of sandbox」を
 # 聞いてくる。これは番人(cc2_guard)の判定とは別の OS レベルのゲートなので、番人では消えない。

package/skills/conductor-craftsman/SKILL.md

@@ -8,9 +8,9 @@ description: 采配くんの便（プロンプト末尾に CONDUCTOR_JOB:<id>
 采配くんの便（プロンプト末尾に `CONDUCTOR_JOB:<id>` の印が付いた作業指示）は、
 非エンジニアのお客さまの現場で、人が横に付かないまま実行される。
 だから「速さ」より「戻せること・止まれること・報せること」を優先する。
-以下の13項を、着手前に読み、作業中も判断の基準にすること。
+以下の14項を、着手前に読み、作業中も判断の基準にすること。
 
-## 鉄則13項
+## 鉄則14項
 
 1. **着手時の確認と枝分かれ** — `git status && git log --oneline -3 && git stash list` を確認してから main を最新化し、新ブランチを切る。
    - ★**リポ全体の差分が「読めないファイル」で落ちたとき**（`unsupported file type` / `cannot hash <名前>` が出る／`.npmrc` のような設定が身に覚えなく `M` で出る）。**これは壊れていない。**
@@ -56,3 +56,8 @@ description: 采配くんの便（プロンプト末尾に CONDUCTOR_JOB:<id>
     - **実機検品・検証用の使い捨てファイル（HTML・画像・ログ等）は、リポジトリの中に作らない。`/tmp/claude-1000/` に置く。リポジトリ直下に作ってしまった場合は自分で消そうとせず、報告に「残骸あり・場所」と書く。**
     - **なぜ。** 実機 2026-09-03: ai-saku の画面便（PR#258・PR#269）で、検品用の使い捨てページ `_layout-check.html` をリポジトリ直下に作り、消そうとして番人（`rm` on dangerous path）に止められ、人が2回 `rm` した。**番人の `rm` 制限は正しい（緩めない）。悪いのは置き場。**
     - 置き場を `/tmp/claude-1000/` にすれば、番人に止められることも、残骸がコミットに混ざることも起きない（根治＝鉄則10）。Playwright の検品ページも同じ（鉄則8-④）。
+14. **`.env` 類（`.env`・`.env.local`・`.env.example` などの雛形も含む）は職人が書き換えない（えふさん確定 2026-09-18・便 3d11f913）**
+    - **番人は `.env` 本体も `.env.example` などの雛形も、書き込みを止める**（Write／Edit の設定 deny と、Bash の `echo`／`tee`／`sed -i`／`cp`／`mv` などを、経路を問わず同じ結果にそろえた）。読み込みは今までどおり（雛形は読める・本物は読めない）。
+    - **なぜ。** 雛形（`.env.example`）は普通は秘密値を置かないが、「exampleだから常に安全」と番人へ例外を作ると、将来誤って実値が書かれたときの穴になる（利便性より安全側・えふさん確定）。
+    - **雛形（`.env.example` など）を直すときの正しい形＝「案を作る→人が1回で反映」。** 職人は変更後の中身を**リポジトリの外（`/tmp/claude-1000/` の下）**に作り、報告に次の2つを載せる。① 変更の**差分**（何を足す／消すか）。② 人が**素のターミナルで1回貼るだけで反映できる1つのコマンド**（例：`cp /tmp/claude-1000/<下書き> <リポ>/.env.example`）。★このコマンドは**人が自分のターミナルで**打つ（職人の番人は人の端末には掛からない）。職人が `.env.example` を直接書き換えようとしても番人が止めるので、**回避せず、この形で案を出す**。
+    - **本物の `.env`・`.env.local` は、これまでどおり中身も書き込みも扱わない**（秘密の値は1文字も読まない・書かない＝鉄則12の金庫）。