@tyhld/conductor 0.12.32 → 0.12.33

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@tyhld/conductor",
-  "version": "0.12.32",
+  "version": "0.12.33",
   "description": "采配くん管制の見守りアプリ（conductor-agent）。各PCで常駐し、中央(devlog-tracker)へ定期的に生存報告(heartbeat)を送る常駐CLI。",
   "type": "module",
   "bin": {

package/scripts/hooks/policy.py

@@ -753,6 +753,15 @@ _QUOTED_RE = re.compile(r'''['"]([^'"\n]{1,300})['"]''')
 # 入れ子の上限。`bash -c "bash -c ..."` の2段まで見れば実用上足りる（無限再帰の防止）。
 _UNWRAP_MAX_DEPTH = 2
 
+# awk の仲間で、次の語を【値として食べる】旗（この次の語はプログラム本文ではない）。
+_AWK_OPTS_WITH_ARG = frozenset({
+    '-v', '--assign', '-f', '--file', '-F', '--field-separator', '-i', '--include',
+    '-l', '--load', '-E', '--exec',
+})
+
+# awk のプログラムをファイルから読む旗（この形には本文が無い）。
+_AWK_PROGRAM_FILE_OPTS = frozenset({'-f', '--file'})
+
 
 def _code_secret_reason(text: str):
     """プログラム文字列の中に秘密ファイルの名前が出てくるなら理由を返す。
@@ -770,6 +779,66 @@ def _code_secret_reason(text: str):
     return None
 
 
+def _awk_payloads(command: str):
+    """awk の仲間の【プログラム本文】を、中身として取り出す（便 3d1974f4）。
+
+    【なぜ要るか（実測 2026-09-20・便 675e2d05 / 85e6f140）】
+      python3 -c / node -e / ruby -e の中身は名前を見て止めていたのに、awk だけは
+      プログラム本文を見ていなかった。awk は本文を【旗ではなく位置の語】で受け取るので、
+      _CODE_FLAGS（-c / -e）を探す作りでは1つも拾えない。そのため
+        awk "BEGIN{print \"X=1\" > \"<秘密ファイル>\"}"
+      が素通りし、実機で秘密ファイルを作り直せた。getline < "…"・system("…") も同じ。
+      ★止める側を増やすだけで、今まで止まっていた形は1つも変わらない。
+
+    返す形は _inner_payloads と同じ (種別, 呼び出した道具, 中身)。
+      ・('code', 'awk', 本文)        … 本文の中の文字列リテラルから秘密の名前を探す
+      ・('shell', 'awk command', 文字列) … system("rm …") や `| "cat > …"` の中身を
+                                          もう一度コマンドとして測り直す
+    """
+    out = []
+    seen = set()
+    for text in [command] + split_segments(command):
+        toks = tokens_of(text)
+        for i, t in enumerate(toks):
+            if t.split('/')[-1] not in _AWK_VERBS:
+                continue
+            args = toks[i + 1:]
+            program = None
+            from_file = False
+            j = 0
+            while j < len(args):
+                a = args[j]
+                if a in _AWK_OPTS_WITH_ARG:
+                    if a in _AWK_PROGRAM_FILE_OPTS:
+                        from_file = True
+                    # ★`-v NAME=<秘密ファイル>` のように、旗の値でパスを渡す形も見る。
+                    if a in ('-v', '--assign') and j + 1 < len(args):
+                        val = args[j + 1].split('=', 1)[-1].strip()
+                        if val:
+                            out.append(('code', t, '"%s"' % val))
+                    j += 2
+                    continue
+                if a.startswith('-') and len(a) > 1:
+                    j += 1
+                    continue
+                program = a
+                break
+            if from_file or not program:
+                continue
+            key = (t, program)
+            if key in seen:
+                continue
+            seen.add(key)
+            out.append(('code', t, program))
+            # ★本文の中の文字列が【コマンド】のこともある（system("rm …")・`| "cat > …"`）。
+            #   空白を含む文字列だけを、もう一度コマンドとして測り直す。
+            for m in _QUOTED_RE.finditer(program):
+                lit = m.group(1).strip()
+                if lit and ' ' in lit:
+                    out.append(('shell', f'{t} command', lit))
+    return out
+
+
 def _inner_payloads(command: str):
     """ラッパが抱えている「中身」を (種別, 呼び出した道具, 中身) の一覧で返す。
 
@@ -798,6 +867,9 @@ def _inner_payloads(command: str):
         kind = 'shell' if runner in _SHELL_RUNNERS else 'code'
         out.append((kind, runner or 'heredoc', m.group(2)))
 
+    # ③ awk の仲間のプログラム本文（旗ではなく位置の語で渡されるので別に取り出す）。
+    out += _awk_payloads(command)
+
     return out
 
 
@@ -844,6 +916,86 @@ def _wrapper_danger(command: str, depth: int = 0, cwd=None):
     return None
 
 
+# ═════════════════════════════════════════════════════════════════════════════
+# 変数に入れたパス（便 3d1974f4）
+#
+# 【なぜ要るか（実測 2026-09-20・便 675e2d05 / 85e6f140）】
+#   番人は「コマンドの字面に出るパス」を見て止めていた。だから
+#     F=<秘密ファイル>; echo X=1 > "$F"
+#   のように、同じコマンドの中でいったん変数に入れるだけで、書き込みも読み出しも
+#   素通りした（実機で書けた）。名前は字面に在るのに、使う場所には $F しか無いためである。
+#
+# 【どう塞ぐか】同じコマンドの中の代入（F=… ・export F=…）を先に読み、$F・${F}・"$F" を
+#   展開してから、もう一度【同じ物差し】を当てる。展開できたものだけを見るので、
+#   外から来る値（環境変数・$(…) の結果）は今までどおり字面では止まらない＝そこは
+#   サンドボックスと設定の禁止ルールが受け持つ（限界として報告に書く）。
+#
+# ★止める側を増やすだけ。展開して「危険」に当たったときにだけ deny を返し、
+#   展開の結果で allow に緩めることは1度もしない。
+# ═════════════════════════════════════════════════════════════════════════════
+
+#: 同じコマンドの中の代入（`F=値` / `export F=値`）。値はクォートの有無を問わない。
+_VAR_ASSIGN_RE = re.compile(
+    r'(?:^|[;&|(]|\s)(?:export\s+)?([A-Za-z_][A-Za-z0-9_]*)='
+    r'''("[^"\n]*"|'[^'\n]*'|[^\s;|&()<>]*)''')
+
+#: 変数の参照（$F / ${F}）。$1・$?・$(…) は拾わない。
+_VAR_REF_RE = re.compile(r'\$\{([A-Za-z_][A-Za-z0-9_]*)\}|\$([A-Za-z_][A-Za-z0-9_]*)')
+
+#: 展開の繰り返しの上限（`A=/tmp; B=$A/x; cat "$B"` のような数珠つなぎのため）。
+_VAR_EXPAND_ROUNDS = 3
+
+
+def _expand_local_vars(command: str, rounds: int = _VAR_EXPAND_ROUNDS) -> str:
+    """同じコマンドの中で代入された値だけを展開した文字列を返す。
+
+    ★分からない変数はそのまま残す（勝手に空へ潰さない＝別のコマンドに化けさせない）。
+    """
+    text = command or ''
+    values = {}
+    for m in _VAR_ASSIGN_RE.finditer(text):
+        raw = m.group(2) or ''
+        if len(raw) >= 2 and raw[0] in ('"', "'") and raw[-1] == raw[0]:
+            raw = raw[1:-1]
+        if raw:
+            values[m.group(1)] = raw
+    if not values:
+        return text
+
+    def sub(m):
+        name = m.group(1) or m.group(2)
+        return values.get(name, m.group(0))
+
+    for _ in range(max(1, rounds)):
+        new = _VAR_REF_RE.sub(sub, text)
+        if new == text:
+            break
+        text = new
+    return text
+
+
+def _var_expansion_danger(command: str, cwd=None):
+    """変数を展開してから、同じ危険の物差しを当て直す。危険なら理由を返す。"""
+    expanded = _expand_local_vars(command)
+    if not expanded or expanded == command:
+        return None
+    hit = _rm_danger(expanded)
+    if hit:
+        return hit
+    for seg in _real_segments(expanded):
+        toks = tokens_of(seg)
+        v = verb_of(toks)
+        hit = (_secret_danger(seg, v, toks, cwd) or _bulk_copy_danger(v, toks, cwd)
+               or _recursive_read_danger(v, toks, cwd) or _admin_merge_danger(v, toks))
+        if hit:
+            return hit
+    hit = (_guard_write_scan(expanded, cwd) or _env_write_scan(expanded, cwd)
+           or _bypass_scan(expanded, cwd) or _wrapper_danger(expanded, 0, cwd))
+    if hit:
+        return hit
+    return None
+
+
 # ═════════════════════════════════════════════════════════════════════════════
 # フォルダごとの持ち出し（便 230c3175・D2）
 #
@@ -3077,6 +3229,11 @@ def decide_bash(command: str, cwd=None):
     if hit:
         return _r(DENY, f'danger: {hit}')
 
+    # ---- 1c-2) 変数に入れたパス（便 3d1974f4・`F=秘密; echo > "$F"` を素通りさせない） ----
+    hit = _var_expansion_danger(command, cwd)
+    if hit:
+        return _r(DENY, f'danger: {hit} (変数を展開して判定)')
+
     # ---- 1c') 番人の設定への書き込み（便 2.5・リダイレクト・tee・cp・mv・sed -i ほか） ----
     hit = _guard_write_scan(command, cwd)
     if hit:

package/scripts/hooks/test_awk_and_var_paths.py

@@ -0,0 +1,206 @@
+#!/usr/bin/env python3
+"""便 3d1974f4: awk の本文の中のパスと、変数に入れたパスでも秘密ファイルを守る試験。
+
+  実行: python3 scripts/hooks/test_awk_and_var_paths.py
+  1件でも期待と違えば exit 1。
+
+【背景（実測 2026-09-20・便 675e2d05 と回収便 85e6f140）】
+  配られていた番人（0.12.30）で、次の形が素通りしていた。実機でも書けた。
+    ・awk "BEGIN{print \\"X=1\\" > \\"<秘密ファイル>\\"}"（gawk・mawk・nawk も同じ）
+    ・awk の中の >> 追記・getline < 読み・system("rm …")・| "cat > …"
+    ・F=<秘密ファイル>; echo X=1 > "$F"（変数に入れると読み書きとも素通り）
+  番人は「コマンドの字面に出るパス」と「一部の実行系（python/node/ruby/perl）の
+  プログラム文字列」しか見ていなかった。awk は本文を【旗ではなく位置の語】で受け取るので
+  1つも拾えず、変数の展開はそもそも追っていなかった。
+  .dev.vars だけでなく .env・ホームの .env・接続情報のファイルまで同じ形で抜けた。
+
+【固定すること】
+  ① awk の仲間（awk / gawk / mawk / nawk）の本文の中で秘密ファイルに触れる形が止まる。
+  ② 同じコマンドの中で変数に入れたパスでも、書き込み・読み出し・削除が止まる。
+  ③ 今まで止まっていた形は1つも減っていない（止める側を増やしただけ）。
+  ④ 普段の awk・変数の使い方は1つも止めない。
+  ⑤ ★空振り確認：足した2つの仕組みを外すと ①② が素通りに戻る（試験が本当に効いている証拠）。
+
+★本物の秘密に1バイトも触れない。使うのは作り物の場所と名前だけ。名前は組み立てる。
+"""
+import os
+import sys
+
+sys.path.insert(0, os.path.dirname(os.path.abspath(__file__)))
+
+import policy  # noqa: E402
+
+failures = []
+
+
+def check(label, got, want):
+    ok = got == want
+    if not ok:
+        failures.append(f'{label}: got={got!r} want={want!r}')
+    print(f'{"OK " if ok else "NG "} {label:72} {str(got)[:20]}')
+
+
+DV = '.dev' + '.vars'              # 手元の秘密（本体）
+DVL = DV + '.local'                # 環境別（値が入る＝秘密）
+ENV = '.e' + 'nv'                  # 比較用
+CONDENV = '.conductor' + '.e' + 'nv'   # 接続情報のファイル（ホームに在る）
+CWD = '/home/fshim/projects/x'
+TMP = '/tmp/claude-1000/probe'
+HOME = os.path.expanduser('~')
+
+#: 秘密として守られるべき置き場（★どれも作り物の道＝実物には触れない）。
+TARGETS = [
+    ('使い捨ての場所の手元の秘密', f'{TMP}/{DV}'),
+    ('リポの中の手元の秘密', f'{CWD}/{DV}'),
+    ('環境別の手元の秘密', f'{TMP}/{DVL}'),
+    ('リポの中の env', f'{CWD}/{ENV}'),
+    ('ホームの接続情報', f'{HOME}/{CONDENV}'),
+]
+
+#: awk の本文で秘密に触れる書き方（{t} に道を入れる）。
+AWK_FORMS = [
+    ('本文の中で > に書く', 'BEGIN{{print "X=1" > "{t}"}}'),
+    ('本文の中で >> 追記', 'BEGIN{{printf "X=1" >> "{t}"}}'),
+    ('本文の中で getline 読み', 'BEGIN{{while((getline l < "{t}")>0) print l}}'),
+    ('本文の中で close する', 'BEGIN{{print "X" > "{t}"; close("{t}")}}'),
+    ('system で消す', 'BEGIN{{system("rm -f {t}")}}'),
+    ('パイプで外へ流す', 'BEGIN{{print "X" | "cat > {t}"}}'),
+]
+
+AWK_VERBS = ['awk', 'gawk', 'mawk', 'nawk']
+
+
+def dbash(cmd):
+    return policy.decide_bash(cmd, CWD)['decision']
+
+
+def rbash(cmd):
+    return policy.decide_bash(cmd, CWD).get('reason') or ''
+
+
+def awk_cmd(verb, program):
+    """実際に打つ形（シェルが二重引用符で包み、本文の中の引用符は escape される）。"""
+    return verb + ' "' + program.replace('"', '\\"') + '"'
+
+
+print('── ① awk の本文の中のパス（awk / gawk / mawk / nawk） ' + '─' * 12)
+for verb in AWK_VERBS:
+    for label, program in AWK_FORMS:
+        cmd = awk_cmd(verb, program.format(t=f'{TMP}/{DV}'))
+        check(f'① {verb}: {label}', dbash(cmd), policy.DENY)
+
+print('\n── ① どの秘密ファイルでも同じ（awk の本文の中の >） ' + '─' * 12)
+for name, path in TARGETS:
+    cmd = awk_cmd('awk', 'BEGIN{{print "X=1" > "{t}"}}'.format(t=path))
+    check(f'① {name}', dbash(cmd), policy.DENY)
+    check(f'① {name}: 読みも止まる',
+          dbash(awk_cmd('awk', 'BEGIN{{while((getline l < "{t}")>0) print l}}'.format(t=path))),
+          policy.DENY)
+
+print('\n── ① awk の旗・置き場所を変えても同じ ' + '─' * 20)
+P = f'{TMP}/{DV}'
+check('① -v で渡す', dbash(f'awk -v F={P} "BEGIN{{print \\"X=1\\" > F}}"'), policy.DENY)
+check('① -F の後ろに本文', dbash(awk_cmd('awk -F:', 'BEGIN{{print "X" > "{t}"}}'.format(t=P))),
+      policy.DENY)
+check('① パイプの後ろの awk', dbash('echo hi | ' + awk_cmd('awk', '{{print > "%s"}}' % P)),
+      policy.DENY)
+check('① 道つきで呼ぶ', dbash(awk_cmd('/usr/bin/awk', 'BEGIN{{print "X" > "{t}"}}'.format(t=P))),
+      policy.DENY)
+check('① bash -c の中の awk',
+      dbash("bash -c '" + awk_cmd('awk', 'BEGIN{{print "X" > "{t}"}}'.format(t=P)) + "'"),
+      policy.DENY)
+check('① 理由に秘密ファイルの名前が出る', DV in rbash(awk_cmd('awk', 'BEGIN{{print "X" > "{t}"}}'.format(t=P))), True)
+
+print('\n── ② 変数に入れたパス ' + '─' * 30)
+VAR_FORMS = [
+    ('変数に入れて > で書く', f'F={P}; echo X=1 > "$F"'),
+    ('クォート無しで書く', f'F={P}; echo X=1 > $F'),
+    ('波括弧で書く', f'F={P}; echo X=1 > ${{F}}'),
+    ('変数に入れて読む', f'F={P}; cat "$F"'),
+    ('変数に入れて消す', f'F={P}; rm -f "$F"'),
+    ('変数に入れて写す', f'F={P}; cp "$F" /tmp/claude-1000/copy.txt'),
+    ('export で入れて書く', f'export F={P}; echo X=1 > "$F"'),
+    ('引用符つきの代入', f'F="{P}"; echo X=1 > "$F"'),
+    ('数珠つなぎ', f'D={TMP}; F=$D/{DV}; echo X=1 > "$F"'),
+    ('変数と awk の合わせ技', f'F={P}; ' + 'awk "BEGIN{print \\"X\\" > \\"$F\\"}"'),
+    ('変数に入れて包みの中で書く', f'F={P}; bash -c "echo X=1 > $F"'),
+]
+for label, cmd in VAR_FORMS:
+    check(f'② {label}', dbash(cmd), policy.DENY)
+
+for name, path in TARGETS:
+    check(f'② どの秘密ファイルでも同じ: {name}',
+          dbash(f'F={path}; echo X=1 > "$F"'), policy.DENY)
+
+print('\n── ③ 今まで止まっていた形は1つも減っていない ' + '─' * 16)
+SRC = '/tmp/claude-1000/src.txt'
+for cmd in [f'echo X=1 > {P}', f'echo X=1 >> {P}', f'echo X=1 | tee {P}', f'cp {SRC} {P}',
+            f'mv {SRC} {P}', f'mv {P} /tmp/claude-1000/moved.txt', f'rm -f {P}', f'touch {P}',
+            f'truncate -s 0 {P}', f'sed -i s/a/b/ {P}', f'perl -pi -e s/a/b/ {P}',
+            f'dd if=/dev/null of={P}', f'install {SRC} {P}', f'ln -sf {SRC} {P}',
+            f'python3 -c "open(\'{P}\',\'w\').write(\'X\')"',
+            f'node -e "require(\'fs\').writeFileSync(\'{P}\',\'X\')"',
+            f'ruby -e "File.write(\'{P}\',\'X\')"', f'sh -c "echo X=1 > {P}"',
+            f'awk "{{print}}" {P}', f'awk -i inplace "{{print}}" {P}', f'cat {P}']:
+    check(f'③ deny のまま: {cmd[:56]}', dbash(cmd), policy.DENY)
+for tool in ('Write', 'Edit', 'MultiEdit', 'NotebookEdit'):
+    check(f'③ {tool} は deny のまま',
+          policy.decide_event({'tool_name': tool, 'tool_input': {'file_path': P},
+                               'cwd': CWD})['decision'], policy.DENY)
+
+print('\n── ④ 普段の awk・変数の使い方は1つも止めない ' + '─' * 16)
+OK_CMDS = [
+    'awk "{print \\$1}" package.json',
+    'ps aux | awk -F: "{print \\$2}"',
+    'awk "BEGIN{print \\"hello world\\"}"',
+    'awk "BEGIN{print \\"x\\" > \\"/tmp/claude-1000/out.txt\\"}"',
+    'awk "BEGIN{system(\\"ls /tmp\\")}"',
+    'awk -f scripts/report.awk data.csv',
+    'git log --oneline | awk "{print \\$1}"',
+    'F=/tmp/claude-1000/out.txt; echo hi > "$F"',
+    'DIR=/home/fshim/projects/x; ls "$DIR"',
+    'B=main; git log --oneline "$B" -3',
+    'N=3; npm test -- --reporter dot',
+    'F=dist/cli.js; node "$F" --help',
+    'MSG="直しました"; git commit -m "$MSG"',
+]
+for cmd in OK_CMDS:
+    check(f'④ allow: {cmd[:56]}', dbash(cmd), policy.ALLOW)
+
+print('\n── ★空振り確認（足した仕組みを外すと素通りに戻る） ' + '─' * 10)
+HOLE_AWK = awk_cmd('awk', 'BEGIN{{print "X=1" > "{t}"}}'.format(t=P))
+HOLE_VAR = f'F={P}; echo X=1 > "$F"'
+
+orig_awk = policy._awk_payloads
+orig_var = policy._var_expansion_danger
+try:
+    policy._awk_payloads = lambda command: []
+    check('★空振り: awk の本文を見なくすると素通りに戻る', dbash(HOLE_AWK), policy.ALLOW)
+finally:
+    policy._awk_payloads = orig_awk
+check('★戻したあと: awk は止まる', dbash(HOLE_AWK), policy.DENY)
+
+try:
+    policy._var_expansion_danger = lambda command, cwd=None: None
+    check('★空振り: 変数を展開しないと素通りに戻る', dbash(HOLE_VAR), policy.ALLOW)
+finally:
+    policy._var_expansion_danger = orig_var
+check('★戻したあと: 変数ごしも止まる', dbash(HOLE_VAR), policy.DENY)
+
+print('\n── ★展開そのものの見え方（分からない値は潰さない） ' + '─' * 10)
+check('★同じコマンドの代入は展開する',
+      policy._expand_local_vars('F=/tmp/x; cat "$F"'), 'F=/tmp/x; cat "/tmp/x"')
+check('★外から来る値はそのまま残す',
+      policy._expand_local_vars('cat "$HOME_SECRET"'), 'cat "$HOME_SECRET"')
+check('★位置の引数は触らない', policy._expand_local_vars('echo "$1"'), 'echo "$1"')
+check('★自分を指す代入で無限に回らない',
+      policy._expand_local_vars('A=$A; echo "$A"'), 'A=$A; echo "$A"')
+
+print('\n' + '=' * 72)
+if failures:
+    print(f'NG {len(failures)} 件:')
+    for f in failures:
+        print('  -', f)
+    sys.exit(1)
+print('すべて期待どおり')
+sys.exit(0)