@tyhld/conductor 0.12.32 → 0.12.34

package/dist/cli.js

@@ -13,7 +13,7 @@ import { execFileSync, spawnSync } from 'node:child_process';
 import { existsSync, readFileSync } from 'node:fs';
 import { fileURLToPath } from 'node:url';
 import os from 'node:os';
-import { RELAY_FETCH_TIMEOUT_MS, createRelayState, parseAgentKind, reconnectDelayMs, relayTick, tmuxHasSession, } from './relay.js';
+import { RELAY_FETCH_TIMEOUT_MS, createRelayState, deliveryReport, parseAgentKind, reconnectDelayMs, relayTick, tmuxHasSession, } from './relay.js';
 import { createRelayRunner } from './relay-runner.js';
 import { installProcessGuards } from './process-guard.js';
 import { registerNudgeTarget, unregisterNudgeTarget, watchNudges, } from './nudge.js';
@@ -22,6 +22,11 @@ import { loadEarConfig } from './ear-routing.js';
 import { ensureEnvFilePermissions } from './env-file-perm.js';
 import { createCentralPorts } from './build-central.js';
 import { BUILD_NUDGE_NAME, REQUIRED_ENV, createBuildRunner, createMemoStore, loadBuildRunnerConfig, } from './build-runner.js';
+/**
+ * relay の状態の参照（生存報告に「いま配れるか」を載せるため）。
+ *   ★relay が無効な機では null のまま＝報告の中身は今までと1バイトも変わらない。
+ */
+let relayStateForReport = null;
 /** git コマンドを安全に実行し、失敗したら null を返す（git でない/未インストール等）。 */
 function git(args) {
     try {
@@ -161,6 +166,16 @@ async function sendReport(cfg) {
         lastAction: cfg.lastAction,
         artisanReady: tmuxHasSession(cfg.site),
     };
+    // ★relay が動いている機だけ、2段目（いま配れるか）を足す。
+    //   未配達でないときは秒数と指示idを載せない＝管制で「遅れ」を数えない。
+    if (relayStateForReport) {
+        const d = deliveryReport(relayStateForReport);
+        body.deliveryState = d.deliveryState;
+        if (d.undeliveredSec !== null)
+            body.undeliveredSec = d.undeliveredSec;
+        if (d.queuedCommandId !== null)
+            body.queuedCommandId = d.queuedCommandId;
+    }
     const time = new Date().toLocaleTimeString();
     try {
         const res = await fetch(`${cfg.url}/api/conductor/report`, {
@@ -222,6 +237,8 @@ async function start(args) {
             `（承認待ちの間だけ ${cfg.promptIntervalSec}s に短縮）` +
             `（tmuxセッション "${cfg.site}" がアイドルのときだけ送信します）`);
         const relayState = createRelayState();
+        // 生存報告に「いま配れるか」を載せるための参照（便 600d2a6a）。
+        relayStateForReport = relayState;
         relayRunner = createRelayRunner({
             tick: () => relayTick(cfg, relayState, {
                 // ★管制へつながらない状態から戻った瞬間に1回だけ呼ばれる。

package/dist/relay.js

@@ -223,6 +223,47 @@ export function createRelayState() {
         promptPending: false,
         busyRaisedId: null,
         central: { failures: 0, detail: '', downSince: null },
+        readiness: createReadiness(),
+    };
+}
+/** 「指示は在るのに配れていない」状態（この間が未配達の時間）。 */
+const BLOCKED_STATES = new Set([
+    'busy',
+    'no-session',
+    'not-agent',
+]);
+export function createReadiness(now = Date.now()) {
+    return { state: 'unknown', commandId: null, since: now, skipCount: 0 };
+}
+/**
+ * 1周の結末を記録する。同じ結末が続く間は since を動かさない（＝そこから何秒経ったかが分かる）。
+ * ★記録するだけ。配達の判断は1バイトも変えない。
+ */
+export function noteReadiness(state, next, commandId, now = Date.now()) {
+    const cur = state.readiness;
+    if (cur.state === next && cur.commandId === commandId) {
+        if (BLOCKED_STATES.has(next))
+            cur.skipCount += 1;
+        return;
+    }
+    state.readiness = {
+        state: next,
+        commandId,
+        since: now,
+        skipCount: BLOCKED_STATES.has(next) ? 1 : 0,
+    };
+}
+/**
+ * 生存報告に載せる形。★「指示が在るのに配れていない」ときだけ、その長さと指示idを出す。
+ *   配れている・指示が無いときは undeliveredSec を null にする（管制で「遅れ」を数えない）。
+ */
+export function deliveryReport(state, now = Date.now()) {
+    const r = state.readiness;
+    const blocked = BLOCKED_STATES.has(r.state) && r.commandId !== null;
+    return {
+        deliveryState: r.state,
+        queuedCommandId: blocked ? r.commandId : null,
+        undeliveredSec: blocked ? Math.max(0, Math.round((now - r.since) / 1000)) : null,
     };
 }
 /**
@@ -2045,6 +2086,7 @@ export async function relayTick(cfg, state, hooks) {
                     : 'relay停止中(緊急停止スイッチON)のため送信しません');
             }
             state.lastHalted = true;
+            noteReadiness(state, 'halted', null);
             return;
         }
         if (state.lastHalted === true) {
@@ -2053,8 +2095,10 @@ export async function relayTick(cfg, state, hooks) {
         state.lastHalted = false;
         // ── 新規指示の取得 ──
         const cmd = await fetchCommand(cfg);
-        if (!cmd)
+        if (!cmd) {
+            noteReadiness(state, 'no-command', null);
             return; // 指示なし
+        }
         // ── 配達放棄ガード（無限ループの構造的封じ込め） ──
         // 配達回数上限を超えて放棄した command は、サーバがまだ queued を返しても（＝完了通知が
         // 単線で切れて詰まった状態でも）二度と配達しない。放棄時に既にWARNを出しているので静かにスキップ。
@@ -2073,6 +2117,7 @@ export async function relayTick(cfg, state, hooks) {
         // ── アイドル判定（保守的・二重チェック） ──
         if (!tmuxHasSession(cfg.site)) {
             log(`site=${cfg.site} id=${cmd.id} tmux未起動のため送らずスキップ`);
+            noteReadiness(state, 'no-session', cmd.id);
             return;
         }
         if (!(await isIdleStable(cfg.site, kindOf(cfg)))) {
@@ -2084,6 +2129,9 @@ export async function relayTick(cfg, state, hooks) {
                 state.skipWarned = false;
             }
             state.skipCount += 1;
+            // ★「指示は在るのに配れていない」ことを、この周の結末として記録する（便 600d2a6a）。
+            //   生存報告に載せて、管制が「職人が作業中だから待っている」と言えるようにする。
+            noteReadiness(state, 'busy', cmd.id);
             log(`site=${cfg.site} id=${cmd.id} 作業中の可能性ありスキップ（次回再判定）`);
             if (state.skipCount > RELAY_SKIP_WARN_THRESHOLD && !state.skipWarned) {
                 state.skipWarned = true;
@@ -2104,6 +2152,7 @@ export async function relayTick(cfg, state, hooks) {
         if (guardCap === null || !looksLikeAgent(guardCap, kindOf(cfg))) {
             log(`WARN site=${cfg.site} id=${cmd.id} Claude Codeの箱と確認できないため送信せずスキップ` +
                 '（名前一致でも非claude窓への誤爆を防止）');
+            noteReadiness(state, 'not-agent', cmd.id);
             return;
         }
         // ── tmux 送信 ──
@@ -2140,6 +2189,7 @@ export async function relayTick(cfg, state, hooks) {
         markDelivered(state, cmd.id);
         // 新しい指示の生存ハートビートは先頭から数え直す（前指示のスロットルを引き継がない）。
         state.lastHeartbeatAt = null;
+        noteReadiness(state, 'delivered', cmd.id);
         log(`site=${cfg.site} id=${cmd.id} 配達しました`);
         // ★配達の直後に「配達済み(sent)」を管制へ書く。書けなければ次tick以降で書けるまでやり直す
         //   （markSentAtCentral）。★書けなくても再配達はしない。

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@tyhld/conductor",
-  "version": "0.12.32",
+  "version": "0.12.34",
   "description": "采配くん管制の見守りアプリ（conductor-agent）。各PCで常駐し、中央(devlog-tracker)へ定期的に生存報告(heartbeat)を送る常駐CLI。",
   "type": "module",
   "bin": {

package/scripts/hooks/policy.py

@@ -753,6 +753,15 @@ _QUOTED_RE = re.compile(r'''['"]([^'"\n]{1,300})['"]''')
 # 入れ子の上限。`bash -c "bash -c ..."` の2段まで見れば実用上足りる（無限再帰の防止）。
 _UNWRAP_MAX_DEPTH = 2
 
+# awk の仲間で、次の語を【値として食べる】旗（この次の語はプログラム本文ではない）。
+_AWK_OPTS_WITH_ARG = frozenset({
+    '-v', '--assign', '-f', '--file', '-F', '--field-separator', '-i', '--include',
+    '-l', '--load', '-E', '--exec',
+})
+
+# awk のプログラムをファイルから読む旗（この形には本文が無い）。
+_AWK_PROGRAM_FILE_OPTS = frozenset({'-f', '--file'})
+
 
 def _code_secret_reason(text: str):
     """プログラム文字列の中に秘密ファイルの名前が出てくるなら理由を返す。
@@ -770,6 +779,66 @@ def _code_secret_reason(text: str):
     return None
 
 
+def _awk_payloads(command: str):
+    """awk の仲間の【プログラム本文】を、中身として取り出す（便 3d1974f4）。
+
+    【なぜ要るか（実測 2026-09-20・便 675e2d05 / 85e6f140）】
+      python3 -c / node -e / ruby -e の中身は名前を見て止めていたのに、awk だけは
+      プログラム本文を見ていなかった。awk は本文を【旗ではなく位置の語】で受け取るので、
+      _CODE_FLAGS（-c / -e）を探す作りでは1つも拾えない。そのため
+        awk "BEGIN{print \"X=1\" > \"<秘密ファイル>\"}"
+      が素通りし、実機で秘密ファイルを作り直せた。getline < "…"・system("…") も同じ。
+      ★止める側を増やすだけで、今まで止まっていた形は1つも変わらない。
+
+    返す形は _inner_payloads と同じ (種別, 呼び出した道具, 中身)。
+      ・('code', 'awk', 本文)        … 本文の中の文字列リテラルから秘密の名前を探す
+      ・('shell', 'awk command', 文字列) … system("rm …") や `| "cat > …"` の中身を
+                                          もう一度コマンドとして測り直す
+    """
+    out = []
+    seen = set()
+    for text in [command] + split_segments(command):
+        toks = tokens_of(text)
+        for i, t in enumerate(toks):
+            if t.split('/')[-1] not in _AWK_VERBS:
+                continue
+            args = toks[i + 1:]
+            program = None
+            from_file = False
+            j = 0
+            while j < len(args):
+                a = args[j]
+                if a in _AWK_OPTS_WITH_ARG:
+                    if a in _AWK_PROGRAM_FILE_OPTS:
+                        from_file = True
+                    # ★`-v NAME=<秘密ファイル>` のように、旗の値でパスを渡す形も見る。
+                    if a in ('-v', '--assign') and j + 1 < len(args):
+                        val = args[j + 1].split('=', 1)[-1].strip()
+                        if val:
+                            out.append(('code', t, '"%s"' % val))
+                    j += 2
+                    continue
+                if a.startswith('-') and len(a) > 1:
+                    j += 1
+                    continue
+                program = a
+                break
+            if from_file or not program:
+                continue
+            key = (t, program)
+            if key in seen:
+                continue
+            seen.add(key)
+            out.append(('code', t, program))
+            # ★本文の中の文字列が【コマンド】のこともある（system("rm …")・`| "cat > …"`）。
+            #   空白を含む文字列だけを、もう一度コマンドとして測り直す。
+            for m in _QUOTED_RE.finditer(program):
+                lit = m.group(1).strip()
+                if lit and ' ' in lit:
+                    out.append(('shell', f'{t} command', lit))
+    return out
+
+
 def _inner_payloads(command: str):
     """ラッパが抱えている「中身」を (種別, 呼び出した道具, 中身) の一覧で返す。
 
@@ -798,6 +867,9 @@ def _inner_payloads(command: str):
         kind = 'shell' if runner in _SHELL_RUNNERS else 'code'
         out.append((kind, runner or 'heredoc', m.group(2)))
 
+    # ③ awk の仲間のプログラム本文（旗ではなく位置の語で渡されるので別に取り出す）。
+    out += _awk_payloads(command)
+
     return out
 
 
@@ -844,6 +916,86 @@ def _wrapper_danger(command: str, depth: int = 0, cwd=None):
     return None
 
 
+# ═════════════════════════════════════════════════════════════════════════════
+# 変数に入れたパス（便 3d1974f4）
+#
+# 【なぜ要るか（実測 2026-09-20・便 675e2d05 / 85e6f140）】
+#   番人は「コマンドの字面に出るパス」を見て止めていた。だから
+#     F=<秘密ファイル>; echo X=1 > "$F"
+#   のように、同じコマンドの中でいったん変数に入れるだけで、書き込みも読み出しも
+#   素通りした（実機で書けた）。名前は字面に在るのに、使う場所には $F しか無いためである。
+#
+# 【どう塞ぐか】同じコマンドの中の代入（F=… ・export F=…）を先に読み、$F・${F}・"$F" を
+#   展開してから、もう一度【同じ物差し】を当てる。展開できたものだけを見るので、
+#   外から来る値（環境変数・$(…) の結果）は今までどおり字面では止まらない＝そこは
+#   サンドボックスと設定の禁止ルールが受け持つ（限界として報告に書く）。
+#
+# ★止める側を増やすだけ。展開して「危険」に当たったときにだけ deny を返し、
+#   展開の結果で allow に緩めることは1度もしない。
+# ═════════════════════════════════════════════════════════════════════════════
+
+#: 同じコマンドの中の代入（`F=値` / `export F=値`）。値はクォートの有無を問わない。
+_VAR_ASSIGN_RE = re.compile(
+    r'(?:^|[;&|(]|\s)(?:export\s+)?([A-Za-z_][A-Za-z0-9_]*)='
+    r'''("[^"\n]*"|'[^'\n]*'|[^\s;|&()<>]*)''')
+
+#: 変数の参照（$F / ${F}）。$1・$?・$(…) は拾わない。
+_VAR_REF_RE = re.compile(r'\$\{([A-Za-z_][A-Za-z0-9_]*)\}|\$([A-Za-z_][A-Za-z0-9_]*)')
+
+#: 展開の繰り返しの上限（`A=/tmp; B=$A/x; cat "$B"` のような数珠つなぎのため）。
+_VAR_EXPAND_ROUNDS = 3
+
+
+def _expand_local_vars(command: str, rounds: int = _VAR_EXPAND_ROUNDS) -> str:
+    """同じコマンドの中で代入された値だけを展開した文字列を返す。
+
+    ★分からない変数はそのまま残す（勝手に空へ潰さない＝別のコマンドに化けさせない）。
+    """
+    text = command or ''
+    values = {}
+    for m in _VAR_ASSIGN_RE.finditer(text):
+        raw = m.group(2) or ''
+        if len(raw) >= 2 and raw[0] in ('"', "'") and raw[-1] == raw[0]:
+            raw = raw[1:-1]
+        if raw:
+            values[m.group(1)] = raw
+    if not values:
+        return text
+
+    def sub(m):
+        name = m.group(1) or m.group(2)
+        return values.get(name, m.group(0))
+
+    for _ in range(max(1, rounds)):
+        new = _VAR_REF_RE.sub(sub, text)
+        if new == text:
+            break
+        text = new
+    return text
+
+
+def _var_expansion_danger(command: str, cwd=None):
+    """変数を展開してから、同じ危険の物差しを当て直す。危険なら理由を返す。"""
+    expanded = _expand_local_vars(command)
+    if not expanded or expanded == command:
+        return None
+    hit = _rm_danger(expanded)
+    if hit:
+        return hit
+    for seg in _real_segments(expanded):
+        toks = tokens_of(seg)
+        v = verb_of(toks)
+        hit = (_secret_danger(seg, v, toks, cwd) or _bulk_copy_danger(v, toks, cwd)
+               or _recursive_read_danger(v, toks, cwd) or _admin_merge_danger(v, toks))
+        if hit:
+            return hit
+    hit = (_guard_write_scan(expanded, cwd) or _env_write_scan(expanded, cwd)
+           or _bypass_scan(expanded, cwd) or _wrapper_danger(expanded, 0, cwd))
+    if hit:
+        return hit
+    return None
+
+
 # ═════════════════════════════════════════════════════════════════════════════
 # フォルダごとの持ち出し（便 230c3175・D2）
 #
@@ -3077,6 +3229,11 @@ def decide_bash(command: str, cwd=None):
     if hit:
         return _r(DENY, f'danger: {hit}')
 
+    # ---- 1c-2) 変数に入れたパス（便 3d1974f4・`F=秘密; echo > "$F"` を素通りさせない） ----
+    hit = _var_expansion_danger(command, cwd)
+    if hit:
+        return _r(DENY, f'danger: {hit} (変数を展開して判定)')
+
     # ---- 1c') 番人の設定への書き込み（便 2.5・リダイレクト・tee・cp・mv・sed -i ほか） ----
     hit = _guard_write_scan(command, cwd)
     if hit:

package/scripts/hooks/test_awk_and_var_paths.py

@@ -0,0 +1,206 @@
+#!/usr/bin/env python3
+"""便 3d1974f4: awk の本文の中のパスと、変数に入れたパスでも秘密ファイルを守る試験。
+
+  実行: python3 scripts/hooks/test_awk_and_var_paths.py
+  1件でも期待と違えば exit 1。
+
+【背景（実測 2026-09-20・便 675e2d05 と回収便 85e6f140）】
+  配られていた番人（0.12.30）で、次の形が素通りしていた。実機でも書けた。
+    ・awk "BEGIN{print \\"X=1\\" > \\"<秘密ファイル>\\"}"（gawk・mawk・nawk も同じ）
+    ・awk の中の >> 追記・getline < 読み・system("rm …")・| "cat > …"
+    ・F=<秘密ファイル>; echo X=1 > "$F"（変数に入れると読み書きとも素通り）
+  番人は「コマンドの字面に出るパス」と「一部の実行系（python/node/ruby/perl）の
+  プログラム文字列」しか見ていなかった。awk は本文を【旗ではなく位置の語】で受け取るので
+  1つも拾えず、変数の展開はそもそも追っていなかった。
+  .dev.vars だけでなく .env・ホームの .env・接続情報のファイルまで同じ形で抜けた。
+
+【固定すること】
+  ① awk の仲間（awk / gawk / mawk / nawk）の本文の中で秘密ファイルに触れる形が止まる。
+  ② 同じコマンドの中で変数に入れたパスでも、書き込み・読み出し・削除が止まる。
+  ③ 今まで止まっていた形は1つも減っていない（止める側を増やしただけ）。
+  ④ 普段の awk・変数の使い方は1つも止めない。
+  ⑤ ★空振り確認：足した2つの仕組みを外すと ①② が素通りに戻る（試験が本当に効いている証拠）。
+
+★本物の秘密に1バイトも触れない。使うのは作り物の場所と名前だけ。名前は組み立てる。
+"""
+import os
+import sys
+
+sys.path.insert(0, os.path.dirname(os.path.abspath(__file__)))
+
+import policy  # noqa: E402
+
+failures = []
+
+
+def check(label, got, want):
+    ok = got == want
+    if not ok:
+        failures.append(f'{label}: got={got!r} want={want!r}')
+    print(f'{"OK " if ok else "NG "} {label:72} {str(got)[:20]}')
+
+
+DV = '.dev' + '.vars'              # 手元の秘密（本体）
+DVL = DV + '.local'                # 環境別（値が入る＝秘密）
+ENV = '.e' + 'nv'                  # 比較用
+CONDENV = '.conductor' + '.e' + 'nv'   # 接続情報のファイル（ホームに在る）
+CWD = '/home/fshim/projects/x'
+TMP = '/tmp/claude-1000/probe'
+HOME = os.path.expanduser('~')
+
+#: 秘密として守られるべき置き場（★どれも作り物の道＝実物には触れない）。
+TARGETS = [
+    ('使い捨ての場所の手元の秘密', f'{TMP}/{DV}'),
+    ('リポの中の手元の秘密', f'{CWD}/{DV}'),
+    ('環境別の手元の秘密', f'{TMP}/{DVL}'),
+    ('リポの中の env', f'{CWD}/{ENV}'),
+    ('ホームの接続情報', f'{HOME}/{CONDENV}'),
+]
+
+#: awk の本文で秘密に触れる書き方（{t} に道を入れる）。
+AWK_FORMS = [
+    ('本文の中で > に書く', 'BEGIN{{print "X=1" > "{t}"}}'),
+    ('本文の中で >> 追記', 'BEGIN{{printf "X=1" >> "{t}"}}'),
+    ('本文の中で getline 読み', 'BEGIN{{while((getline l < "{t}")>0) print l}}'),
+    ('本文の中で close する', 'BEGIN{{print "X" > "{t}"; close("{t}")}}'),
+    ('system で消す', 'BEGIN{{system("rm -f {t}")}}'),
+    ('パイプで外へ流す', 'BEGIN{{print "X" | "cat > {t}"}}'),
+]
+
+AWK_VERBS = ['awk', 'gawk', 'mawk', 'nawk']
+
+
+def dbash(cmd):
+    return policy.decide_bash(cmd, CWD)['decision']
+
+
+def rbash(cmd):
+    return policy.decide_bash(cmd, CWD).get('reason') or ''
+
+
+def awk_cmd(verb, program):
+    """実際に打つ形（シェルが二重引用符で包み、本文の中の引用符は escape される）。"""
+    return verb + ' "' + program.replace('"', '\\"') + '"'
+
+
+print('── ① awk の本文の中のパス（awk / gawk / mawk / nawk） ' + '─' * 12)
+for verb in AWK_VERBS:
+    for label, program in AWK_FORMS:
+        cmd = awk_cmd(verb, program.format(t=f'{TMP}/{DV}'))
+        check(f'① {verb}: {label}', dbash(cmd), policy.DENY)
+
+print('\n── ① どの秘密ファイルでも同じ（awk の本文の中の >） ' + '─' * 12)
+for name, path in TARGETS:
+    cmd = awk_cmd('awk', 'BEGIN{{print "X=1" > "{t}"}}'.format(t=path))
+    check(f'① {name}', dbash(cmd), policy.DENY)
+    check(f'① {name}: 読みも止まる',
+          dbash(awk_cmd('awk', 'BEGIN{{while((getline l < "{t}")>0) print l}}'.format(t=path))),
+          policy.DENY)
+
+print('\n── ① awk の旗・置き場所を変えても同じ ' + '─' * 20)
+P = f'{TMP}/{DV}'
+check('① -v で渡す', dbash(f'awk -v F={P} "BEGIN{{print \\"X=1\\" > F}}"'), policy.DENY)
+check('① -F の後ろに本文', dbash(awk_cmd('awk -F:', 'BEGIN{{print "X" > "{t}"}}'.format(t=P))),
+      policy.DENY)
+check('① パイプの後ろの awk', dbash('echo hi | ' + awk_cmd('awk', '{{print > "%s"}}' % P)),
+      policy.DENY)
+check('① 道つきで呼ぶ', dbash(awk_cmd('/usr/bin/awk', 'BEGIN{{print "X" > "{t}"}}'.format(t=P))),
+      policy.DENY)
+check('① bash -c の中の awk',
+      dbash("bash -c '" + awk_cmd('awk', 'BEGIN{{print "X" > "{t}"}}'.format(t=P)) + "'"),
+      policy.DENY)
+check('① 理由に秘密ファイルの名前が出る', DV in rbash(awk_cmd('awk', 'BEGIN{{print "X" > "{t}"}}'.format(t=P))), True)
+
+print('\n── ② 変数に入れたパス ' + '─' * 30)
+VAR_FORMS = [
+    ('変数に入れて > で書く', f'F={P}; echo X=1 > "$F"'),
+    ('クォート無しで書く', f'F={P}; echo X=1 > $F'),
+    ('波括弧で書く', f'F={P}; echo X=1 > ${{F}}'),
+    ('変数に入れて読む', f'F={P}; cat "$F"'),
+    ('変数に入れて消す', f'F={P}; rm -f "$F"'),
+    ('変数に入れて写す', f'F={P}; cp "$F" /tmp/claude-1000/copy.txt'),
+    ('export で入れて書く', f'export F={P}; echo X=1 > "$F"'),
+    ('引用符つきの代入', f'F="{P}"; echo X=1 > "$F"'),
+    ('数珠つなぎ', f'D={TMP}; F=$D/{DV}; echo X=1 > "$F"'),
+    ('変数と awk の合わせ技', f'F={P}; ' + 'awk "BEGIN{print \\"X\\" > \\"$F\\"}"'),
+    ('変数に入れて包みの中で書く', f'F={P}; bash -c "echo X=1 > $F"'),
+]
+for label, cmd in VAR_FORMS:
+    check(f'② {label}', dbash(cmd), policy.DENY)
+
+for name, path in TARGETS:
+    check(f'② どの秘密ファイルでも同じ: {name}',
+          dbash(f'F={path}; echo X=1 > "$F"'), policy.DENY)
+
+print('\n── ③ 今まで止まっていた形は1つも減っていない ' + '─' * 16)
+SRC = '/tmp/claude-1000/src.txt'
+for cmd in [f'echo X=1 > {P}', f'echo X=1 >> {P}', f'echo X=1 | tee {P}', f'cp {SRC} {P}',
+            f'mv {SRC} {P}', f'mv {P} /tmp/claude-1000/moved.txt', f'rm -f {P}', f'touch {P}',
+            f'truncate -s 0 {P}', f'sed -i s/a/b/ {P}', f'perl -pi -e s/a/b/ {P}',
+            f'dd if=/dev/null of={P}', f'install {SRC} {P}', f'ln -sf {SRC} {P}',
+            f'python3 -c "open(\'{P}\',\'w\').write(\'X\')"',
+            f'node -e "require(\'fs\').writeFileSync(\'{P}\',\'X\')"',
+            f'ruby -e "File.write(\'{P}\',\'X\')"', f'sh -c "echo X=1 > {P}"',
+            f'awk "{{print}}" {P}', f'awk -i inplace "{{print}}" {P}', f'cat {P}']:
+    check(f'③ deny のまま: {cmd[:56]}', dbash(cmd), policy.DENY)
+for tool in ('Write', 'Edit', 'MultiEdit', 'NotebookEdit'):
+    check(f'③ {tool} は deny のまま',
+          policy.decide_event({'tool_name': tool, 'tool_input': {'file_path': P},
+                               'cwd': CWD})['decision'], policy.DENY)
+
+print('\n── ④ 普段の awk・変数の使い方は1つも止めない ' + '─' * 16)
+OK_CMDS = [
+    'awk "{print \\$1}" package.json',
+    'ps aux | awk -F: "{print \\$2}"',
+    'awk "BEGIN{print \\"hello world\\"}"',
+    'awk "BEGIN{print \\"x\\" > \\"/tmp/claude-1000/out.txt\\"}"',
+    'awk "BEGIN{system(\\"ls /tmp\\")}"',
+    'awk -f scripts/report.awk data.csv',
+    'git log --oneline | awk "{print \\$1}"',
+    'F=/tmp/claude-1000/out.txt; echo hi > "$F"',
+    'DIR=/home/fshim/projects/x; ls "$DIR"',
+    'B=main; git log --oneline "$B" -3',
+    'N=3; npm test -- --reporter dot',
+    'F=dist/cli.js; node "$F" --help',
+    'MSG="直しました"; git commit -m "$MSG"',
+]
+for cmd in OK_CMDS:
+    check(f'④ allow: {cmd[:56]}', dbash(cmd), policy.ALLOW)
+
+print('\n── ★空振り確認（足した仕組みを外すと素通りに戻る） ' + '─' * 10)
+HOLE_AWK = awk_cmd('awk', 'BEGIN{{print "X=1" > "{t}"}}'.format(t=P))
+HOLE_VAR = f'F={P}; echo X=1 > "$F"'
+
+orig_awk = policy._awk_payloads
+orig_var = policy._var_expansion_danger
+try:
+    policy._awk_payloads = lambda command: []
+    check('★空振り: awk の本文を見なくすると素通りに戻る', dbash(HOLE_AWK), policy.ALLOW)
+finally:
+    policy._awk_payloads = orig_awk
+check('★戻したあと: awk は止まる', dbash(HOLE_AWK), policy.DENY)
+
+try:
+    policy._var_expansion_danger = lambda command, cwd=None: None
+    check('★空振り: 変数を展開しないと素通りに戻る', dbash(HOLE_VAR), policy.ALLOW)
+finally:
+    policy._var_expansion_danger = orig_var
+check('★戻したあと: 変数ごしも止まる', dbash(HOLE_VAR), policy.DENY)
+
+print('\n── ★展開そのものの見え方（分からない値は潰さない） ' + '─' * 10)
+check('★同じコマンドの代入は展開する',
+      policy._expand_local_vars('F=/tmp/x; cat "$F"'), 'F=/tmp/x; cat "/tmp/x"')
+check('★外から来る値はそのまま残す',
+      policy._expand_local_vars('cat "$HOME_SECRET"'), 'cat "$HOME_SECRET"')
+check('★位置の引数は触らない', policy._expand_local_vars('echo "$1"'), 'echo "$1"')
+check('★自分を指す代入で無限に回らない',
+      policy._expand_local_vars('A=$A; echo "$A"'), 'A=$A; echo "$A"')
+
+print('\n' + '=' * 72)
+if failures:
+    print(f'NG {len(failures)} 件:')
+    for f in failures:
+        print('  -', f)
+    sys.exit(1)
+print('すべて期待どおり')
+sys.exit(0)