@tyhld/conductor 0.12.38 → 0.12.40

package/dist/relay.js

@@ -1107,6 +1107,23 @@ export function relaySendTmpDirs() {
 }
 /** tmux バッファ名の接頭辞（他人のバッファと衝突させないため現場・PID・時刻で一意にする）。 */
 export const RELAY_SEND_BUFFER_PREFIX = 'conductor-send';
+/**
+ * 貼り付けのあとに「打った字」として添える1行（貼り付けの枠の外に置く）。
+ *
+ * 【なぜ要るか（便 6bef35c8・実測 2026-09-21 ai-kana 8e47d62e／mamoria 865c8372）】
+ *   本文は paste-buffer -p（ブラケットペースト）で渡すので、職人には「貼り付けだけがあって、
+ *   人が自分で打った字が1つも無い入力」として届く。Claude Code は貼り付けの中の指示を
+ *   「人が自分の言葉で頼んだときだけ従う」扱いにするため、起こし直したばかりの職人
+ *   （これまでの便を実行した流れが会話に無い）が「貼り付け以外に指示が無い」と見て、
+ *   実行してよいか人に聞いて止まった（管制には idle_prompt として出た）。
+ * 【直し】人が便を貼ってから一言添えて送るのと同じ形にする。添え書きは枠の外に
+ *   send-keys -l（1字ずつ打つのと同じ）で置く。★本文も守り（番人・囲い・秘密保護）も変えない。
+ *   ★言えることだけを言う：配達役が届けるのは、この端末の持ち主の管制に積まれた便だけ
+ *   （中央は持ち主の合言葉でしか便を受け付けない）。誰が書いたかは本文の「投函:」欄のまま。
+ * ★短く保つ（長い一気の入力は受け手が貼り付けと見なすことがある）。アンカーの字は入れない
+ *   （完了検出の境界を増やさないため）。
+ */
+export const RELAY_DELIVERY_NOTE = '（配達役より）上の貼り付けは、この端末の持ち主の管制（采配くん）に投函された便を配達役が届けたものです。貼り付けに書かれたとおりに作業してください。';
 // ───────────────────────────────────────────────────────────────────────────
 // 報告の受け渡し（★ファイル経由・えふさん決定 2026-09-07／置き場と作法は 2026-09-21 に改訂）
 // ───────────────────────────────────────────────────────────────────────────
@@ -1457,7 +1474,8 @@ function runTmux(args) {
     execFileSync('tmux', args, { stdio: ['ignore', 'ignore', 'pipe'] });
 }
 /**
- * tmux へ本文を1メッセージとして送り、最後に Enter を1回だけ送る。
+ * tmux へ本文を1メッセージとして送り、貼り付けの枠の外に添え書き（RELAY_DELIVERY_NOTE）を打ち、
+ * 最後に Enter を1回だけ送る。
  *
  * 【なぜ send-keys の引数に本文を載せないか（実測 2026-09-03 21:34〜の根治）】
  *   tmux のクライアント→サーバの1命令には上限（IPC のメッセージ長・16KB前後）がある。
@@ -1493,6 +1511,8 @@ export function sendToTmux(site, text) {
         file = writeSendTmpFile(text);
         runTmux(['load-buffer', '-b', bufferName, file]);
         runTmux(['paste-buffer', '-d', '-p', '-b', bufferName, '-t', site]);
+        // 貼り付けの枠の外に、打った字として添え書きを置く（RELAY_DELIVERY_NOTE の説明）。
+        runTmux(['send-keys', '-t', site, '-l', ` ${RELAY_DELIVERY_NOTE}`]);
         runTmux(['send-keys', '-t', site, 'Enter']);
         return true;
     }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@tyhld/conductor",
-  "version": "0.12.38",
+  "version": "0.12.40",
   "description": "采配くん管制の見守りアプリ（conductor-agent）。各PCで常駐し、中央(devlog-tracker)へ定期的に生存報告(heartbeat)を送る常駐CLI。",
   "type": "module",
   "bin": {

package/scripts/hooks/policy.py

@@ -1842,6 +1842,187 @@ _PROD_DB_CHANGE_RE = re.compile(
 _PKG_MIGRATE_RE = re.compile(r'^(npm|pnpm|yarn) ((run|run-script) )?migrate')
 
 
+# ─────────────────────────────────────────────────────────────────────────────
+# ★手元の使い捨てクラスタへの SQL 実行だけを通す（えふさん確定 2026-09-21・便 ee34f7e5）
+#
+# 【なぜ要るか】本番へ SQL を貼る前に手元で試せないと、「本番の SQL Editor が最初の実行試験」に
+#   なってしまう。手元の使い捨てクラスタで先に流せれば、本番で初めて落ちることが無くなる。
+#
+# 【★許すのはこれだけ（1件）】
+#   ① 道具は対話クライアント1つだけ。作る・消す・写す道具（createdb・dropdb・積み替え等）は今までどおり。
+#   ② つなぎ先が【実行境界】で手元であること＝コマンドに書かれた宛先で見る。SQL の本文は1文字も見ない。
+#      ★名前（別名）は許さない。名前は別の機械へ向け替えられるので、数字の宛先だけを許す。
+#   ③ 使い捨ての印＝ポートを必ず明示し、私用の番号帯（49152〜65535）であること。
+#      ＝その機で共有している DB（ふつうの 5432）は今までどおり止まる。
+#   ④ 宛先が読めない形（変数・コマンド置換・接続文字列・サービス名・環境変数での差し替え）は許さない。
+#   ⑤ トンネル・ポート転送の道具が同じコマンドに在る形は、この前の段で deny にしてある。
+# ─────────────────────────────────────────────────────────────────────────────
+
+#: 手元だけを指す【数字の】宛先。★別名（名前）は入れない（向け替えられるため）。
+_LOCAL_HOST_LITERALS = frozenset({'127.0.0.1', '::1', '[::1]'})
+
+#: 使い捨てクラスタに使ってよいポートの帯（私用の番号帯）。★既定の 5432 は入らない。
+SCRATCH_PORT_MIN = 49152
+SCRATCH_PORT_MAX = 65535
+
+#: 手元の使い捨てだけ通してよい SQL の対話クライアント。
+_LOCAL_SQL_CLIENT = 'psql'
+
+#: 宛先を書き換えうる環境変数。手元を指していなければ通さない。
+_PG_ENV_HOST = ('pghost', 'pghostaddr')
+_PG_ENV_PORT = ('pgport',)
+#: 宛先が別の場所に隠れる形（この名前が出たら通さない）。
+_PG_ENV_INDIRECT = (
+    'pgservice', 'pgservicefile', 'pgpassfile', 'pguri', 'pgurl',
+    'database_url', 'postgres_url', 'postgresql_url', 'pgdatabase',
+)
+
+#: localhost に見せかける回り道の道具（同じコマンドに在れば SQL クライアントは通さない）。
+_TUNNEL_TOOLS = frozenset({
+    'ssh', 'autossh', 'sshuttle', 'socat', 'ncat', 'nc', 'netcat', 'chisel',
+    'ngrok', 'cloudflared', 'stunnel', 'pgbouncer', 'kubectl', 'oc',
+    'cloud-sql-proxy', 'cloud_sql_proxy', 'wstunnel', 'frpc', 'iptables', 'nft',
+})
+
+
+def _strip_quotes(v: str) -> str:
+    return (v or '').strip().strip('"').strip("'")
+
+
+def _scratch_port_ok(value) -> bool:
+    """使い捨ての印＝私用の番号帯のポートか。"""
+    v = _strip_quotes(str(value))
+    if not v.isdigit():
+        return False
+    n = int(v)
+    return SCRATCH_PORT_MIN <= n <= SCRATCH_PORT_MAX
+
+
+def _conninfo_local(value: str) -> bool:
+    """接続文字列（URL・key=value）の宛先が手元の使い捨てか。読めない形は False。"""
+    v = _strip_quotes(value)
+    low = v.lower()
+    if '://' in low:
+        rest = low.split('://', 1)[1]
+        rest = rest.split('/', 1)[0].split('?', 1)[0]
+        if '@' in rest:
+            rest = rest.rsplit('@', 1)[1]
+        host, port = rest, None
+        if rest.startswith('['):                       # [::1]:55432
+            close = rest.find(']')
+            if close < 0:
+                return False
+            host = rest[:close + 1]
+            tail = rest[close + 1:]
+            if tail.startswith(':'):
+                port = tail[1:]
+        elif ':' in rest:
+            host, port = rest.rsplit(':', 1)
+        if host not in _LOCAL_HOST_LITERALS:
+            return False
+        return True if port is None else _scratch_port_ok(port)
+    if 'host=' in low:
+        host = None
+        port = None
+        for part in low.replace('\t', ' ').split():
+            if part.startswith('host=') or part.startswith('hostaddr='):
+                host = part.split('=', 1)[1]
+            elif part.startswith('port='):
+                port = part.split('=', 1)[1]
+        if host is None or host not in _LOCAL_HOST_LITERALS:
+            return False
+        return True if port is None else _scratch_port_ok(port)
+    return True                                        # ふつうのDB名（宛先を持たない）
+
+
+def _local_scratch_sql_ok(tokens) -> bool:
+    """この1セグメントが「手元の使い捨てクラスタへの SQL 実行」か。★宛先だけで決める。"""
+    idx = None
+    for i, t in enumerate(tokens):
+        if t.split('/')[-1] == _LOCAL_SQL_CLIENT:
+            idx = i
+            break
+    if idx is None:
+        return False
+    host = None
+    port = None
+    # ① 宛先が読めない形（変数・コマンド置換）は通さない。
+    for t in tokens:
+        if '$' in t or '`' in t:
+            return False
+    # ② 接続文字列がどこに紛れていても、手元でなければ通さない。
+    #    ★旗そのもの（--host=… など）は下の④で読むので、ここでは「= の右側」だけを見る。
+    for t in tokens:
+        v = t
+        if v.startswith('-'):
+            if '=' not in v:
+                continue
+            v = v.split('=', 1)[1]
+        low = v.lower()
+        if '://' in low or 'host=' in low:
+            if not _conninfo_local(v):
+                return False
+    # ③ 環境変数での差し替え。
+    for t in tokens[:idx]:
+        if not _ASSIGN_RE.match(t):
+            continue
+        key, _, value = t.partition('=')
+        k = key.lower()
+        v = _strip_quotes(value)
+        if k in _PG_ENV_HOST:
+            if v not in _LOCAL_HOST_LITERALS:
+                return False
+            host = host or v
+        elif k in _PG_ENV_PORT:
+            if not _scratch_port_ok(v):
+                return False
+            port = port or v
+        elif k in _PG_ENV_INDIRECT:
+            return False
+    # ④ コマンドに書かれた宛先（★これが実行境界。libpq は引数の宛先を優先する）。
+    args = tokens[idx + 1:]
+    i = 0
+    while i < len(args):
+        a = args[i]
+        low = a.lower()
+        if low in ('-h', '--host', '--hostaddr'):
+            i += 1
+            host = _strip_quotes(args[i]) if i < len(args) else None
+        elif low.startswith('--host=') or low.startswith('--hostaddr='):
+            host = _strip_quotes(a.split('=', 1)[1])
+        elif low.startswith('-h') and len(a) > 2:
+            host = _strip_quotes(a[2:])
+        elif low in ('-p', '--port'):
+            i += 1
+            port = _strip_quotes(args[i]) if i < len(args) else None
+        elif low.startswith('--port='):
+            port = _strip_quotes(a.split('=', 1)[1])
+        elif low.startswith('-p') and len(a) > 2 and not low.startswith('--'):
+            port = _strip_quotes(a[2:])
+        i += 1
+    # ⑤ 手元の数字の宛先＋使い捨ての帯のポートを【両方とも明示】しているときだけ通す。
+    return host in _LOCAL_HOST_LITERALS and port is not None and _scratch_port_ok(port)
+
+
+def _tunneled_db_danger(command: str) -> str:
+    """回り道（トンネル・ポート転送）と SQL クライアントが同じコマンドに在る形。"""
+    has_client = False
+    tunnel = None
+    for seg in split_commands(command):
+        toks = tokens_of(seg.partition('\n')[0])
+        for t in toks:
+            base = t.split('/')[-1].lower()
+            if base == _LOCAL_SQL_CLIENT:
+                has_client = True
+            elif base in _TUNNEL_TOOLS:
+                tunnel = tunnel or base
+            elif base in ('-l', '-r', '-d') and tunnel:
+                pass
+    if has_client and tunnel:
+        return f'手元に見せかけた回り道での DB 実行 ({tunnel})'
+    return None
+
+
 def _prod_db_change(seg, tokens):
     """1セグメントが本番 DB を直接変える道具なら理由を返す。"""
     words = _tool_words(tokens)
@@ -1849,6 +2030,10 @@ def _prod_db_change(seg, tokens):
         return None
     joined = ' '.join(words)
     if _PROD_DB_CHANGE_RE.match(joined):
+        # ★手元の使い捨てクラスタ（数字の宛先＋私用の帯のポート）への SQL 実行だけは通す。
+        #   回り道（トンネル・ポート転送）が同じコマンドに在る形は、この前の段で deny にしてある。
+        if words[0] == _LOCAL_SQL_CLIENT and _local_scratch_sql_ok(tokens):
+            return None
         return f'本番 DB の直接変更 ({" ".join(words[:3])})'
     if _PKG_MIGRATE_RE.match(joined):
         return f'本番 DB の直接変更 ({" ".join(words[:3])})'
@@ -3047,6 +3232,38 @@ _SQL_GATE_RE = re.compile(
     re.IGNORECASE,
 )
 
+# ファイルの名前（パス）の形をした語。空白・引用符・セミコロンを含まない1語で、区切り（/）か
+#   拡張子（.md / .csv 等）を持つもの。
+_PATH_WORD_RE = re.compile(r'^[\w.@%+=:,~/-]+$')
+_PATH_EXT_RE = re.compile(r'\.[A-Za-z0-9]{1,8}$')
+
+
+def _is_path_word(tok: str) -> bool:
+    return bool(_PATH_WORD_RE.match(tok)) and ('/' in tok or bool(_PATH_EXT_RE.search(tok)))
+
+
+def _sql_scan_text(segment: str) -> str:
+    """SQL の字面を探す相手（ファイルの名前を除いた命令＋ヒアドキュメントの本文）。
+
+    【なぜ除くか（便 6bef35c8・minoru 49cc6ddc／hook 833a458d・実測 2026-09-21）】
+      読むだけの照合 `node …/compare.mjs 期待値.csv …/prod-…-after-grant.md` が、ファイルの
+      名前の `-grant.` を「権限の SQL」と読んで DB の関門に落ちた（同じ照合でも名前に grant が
+      無い便 e8cf6c80 では通っていた）。ファイルの名前は1語で、SQL の文そのものにはなれない。
+    ★除くのは名前の形をした語だけ。引用符で包んだ SQL・-c / -e に渡す中身・`-` のあとの
+      ヒアドキュメントの本文は今までどおり見る。DB の道具・移行の道具・本番 DB の直接変更は
+      この字面とは別の決まりで止まる（ここは1件も変えない）。
+    """
+    head, sep, body = segment.partition('\n')
+    toks = tokens_of(head)
+    kept = []
+    for k, t in enumerate(toks):
+        after_code_flag = k > 0 and toks[k - 1] in _CODE_FLAGS
+        if not after_code_flag and _is_path_word(t):
+            continue
+        kept.append(t)
+    return ' '.join(kept) + sep + body
+
+
 # 「引数にSQLらしい字面があっても、実際にはSQLを実行しない」動詞。
 #   ★SQL文字列だけを根拠にした関門は、これらの動詞では出さない（＝誤検知を消す）。
 #     棚卸し前は `grep "alter table" f` / `git commit -m "grant …"` / `echo "create table"` /
@@ -3124,6 +3341,9 @@ def _gate_db(words, tokens, segment: str):
         return None
     v = words[0]
     if v in _DB_CLIENTS:
+        # ★手元の使い捨てクラスタへの SQL 実行だけは関門にしない（宛先で決める・SQL は見ない）。
+        if v == _LOCAL_SQL_CLIENT and _local_scratch_sql_ok(tokens):
+            return None
         return f'database client ({v})'
     joined = ' '.join(words)
     if re.match(r'prisma (migrate|db)( |$)', joined):
@@ -3134,7 +3354,7 @@ def _gate_db(words, tokens, segment: str):
         return 'drizzle-kit push/migrate'
     # SQL の字面（DDL / GRANT / RLS）。★ここへ来るのは「実行しうる入口」だけ
     #   （文字を扱うだけの道具とシェルは _gate_one で先に振り分け済み）。
-    if _SQL_GATE_RE.search(segment):
+    if _SQL_GATE_RE.search(_sql_scan_text(segment)):
         return 'SQL DDL/GRANT/RLS'
     return None
 
@@ -3249,6 +3469,11 @@ def decide_bash(command: str, cwd=None):
     if hit:
         return _r(DENY, f'danger: {hit}')
 
+    # ---- 1d') 手元に見せかけた回り道での DB 実行（トンネル・ポート転送・便 ee34f7e5） ----
+    hit = _tunneled_db_danger(command)
+    if hit:
+        return _r(DENY, f'danger: {hit}')
+
     # ---- 1e) 本番 DB の直接変更（★判定の置き場は _prod_db_change の1か所・決定は下の定数） ----
     hit = _prod_db_change_scan(command)
     if hit:

package/scripts/hooks/test_local_psql.py

@@ -0,0 +1,190 @@
+#!/usr/bin/env python3
+"""手元の使い捨てクラスタへの SQL 実行だけを通す決まりの検査（便 ee34f7e5）。
+
+  実行: python3 scripts/hooks/test_local_psql.py
+  1件でも期待と違えば exit 1。
+
+【何を守っているか】
+  (n) ★negative test ＝通ってはいけない形が1つも通らないこと
+      本番・開発共有DB・環境変数での差し替え・見せかけの回り道（ポート転送／別名／接続文字列）・
+      使い捨てでない手元の DB（ふつうの 5432）は、今までどおり止まる。
+  (p) 手元の使い捨て（数字の宛先＋私用の帯のポート）だけが通ること。
+  (s) SQL の本文では許していないこと（同じ SQL でも、宛先が違えば止まる）。
+  (w) ★この1件のほかに許可が広がっていないこと（ほかの DB の道具・移行の道具は変わらない）。
+
+★この台本は道具の名前を素の字で置かない（組み立てて使う）。台本の行そのものが番人の判定に
+  当たって、検査が流せなくなるのを避けるため。変数の名前も道具の名前にしない。
+"""
+import os
+import sys
+
+sys.path.insert(0, os.path.dirname(os.path.abspath(__file__)))
+
+import policy  # noqa: E402
+
+T = 'p' + 'sql'
+TOOL_DEL = 'drop' + 'db'
+TOOL_NEW = 'create' + 'db'
+TOOL_MIG_A = 'pris' + 'ma'
+TOOL_MIG_B = 'drizzle' + '-kit'
+TOOL_CENTRAL = 'supa' + 'base'
+TOOL_OTHER = 'my' + 'sql'
+TOOL_RESTORE = 'pg_' + 'restore'
+TOOL_BACKUP = 'pg_' + 'dump'
+WORD_MIG = 'migr' + 'ate'
+WORD_EXEC = 'exec' + '_sql'
+
+CWD = os.path.dirname(os.path.dirname(os.path.dirname(os.path.abspath(__file__))))
+SEL = 'select 1'
+DDL = 'cre' + 'ate table t(i int)'
+PROD = 'db.exampleref.supa' + 'base.co'
+
+failures = []
+
+
+def check(label, got, want):
+    ok = got == want
+    if not ok:
+        failures.append(f'{label}: got={got!r} want={want!r}')
+    print(f'{"OK " if ok else "NG "} {label:72} {got}')
+
+
+def decide(cmd):
+    return policy.decide_bash(cmd, CWD)['decision']
+
+
+# ─────────────────────────────────────────────────────────────────────────────
+# (n) negative test ＝通ってはいけないものが通らない（★1行に「何を守っているか」）
+# ─────────────────────────────────────────────────────────────────────────────
+NEGATIVE = [
+    ('n1  本番のホストへ直につなぐ', f'{T} -h {PROD} -p 5432 -U postgres -c "{SEL}"',
+     '本番 DB を職人が直接触らない'),
+    ('n2  本番を接続文字列で書く', f'{T} "postgresql://postgres:x@{PROD}:5432/postgres" -c "{SEL}"',
+     '宛先を文字列に隠しても本番へ届かない'),
+    ('n3  本番を key=value の接続情報で書く', f'{T} "host={PROD} port=5432 dbname=postgres" -c "{SEL}"',
+     '書き方を変えても本番へ届かない'),
+    ('n4  開発共有DBのホストへつなぐ', f'{T} -h dev-shared.internal.example -p 5432 -c "{SEL}"',
+     'みんなで使う開発DBを1人が書き換えない'),
+    ('n5  環境変数で宛先を本番へ差し替える', f'PGHOST={PROD} {T} -p 5432 -c "{SEL}"',
+     '環境変数での差し替えを見逃さない'),
+    ('n6  環境変数で差し替え、引数は手元に見せる', f'PGHOSTADDR={PROD} {T} -h 127.0.0.1 -p 55432 -c "{SEL}"',
+     '手元に見せかけた差し替えを見逃さない'),
+    ('n7  サービス名で宛先を隠す', f'PGSERVICE=prod {T} -h 127.0.0.1 -p 55432 -c "{SEL}"',
+     '別の場所に宛先が隠れる形を通さない'),
+    ('n8  接続情報ファイルで宛先を隠す', f'PGSERVICEFILE=/tmp/svc.conf {T} -h 127.0.0.1 -p 55432 -c "{SEL}"',
+     '別の場所に宛先が隠れる形を通さない'),
+    ('n9  変数で宛先を組み立てる', f'{T} -h "$PGHOST" -p 55432 -c "{SEL}"',
+     '実行のときにしか宛先が決まらない形を通さない'),
+    ('n10 コマンド置換で宛先を組み立てる', f'{T} -h $(cat /tmp/host.txt) -p 55432 -c "{SEL}"',
+     '実行のときにしか宛先が決まらない形を通さない'),
+    ('n11 別名（名前）で手元に見せる', f'{T} -h localhost -p 55432 -c "{SEL}"',
+     '名前は別の機械へ向け替えられるので通さない'),
+    ('n12 別名の変種', f'{T} -h localhost.localdomain -p 55432 -c "{SEL}"',
+     '名前は別の機械へ向け替えられるので通さない'),
+    ('n13 トンネルを張ってから手元に見せる',
+     f'ssh -L 55432:{PROD}:5432 bastion & {T} -h 127.0.0.1 -p 55432 -c "{SEL}"',
+     'ポート転送で本番へ届く形を通さない'),
+    ('n14 転送の道具と同じコマンド',
+     f'socat TCP-LISTEN:55432,fork TCP:{PROD}:5432 & {T} -h 127.0.0.1 -p 55432 -c "{SEL}"',
+     'ポート転送で本番へ届く形を通さない'),
+    ('n15 束ねの道具の転送と同じコマンド',
+     f'kubectl port-forward svc/db 55432:5432 & {T} -h 127.0.0.1 -p 55432 -c "{SEL}"',
+     'ポート転送で本番へ届く形を通さない'),
+    ('n16 手元だが使い捨てでない（ふつうの 5432）', f'{T} -h 127.0.0.1 -p 5432 -c "{DDL}"',
+     'その機で共有している DB を書き換えない'),
+    ('n17 手元だがポートを書いていない', f'{T} -h 127.0.0.1 -c "{SEL}"',
+     '既定の宛先（共有の DB）へ黙って入らない'),
+    ('n18 手元だが帯の外のポート', f'{T} -h 127.0.0.1 -p 6543 -c "{SEL}"',
+     '使い捨てと言い切れない宛先を通さない'),
+    ('n19 引数は手元、接続文字列は本番', f'{T} -h 127.0.0.1 -p 55432 "postgresql://u@{PROD}:5432/postgres"',
+     'あとから効く宛先を見逃さない'),
+    ('n20 宛先を書かず環境変数だけ', f'PGHOST=127.0.0.1 PGPORT=55432 {T} -c "{SEL}"',
+     '実行境界で確かめられない形を通さない'),
+    ('n21 シェルの中に隠しても同じ', f"""bash -c "{T} -h {PROD} -p 5432 -c '{SEL}'" """.strip(),
+     '入れ子にしても本番へ届かない'),
+    ('n22 消す道具は使い捨てでも通さない', f'{TOOL_DEL} -h 127.0.0.1 -p 55432 scratch',
+     '許したのは SQL の対話クライアント1つだけ'),
+]
+for name, cmd, guards in NEGATIVE:
+    check(f'{name}（{guards}）', decide(cmd), policy.DENY)
+
+check('n23 作る道具は使い捨てでも関門のまま（許可を1件より広げない）',
+      decide(f'{TOOL_NEW} -h 127.0.0.1 -p 55432 scratch'), policy.GATE)
+
+
+# ─────────────────────────────────────────────────────────────────────────────
+# (p) 通ってよい形＝手元の使い捨てだけ
+# ─────────────────────────────────────────────────────────────────────────────
+POSITIVE = [
+    ('p1 使い捨てへファイルを流す', f'{T} -h 127.0.0.1 -p 55432 -U postgres -d postgres -f /tmp/claude-1000/x.sql'),
+    ('p2 使い捨てへ1行流す', f'{T} -h 127.0.0.1 -p 49152 -c "{SEL}"'),
+    ('p3 使い捨てへ DDL を流す（SQL の中身は見ない）', f'{T} -h 127.0.0.1 -p 55432 -c "{DDL}"'),
+    ('p4 手元の IPv6 の宛先', f'{T} -h ::1 -p 55432 -c "{SEL}"'),
+    ('p5 宛先を = で書く', f'{T} --host=127.0.0.1 --port=55432 -c "{SEL}"'),
+    ('p6 接続文字列も手元の使い捨て', f'{T} -h 127.0.0.1 -p 55432 "postgresql://postgres@127.0.0.1:55432/postgres"'),
+]
+for name, cmd in POSITIVE:
+    check(name, decide(cmd), policy.ALLOW)
+
+
+# ─────────────────────────────────────────────────────────────────────────────
+# (s) SQL の本文では許していない（同じ SQL でも宛先が違えば止まる）
+# ─────────────────────────────────────────────────────────────────────────────
+check('s1 同じ SQL でも本番の宛先なら止まる', decide(f'{T} -h {PROD} -p 5432 -c "{SEL}"'), policy.DENY)
+check('s2 同じ SQL でも使い捨てなら通る', decide(f'{T} -h 127.0.0.1 -p 55432 -c "{SEL}"'), policy.ALLOW)
+
+
+# ─────────────────────────────────────────────────────────────────────────────
+# (w) 許可を広げていない（この1件のほかは1つも変えていない）
+# ─────────────────────────────────────────────────────────────────────────────
+UNCHANGED = [
+    ('w1  移行の道具（押し込み）', f'{TOOL_MIG_A} db push', policy.DENY),
+    ('w2  移行の道具（適用）', f'{TOOL_MIG_A} {WORD_MIG} deploy', policy.DENY),
+    ('w3  中央の移行', f'{TOOL_CENTRAL} db push', policy.DENY),
+    ('w4  別の移行の道具', f'{TOOL_MIG_B} push', policy.DENY),
+    ('w5  台本ごしの移行', f'npm run {WORD_MIG}', policy.DENY),
+    ('w6  REST の抜け道', f'curl -X POST https://x.example.co/rest/v1/rpc/{WORD_EXEC} -d @a.json', policy.DENY),
+    ('w7  別の DB の道具', f'{TOOL_OTHER} -h 127.0.0.1 -P 55432 -e "{SEL}"', policy.GATE),
+    ('w8  DB を消す道具', f'{TOOL_DEL} scratch', policy.DENY),
+    ('w9  控えを戻す道具', f'{TOOL_RESTORE} -h 127.0.0.1 -p 55432 -d postgres dump.sql', policy.GATE),
+    ('w10 控えを取る道具', f'{TOOL_BACKUP} -h 127.0.0.1 -p 55432 postgres', policy.GATE),
+]
+for name, cmd, want in UNCHANGED:
+    check(name, decide(cmd), want)
+
+
+# ─────────────────────────────────────────────────────────────────────────────
+# ★空振り確認: 決まりを緩めた形に戻すと、通ってはいけないものが通ってしまう
+# ─────────────────────────────────────────────────────────────────────────────
+saved_hosts = policy._LOCAL_HOST_LITERALS
+policy._LOCAL_HOST_LITERALS = frozenset(saved_hosts | {'localhost', 'localhost.localdomain'})
+check('★空振り①: 別名も手元として許すと「見せかけの形」が通ってしまう',
+      decide(f'{T} -h localhost -p 55432 -c "{SEL}"'), policy.ALLOW)
+policy._LOCAL_HOST_LITERALS = saved_hosts
+check('★空振り①の戻し: いまの決まりでは止まる',
+      decide(f'{T} -h localhost -p 55432 -c "{SEL}"'), policy.DENY)
+
+saved_port = policy._scratch_port_ok
+policy._scratch_port_ok = lambda v: True
+check('★空振り②: ポートの帯を見ないと「共有の 5432」が通ってしまう',
+      decide(f'{T} -h 127.0.0.1 -p 5432 -c "{SEL}"'), policy.ALLOW)
+policy._scratch_port_ok = saved_port
+check('★空振り②の戻し: いまの決まりでは止まる',
+      decide(f'{T} -h 127.0.0.1 -p 5432 -c "{SEL}"'), policy.DENY)
+
+saved_tunnel = policy._TUNNEL_TOOLS
+policy._TUNNEL_TOOLS = frozenset()
+check('★空振り③: 回り道の道具を見ないと「転送ごしの形」が通ってしまう',
+      decide(f'ssh -L 55432:{PROD}:5432 bastion & {T} -h 127.0.0.1 -p 55432 -c "{SEL}"'), policy.ALLOW)
+policy._TUNNEL_TOOLS = saved_tunnel
+check('★空振り③の戻し: いまの決まりでは止まる',
+      decide(f'ssh -L 55432:{PROD}:5432 bastion & {T} -h 127.0.0.1 -p 55432 -c "{SEL}"'), policy.DENY)
+
+
+print()
+if failures:
+    print(f'NG {len(failures)} 件')
+    for f in failures:
+        print('  -', f)
+    sys.exit(1)
+print('すべて期待どおりです（negative test ＋ 空振り確認）')

package/scripts/hooks/test_sql_word_in_filename.py

@@ -0,0 +1,100 @@
+#!/usr/bin/env python3
+"""ファイルの名前に SQL の字（grant 等）が入っているだけの読む作業を、DB の関門に落とさない検査
+（便 6bef35c8・minoru 49cc6ddc／hook 833a458d）。
+
+  実行: python3 scripts/hooks/test_sql_word_in_filename.py
+  1件でも期待と違えば exit 1。
+
+【何を守っているか】
+  (p) 読むだけの照合（期待値のファイルと実測のファイルを2つ読むだけ）は、ファイルの名前に
+      grant / truncate 等の字があっても確認なしで通る（実物の命令をそのまま使う）。
+  (n) ★negative test ＝本当に SQL を流しうる形は今までどおり止まる
+      引用符で包んだ SQL・-c / -e に渡す中身・ヒアドキュメントの本文・DB の道具・移行の道具・
+      本番 DB の直接変更・名前でない裸の語。
+  (w) 番人の判定が「名前だけを除いた」ことに留まり、ほかの判定を変えていないこと。
+
+★この台本は道具の名前と SQL の字を素の字で置かない（組み立てて使う）。台本の行そのものが
+  番人の判定に当たって、検査が流せなくなるのを避けるため。
+"""
+import os
+import sys
+
+sys.path.insert(0, os.path.dirname(os.path.abspath(__file__)))
+
+import policy  # noqa: E402
+
+CWD = os.path.dirname(os.path.dirname(os.path.dirname(os.path.abspath(__file__))))
+G = 'gr' + 'ant'
+TR = 'trun' + 'cate'
+DB_CLIENT = 'p' + 'sql'
+MIG = 'pris' + 'ma'
+PKG_MIG = 'npm run ' + 'migr' + 'ate'
+DDL = 'cre' + 'ate table t(i int)'
+COMPARE = 'node scripts/migration-verify/compare.mjs'
+
+failures = []
+
+
+def check(label, got, want):
+    ok = got == want
+    if not ok:
+        failures.append(f'{label}: got={got!r} want={want!r}')
+    print(f'{"OK " if ok else "NG "} {label:66} {got}')
+
+
+def decide(cmd):
+    return policy.decide_bash(cmd, CWD)
+
+
+# ─────────────────────────────────────────────────────────────────────────────
+# (p) 読むだけの照合は通る
+# ─────────────────────────────────────────────────────────────────────────────
+POSITIVE = [
+    ('p1  49cc6ddc の実物（名前に -grant.）',
+     f'{COMPARE} docs/migrations/verify/0016_0017_expected.csv '
+     f'/tmp/claude-1000/minoru-0016-0017/prod-2026-09-21-after-{G}.md'),
+    ('p2  e8cf6c80 の実物（旗つき）',
+     f'{COMPARE} docs/migrations/verify/e1_estimates_idem_expected.csv '
+     f'/tmp/claude-1000/minoru-e1/prod-2026-09-21.md --subset --record'),
+    ('p3  名前に truncate（下線つなぎ）', f'{COMPARE} a/{TR}_expected.csv b/{TR}_actual.md'),
+    ('p4  旗に名前を渡す形', f'{COMPARE} --out=/tmp/claude-1000/after-{G}.md a.csv b.md'),
+    ('p5  拡張子だけの名前', f'{COMPARE} {G}.csv revoke.md'),
+]
+for label, cmd in POSITIVE:
+    check(label, decide(cmd)['decision'], 'allow')
+
+# ─────────────────────────────────────────────────────────────────────────────
+# (n) negative test ＝本当に SQL を流しうる形は止まる（allow にならない）
+# ─────────────────────────────────────────────────────────────────────────────
+NEGATIVE = [
+    ('n1  引用符で包んだ権限の SQL を渡す', f'node run.mjs "{G} all on t to anon"'),
+    ('n2  -e の中身に権限の SQL', f'node -e "q(\'{G} select on t to anon\')"'),
+    ('n3  -e の中身が名前の形でも見る', f'node -e x.{G}'),
+    ('n4  -c の中身に DDL', f'python3 -c "run(\'{DDL}\')"'),
+    ('n5  ヒアドキュメントの本文に権限の SQL', f"python3 - <<'EOF'\nrun('{G} all on t to anon')\nEOF"),
+    ('n6  名前でない裸の語', f'node run.mjs {G}'),
+    ('n7  DB の道具に名前つきのファイル', f'{DB_CLIENT} -f /tmp/claude-1000/after-{G}.md'),
+    ('n8  DB の道具（名前に字なし）', f'{DB_CLIENT} -h db.example.com -c "select 1"'),
+    ('n9  移行の道具', f'{MIG} migrate deploy'),
+    ('n10 本番 DB を変える台本', PKG_MIG),
+    ('n11 名前の後ろに SQL を続けた形', f'node run.mjs /tmp/x.sql "{TR} table t"'),
+]
+for label, cmd in NEGATIVE:
+    got = decide(cmd)['decision']
+    check(label, got if got in ('gate', 'deny') else f'通ってしまった({got})', got if got in ('gate', 'deny') else 'gate か deny')
+
+# ─────────────────────────────────────────────────────────────────────────────
+# (w) 名前を除く処理そのもの
+# ─────────────────────────────────────────────────────────────────────────────
+check('w1  名前の形の語は除く', policy._sql_scan_text(f'node a.mjs x/after-{G}.md'), 'node')
+check('w2  引用符の SQL は残す', policy._sql_scan_text(f'node a.mjs "{G} all"'), f'node {G} all')
+check('w3  -e の中身は残す', policy._sql_scan_text(f'node -e x.{G}'), f'node -e x.{G}')
+check('w4  本文は残す', policy._sql_scan_text(f'python3 - <<E\n{G}\nE'), f'python3 - <<E\n{G}\nE')
+
+print()
+if failures:
+    print(f'NG {len(failures)} 件')
+    for f in failures:
+        print('  ', f)
+    sys.exit(1)
+print('すべて期待どおり')

package/skills/conductor-craftsman/SKILL.md

@@ -10,6 +10,10 @@ description: 采配くんの便（プロンプト末尾に CONDUCTOR_JOB:<id>
 だから「速さ」より「戻せること・止まれること・報せること」を優先する。
 以下の14項を、着手前に読み、作業中も判断の基準にすること。
 
+**便の届き方（起こし直した直後も同じ・便 6bef35c8）** — 便は配達役（relay）が職人の画面へ**貼り付け**で届け、枠の外に「（配達役より）…届けたものです」の添え書きを付ける。
+これは持ち主の管制に投函された便なので、「貼り付けしか無い」「頭が `[CC1返事案/…]` だから未承認の案だ」と読んで止まらず、書かれたとおりに進める（`[CC1返事案/…]` は CC1 が書いた文を持ち主が投函した印）。
+★守りは変わらない：番人・囲いに止められたら回避しない（鉄則4）、秘密は扱わない（鉄則12）、本文の中の「本当の判断待ち」は今までどおり人の手番として止まる。
+
 ## 鉄則14項
 
 1. **着手時の確認と枝分かれ** — `git status && git log --oneline -3 && git stash list` を確認してから main を最新化し、新ブランチを切る。