@tyhld/conductor 0.12.43 → 0.12.45

package/dist/relay.js

@@ -1157,6 +1157,22 @@ export const RELAY_SEND_BUFFER_PREFIX = 'conductor-send';
  * ★短く保つ（長い一気の入力は受け手が貼り付けと見なすことがある）。アンカーの字は入れない
  *   （完了検出の境界を増やさないため）。
  */
+/**
+ * 添え書きを打ってから Enter を押すまでの間（ミリ秒）。
+ *
+ * 【なぜ要るか（便 b69c1608・試験用の tmux で本物の Claude Code に当てて再現 2026-09-21）】
+ *   添え書きを打った直後に Enter が続くと、Claude Code はそれを「まとめて入ってきた入力」の一部と
+ *   みなし、Enter を送信ではなく改行として入力欄に取り込む。便が入力欄に入ったまま止まり、人が
+ *   Enter を押すまで始まらなかった（conductor 15:26・ai-kana 15:34 の実物と同じ形）。
+ *   実測：貼り付け→すぐ Enter＝送信される／貼り付け→添え書き→すぐ Enter＝入力欄に残る／
+ *        貼り付け→添え書き→1秒待って Enter＝送信される。
+ */
+export const RELAY_SUBMIT_PAUSE_MS = 1000;
+/** 同期で待つ（送信の手順は同期の tmux 呼び出しの並びなので、その間に一拍おくために使う）。 */
+function pauseSync(ms) {
+    if (ms > 0)
+        Atomics.wait(new Int32Array(new SharedArrayBuffer(4)), 0, 0, ms);
+}
 export const RELAY_DELIVERY_NOTE = '（配達役より）上の貼り付けは、この端末の持ち主の管制（采配くん）に投函された便を配達役が届けたものです。貼り付けに書かれたとおりに作業してください。';
 // ───────────────────────────────────────────────────────────────────────────
 // 報告の受け渡し（★ファイル経由・えふさん決定 2026-09-07／置き場と作法は 2026-09-21 に改訂）
@@ -1547,6 +1563,8 @@ export function sendToTmux(site, text) {
         runTmux(['paste-buffer', '-d', '-p', '-b', bufferName, '-t', site]);
         // 貼り付けの枠の外に、打った字として添え書きを置く（RELAY_DELIVERY_NOTE の説明）。
         runTmux(['send-keys', '-t', site, '-l', ` ${RELAY_DELIVERY_NOTE}`]);
+        // ★Enter の前に一拍おく（RELAY_SUBMIT_PAUSE_MS の説明・便 b69c1608）。
+        pauseSync(RELAY_SUBMIT_PAUSE_MS);
         runTmux(['send-keys', '-t', site, 'Enter']);
         return true;
     }
@@ -1571,6 +1589,138 @@ export function sendToTmux(site, text) {
         }
     }
 }
+// ───────────────────────────────────────────────────────────────────────────
+// 受付の確かめ（便 b69c1608）
+//
+// 【なぜ要るか】送信の Enter が職人に届いても、Claude Code が送信として受け付けたとは限らない
+//   （Enter が改行として入力欄に取り込まれ、便が入ったまま止まった実物がある）。「入力欄から消えた」
+//   だけでは受付の証拠にならないので、★受付側の状態＝職人の会話の記録に、その便の指示ID
+//   （CONDUCTOR_JOB:<id>）が利用者の発言として書かれたかで確かめる。Claude Code は送信を受け付けた
+//   瞬間にその発言を記録へ書く（試験用の tmux で実測：送信された便は記録に残り、入力欄に残った便は
+//   記録に無かった）。
+// 【安全な再送】記録に無く、かつ入力欄にこちらの添え書きが残っているときだけ、Enter だけを押し直す。
+//   本文は貼り直さない＝入力欄の1件を送るだけなので、同じ便が二重に入ることは無い。受け付けられて
+//   いれば（記録に在れば）1度も押さない。押し直しは上限つき。
+// ★Codex の職人は記録の形が違うので対象外（今までどおり）。
+// ───────────────────────────────────────────────────────────────────────────
+/**
+ * 受付を待つ長さ（1回ぶん・ミリ秒）と、Enter を押し直す上限。
+ * ★上限を3にする理由：一度 Enter が改行として取り込まれた入力欄では、次の Enter 1回目は送信にならず、
+ *   2回目で送信される（試験用の tmux で本物の Claude Code に当てて実測）。1回ぶんの余裕を持たせる。
+ *   どの押し直しも「受付の記録が無く、入力欄にこちらの便が残っている」ときだけ行う。
+ */
+export const RELAY_SUBMIT_CONFIRM_MS = 10_000;
+export const RELAY_SUBMIT_MAX_RESEND = 3;
+/** tmux のペインがいま居る場所（職人の作業場所）。取れなければ null。 */
+export function tmuxPaneCwd(site) {
+    try {
+        const out = execFileSync('tmux', ['display-message', '-p', '-t', site, '#{pane_current_path}'], {
+            encoding: 'utf8',
+            stdio: ['ignore', 'pipe', 'ignore'],
+        }).trim();
+        return out || null;
+    }
+    catch {
+        return null;
+    }
+}
+/** Claude Code がその作業場所の会話の記録を置く場所（作業場所の英数字以外を - にした名前）。 */
+export function claudeTranscriptDir(cwd, env = process.env) {
+    const base = (env.CLAUDE_CONFIG_DIR ?? '').trim() || path.join(env.HOME ?? os.homedir(), '.claude');
+    return path.join(base, 'projects', cwd.replace(/[^A-Za-z0-9]/g, '-'));
+}
+/**
+ * その作業場所の会話の記録に、この便（CONDUCTOR_JOB:<id>）が利用者の発言として sinceMs 以降に
+ * 書かれたか。★中身は読み取って照合するだけで、どこにも写さない・記録しない。
+ */
+export function hasSubmittedRecord(cwd, commandId, sinceMs, env = process.env) {
+    const dir = claudeTranscriptDir(cwd, env);
+    const needle = `${SEND_ANCHOR_PREFIX}:${commandId}`;
+    let names;
+    try {
+        names = readdirSync(dir).filter((n) => n.endsWith('.jsonl'));
+    }
+    catch {
+        return false;
+    }
+    for (const n of names) {
+        const file = path.join(dir, n);
+        try {
+            if (statSync(file).mtimeMs < sinceMs - 5_000)
+                continue;
+            const text = readFileSync(file, 'utf8');
+            if (!text.includes(needle))
+                continue;
+            for (const line of text.split('\n')) {
+                if (!line.includes(needle))
+                    continue;
+                try {
+                    const o = JSON.parse(line);
+                    const at = o.timestamp ? Date.parse(o.timestamp) : NaN;
+                    if (o.type === 'user' && (Number.isNaN(at) || at >= sinceMs - 5_000))
+                        return true;
+                }
+                catch {
+                    // 壊れた行は飛ばす。
+                }
+            }
+        }
+        catch {
+            // 読めないファイルは飛ばす（受け付けたとは言えない）。
+        }
+    }
+    return false;
+}
+/**
+ * 入力欄（画面のいちばん下の ❯ から次の罫線まで）に、配達役の添え書きが残っているか。
+ * ★押し直してよいのは「こちらが入れた便が入力欄に残っている」ときだけ、を確かめるために使う。
+ */
+export function hasPendingDeliveryInInput(cap) {
+    const lines = cap.split('\n');
+    let start = -1;
+    for (let k = lines.length - 1; k >= 0; k--) {
+        if (/^\s*❯/.test(lines[k])) {
+            start = k;
+            break;
+        }
+    }
+    if (start < 0)
+        return false;
+    const block = [];
+    for (let k = start; k < lines.length; k++) {
+        if (k > start && /^─{10,}/.test(lines[k].trim()))
+            break;
+        block.push(lines[k]);
+    }
+    return block.join('\n').includes('（配達役より）');
+}
+/**
+ * 受け付けられるまで見て、未受付で入力欄に残っているときだけ Enter を押し直す。
+ *   accepted        … 押し直さずに受け付けられた
+ *   resent-accepted … 押し直して受け付けられた
+ *   unconfirmed     … 確かめられなかった（入力欄にも残っていない＝押し直す物が無い、または上限）
+ */
+export async function confirmSubmitted(d, o = {
+    waitMs: RELAY_SUBMIT_CONFIRM_MS,
+    pollMs: 1_000,
+    maxResend: RELAY_SUBMIT_MAX_RESEND,
+}) {
+    let resent = 0;
+    for (;;) {
+        for (let t = 0;; t += o.pollMs) {
+            if (d.accepted())
+                return { result: resent ? 'resent-accepted' : 'accepted', resent };
+            if (t >= o.waitMs)
+                break;
+            await d.sleep(o.pollMs);
+        }
+        if (resent >= o.maxResend || !d.pendingInInput() || d.accepted()) {
+            return { result: d.accepted() ? (resent ? 'resent-accepted' : 'accepted') : 'unconfirmed', resent };
+        }
+        d.pressEnter();
+        resent++;
+    }
+}
 /**
  * 二重チェックの「アイドル」判定。
  *   RELAY_SETTLE_MS あけて2回 capture し、両方で looksIdleFor が成立すれば idle とみなす。
@@ -2497,6 +2647,7 @@ export async function relayTick(cfg, state, hooks) {
         //   アンカーより下＝今回ジョブの出力だけを見る（churn・過去ジョブ DONE に強い）。
         const anchor = buildAnchor(cmd.id);
         const text = buildSendText(cmd.body, cfg.site, anchor, kindOf(cfg));
+        const sendStartedAt = Date.now();
         if (!sendToTmux(cfg.site, text)) {
             // 送信失敗（sendToTmux は内部で例外も握って false を返す）。status は queued のまま据え置く。
             // 失敗の理由（tmux の stderr）は sendToTmux が直前の行に出している。
@@ -2527,6 +2678,30 @@ export async function relayTick(cfg, state, hooks) {
         state.lastHeartbeatAt = null;
         noteReadiness(state, 'delivered', cmd.id);
         log(`site=${cfg.site} id=${cmd.id} 配達しました`);
+        // ★職人が本当に受け付けたかを、職人の会話の記録（指示ID）で確かめる。未受付のときだけ Enter を
+        //   押し直す（便 b69c1608）。★確かめの結果で配達済みの扱いは変えない（二重に配らない）。
+        if (kindOf(cfg) === 'claude') {
+            const cwd = tmuxPaneCwd(cfg.site);
+            if (cwd) {
+                const r = await confirmSubmitted({
+                    accepted: () => hasSubmittedRecord(cwd, cmd.id, sendStartedAt),
+                    pendingInInput: () => {
+                        const c = tmuxCapture(cfg.site);
+                        return c !== null && hasPendingDeliveryInInput(c);
+                    },
+                    pressEnter: () => {
+                        try {
+                            runTmux(['send-keys', '-t', cfg.site, 'Enter']);
+                        }
+                        catch {
+                            // 押せなくても次の確かめで分かる（受け付けられていなければ unconfirmed で残る）。
+                        }
+                    },
+                    sleep,
+                });
+                log(`site=${cfg.site} id=${cmd.id} 受付の確かめ: ${r.result}（押し直し ${r.resent} 回）`);
+            }
+        }
         // ★配達の直後に「配達済み(sent)」を管制へ書く。書けなければ次tick以降で書けるまでやり直す
         //   （markSentAtCentral）。★書けなくても再配達はしない。
         await markSentAtCentral(cfg, state);

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@tyhld/conductor",
-  "version": "0.12.43",
+  "version": "0.12.45",
   "description": "采配くん管制の見守りアプリ（conductor-agent）。各PCで常駐し、中央(devlog-tracker)へ定期的に生存報告(heartbeat)を送る常駐CLI。",
   "type": "module",
   "bin": {

package/scripts/hooks/policy.py

@@ -3406,6 +3406,240 @@ def _gate_command(command: str, depth: int = 0):
     return None
 
 
+# ═════════════════════════════════════════════════════════════════════════════
+# 作法（DENY・便 977507a5・えふさん確定のトークン対策4「機械処理化」）
+#
+# 【何のため】次の3件は、毎便の本文に「やらない」と書いてきたが、番人は通していた（棚卸し 8ceae57d の
+#   実測で allow）。番人で止められれば、便の本文からその行を外せる（書かなくても守られる）。
+#   ① git add -A（--all・-A を含む短い旗のまとめ・git add . ・git add :/）
+#   ② cd を && でほかの命令とつなげる／cd とリダイレクトを同じ命令の行に混ぜる
+#   ③ リポ全体・ホーム全体を指す再帰の検索（grep -r・rg・ag・ack・find）
+# 【★確実にその形と言える物だけを止める】命令の1行目を、引用符を守って字句に割ってから見る
+#   （ヒアドキュメントの本文・引用符の中の文字は命令として読まない）。行き先が変数などで決まらない
+#   検索は止めない（誤って止めて職人が詰まらないため）。
+# 【★ほかの判定は変えない】decide_bash のいちばん最後（危険・関門をすべて当てたあと）に置く。
+#   今まで止まっていた物・人に聞いていた物は、理由も結果もそのまま。
+# ═════════════════════════════════════════════════════════════════════════════
+
+_DISCIPLINE_OPS = frozenset({'&&', '||', ';', '|', '&', '(', ')', ';;', '|&'})
+_DISCIPLINE_REDIRECTS = frozenset({'>', '>>', '<', '>&', '&>', '>|', '<>', '&>>', '<&'})
+
+_DISC_GIT_ADD = ('git add はまとめて足さない（-A・--all・. は秘密や無関係の変更まで入る）。'
+                 '足すファイルを名指しで git add path/to/file（鉄則1）')
+_DISC_CD = ('cd を && でほかの命令とつなげない・cd とリダイレクトを同じ行に混ぜない（許可の確認で止まる）。'
+            'cd は作業のはじめに1回だけ単独で打ち、以後は絶対パスか git -C を使う（鉄則2）')
+_DISC_SEARCH = ('リポ全体・ホーム全体を再帰で検索しない（重く、秘密の置き場にも当たる）。'
+                '探す場所を名指しで（例: rg 語 src/ ・ find src -name 名前）')
+
+
+def _discipline_tokens(command: str):
+    """命令の1行目を、引用符を守って語と演算子に割る。割れなければ None（＝判定しない）。"""
+    first = (command or '').split('\n', 1)[0]
+    if '<<' in first:
+        first = first.split('<<', 1)[0]   # ヒアドキュメントの始まりより後ろは見ない
+    try:
+        lx = shlex.shlex(first, posix=True, punctuation_chars=True)
+        lx.whitespace_split = True
+        return list(lx)
+    except ValueError:
+        return None
+
+
+def _discipline_commands(toks):
+    """字句の並びを、演算子で区切った1コマンドずつ [(前の演算子, 語の並び, 後ろの演算子)] にする。"""
+    out, cur, before = [], [], None
+    skip_next = False
+    for t in toks:
+        if skip_next:
+            skip_next = False
+            continue
+        if t in _DISCIPLINE_OPS:
+            if cur:
+                out.append([before, cur, t])
+            cur, before = [], t
+        elif t in _DISCIPLINE_REDIRECTS:
+            # リダイレクトとその行き先は、命令の語ではない（2>/dev/null の 2 も外す）。
+            if cur and cur[-1].isdigit():
+                cur.pop()
+            skip_next = True
+        else:
+            cur.append(t)
+    if cur:
+        out.append([before, cur, None])
+    return out
+
+
+def _disc_cd(cmds, toks):
+    has_cd = any(words and words[0] == 'cd' for _, words, _ in cmds)
+    if not has_cd:
+        return None
+    for before, words, after in cmds:
+        if words and words[0] == 'cd' and ('&&' in (before, after)):
+            return _DISC_CD
+    if any(t in _DISCIPLINE_REDIRECTS for t in toks):
+        return _DISC_CD
+    return None
+
+
+def _disc_git_add(words):
+    if not words or words[0].split('/')[-1] != 'git':
+        return None
+    i = 1
+    while i < len(words) and words[i].startswith('-'):
+        # git の全体の旗（-C 場所・-c 設定 は値を1つ取る）。
+        i += 2 if words[i] in ('-C', '-c') else 1
+    if i >= len(words) or words[i] != 'add':
+        return None
+    after_dd = False
+    for a in words[i + 1:]:
+        if not after_dd and a == '--':
+            after_dd = True
+            continue
+        if not after_dd and a.startswith('-'):
+            if a in ('-A', '--all') or (not a.startswith('--') and 'A' in a[1:]):
+                return _DISC_GIT_ADD
+            continue
+        if a in ('.', './', ':/', ':'):
+            return _DISC_GIT_ADD
+    return None
+
+
+def _disc_repo_top(cwd):
+    d = os.path.normpath(cwd) if cwd and os.path.isabs(cwd) else None
+    while d:
+        if os.path.exists(os.path.join(d, '.git')):
+            return d
+        parent = os.path.dirname(d)
+        if parent == d:
+            return None
+        d = parent
+    return None
+
+
+def _disc_is_whole(target, cwd):
+    """その行き先が「リポ全体・ホーム全体（またはそれより広い所）」か。決まらなければ False。"""
+    home = os.path.normpath(os.path.expanduser('~'))
+    t = target
+    for v in ('${HOME}', '$HOME'):
+        if t == v or t.startswith(v + '/'):
+            t = home + t[len(v):]
+    if '$' in t or '`' in t or '*' in t or '?' in t:
+        return False
+    t = os.path.expanduser(t)
+    if not os.path.isabs(t):
+        if not (cwd and os.path.isabs(cwd)):
+            return False
+        t = os.path.join(cwd, t)
+    t = os.path.normpath(t)
+    wide = {'/', home}
+    d = home
+    while d != '/':
+        d = os.path.dirname(d)
+        wide.add(d)
+    top = _disc_repo_top(cwd)
+    if top:
+        wide.add(top)
+        d = top
+        while d != '/':
+            d = os.path.dirname(d)
+            wide.add(d)
+    return t in wide
+
+
+def _disc_search(words, cwd):
+    if not words:
+        return None
+    v = words[0].split('/')[-1]
+    targets = None
+    if v in ('grep', 'egrep', 'fgrep'):
+        flags = [w for w in words[1:] if w.startswith('-')]
+        rec = any(f in ('--recursive', '--dereference-recursive') or
+                  (not f.startswith('--') and ('r' in f[1:] or 'R' in f[1:])) for f in flags)
+        if not rec:
+            return None
+        pos, skip = [], False
+        has_e = False
+        for k, w in enumerate(words[1:], 1):
+            if skip:
+                skip = False
+                continue
+            if w in ('-e', '-f', '--regexp', '--file'):
+                has_e, skip = True, True
+                continue
+            if w.startswith('-'):
+                continue
+            pos.append(w)
+        targets = pos if has_e else pos[1:]
+    elif v in ('rg', 'ag', 'ack'):
+        pos, skip, has_e, files, depth = [], False, False, False, None
+        for k, w in enumerate(words[1:], 1):
+            if skip:
+                if depth == 'next':
+                    depth = w
+                skip = False
+                continue
+            if w in ('-e', '-f', '--regexp', '--file'):
+                has_e, skip = True, True
+                continue
+            if w in ('--max-depth', '-d', '--depth'):
+                depth, skip = 'next', True
+                continue
+            if w.startswith('--max-depth='):
+                depth = w.split('=', 1)[1]
+                continue
+            if w == '--files':
+                files = True
+                continue
+            if w in ('-g', '--glob', '-t', '--type', '-T', '--type-not', '-m', '--max-count',
+                     '-A', '-B', '-C', '--context'):
+                skip = True
+                continue
+            if w.startswith('-'):
+                continue
+            pos.append(w)
+        if depth is not None and str(depth).isdigit() and int(depth) <= 2:
+            return None
+        targets = pos if (has_e or files) else pos[1:]
+    elif v == 'find':
+        if '-maxdepth' in words:
+            k = words.index('-maxdepth')
+            if k + 1 < len(words) and words[k + 1].isdigit() and int(words[k + 1]) <= 2:
+                return None
+        targets = []
+        for w in words[1:]:
+            if w.startswith('-') or w in ('(', '!', ')'):
+                break
+            targets.append(w)
+    else:
+        return None
+    if not targets:
+        targets = ['.']
+    if any(_disc_is_whole(t, cwd) for t in targets):
+        return _DISC_SEARCH
+    return None
+
+
+def _discipline_scan(command: str, cwd=None):
+    """作法の3件（git add -A・cd の && とリダイレクト・全体の再帰検索）。当たれば職人へ返す1行、無ければ None。"""
+    toks = _discipline_tokens(command)
+    if not toks:
+        return None
+    cmds = _discipline_commands(toks)
+    hit = _disc_cd(cmds, toks)
+    if hit:
+        return hit
+    for _, words, _ in cmds:
+        # 包み（env 変数=… ・time ・nohup ・sudo 等）を剥がした先頭から見る。
+        k = 0
+        while k < len(words) and (_ASSIGN_RE.match(words[k]) or words[k].split('/')[-1] in _WRAPPERS):
+            k += 1
+        core = words[k:]
+        hit = _disc_git_add(core) or _disc_search(core, cwd)
+        if hit:
+            return hit
+    return None
+
+
 # ═════════════════════════════════════════════════════════════════════════════
 # 入口: Bash
 # ═════════════════════════════════════════════════════════════════════════════
@@ -3485,6 +3719,12 @@ def decide_bash(command: str, cwd=None):
         gate, reason = hit
         return _r(GATE, f'gate({gate}): {reason}', gate)
 
+    # ---- 2b) 作法（便 977507a5・毎便の本文に書いていた決まりを番人で止める） ----
+    #      ★いちばん最後に置く＝ほかの危険・関門の判定は1件も変わらない（今まで通っていた物だけが対象）。
+    hit = _discipline_scan(command, cwd)
+    if hit:
+        return _r(DENY, f'discipline: {hit}')
+
     # ---- 3) それ以外は自走 ----
     return _r(ALLOW, 'no gate, no danger')
 

package/scripts/hooks/test_autorun.py

@@ -146,7 +146,7 @@ class FakeDatalink:
 
 print('── (a) 関門でない質問は1つも人に届かず、その場で allow が返る ' + '─' * 11)
 for label, cmd in [
-    ('ふつうの命令(cd)', 'cd /home/x/projects/demo && npm run build'),
+    ('ふつうの命令(cd)', 'cd /home/x/projects/demo; npm run build'),  # ★&& でつなぐ形は作法で止まる（便 977507a5）
     ('ふつうの命令(npx)', 'npx tsc --noEmit'),
     ('削除', 'rm -f /tmp/claude-1000/tmpfile.txt'),
 ]:

package/scripts/hooks/test_bypass_deny.py

@@ -122,7 +122,7 @@ for cmd in [f'git {PUSH}', f'git {PUSH} origin', f'git {PUSH} origin HEAD', f'gi
     expect('(1) git リポでない＝確かめられない', cmd, policy.DENY, NOT_A_REPO)
 expect('(1) push 先が main の作業ブランチ', f'git {PUSH}', policy.DENY, REPO_FEAT_TO_MAIN)
 expect('(1) cd で main のリポへ移ってから', f'cd {REPO_MAIN} && git {PUSH}', policy.DENY, REPO_FEAT)
-expect('(1) cd で作業ブランチのリポへ移ってから', f'cd {REPO_FEAT} && git {PUSH}', policy.ALLOW,
+expect('(1) cd で作業ブランチのリポへ移ってから', f'cd {REPO_FEAT}; git {PUSH}', policy.ALLOW,
        REPO_MAIN)
 expect('(1) git -C で main のリポ', f'git -C {REPO_MAIN} {PUSH}', policy.DENY, REPO_FEAT)
 expect('(1) 作業場所が変数', f'cd $APP_DIR && git {PUSH}', policy.DENY, REPO_FEAT)

package/scripts/hooks/test_discipline.py

@@ -0,0 +1,130 @@
+#!/usr/bin/env python3
+"""作法の3件を番人で止める検査（便 977507a5・トークン対策4「機械処理化」）。
+
+  実行: python3 scripts/hooks/test_discipline.py
+  1件でも期待と違えば exit 1。
+
+【何を守っているか】
+  (n) ★止まる形：git add -A／--all／.／-Av／git -C 場所 add -A、
+      cd を && でつなぐ（前でも後ろでも・括弧の中でも）・cd とリダイレクトを同じ行に混ぜる、
+      リポ全体・ホーム全体・/ を指す再帰の検索（grep -r・rg・find、行き先を省いた形も）
+  (p) 止まってはいけない似た形：git add ファイル名・git add -- ファイル名・cd 単独・cd X; 命令・
+      名指しの場所だけの検索（rg 語 src・find src・grep -r 語 src）・深さを限った find・
+      git grep・行き先が変数で決まらない検索・ヒアドキュメントや引用符の中の文字
+  (m) 止めたときの文は「何がだめで、代わりにどうするか」を1行で
+  (x) ほかの判定は変わらない：危険（秘密・main への push）と関門（本番反映）は、作法より先に
+      今までどおりの理由で当たる
+  ★空振り確認：直す前の版（origin/main）で流すと (n) が落ちる（報告に実測を書く）。
+
+★この台本は検索の道具の名前を素の字で置かない語もある（組み立てて使う）。台本の行そのものが
+  番人の判定に当たって、検査が流せなくなるのを避けるため。
+"""
+import os
+import sys
+import tempfile
+
+sys.path.insert(0, os.path.dirname(os.path.abspath(__file__)))
+
+import policy  # noqa: E402
+
+failures = []
+
+
+def check(label, got, want):
+    ok = got == want
+    if not ok:
+        failures.append(f'{label}: got={got!r} want={want!r}')
+    print(f'{"OK " if ok else "NG "} {label:60} {str(got)[:50]}')
+
+
+# 使い捨てのリポ（一番上に .git がある場所）を作業場所にする。
+REPO = tempfile.mkdtemp(prefix='disc-repo-')
+os.mkdir(os.path.join(REPO, '.git'))
+os.mkdir(os.path.join(REPO, 'src'))
+SUB = os.path.join(REPO, 'src')
+HOME = os.path.expanduser('~')
+ADD = 'git ' + 'add'
+
+
+def decide(cmd, cwd=REPO):
+    return policy.decide_bash(cmd, cwd)
+
+
+print('── (n) 止まる形 ' + '─' * 50)
+NEGATIVE = [
+    ('n1  git add -A', f'{ADD} -A'),
+    ('n2  git add --all', f'{ADD} --all'),
+    ('n3  git add .', f'{ADD} .'),
+    ('n4  git add -Av（短い旗のまとめ）', f'{ADD} -Av'),
+    ('n5  git -C 場所 add -A', f'git -C /x add -A'),
+    ('n6  git add :/（全体）', f'{ADD} :/'),
+    ('n7  cd X && 命令', 'cd /tmp/x && npm test'),
+    ('n8  命令 && cd X', 'npm test && cd /tmp/x'),
+    ('n9  (cd X && 命令)', '(cd sub && make)'),
+    ('n10 cd とリダイレクト', 'cd /tmp/x > /tmp/o'),
+    ('n11 cd; 命令 > ファイル（同じ行に混ぜる）', 'cd /tmp/x; ls > /tmp/o'),
+    ('n12 cd X && 命令 <<ヒアドキュメント', "cd /tmp/x && python3 - <<'EOF'\nprint(1)\nEOF"),
+    ('n13 grep -r 語 .', 'grep -r foo .'),
+    ('n14 grep -rn 語（行き先なし＝ここ）', 'grep -rn foo'),
+    ('n15 rg 語（行き先なし＝ここ）', 'r' + 'g foo'),
+    ('n16 rg 語 .', 'r' + 'g foo .'),
+    ('n17 find .', 'find . -name x'),
+    ('n18 find ~', 'find ~ -name x'),
+    ('n19 find ホームの絶対パス', f'find {HOME} -name x'),
+    ('n20 rg 語 $HOME', 'r' + 'g foo $HOME'),
+    ('n21 find /', 'find / -name x'),
+    ('n22 リポの一番上を名指しした find', f'find {REPO} -name x'),
+    ('n23 リポより広い所（リポの親）', f'find {os.path.dirname(REPO)} -name x'),
+    ('n24 env 変数=… を前に付けても', f'GIT_TRACE=1 {ADD} -A'),
+]
+for label, cmd in NEGATIVE:
+    r = decide(cmd)
+    check(label, (r['decision'], r['reason'].startswith('discipline:')), ('deny', True))
+
+print('── (p) 止まってはいけない似た形 ' + '─' * 34)
+POSITIVE = [
+    ('p1  git add ファイル名', f'{ADD} src/a.ts'),
+    ('p2  git add -- ファイル名', f'{ADD} -- docs/x.md'),
+    ('p3  git add -p ファイル名', f'{ADD} -p src/a.ts'),
+    ('p4  cd 単独（作業のはじめの1回）', f'cd {REPO}'),
+    ('p5  cd X; 命令', 'cd /tmp/x; npm test'),
+    ('p6  rg 語 src', 'r' + 'g foo src'),
+    ('p7  grep -r 語 src', 'grep -r foo src'),
+    ('p8  find src', 'find src -name x'),
+    ('p9  深さを限った find .', 'find . -maxdepth 1 -name x'),
+    ('p10 rg --max-depth 1', 'r' + 'g --max-depth 1 foo'),
+    ('p11 git grep（別の道具）', 'git grep foo'),
+    ('p12 行き先が変数で決まらない', 'find $DIR -name x'),
+    ('p13 引用符の中の && cd', 'echo "cd x && y"'),
+    ('p14 コミットの説明に git add -A', 'git commit -m "git add -A はやめた"'),
+    ('p15 ヒアドキュメントの本文に cd &&', "cat <<'EOF' > /tmp/claude-1000/n.txt\ncd x && y\nEOF"),
+    ('p16 下の場所から find .（リポ全体ではない）', 'find . -name x'),
+    ('p17 grep（再帰でない）', 'grep -n foo src/a.ts'),
+    ('p18 リダイレクトだけ（cd なし）', 'ls > /tmp/claude-1000/o'),
+]
+for label, cmd in POSITIVE:
+    cwd = SUB if label.startswith('p16') else REPO
+    check(label, decide(cmd, cwd)['decision'], 'allow')
+
+print('── (m) 止めたときの文 ' + '─' * 44)
+check('(m) git add は名指しを案内', 'git add path/to/file' in decide(f'{ADD} -A')['reason'], True)
+check('(m) cd は絶対パスか git -C を案内', 'git -C' in decide('cd x && ls')['reason'], True)
+check('(m) 検索は名指しの場所を案内', '名指し' in decide('find . -name x')['reason'], True)
+for label, cmd in [('git add', f'{ADD} -A'), ('cd', 'cd x && ls'), ('検索', 'find / -name x')]:
+    check(f'(m) {label} の文は1行', '\n' in decide(cmd)['reason'], False)
+
+print('── (x) ほかの判定は変わらない（作法より先に当たる） ' + '─' * 14)
+r = decide('cd /tmp/x && cat .env')
+check('(x) 秘密の読み出しは危険の理由のまま', (r['decision'], r['reason'].startswith('danger:')), ('deny', True))
+r = decide('cd /tmp/x && npx ver' + 'cel --prod')
+check('(x) 本番反映は関門のまま（人に聞く）', r['decision'], 'gate')
+r = decide('find ~ -name .env -exec cat {} +')
+check('(x) ホームの秘密を探して読むのは危険の理由のまま', r['reason'].startswith('danger:'), True)
+
+print()
+if failures:
+    print(f'NG {len(failures)} 件')
+    for f in failures:
+        print('  ', f)
+    sys.exit(1)
+print('すべて期待どおり')

package/scripts/hooks/test_policy.py

@@ -173,7 +173,7 @@ MERGE_ALLOW = [
     'gh pr merge --rebase 7',
     # ★API での合流（gh api -X PUT …/pulls/N/merge）は便 fc22bc34 で deny へ移した
     #   （保護の迂回・えふさん確定 2026-09-18）→ test_bypass_deny.py。
-    'cd /srv/app && gh pr merge 12 --squash',       # 複合コマンドでも自走
+    'cd /srv/app; gh pr merge 12 --squash',         # 複合コマンドでも自走（★&& は作法で止まる・便 977507a5）
     'bash -c "gh pr merge 12 --squash"',            # 包んでも自走
     'gh pr merge 12 --squash && git pull',
     # ★便（指示）で実際に使う形。鉄則7「便の終点はマージまで」の形をそのまま置く。
@@ -465,7 +465,7 @@ for cmd in [f'cat ~/{_CONDUCTOR_ENV}', f'head -5 ~/{_CONDUCTOR_ENV}',
             'cat ~/.codex/auth.json', 'cat ~/.config/gh/hosts.yml']:
     check(f'★どの経路でも deny {cmd[:52]}', policy.decide_bash(cmd)['decision'], policy.DENY)
 # 既存の自走（ふつうの作業）は1つも止めない。
-for cmd in ['cd ~/projects/x && npm test', 'ls -la', 'npm run build', 'git status',
+for cmd in ['cd ~/projects/x; npm test', 'ls -la', 'npm run build', 'git status',
             'cat README.md', 'grep -r TODO src/', 'gh pr create --title x']:
     check(f'ふつうの作業は通る {cmd[:44]}', policy.decide_bash(cmd)['decision'], policy.ALLOW)