@tyhld/conductor 0.12.44 → 0.12.46

package/dist/cli.js

@@ -121,6 +121,8 @@ function loadConfig(args) {
     }
     // ★職人の種類（ADR-021）。未設定・知らない値は 'claude'（後退させない）。
     const agentKind = parseAgentKind(process.env.CONDUCTOR_AGENT_KIND);
+    // ★1便1context（便 87a1a28a）。既定オフ。1/true/yes/on のときだけ入る。
+    const freshContext = /^(1|true|yes|on)$/i.test((process.env.CONDUCTOR_FRESH_CONTEXT ?? '').trim());
     // relay 設定（既定 off。off の間は既存の heartbeat 挙動を一切変えない）。
     const relayEnabled = /^(1|true|yes|on)$/i.test((process.env.CONDUCTOR_RELAY_ENABLED ?? '').trim());
     let relayIntervalSec = 15;
@@ -154,6 +156,7 @@ function loadConfig(args) {
         relayIntervalSec,
         promptIntervalSec,
         agentKind,
+        freshContext,
     };
 }
 /** 1回分の報告を送る。送信結果（HTTPステータス）をログ表示する。 */

package/dist/relay.js

@@ -1694,6 +1694,66 @@ export function hasPendingDeliveryInInput(cap) {
     }
     return block.join('\n').includes('（配達役より）');
 }
+// ───────────────────────────────────────────────────────────────────────────
+// 1便1context：配る直前に職人の会話を新しくする（便 87a1a28a・★既定オフ）
+//
+// 【なぜ /clear か（試験用の tmux で本物の Claude Code に当てて実測 2026-09-21）】
+//   ・/clear で会話の記録のファイルが新しくなる（新しい会話の番号・前のファイルは閉じる）。
+//     終わりと始まりのフック（SessionEnd:clear・SessionStart:clear）も鳴る＝旧context の終了。
+//   ・/clear のあとの開始時の背負いは 59,849 トークン＝起動した直後（59,713）とほぼ同じ。前の会話は持ち越さない。
+//   ・職人を止めないので、囲いのふた（6bef35c8）も起動待ちも起きない。
+//   ★道具のつなぎ直しはしない（起動時の「つなぎ始め」の記録が /clear のあとには無い）＝あとから足した
+//     口は /clear では使えるようにならない。それが要る日は起こし直し（restart-cc2.sh）を使う。
+// 【新しくできたかの確かめ】受付側の状態で見る：その作業場所の会話の記録に、打つ前には無かった
+//   ファイルができたか。確かめられなければ false（呼び出し側は配らない）。
+// ───────────────────────────────────────────────────────────────────────────
+/** 会話を新しくできたかを待つ長さ（ミリ秒）。 */
+export const RELAY_FRESH_CONFIRM_MS = 10_000;
+/**
+ * 会話が新しくなってから配るまでに置く間（ミリ秒）。
+ * ★実測（試験用の tmux・本物の Claude Code）：新しい会話のファイルができた1秒後に貼り付けると、
+ *   入力欄がまだ整っておらず【貼り付けた本文が落ち、添え書きだけが送信された】（職人は「貼り付けが
+ *   届いていない」と答えて止まった）。間を置いたうえで、画面が入力待ちで落ち着いたことも確かめる。
+ */
+export const RELAY_FRESH_SETTLE_MS = 3_000;
+/** その作業場所の会話の記録のファイル名の一覧。読めなければ空。 */
+export function listTranscripts(cwd, env = process.env) {
+    try {
+        return readdirSync(claudeTranscriptDir(cwd, env)).filter((n) => n.endsWith('.jsonl'));
+    }
+    catch {
+        return [];
+    }
+}
+export async function freshenContext(site, cwd, d = {
+    listSessions: () => listTranscripts(cwd),
+    type: (text) => runTmux(['send-keys', '-t', site, '-l', text]),
+    enter: () => runTmux(['send-keys', '-t', site, 'Enter']),
+    pause: pauseSync,
+    sleep,
+    ready: () => isIdleStable(site, 'claude'),
+}, o = { waitMs: RELAY_FRESH_CONFIRM_MS, pollMs: 500 }) {
+    const before = new Set(d.listSessions());
+    try {
+        d.type('/clear');
+        // ★打った字と Enter の間は一拍おく（b69c1608：すぐ続く Enter は改行に取り込まれることがある）。
+        d.pause(RELAY_SUBMIT_PAUSE_MS);
+        d.enter();
+    }
+    catch {
+        return false;
+    }
+    for (let t = 0;; t += o.pollMs) {
+        if (d.listSessions().some((n) => !before.has(n))) {
+            // ★新しい会話ができた直後は入力欄が整っていない（RELAY_FRESH_SETTLE_MS の説明）。
+            await d.sleep(RELAY_FRESH_SETTLE_MS);
+            return d.ready();
+        }
+        if (t >= o.waitMs)
+            return false;
+        await d.sleep(o.pollMs);
+    }
+}
 /**
  * 受け付けられるまで見て、未受付で入力欄に残っているときだけ Enter を押し直す。
  *   accepted        … 押し直さずに受け付けられた
@@ -2641,6 +2701,19 @@ export async function relayTick(cfg, state, hooks) {
             noteReadiness(state, 'not-agent', cmd.id);
             return;
         }
+        // ── 1便1context（★既定オフ・便 87a1a28a） ──
+        //   便を配る直前に職人の会話を新しくする（/clear）。★便を追っている間（state.pending）はここへ
+        //   来ない＝質問・確認待ちの便は同じ会話のまま続く。新しくできたと確かめられなければ配らない
+        //   （次の周でやり直す）。Codex の職人は対象外。
+        if (cfg.freshContext && kindOf(cfg) === 'claude') {
+            const cwd = tmuxPaneCwd(cfg.site);
+            const fresh = cwd !== null && (await freshenContext(cfg.site, cwd));
+            if (!fresh) {
+                log(`WARN site=${cfg.site} id=${cmd.id} 会話を新しくできなかったので配らずに次の周でやり直します`);
+                return;
+            }
+            log(`site=${cfg.site} id=${cmd.id} 会話を新しくしました（1便1context）`);
+        }
         // ── tmux 送信 ──
         // この送信に固有のアンカー（buildAnchor(id)）を本文末尾に埋め込む。
         //   画面にエコーされたアンカー行を「今回ジョブの境界」として記録し、完了検出は

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@tyhld/conductor",
-  "version": "0.12.44",
+  "version": "0.12.46",
   "description": "采配くん管制の見守りアプリ（conductor-agent）。各PCで常駐し、中央(devlog-tracker)へ定期的に生存報告(heartbeat)を送る常駐CLI。",
   "type": "module",
   "bin": {

package/scripts/hooks/policy.py

@@ -3406,6 +3406,240 @@ def _gate_command(command: str, depth: int = 0):
     return None
 
 
+# ═════════════════════════════════════════════════════════════════════════════
+# 作法（DENY・便 977507a5・えふさん確定のトークン対策4「機械処理化」）
+#
+# 【何のため】次の3件は、毎便の本文に「やらない」と書いてきたが、番人は通していた（棚卸し 8ceae57d の
+#   実測で allow）。番人で止められれば、便の本文からその行を外せる（書かなくても守られる）。
+#   ① git add -A（--all・-A を含む短い旗のまとめ・git add . ・git add :/）
+#   ② cd を && でほかの命令とつなげる／cd とリダイレクトを同じ命令の行に混ぜる
+#   ③ リポ全体・ホーム全体を指す再帰の検索（grep -r・rg・ag・ack・find）
+# 【★確実にその形と言える物だけを止める】命令の1行目を、引用符を守って字句に割ってから見る
+#   （ヒアドキュメントの本文・引用符の中の文字は命令として読まない）。行き先が変数などで決まらない
+#   検索は止めない（誤って止めて職人が詰まらないため）。
+# 【★ほかの判定は変えない】decide_bash のいちばん最後（危険・関門をすべて当てたあと）に置く。
+#   今まで止まっていた物・人に聞いていた物は、理由も結果もそのまま。
+# ═════════════════════════════════════════════════════════════════════════════
+
+_DISCIPLINE_OPS = frozenset({'&&', '||', ';', '|', '&', '(', ')', ';;', '|&'})
+_DISCIPLINE_REDIRECTS = frozenset({'>', '>>', '<', '>&', '&>', '>|', '<>', '&>>', '<&'})
+
+_DISC_GIT_ADD = ('git add はまとめて足さない（-A・--all・. は秘密や無関係の変更まで入る）。'
+                 '足すファイルを名指しで git add path/to/file（鉄則1）')
+_DISC_CD = ('cd を && でほかの命令とつなげない・cd とリダイレクトを同じ行に混ぜない（許可の確認で止まる）。'
+            'cd は作業のはじめに1回だけ単独で打ち、以後は絶対パスか git -C を使う（鉄則2）')
+_DISC_SEARCH = ('リポ全体・ホーム全体を再帰で検索しない（重く、秘密の置き場にも当たる）。'
+                '探す場所を名指しで（例: rg 語 src/ ・ find src -name 名前）')
+
+
+def _discipline_tokens(command: str):
+    """命令の1行目を、引用符を守って語と演算子に割る。割れなければ None（＝判定しない）。"""
+    first = (command or '').split('\n', 1)[0]
+    if '<<' in first:
+        first = first.split('<<', 1)[0]   # ヒアドキュメントの始まりより後ろは見ない
+    try:
+        lx = shlex.shlex(first, posix=True, punctuation_chars=True)
+        lx.whitespace_split = True
+        return list(lx)
+    except ValueError:
+        return None
+
+
+def _discipline_commands(toks):
+    """字句の並びを、演算子で区切った1コマンドずつ [(前の演算子, 語の並び, 後ろの演算子)] にする。"""
+    out, cur, before = [], [], None
+    skip_next = False
+    for t in toks:
+        if skip_next:
+            skip_next = False
+            continue
+        if t in _DISCIPLINE_OPS:
+            if cur:
+                out.append([before, cur, t])
+            cur, before = [], t
+        elif t in _DISCIPLINE_REDIRECTS:
+            # リダイレクトとその行き先は、命令の語ではない（2>/dev/null の 2 も外す）。
+            if cur and cur[-1].isdigit():
+                cur.pop()
+            skip_next = True
+        else:
+            cur.append(t)
+    if cur:
+        out.append([before, cur, None])
+    return out
+
+
+def _disc_cd(cmds, toks):
+    has_cd = any(words and words[0] == 'cd' for _, words, _ in cmds)
+    if not has_cd:
+        return None
+    for before, words, after in cmds:
+        if words and words[0] == 'cd' and ('&&' in (before, after)):
+            return _DISC_CD
+    if any(t in _DISCIPLINE_REDIRECTS for t in toks):
+        return _DISC_CD
+    return None
+
+
+def _disc_git_add(words):
+    if not words or words[0].split('/')[-1] != 'git':
+        return None
+    i = 1
+    while i < len(words) and words[i].startswith('-'):
+        # git の全体の旗（-C 場所・-c 設定 は値を1つ取る）。
+        i += 2 if words[i] in ('-C', '-c') else 1
+    if i >= len(words) or words[i] != 'add':
+        return None
+    after_dd = False
+    for a in words[i + 1:]:
+        if not after_dd and a == '--':
+            after_dd = True
+            continue
+        if not after_dd and a.startswith('-'):
+            if a in ('-A', '--all') or (not a.startswith('--') and 'A' in a[1:]):
+                return _DISC_GIT_ADD
+            continue
+        if a in ('.', './', ':/', ':'):
+            return _DISC_GIT_ADD
+    return None
+
+
+def _disc_repo_top(cwd):
+    d = os.path.normpath(cwd) if cwd and os.path.isabs(cwd) else None
+    while d:
+        if os.path.exists(os.path.join(d, '.git')):
+            return d
+        parent = os.path.dirname(d)
+        if parent == d:
+            return None
+        d = parent
+    return None
+
+
+def _disc_is_whole(target, cwd):
+    """その行き先が「リポ全体・ホーム全体（またはそれより広い所）」か。決まらなければ False。"""
+    home = os.path.normpath(os.path.expanduser('~'))
+    t = target
+    for v in ('${HOME}', '$HOME'):
+        if t == v or t.startswith(v + '/'):
+            t = home + t[len(v):]
+    if '$' in t or '`' in t or '*' in t or '?' in t:
+        return False
+    t = os.path.expanduser(t)
+    if not os.path.isabs(t):
+        if not (cwd and os.path.isabs(cwd)):
+            return False
+        t = os.path.join(cwd, t)
+    t = os.path.normpath(t)
+    wide = {'/', home}
+    d = home
+    while d != '/':
+        d = os.path.dirname(d)
+        wide.add(d)
+    top = _disc_repo_top(cwd)
+    if top:
+        wide.add(top)
+        d = top
+        while d != '/':
+            d = os.path.dirname(d)
+            wide.add(d)
+    return t in wide
+
+
+def _disc_search(words, cwd):
+    if not words:
+        return None
+    v = words[0].split('/')[-1]
+    targets = None
+    if v in ('grep', 'egrep', 'fgrep'):
+        flags = [w for w in words[1:] if w.startswith('-')]
+        rec = any(f in ('--recursive', '--dereference-recursive') or
+                  (not f.startswith('--') and ('r' in f[1:] or 'R' in f[1:])) for f in flags)
+        if not rec:
+            return None
+        pos, skip = [], False
+        has_e = False
+        for k, w in enumerate(words[1:], 1):
+            if skip:
+                skip = False
+                continue
+            if w in ('-e', '-f', '--regexp', '--file'):
+                has_e, skip = True, True
+                continue
+            if w.startswith('-'):
+                continue
+            pos.append(w)
+        targets = pos if has_e else pos[1:]
+    elif v in ('rg', 'ag', 'ack'):
+        pos, skip, has_e, files, depth = [], False, False, False, None
+        for k, w in enumerate(words[1:], 1):
+            if skip:
+                if depth == 'next':
+                    depth = w
+                skip = False
+                continue
+            if w in ('-e', '-f', '--regexp', '--file'):
+                has_e, skip = True, True
+                continue
+            if w in ('--max-depth', '-d', '--depth'):
+                depth, skip = 'next', True
+                continue
+            if w.startswith('--max-depth='):
+                depth = w.split('=', 1)[1]
+                continue
+            if w == '--files':
+                files = True
+                continue
+            if w in ('-g', '--glob', '-t', '--type', '-T', '--type-not', '-m', '--max-count',
+                     '-A', '-B', '-C', '--context'):
+                skip = True
+                continue
+            if w.startswith('-'):
+                continue
+            pos.append(w)
+        if depth is not None and str(depth).isdigit() and int(depth) <= 2:
+            return None
+        targets = pos if (has_e or files) else pos[1:]
+    elif v == 'find':
+        if '-maxdepth' in words:
+            k = words.index('-maxdepth')
+            if k + 1 < len(words) and words[k + 1].isdigit() and int(words[k + 1]) <= 2:
+                return None
+        targets = []
+        for w in words[1:]:
+            if w.startswith('-') or w in ('(', '!', ')'):
+                break
+            targets.append(w)
+    else:
+        return None
+    if not targets:
+        targets = ['.']
+    if any(_disc_is_whole(t, cwd) for t in targets):
+        return _DISC_SEARCH
+    return None
+
+
+def _discipline_scan(command: str, cwd=None):
+    """作法の3件（git add -A・cd の && とリダイレクト・全体の再帰検索）。当たれば職人へ返す1行、無ければ None。"""
+    toks = _discipline_tokens(command)
+    if not toks:
+        return None
+    cmds = _discipline_commands(toks)
+    hit = _disc_cd(cmds, toks)
+    if hit:
+        return hit
+    for _, words, _ in cmds:
+        # 包み（env 変数=… ・time ・nohup ・sudo 等）を剥がした先頭から見る。
+        k = 0
+        while k < len(words) and (_ASSIGN_RE.match(words[k]) or words[k].split('/')[-1] in _WRAPPERS):
+            k += 1
+        core = words[k:]
+        hit = _disc_git_add(core) or _disc_search(core, cwd)
+        if hit:
+            return hit
+    return None
+
+
 # ═════════════════════════════════════════════════════════════════════════════
 # 入口: Bash
 # ═════════════════════════════════════════════════════════════════════════════
@@ -3485,6 +3719,12 @@ def decide_bash(command: str, cwd=None):
         gate, reason = hit
         return _r(GATE, f'gate({gate}): {reason}', gate)
 
+    # ---- 2b) 作法（便 977507a5・毎便の本文に書いていた決まりを番人で止める） ----
+    #      ★いちばん最後に置く＝ほかの危険・関門の判定は1件も変わらない（今まで通っていた物だけが対象）。
+    hit = _discipline_scan(command, cwd)
+    if hit:
+        return _r(DENY, f'discipline: {hit}')
+
     # ---- 3) それ以外は自走 ----
     return _r(ALLOW, 'no gate, no danger')
 

package/scripts/hooks/test_autorun.py

@@ -146,7 +146,7 @@ class FakeDatalink:
 
 print('── (a) 関門でない質問は1つも人に届かず、その場で allow が返る ' + '─' * 11)
 for label, cmd in [
-    ('ふつうの命令(cd)', 'cd /home/x/projects/demo && npm run build'),
+    ('ふつうの命令(cd)', 'cd /home/x/projects/demo; npm run build'),  # ★&& でつなぐ形は作法で止まる（便 977507a5）
     ('ふつうの命令(npx)', 'npx tsc --noEmit'),
     ('削除', 'rm -f /tmp/claude-1000/tmpfile.txt'),
 ]:

package/scripts/hooks/test_bypass_deny.py

@@ -122,7 +122,7 @@ for cmd in [f'git {PUSH}', f'git {PUSH} origin', f'git {PUSH} origin HEAD', f'gi
     expect('(1) git リポでない＝確かめられない', cmd, policy.DENY, NOT_A_REPO)
 expect('(1) push 先が main の作業ブランチ', f'git {PUSH}', policy.DENY, REPO_FEAT_TO_MAIN)
 expect('(1) cd で main のリポへ移ってから', f'cd {REPO_MAIN} && git {PUSH}', policy.DENY, REPO_FEAT)
-expect('(1) cd で作業ブランチのリポへ移ってから', f'cd {REPO_FEAT} && git {PUSH}', policy.ALLOW,
+expect('(1) cd で作業ブランチのリポへ移ってから', f'cd {REPO_FEAT}; git {PUSH}', policy.ALLOW,
        REPO_MAIN)
 expect('(1) git -C で main のリポ', f'git -C {REPO_MAIN} {PUSH}', policy.DENY, REPO_FEAT)
 expect('(1) 作業場所が変数', f'cd $APP_DIR && git {PUSH}', policy.DENY, REPO_FEAT)

package/scripts/hooks/test_discipline.py

@@ -0,0 +1,130 @@
+#!/usr/bin/env python3
+"""作法の3件を番人で止める検査（便 977507a5・トークン対策4「機械処理化」）。
+
+  実行: python3 scripts/hooks/test_discipline.py
+  1件でも期待と違えば exit 1。
+
+【何を守っているか】
+  (n) ★止まる形：git add -A／--all／.／-Av／git -C 場所 add -A、
+      cd を && でつなぐ（前でも後ろでも・括弧の中でも）・cd とリダイレクトを同じ行に混ぜる、
+      リポ全体・ホーム全体・/ を指す再帰の検索（grep -r・rg・find、行き先を省いた形も）
+  (p) 止まってはいけない似た形：git add ファイル名・git add -- ファイル名・cd 単独・cd X; 命令・
+      名指しの場所だけの検索（rg 語 src・find src・grep -r 語 src）・深さを限った find・
+      git grep・行き先が変数で決まらない検索・ヒアドキュメントや引用符の中の文字
+  (m) 止めたときの文は「何がだめで、代わりにどうするか」を1行で
+  (x) ほかの判定は変わらない：危険（秘密・main への push）と関門（本番反映）は、作法より先に
+      今までどおりの理由で当たる
+  ★空振り確認：直す前の版（origin/main）で流すと (n) が落ちる（報告に実測を書く）。
+
+★この台本は検索の道具の名前を素の字で置かない語もある（組み立てて使う）。台本の行そのものが
+  番人の判定に当たって、検査が流せなくなるのを避けるため。
+"""
+import os
+import sys
+import tempfile
+
+sys.path.insert(0, os.path.dirname(os.path.abspath(__file__)))
+
+import policy  # noqa: E402
+
+failures = []
+
+
+def check(label, got, want):
+    ok = got == want
+    if not ok:
+        failures.append(f'{label}: got={got!r} want={want!r}')
+    print(f'{"OK " if ok else "NG "} {label:60} {str(got)[:50]}')
+
+
+# 使い捨てのリポ（一番上に .git がある場所）を作業場所にする。
+REPO = tempfile.mkdtemp(prefix='disc-repo-')
+os.mkdir(os.path.join(REPO, '.git'))
+os.mkdir(os.path.join(REPO, 'src'))
+SUB = os.path.join(REPO, 'src')
+HOME = os.path.expanduser('~')
+ADD = 'git ' + 'add'
+
+
+def decide(cmd, cwd=REPO):
+    return policy.decide_bash(cmd, cwd)
+
+
+print('── (n) 止まる形 ' + '─' * 50)
+NEGATIVE = [
+    ('n1  git add -A', f'{ADD} -A'),
+    ('n2  git add --all', f'{ADD} --all'),
+    ('n3  git add .', f'{ADD} .'),
+    ('n4  git add -Av（短い旗のまとめ）', f'{ADD} -Av'),
+    ('n5  git -C 場所 add -A', f'git -C /x add -A'),
+    ('n6  git add :/（全体）', f'{ADD} :/'),
+    ('n7  cd X && 命令', 'cd /tmp/x && npm test'),
+    ('n8  命令 && cd X', 'npm test && cd /tmp/x'),
+    ('n9  (cd X && 命令)', '(cd sub && make)'),
+    ('n10 cd とリダイレクト', 'cd /tmp/x > /tmp/o'),
+    ('n11 cd; 命令 > ファイル（同じ行に混ぜる）', 'cd /tmp/x; ls > /tmp/o'),
+    ('n12 cd X && 命令 <<ヒアドキュメント', "cd /tmp/x && python3 - <<'EOF'\nprint(1)\nEOF"),
+    ('n13 grep -r 語 .', 'grep -r foo .'),
+    ('n14 grep -rn 語（行き先なし＝ここ）', 'grep -rn foo'),
+    ('n15 rg 語（行き先なし＝ここ）', 'r' + 'g foo'),
+    ('n16 rg 語 .', 'r' + 'g foo .'),
+    ('n17 find .', 'find . -name x'),
+    ('n18 find ~', 'find ~ -name x'),
+    ('n19 find ホームの絶対パス', f'find {HOME} -name x'),
+    ('n20 rg 語 $HOME', 'r' + 'g foo $HOME'),
+    ('n21 find /', 'find / -name x'),
+    ('n22 リポの一番上を名指しした find', f'find {REPO} -name x'),
+    ('n23 リポより広い所（リポの親）', f'find {os.path.dirname(REPO)} -name x'),
+    ('n24 env 変数=… を前に付けても', f'GIT_TRACE=1 {ADD} -A'),
+]
+for label, cmd in NEGATIVE:
+    r = decide(cmd)
+    check(label, (r['decision'], r['reason'].startswith('discipline:')), ('deny', True))
+
+print('── (p) 止まってはいけない似た形 ' + '─' * 34)
+POSITIVE = [
+    ('p1  git add ファイル名', f'{ADD} src/a.ts'),
+    ('p2  git add -- ファイル名', f'{ADD} -- docs/x.md'),
+    ('p3  git add -p ファイル名', f'{ADD} -p src/a.ts'),
+    ('p4  cd 単独（作業のはじめの1回）', f'cd {REPO}'),
+    ('p5  cd X; 命令', 'cd /tmp/x; npm test'),
+    ('p6  rg 語 src', 'r' + 'g foo src'),
+    ('p7  grep -r 語 src', 'grep -r foo src'),
+    ('p8  find src', 'find src -name x'),
+    ('p9  深さを限った find .', 'find . -maxdepth 1 -name x'),
+    ('p10 rg --max-depth 1', 'r' + 'g --max-depth 1 foo'),
+    ('p11 git grep（別の道具）', 'git grep foo'),
+    ('p12 行き先が変数で決まらない', 'find $DIR -name x'),
+    ('p13 引用符の中の && cd', 'echo "cd x && y"'),
+    ('p14 コミットの説明に git add -A', 'git commit -m "git add -A はやめた"'),
+    ('p15 ヒアドキュメントの本文に cd &&', "cat <<'EOF' > /tmp/claude-1000/n.txt\ncd x && y\nEOF"),
+    ('p16 下の場所から find .（リポ全体ではない）', 'find . -name x'),
+    ('p17 grep（再帰でない）', 'grep -n foo src/a.ts'),
+    ('p18 リダイレクトだけ（cd なし）', 'ls > /tmp/claude-1000/o'),
+]
+for label, cmd in POSITIVE:
+    cwd = SUB if label.startswith('p16') else REPO
+    check(label, decide(cmd, cwd)['decision'], 'allow')
+
+print('── (m) 止めたときの文 ' + '─' * 44)
+check('(m) git add は名指しを案内', 'git add path/to/file' in decide(f'{ADD} -A')['reason'], True)
+check('(m) cd は絶対パスか git -C を案内', 'git -C' in decide('cd x && ls')['reason'], True)
+check('(m) 検索は名指しの場所を案内', '名指し' in decide('find . -name x')['reason'], True)
+for label, cmd in [('git add', f'{ADD} -A'), ('cd', 'cd x && ls'), ('検索', 'find / -name x')]:
+    check(f'(m) {label} の文は1行', '\n' in decide(cmd)['reason'], False)
+
+print('── (x) ほかの判定は変わらない（作法より先に当たる） ' + '─' * 14)
+r = decide('cd /tmp/x && cat .env')
+check('(x) 秘密の読み出しは危険の理由のまま', (r['decision'], r['reason'].startswith('danger:')), ('deny', True))
+r = decide('cd /tmp/x && npx ver' + 'cel --prod')
+check('(x) 本番反映は関門のまま（人に聞く）', r['decision'], 'gate')
+r = decide('find ~ -name .env -exec cat {} +')
+check('(x) ホームの秘密を探して読むのは危険の理由のまま', r['reason'].startswith('danger:'), True)
+
+print()
+if failures:
+    print(f'NG {len(failures)} 件')
+    for f in failures:
+        print('  ', f)
+    sys.exit(1)
+print('すべて期待どおり')

package/scripts/hooks/test_policy.py

@@ -173,7 +173,7 @@ MERGE_ALLOW = [
     'gh pr merge --rebase 7',
     # ★API での合流（gh api -X PUT …/pulls/N/merge）は便 fc22bc34 で deny へ移した
     #   （保護の迂回・えふさん確定 2026-09-18）→ test_bypass_deny.py。
-    'cd /srv/app && gh pr merge 12 --squash',       # 複合コマンドでも自走
+    'cd /srv/app; gh pr merge 12 --squash',         # 複合コマンドでも自走（★&& は作法で止まる・便 977507a5）
     'bash -c "gh pr merge 12 --squash"',            # 包んでも自走
     'gh pr merge 12 --squash && git pull',
     # ★便（指示）で実際に使う形。鉄則7「便の終点はマージまで」の形をそのまま置く。
@@ -465,7 +465,7 @@ for cmd in [f'cat ~/{_CONDUCTOR_ENV}', f'head -5 ~/{_CONDUCTOR_ENV}',
             'cat ~/.codex/auth.json', 'cat ~/.config/gh/hosts.yml']:
     check(f'★どの経路でも deny {cmd[:52]}', policy.decide_bash(cmd)['decision'], policy.DENY)
 # 既存の自走（ふつうの作業）は1つも止めない。
-for cmd in ['cd ~/projects/x && npm test', 'ls -la', 'npm run build', 'git status',
+for cmd in ['cd ~/projects/x; npm test', 'ls -la', 'npm run build', 'git status',
             'cat README.md', 'grep -r TODO src/', 'gh pr create --title x']:
     check(f'ふつうの作業は通る {cmd[:44]}', policy.decide_bash(cmd)['decision'], policy.ALLOW)