@tyhld/conductor 0.12.65 → 0.12.67

package/dist/headless.js

@@ -129,35 +129,51 @@ export function loadAndClearLegacyActiveJob() {
     }
 }
 /**
- * 手元の記録が自分（この中継）のものか照合する。
- * site, machine, workDir, gitOrigin を比べる。
- * 1点でも不一致なら理由を返す。すべて一致なら null。
+ * 手元の記録が自分（この中継）のものか照合する（Fail Closed）。
+ * site, machine, workDir, gitOrigin の4項目を比べる。
+ *
+ * ★Fail Closed: 確認できない項目（記録に無い・今の値が取れない）は
+ *   不一致と同じ扱いにする。確認できた項目がすべて一致した場合だけ null を返す。
  *
  * ★commandId は「この便が中央でまだ sent か」の確認（ネットワーク照合）で別に行う。
  *   ここではローカルの所有者照合のみ。
  */
 export function validateActiveJobOwnership(rec, cfg) {
     const mismatches = [];
-    if (rec.site !== undefined && rec.site !== cfg.site) {
+    // site — 記録に無ければ確認不能
+    if (rec.site === undefined) {
+        mismatches.push('site: 記録に無い（確認不能）');
+    }
+    else if (rec.site !== cfg.site) {
         mismatches.push(`site: 記録=${rec.site} 自分=${cfg.site}`);
     }
-    if (rec.machine !== undefined && rec.machine !== cfg.machine) {
+    // machine — 記録に無ければ確認不能
+    if (rec.machine === undefined) {
+        mismatches.push('machine: 記録に無い（確認不能）');
+    }
+    else if (rec.machine !== cfg.machine) {
         mismatches.push(`machine: 記録=${rec.machine} 自分=${cfg.machine}`);
     }
-    if (rec.workDir !== undefined && rec.workDir !== cfg.workDir) {
+    // workDir — 記録に無ければ確認不能
+    if (rec.workDir === undefined) {
+        mismatches.push('workDir: 記録に無い（確認不能）');
+    }
+    else if (rec.workDir !== cfg.workDir) {
         mismatches.push(`workDir: 記録=${rec.workDir} 自分=${cfg.workDir}`);
     }
-    // ★git リポの同一性: パスが同じでも別のリポなら止める
-    if (rec.gitOrigin !== undefined) {
+    // gitOrigin — 記録に無い or 今の値が取れない → 確認不能
+    if (rec.gitOrigin === undefined) {
+        mismatches.push('gitOrigin: 記録に無い（確認不能）');
+    }
+    else {
         const currentOrigin = resolveGitOrigin(cfg.workDir);
-        if (currentOrigin !== null && rec.gitOrigin !== currentOrigin) {
+        if (currentOrigin === null) {
+            mismatches.push('gitOrigin: 今のリポの origin を取得できない（確認不能）');
+        }
+        else if (rec.gitOrigin !== currentOrigin) {
             mismatches.push(`gitOrigin: 記録=${rec.gitOrigin} 自分=${currentOrigin}`);
         }
     }
-    // 照合項目がそろわない古い記録は安全に拾えない。
-    if (rec.site === undefined || rec.machine === undefined || rec.workDir === undefined) {
-        mismatches.push('照合項目が不足（古い記録）');
-    }
     return mismatches.length > 0 ? mismatches.join(', ') : null;
 }
 // ─────────────────────────────────────────────────────────────────────────────
@@ -755,25 +771,38 @@ export async function restoreHeadlessOrphans(cfg, state) {
         log(`site=${cfg.site} 古い共有の active-job.json を消しました（現場ごとの記録を優先）`);
     }
     if (saved !== null) {
-        // ★4点照合: machine, site, commandId, workDir がすべて一致しなければ再開しない
+        // ★所有者照合（Fail Closed）: site, machine, workDir, gitOrigin がすべて確認でき一致しなければ再開しない
         const mismatch = validateActiveJobOwnership(saved, cfg);
         if (mismatch !== null) {
-            log(`WARN site=${cfg.site} id=${saved.commandId} 手元の記録は別の中継のもの → 再開しない（不一致: ${mismatch}）`);
+            log(`WARN site=${cfg.site} id=${saved.commandId} 手元の記録は自分のものと確認できない → 再開しない（${mismatch}）`);
             await sendCommandEvents(cfg, saved.commandId, [{
                     type: 'error',
-                    text: `手元の記録の4点照合で不一致 → 再開しない（${mismatch}）`.slice(0, EVENT_TEXT_MAX),
+                    text: `所有者照合で再開しない（${mismatch}）`.slice(0, EVENT_TEXT_MAX),
                     at: new Date().toISOString(),
                     attempt: saved.attempt,
                 }]);
             return;
         }
-        // ★便IDの照合: 中央でまだ sent のまま残っている便か確かめる
+        // ★便IDの照合（Fail Closed）: 中央でまだ sent のまま残っている便か確かめる。
+        // 確かめられなかった（null）ときも再開しない。ただし記録を戻して次の tick で再試行する。
         const centralStatus = await fetchCommandStatus(cfg, saved.commandId);
-        if (centralStatus !== null && centralStatus !== 'sent') {
-            log(`WARN site=${cfg.site} id=${saved.commandId} 手元の記録の便は中央で ${centralStatus} → 再開しない`);
+        if (centralStatus === null) {
+            log(`WARN site=${cfg.site} id=${saved.commandId} 中央の状態を確かめられない → 再開しない（次の tick で再試行）`);
+            // ★記録を戻す: 次の tick でもう一度確かめられるようにする（便を黙って捨てない）
+            saveActiveJob(cfg.site, saved);
+            await sendCommandEvents(cfg, saved.commandId, [{
+                    type: 'error',
+                    text: '中央の便の状態を確かめられない（ネットワーク障害等）→ 再開しない（次の tick で再試行）'.slice(0, EVENT_TEXT_MAX),
+                    at: new Date().toISOString(),
+                    attempt: saved.attempt,
+                }]);
+            return;
+        }
+        if (centralStatus !== 'sent') {
+            log(`WARN site=${cfg.site} id=${saved.commandId} 中央で ${centralStatus} → 再開しない`);
             await sendCommandEvents(cfg, saved.commandId, [{
                     type: 'error',
-                    text: `便IDの照合: 中央の状態が sent ではない（${centralStatus}）→ 再開しない`.slice(0, EVENT_TEXT_MAX),
+                    text: `中央の便の状態が sent ではない（${centralStatus}）→ 再開しない`.slice(0, EVENT_TEXT_MAX),
                     at: new Date().toISOString(),
                     attempt: saved.attempt,
                 }]);
@@ -813,10 +842,31 @@ export async function restoreHeadlessOrphans(cfg, state) {
         return;
     }
     // ── 経路2: 中央から孤児を拾う（PC 再起動後） ──
+    // ★Fail Closed: 中央の孤児には machine/workDir/gitOrigin が無い。
+    //   手元の記録（active-job ファイル）が無い場合、所有者照合で確認不能 → 再開しない。
+    //   手元の記録があれば経路1で拾われているので、経路2に来る時点で手元の記録は無い。
     const orphans = await fetchOrphans(cfg);
     const pick = selectOrphanToRestore(orphans, null);
     if (pick === null)
         return;
+    // ★所有者照合（Fail Closed）: 中央の孤児は所有者情報を持たないため確認不能。
+    //   手元の記録があれば経路1で処理済み。ここに来る＝手元の記録が無い＝確認不能。
+    const orphanAsRecord = {
+        commandId: pick.id, body: pick.body, sessionId: '', attempt: 0,
+        startedAt: 0, site: pick.site,
+        // machine, workDir, gitOrigin は中央に無い → undefined → 確認不能
+    };
+    const orphanMismatch = validateActiveJobOwnership(orphanAsRecord, cfg);
+    if (orphanMismatch !== null) {
+        log(`WARN site=${cfg.site} id=${pick.id} 中央の孤児は所有者を確認できない → 再開しない（${orphanMismatch}）`);
+        await sendCommandEvents(cfg, pick.id, [{
+                type: 'error',
+                text: `中央の孤児の所有者照合で再開しない（${orphanMismatch}）`.slice(0, EVENT_TEXT_MAX),
+                at: new Date().toISOString(),
+                attempt: 0,
+            }]);
+        return;
+    }
     const attempt = (state.attempts.get(pick.id) ?? 0) + 1;
     state.attempts.set(pick.id, attempt);
     if (attempt > HEADLESS_MAX_ATTEMPTS) {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@tyhld/conductor",
-  "version": "0.12.65",
+  "version": "0.12.67",
   "description": "采配くん管制の見守りアプリ（conductor-agent）。各PCで常駐し、中央(devlog-tracker)へ定期的に生存報告(heartbeat)を送る常駐CLI。",
   "type": "module",
   "bin": {

package/sales-template/settings.json

@@ -14,9 +14,10 @@
       "Bash(git push --force:*)",
       "Bash(git push -f:*)",
       "Bash(git push --force-with-lease:*)",
-      "Bash(git push * --force:*)",
-      "Bash(git push * -f:*)",
-      "Bash(git push * --force-with-lease:*)",
+      "Bash(git push * --force)",
+      "Bash(git push * -f)",
+      "Bash(git push * --force-with-lease)",
+      "Bash(git push * +*)",
       "Bash(rm -rf:*)",
       "Bash(rm -fr:*)",
       "Bash(rm -r -f:*)",
@@ -45,8 +46,8 @@
       "Bash(*TRUNCATE*)",
       "Bash(*rest/v1/rpc/exec_sql*)",
       "Bash(cat .env:*)",
-      "Bash(cat .env.*:*)",
-      "Bash(cat *.env:*)",
+      "Bash(cat .env.*)",
+      "Bash(cat *.env)",
       "Bash(printenv:*)",
       "Bash(echo $DATABASE_URL:*)",
       "Bash(echo $DIRECT_URL:*)",

package/scripts/update-guard.sh

@@ -999,6 +999,10 @@ RETIRED_DENY = frozenset({
     "Read(**/.config/gh/hosts.yml)", "Read(**/.npmrc)", "Read(**/*.env)", "Read(**/*.pem)",
     "Read(**/*.key)", "Read(**/credentials.json)", "Read(**/.credentials.json)",
     "Read(**/auth.json)", "Read(**/*login.json)",
+    # ★便 07ee11a2: * と :* を混ぜた書き方は Claude Code が * をリテラル扱いして何も止めない。
+    # 正しい形（* をワイルドカードとして展開）を正本に足したので、壊れた旧形を退役する。
+    "Bash(git push * --force:*)", "Bash(git push * -f:*)", "Bash(git push * --force-with-lease:*)",
+    "Bash(cat .env.*:*)", "Bash(cat *.env:*)",
 })
 retire_hit = [r for r in cur if r in RETIRED_DENY]
 if retire_hit: