@tyhld/conductor 0.12.7 → 0.12.8

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@tyhld/conductor",
-  "version": "0.12.7",
+  "version": "0.12.8",
   "description": "采配くん管制の見守りアプリ（conductor-agent）。各PCで常駐し、中央(devlog-tracker)へ定期的に生存報告(heartbeat)を送る常駐CLI。",
   "type": "module",
   "bin": {
@@ -19,6 +19,8 @@
     "sales-template",
     "scripts/hooks",
     "!scripts/hooks/__pycache__",
+    "scripts/update-guard.sh",
+    "scripts/dist-source.sh",
     "scripts/codex",
     "!scripts/codex/__pycache__",
     "skills",

package/sales-template/setup.sh

@@ -571,7 +571,29 @@ mkdir -p "$CLAUDE_DIR"
 #   Notification を足しても【新規に設置したお客さまの機体には入らなかった】。
 #   下の ⑤-0 で見本と配る中身を機械照合し、外れていれば設置を止める＝足し忘れが起こせない。
 GUARD_HOME="$HOME/.tyhld/hooks"
-GUARD_SAMPLE="$SCRIPT_DIR/../scripts/hooks/settings.sample.json"
+
+# ─── ★配り元を決める（便 4061dd71） ─────────────────────────────────────────
+# 【なぜ要るか】この台本は「setup.sh から見て .. 」を配り元にしている。お客さまの機では
+#   それが公開済みの配布物なので正しい。ところが開発機でリポジトリの sales-template/setup.sh を
+#   打つと、配り元は★職人の作業ツリーになり、作りかけの番人がその機の全現場へ配られる。
+# 【どう直したか】呼び出し元が git の作業場所かどうかで分ける（dist-source.sh）。
+#   ・git の作業場所でない＝配布物そのもの（★お客さまの機はいつもこちら）。
+#     今までどおりそのまま使う。公開 npm への問い合わせもしない＝回線が無くても設置できる。
+#   ・git の作業場所＝職人の作業ツリー。公開済みの正規版（この機に入っている配布物で、版が
+#     公開 npm のいまの版と一致するもの）へ差し替える。確かめられなければ配らずに止まる。
+. "$SCRIPT_DIR/../scripts/dist-source.sh"
+if ! dist_source_for_setup "$(cd "$SCRIPT_DIR/.." && pwd)"; then
+  fail "配り元を確かめられません（${DIST_REASON}）。★作業ツリーからは配りません。
+  人の手番: npm install -g @tyhld/conductor --@tyhld:registry=https://registry.npmjs.org
+  そのうえで、入れた配布物の setup.sh を打ってください。"
+fi
+SETUP_DIST_ROOT="$DIST_ROOT"
+if [[ "$SETUP_DIST_ROOT" != "$(cd "$SCRIPT_DIR/.." && pwd)" ]]; then
+  echo "[setup] 配り元: $SETUP_DIST_ROOT（版 ${DIST_VERSION:-不明}＝公開 npm のいまの版）"
+  echo "[setup] ★この台本の置き場（作業ツリー）からは配りません。"
+fi
+
+GUARD_SAMPLE="$SETUP_DIST_ROOT/scripts/hooks/settings.sample.json"
 
 # --- 番人一式（正本1本）を固定パスへ配置 ---
 # ★配布元は「正本1本」だけ。以前は sales-template/ に複製を置いていたため、正本が更新されても
@@ -579,7 +601,7 @@ GUARD_SAMPLE="$SCRIPT_DIR/../scripts/hooks/settings.sample.json"
 #
 # 正本の在り処は「setup.sh から見て ../scripts/hooks」。npm 配布物でもリポジトリでも
 # 同じ相対位置になる（package.json の files に scripts/hooks を含めてある）。
-GUARD_SRC_DIR="$SCRIPT_DIR/../scripts/hooks"
+GUARD_SRC_DIR="$SETUP_DIST_ROOT/scripts/hooks"
 
 # ★配る番人一式（段2の3フック＋その依存）。scripts/update-guard.sh と同じ集合にする。
 #   1本でも欠けると差し替えた現場の番人が読めず止まる（勤務用コピーの考え方＝ADR-002）。
@@ -761,7 +783,7 @@ echo "[setup] 番人フック($registered_events)を $HOME_SETTINGS に登録し
 # --- Codex の職人にも番人を登録する（★ADR-022・Codex を使う機体だけ） -------
 # ★同じ処理を2か所に書かない: 稼働機の更新(update-guard.sh ①-e2)と同じスクリプトを呼ぶ。
 #   Codex を使っていない機体では中で何もしない（~/.codex を勝手に作らない）。
-CODEX_HOOK_INSTALL="$SCRIPT_DIR/../scripts/hooks/install-codex-hooks.sh"
+CODEX_HOOK_INSTALL="$SETUP_DIST_ROOT/scripts/hooks/install-codex-hooks.sh"
 if [[ -f "$CODEX_HOOK_INSTALL" ]]; then
   APPLY=1 GUARD_HOME="$GUARD_HOME" bash "$CODEX_HOOK_INSTALL" \
     || warn "Codex への番人登録に失敗しました（Claude 側の設置は完了しています）"
@@ -777,9 +799,9 @@ fi
 #   締め出す物の正本は @tyhld/conductor の src/proto-profile.ts（＝dist/proto-profile.js）1本で、
 #   deny も deniedDomains もそこから生成される。ここに一覧を写さない（写しを2か所に持たない＝
 #   片方に足してもう片方を忘れる事故を構造的に起こせなくする）。
-SETTINGS_SRC="$SCRIPT_DIR/settings.json"
+SETTINGS_SRC="$SETUP_DIST_ROOT/sales-template/settings.json"
 SETTINGS_DST="$CLAUDE_DIR/settings.json"
-PROTO_GEN="$SCRIPT_DIR/../dist/proto-profile.js"
+PROTO_GEN="$SETUP_DIST_ROOT/dist/proto-profile.js"
 if [[ "$PROFILE" == "proto" ]]; then
   [[ -f "$PROTO_GEN" ]] || fail "試作の型の正本が見つかりません: $PROTO_GEN
   配布物が壊れている可能性があります。次の1行で入れ直してください:
@@ -882,7 +904,7 @@ fi
 # ★番人と違い、これは安全境界ではなく作業規律なので、見つからないときは中断せず警告して進む
 #   （スキルが無くても番人は効いており、安全に穴は空かない）。
 CRAFTSMAN_SKILL_NAME="conductor-craftsman"
-CRAFTSMAN_SKILL_SRC="$SCRIPT_DIR/../skills/$CRAFTSMAN_SKILL_NAME"
+CRAFTSMAN_SKILL_SRC="$SETUP_DIST_ROOT/skills/$CRAFTSMAN_SKILL_NAME"
 CRAFTSMAN_SKILL_DST="$HOME/.claude/skills/$CRAFTSMAN_SKILL_NAME"
 
 if [[ -f "$CRAFTSMAN_SKILL_SRC/SKILL.md" ]]; then

package/scripts/dist-source.sh

@@ -0,0 +1,168 @@
+#!/usr/bin/env bash
+# shellcheck disable=SC2034
+# ★上の指示（SC2034＝使っていない変数）は、このファイル全体に効かせるため最初のコマンドより前に置く。
+#   この部品の「返り値」は DIST_ROOT / DIST_VERSION / DIST_PUBLISHED / DIST_REASON の4つで、
+#   読むのは呼び出し元（update-guard.sh / sales-template/setup.sh / systemd/guard-sync-install.sh）。
+#   このファイルの中では使い切らないので、指摘だけが出てしまう。
+#
+# dist-source.sh — 「全現場へ配ってよい中身は、どこにあるか」を決める1か所（★便 4061dd71）。
+#
+# 【なぜ要るか（実測 2026-09-16・開発履歴 6b405ae6）】
+#   1時間ごとの番人の自動同期（tyhld-guard-sync.timer）の本体が
+#     /home/fshim/projects/conductor/scripts/update-guard.sh
+#   ＝★conductor 職人の【作業ツリー】を指していた。職人が番人を直しかけのブランチに居るあいだに
+#   同期が走ると、作りかけの番人がその機の【全現場】へ配られる。当日は main で変更なしだったため
+#   無事だった（配った番人7本が公開版 0.12.5 と cmp で一致）。無事だったのは偶然である。
+#
+# 【えふさん確定（2026-09-16）】
+#   「① 番人の1時間自動同期 承認 29612ff1後に実施。ただし『公開済みの正規版』を唯一の配布元にする。
+#     作業treeから全現場へ配らない」
+#
+# 【この部品が決めること】★これだけ
+#   ・配ってよい中身の置き場（DIST_ROOT）＝この機に入っている @tyhld/conductor の配布物
+#   ・それが「公開済みの正規版」か（入っている版 == 公開 npm のいまの版）
+#   ・違う／確かめられないときは【配らない】と言い切ること
+#
+# 【この部品が決めないこと】
+#   ・番人の判定・禁止の中身・鉄則の中身（1文字も触らない）
+#   ・配った結果の記録と知らせ方（呼び出し側が便 29612ff1 の仕組みに載せる）
+#
+# 【使い方】
+#   . "$(dirname "$0")/dist-source.sh"
+#   if dist_source_resolve; then  …DIST_ROOT を配り元にしてよい…
+#   else                          …DIST_REASON を記録して配らない…
+#   fi
+#
+# 【試験用の入口】★安全境界ではない（環境変数を置ける人は cp も打てる）。
+#   CONDUCTOR_DIST_ROOT      … 配布物の置き場を名指しする（試験で偽の配布物を指すため）
+#   CONDUCTOR_DIST_PUBLISHED … 公開 npm への問い合わせの代わりに使う値（試験で網を切らないため）
+
+# ★取得先の宣言は install.sh / setup.sh の「registry-pin」正本と同じ形にする。
+#   （公開 npm 1本。手元の設定が何であってもここだけは公開 npm を見る＝便 9858450b）
+CONDUCTOR_PKG="${CONDUCTOR_PKG:-@tyhld/conductor}"
+CONDUCTOR_REGISTRY="${CONDUCTOR_REGISTRY:-https://registry.npmjs.org}"
+CONDUCTOR_REGISTRY_ARG="--@tyhld:registry=${CONDUCTOR_REGISTRY}"
+
+#: 解決の結果。呼び出し側はこの3つだけ見ればよい。
+DIST_ROOT=''       # 配ってよい中身の置き場（確かめられたときだけ入る）
+DIST_VERSION=''    # そこに入っている版
+DIST_PUBLISHED=''  # 公開 npm のいまの版
+DIST_REASON=''     # 配れないときの理由（1語・記録にそのまま載る）
+
+# この機に入っている配布物の置き場を探す。見つからなければ空。
+#   ★node の版が変わると /home/…/.nvm/versions/node/<版>/… の <版> が変わる。
+#     だから固定のパスを覚えない。いま PATH に居る conductor から辿る（版が変わっても付いていく）。
+dist_pkg_root() {
+  if [[ -n "${CONDUCTOR_DIST_ROOT:-}" ]]; then
+    printf '%s' "$CONDUCTOR_DIST_ROOT"
+    return 0
+  fi
+  local bin real root
+  # ★bash で動く書き方（command -v -a は zsh 専用。便 9858450b で踏んだ）。
+  bin="$(type -a -p conductor 2>/dev/null | head -n 1)"
+  if [[ -n "$bin" ]]; then
+    real="$(readlink -f "$bin" 2>/dev/null || printf '%s' "$bin")"
+    # <置き場>/dist/cli.js から2つ上がると配布物の根になる。
+    root="$(cd "$(dirname "$real")/.." 2>/dev/null && pwd)" || root=''
+    if [[ -n "$root" && -f "$root/package.json" ]]; then
+      printf '%s' "$root"
+      return 0
+    fi
+  fi
+  # 予備＝npm が言う全体の置き場から辿る。
+  local groot
+  groot="$(npm root -g 2>/dev/null)"
+  if [[ -n "$groot" && -f "$groot/$CONDUCTOR_PKG/package.json" ]]; then
+    printf '%s' "$groot/$CONDUCTOR_PKG"
+    return 0
+  fi
+}
+
+# 指定の置き場に入っている版（package.json）。読めなければ空。
+dist_installed_version() {
+  local pj="$1/package.json"
+  [[ -f "$pj" ]] || return 0
+  python3 -c 'import json,sys
+try:
+    print(json.load(open(sys.argv[1], encoding="utf-8")).get("version") or "")
+except Exception:
+    pass' "$pj" 2>/dev/null
+}
+
+# 公開 npm が「いま配っている版」（取れなければ空）。★固定の下限は使わない（便 9858450b）。
+dist_published_version() {
+  # ★検査用の入口。空文字を入れれば「問い合わせられなかった」を作れる（網を切らずに確かめる）。
+  if [[ -n "${CONDUCTOR_DIST_PUBLISHED+x}" ]]; then
+    printf '%s' "$CONDUCTOR_DIST_PUBLISHED"
+    return 0
+  fi
+  local v
+  v="$(npm view "$CONDUCTOR_PKG" version "$CONDUCTOR_REGISTRY_ARG" 2>/dev/null | tr -d '[:space:]')"
+  if [[ "$v" =~ ^[0-9]+\.[0-9]+\.[0-9]+ ]]; then
+    printf '%s' "${BASH_REMATCH[0]}"
+  fi
+}
+
+# 配ってよい中身の置き場を決める。
+#   返り 0 … DIST_ROOT を配り元にしてよい
+#   返り 1 … 配ってはいけない（DIST_REASON に理由）
+# 理由の語（記録にそのまま載る）
+#   not-installed  … 配布物がこの機に入っていない
+#   no-version     … 入っている配布物の版が読めない
+#   unverifiable   … 公開 npm に問い合わせられない（回線・取得先の不調）
+#   version-drift  … 入っている版が公開 npm のいまの版と違う
+dist_source_resolve() {
+  DIST_ROOT=''; DIST_VERSION=''; DIST_PUBLISHED=''; DIST_REASON=''
+  local root
+  root="$(dist_pkg_root)"
+  if [[ -z "$root" ]]; then
+    DIST_REASON='not-installed'
+    return 1
+  fi
+  DIST_VERSION="$(dist_installed_version "$root")"
+  if [[ -z "$DIST_VERSION" ]]; then
+    DIST_REASON='no-version'
+    return 1
+  fi
+  DIST_PUBLISHED="$(dist_published_version)"
+  if [[ -z "$DIST_PUBLISHED" ]]; then
+    # ★ここで「まあいいか」と配らない。問い合わせられない＝正規版かどうか分からない、である。
+    DIST_REASON='unverifiable'
+    return 1
+  fi
+  if [[ "$DIST_VERSION" != "$DIST_PUBLISHED" ]]; then
+    DIST_REASON='version-drift'
+    return 1
+  fi
+  DIST_ROOT="$root"
+  return 0
+}
+
+# 配布物として体裁が揃っているか（配る中身が欠けた置き場を掴まない）。
+#   ★ここで見るのは「采配くんの配布物であること」を決める最小の3つだけ。
+#     職人の鉄則（skills/）は安全境界ではなく作業規律で、欠けたときの扱いは ①-d が持っている
+#     （便 29612ff1＝成功と偽らず控えに残して管制へ知らせる）。ここで落とすと、その扱いが働かない。
+dist_source_complete() {
+  local root="$1"
+  [[ -f "$root/package.json" ]] || return 1
+  [[ -f "$root/scripts/hooks/cc2_guard.py" ]] || return 1
+  [[ -f "$root/sales-template/settings.json" ]] || return 1
+  return 0
+}
+
+# 設置台本（setup.sh）のための配り元。★お客さまの機の流れを1ミリも変えないための分岐。
+#   ・呼び出し元が【git の作業場所でない】＝配布物そのもの（お客さまの機はいつもこちら）。
+#     そのまま使う。公開 npm への問い合わせもしない＝今までどおり・回線が無くても設置できる。
+#   ・呼び出し元が【git の作業場所】＝職人の作業ツリー。ここから全現場へ配らせない。
+#     公開済みの正規版へ差し替える（確かめられなければ 1 を返して呼び出し元を止める）。
+#   返り 0 … DIST_ROOT を配り元にしてよい／返り 1 … 配ってはいけない（DIST_REASON に理由）
+dist_source_for_setup() {
+  local caller_root="$1"
+  DIST_ROOT=''; DIST_VERSION=''; DIST_PUBLISHED=''; DIST_REASON=''
+  if ! git -C "$caller_root" rev-parse --git-dir >/dev/null 2>&1; then
+    DIST_ROOT="$caller_root"
+    DIST_VERSION="$(dist_installed_version "$caller_root")"
+    return 0
+  fi
+  dist_source_resolve
+}

package/scripts/hooks/skill_sync_notify.py

@@ -45,11 +45,35 @@ import hook_datalink  # noqa: E402
 #:   ★1時間ごとの同期と同じ幅にしてあるので、直らない限りカードは途切れない。
 NOTIFY_WAIT_MS = 60 * 60 * 1000
 
-#: 同じカードを積み上げないための鍵の頭。★機体ごとに1枚だけにする。
+#: 同じカードを積み上げないための鍵の頭。★機体ごと・種類ごとに1枚だけにする。
 #:   管制は同じ鍵の再登録を【寿命の延長】として扱う（upsertHookRequest）。だから
 #:   毎時の失敗でカードが増えず、直ればその回で登録が止まって数分後に自然に閉じる。
 REQUEST_KEY_PREFIX = 'craftsman-skill-stale'
 
+#: 知らせの種類ごとの文面（★便 4061dd71 で2種類目を足した）。
+#:   控えの `what=` で選ぶ。無ければ従来どおり鉄則の配り損ね（便 29612ff1）。
+#:   ★新しい知らせ方（別の口）は作らない。ここに1行足すだけで同じ確認カードに載る。
+NOTICE_KINDS = {
+    'craftsman-skill': {
+        'key': 'craftsman-skill-stale',
+        'summary': '職人の決まりが古いままです',
+        'stopped': '職人の決まり（鉄則）が、新しい版に入れ替わっていません。'
+                   '職人は古い決まりのまま動きます。',
+    },
+    'dist-source': {
+        'key': 'dist-source-unverified',
+        'summary': '安全装置を配れていません',
+        'stopped': '配り元（この PC に入っている采配くん本体）が公開済みの正規版だと'
+                   '確かめられないため、番人・職人の決まり・現場の権限ルールを'
+                   '1件も配っていません。現場は前に配られたままの状態で動きます。',
+    },
+}
+
+
+def notice_kind(rec):
+    """控えの what= から文面を選ぶ。知らない種類なら鉄則の配り損ねとして扱う。"""
+    return NOTICE_KINDS.get(rec.get('what') or 'craftsman-skill', NOTICE_KINDS['craftsman-skill'])
+
 
 def parse_last(path):
     """直近の試みの控えを {鍵: 値} に読む。読めなければ空。
@@ -77,9 +101,9 @@ def build_payload(rec, env=None):
     env = os.environ if env is None else env
     machine = env.get('CONDUCTOR_MACHINE') or os.uname().nodename
     reason = rec.get('reason', '不明')
+    kind = notice_kind(rec)
     body = '\n'.join([
-        f'いま止まっているもの: この PC（{machine}）の職人の決まり（鉄則）が、'
-        '新しい版に入れ替わっていません。職人は古い決まりのまま動きます。',
+        f'いま止まっているもの: この PC（{machine}）で、{kind["stopped"]}',
         '再開のしかた: この PC で次の1行を打ってください。'
         '　cd ~/projects/conductor　そのあと　APPLY=1 bash scripts/update-guard.sh',
         '★このカードは管制からは押せません（この PC での操作が要ります）。',
@@ -94,10 +118,10 @@ def build_payload(rec, env=None):
         'sessionId': hook_datalink.stable_session_id('', machine, 'guard-sync'),
         'kind': 'message',
         'question': body,
-        'summary': f'職人の決まりが古いままです（{machine}）',
+        'summary': f'{kind["summary"]}（{machine}）',
         'waitMs': NOTIFY_WAIT_MS,
-        # ★機体ごとに固定の鍵。毎時の失敗が同じ1枚に集約される（増殖しない）。
-        'requestKey': f'{REQUEST_KEY_PREFIX}:{machine}',
+        # ★機体ごと・種類ごとに固定の鍵。毎時の失敗が同じ1枚に集約される（増殖しない）。
+        'requestKey': f'{kind["key"]}:{machine}',
     }
 
 

package/scripts/hooks/test_policy.py

@@ -974,8 +974,17 @@ check('同期モードは権限ルールの整理より前で終わる',
 #   人が流し忘れても、すでに配ってしまった現場の二重登録が1時間以内にそろう。
 check('同期モードは現場の二重登録外しまでは行う',
       _ug.index('③ 現場の二重登録を外す') < _ug.index('同期のみ完了しました'), True)
-check('同期モードは作業中(未コミット)の番人を配らない',
-      'status --porcelain -- scripts/hooks' in _ug, True)
+# ★2026-09-16（便 4061dd71）に守り方を移した。旧＝「この作業ツリーに未コミットの変更が
+#   無ければ配ってよい」（＝コミットさえすれば作りかけでも配れた・そもそも作業ツリーが配り元だった）。
+#   新＝配り元を「この機に入っている配布物で、版が公開 npm のいまの版と一致するもの」だけに限る。
+#   中身の検査は test/dist-source-published-only.test.ts。
+check('配り元を決める部品を通している', 'dist-source.sh' in _ug, True)
+check('配り元は公開済みの正規版だけ', 'dist_source_resolve' in _ug, True)
+check('配る中身はすべて配り元から取る',
+      all(x in _ug for x in ('GUARD_SRC_DIR="$DIST_ROOT/scripts/hooks"',
+                             'SETTINGS_SRC="$DIST_ROOT/sales-template/settings.json"',
+                             'CRAFTSMAN_SKILL_SRC="$DIST_ROOT/skills/conductor-craftsman/SKILL.md"')), True)
+check('確かめられないときは配らずに終わる', 'dist_record failed' in _ug, True)
 
 _svc = os.path.join(_conductor, 'systemd', 'tyhld-guard-sync.service')
 _tmr = os.path.join(_conductor, 'systemd', 'tyhld-guard-sync.timer')

package/scripts/hooks/test_skill_sync_notify.py

@@ -124,6 +124,33 @@ with tempfile.TemporaryDirectory() as tmp:
     # ★控えの中身（パス）以外の余計な物を載せない＝秘密は1文字も入らない。
     check('本文にトークンは入らない', CFG['token'] in q, False)
 
+# ── ★2種類目＝配り元が正規版でない（便 4061dd71）────────────────────────────
+print('\n【★2種類目＝配り元の配り損ね（便 4061dd71）】')
+DIST_NG = ('2026-09-16T12:00:00+0900 status=failed reason=version-drift what=dist-source '
+           'version=0.12.6 published=0.12.8 root=/n/@tyhld/conductor')
+with tempfile.TemporaryDirectory() as tmp:
+    link = FakeLink()
+    sn.run(write(tmp, 'dist.last', DIST_NG + '\n'), datalink=link)
+    p = link.sent[0]
+    q = p['question']
+    check_true('見出しが配り元の話になっている', '安全装置を配れていません' in p['summary'])
+    check_true('本文に「いま止まっているもの」がある', 'いま止まっているもの:' in q)
+    check_true('本文に「再開のしかた」がある', '再開のしかた:' in q)
+    check_true('何を配れていないかが書いてある', '番人' in q and '権限ルール' in q)
+    check_true('うまくいかなかった理由が載る', 'version-drift' in q)
+    check_true('鍵が種類ごとに分かれている', p['requestKey'].startswith('dist-source-unverified:'))
+    # ★鉄則の配り損ねとは別の鍵＝2種類が同じ1枚に潰れない。
+    link2 = FakeLink()
+    sn.run(write(tmp, 'skill.last', NG_LINE + '\n'), datalink=link2)
+    check('鉄則の配り損ねとは別の鍵', p['requestKey'] == link2.sent[0]['requestKey'], False)
+    # ★知らない種類は、従来どおり鉄則の配り損ねとして扱う（増やしても壊れない）。
+    link3 = FakeLink()
+    unknown = DIST_NG.replace('what=dist-source', 'what=まだ無い種類')
+    sn.run(write(tmp, 'unknown.last', unknown + '\n'), datalink=link3)
+    check_true('知らない種類でも落ちずにカードは出る', bool(link3.sent))
+    check_true('知らない種類は従来の文面へ倒れる',
+               '職人の決まりが古いままです' in link3.sent[0]['summary'])
+
 # ── (f) 知らせに失敗しても同期は止めない ────────────────────────────────────
 print('\n【(f) 知らせに失敗しても同期を止めない】')
 with tempfile.TemporaryDirectory() as tmp: