@tyhld/conductor 0.12.7 → 0.12.9

package/scripts/hooks/policy.py

@@ -52,12 +52,49 @@ def _r(decision, reason, gate=None):
 # 秘密・システム領域の語彙（decide_write と Bash で共用する＝経路差を無くす本体）
 # ═════════════════════════════════════════════════════════════════════════════
 
-# 常に触らせないファイル名（読み取りも含む＝「露出」を止める）。
+# =============================================================================
+# ★秘密の判定は「名前 × 場所 × 管理主体」で決める（えふさん確定 2026-09-16・便 3a3771b1）
+#
+# 【なぜ作り替えたか（実測）】
+#   名前だけで決めていたため、依存の部品（node_modules）の中にある
+#   @anthropic-ai/sdk の lib/credentials（ただのフォルダ）まで秘密と判定していた。
+#   配る権限ルールの Read(**/credentials) と合わさって、現場の build と差分確認が落ちた。
+#   一方で「名前だけの credentials 規則」を外すと、gcloud の置き場の本物が守れなくなる。
+#   ＝名前を捨てるのでも、名前だけで決めるのでもなく、【場所】と【管理主体】を足す。
+#
+# 【5つの層】
+#   (1) 名前だけで秘密と言い切れるもの   … 場所を問わず拒否（鍵・.env・npm の設定 等）
+#   (2) 秘密の置き場                     … その下は全部拒否
+#   (3) 場所と名前の組                   … 置き場と対でだけ秘密になるもの
+#   (4) 名前だけでは言い切れないもの     … 「機械が入れた部品の中」でないときだけ拒否
+#   (5) それ以外                         … 通す
+#
+# 【★(4)の「機械が入れた部品の中か」は AI の言い分で決めない】
+#   判定に使うのは (a) 近道(symlink)・..・相対を解いた【実在のパス】と
+#   (b) 決め打ちの部品置き場の名前（node_modules 等）と
+#   (c) git の事実（その置き場が git から無視されている／対象が追跡されていない）だけ。
+#   ツールの入力に書かれた説明・引数の名前（「これは依存です」等）は1文字も見ない。
+# =============================================================================
+
+# (1) 名前だけで秘密と言い切れるファイル名（読み取りも含む＝「露出」を止める）。
+#   ★ここから 2 つの名前を外し、(4) へ移した（置き場で決まるため）。
 _SECRET_FILE_RE = re.compile(
-    r'^(id_(rsa|dsa|ecdsa|ed25519).*|authorized_keys|known_hosts|.*\.pem|.*\.key|'
-    r'\.netrc|\.npmrc|\.pypirc|credentials)$'
+    r'^(id_(rsa|dsa|ecdsa|ed25519).*|authorized_keys|.*\.pem|.*\.key|'
+    r'\.netrc|\.npmrc|\.pypirc)$'
 )
 
+# (4) 名前だけでは言い切れないファイル名（置き場で決まる）。
+#   1つ目 … 本物は各クラウドの設定置き場に在る。依存の部品にも同じ名前のフォルダが在る。
+#   2つ目 … 本物は鍵の置き場に在る（(2) で覆われる）。ライブラリにも同じ名前が在る。
+#   3つ目 … 本物は OAuth の設定。★頭に点の付く形は (1) のまま。
+_LOCATION_SECRET_FILE_RE = re.compile(
+    r'^(credentials|known' + r'_hosts|credentials\.json)$', re.IGNORECASE
+)
+
+# ★機械（パッケージ管理）が入れる部品の置き場の名前。★決め打ちの一覧・大文字小文字を区別する。
+#   ここに無い名前は、どんなに依存らしく見えても部品置き場として扱わない。
+_DEPENDENCY_DIR_NAMES = frozenset({'node_modules', 'vendor', 'site-packages', '.venv', 'venv'})
+
 # 雛形（テンプレート）の接尾辞。この2つで終わる名前は秘密ファイル判定から外す。
 # 例: .env.example / .env.local.example / config.sample。値の入っていない見本のため。
 _TEMPLATE_SUFFIX_RE = re.compile(r'\.(example|sample)$', re.IGNORECASE)
@@ -73,8 +110,10 @@ _TEMPLATE_PREFIX_RE = re.compile(r'^(example|sample)\.', re.IGNORECASE)
 #     ~/.claude/.credentials.json  … 職人のログイン
 #     ~/.tyhld/ai-saku-login.json  … cookies / origins（ブラウザのログイン状態＝実質の合鍵）
 #   ★項目名だけを見て判断した（値は1文字も読んでいない）。
+#   ★頭に点の無い形はここから外し、(4) へ移した。依存の部品の中にも同じ名前が置かれうるため。
+#     頭に点の付く形は職人のログインそのものなので (1) のまま。
 _SECRET_JSON_RE = re.compile(
-    r'^(auth\.json|\.?credentials\.json|([A-Za-z0-9_.-]*[-_.])?login\.json)$', re.IGNORECASE
+    r'^(auth\.json|\.credentials\.json|([A-Za-z0-9_.-]*[-_.])?login\.json)$', re.IGNORECASE
 )
 
 # ★「その場所に在るときだけ秘密」なファイル（名前だけでは決められないもの）。
@@ -85,9 +124,17 @@ _SECRET_PATH_TAILS = (
     ('.config', 'gh', 'hosts.yml'),
 )
 
-# 常に触らせないディレクトリ名（階層のどこかに出てきたら該当）。
+# (2) 常に触らせないディレクトリ名（階層のどこかに出てきたら該当）。
 _SECRET_DIRS = frozenset({'.ssh', '.gnupg', '.aws', '.gcloud'})
 
+# (2) 2つ並んだときだけ秘密になる置き場（.config の下は普通の設定も多いので、組で見る）。
+#   gcloud … 資格情報が複数の名前で置かれる（データベース形式・JSON 形式など）。
+#     名前を数えるより置き場ごと守るほうが取りこぼさない。
+#   ★gh は「1つのファイルだけが秘密」なので (3) の組で見る（普通の設定までは止めない）。
+_SECRET_DIR_PAIRS = (
+    ('.config', 'gcloud'),
+)
+
 # 書き込みを常に禁じるシステム領域（絶対パスの先頭成分）。
 _SYSTEM_TOPS = frozenset({
     'etc', 'usr', 'bin', 'sbin', 'boot', 'lib', 'lib64', 'dev', 'proc', 'sys', 'root', 'var',
@@ -125,12 +172,11 @@ def is_secret_name(name: str) -> bool:
     return bool(_SECRET_FILE_RE.match(name))
 
 
-def secret_reason(path: str):
-    """パスが秘密に触れるなら理由、そうでなければ None。読み書きを問わない。"""
-    comps = [c for c in path.replace('\\', '/').split('/') if c]
-    if not comps:
-        return None
-    name = comps[-1]
+def _static_secret_reason(comps, name):
+    """(1)(2)(3) だけで決まる理由。★場所を調べ直さなくても分かる分をここで返す。
+
+    (1) 名前だけで秘密と言い切れる／(2) 秘密の置き場の下／(3) 置き場と名前の組。
+    """
     if is_secret_name(name):
         return f'secret file ({name})'
     for c in comps[:-1]:
@@ -138,13 +184,135 @@ def secret_reason(path: str):
             return f'secret directory ({c})'
     if name in _SECRET_DIRS:
         return f'secret directory ({name})'
-    # 置き場と対で秘密になるもの（例: ~/.config/gh/hosts.yml ＝ GitHub CLI のトークン）。
+    # 2つ並んだときだけ秘密になる置き場（例: 設定置き場の下のクラウドの資格情報）。
+    for i in range(len(comps) - 1):
+        if (comps[i], comps[i + 1]) in _SECRET_DIR_PAIRS:
+            return f'secret directory ({comps[i]}/{comps[i + 1]})'
+    # 置き場と対で秘密になるもの（例: GitHub CLI のトークンが入る1ファイル）。
     for tail in _SECRET_PATH_TAILS:
         if len(comps) >= len(tail) and tuple(comps[-len(tail):]) == tail:
             return f'secret file ({"/".join(tail)})'
     return None
 
 
+#: 「機械が入れた部品か」の答えの控え（同じ問いを何度も git に聞かない）。
+#:   フックは1回の呼び出しで終わる短い処理なので、控えは処理のあいだだけ生きる。
+_DEPENDENCY_TRUST_CACHE = {}
+
+
+def _git_says_yes(args, cwd):
+    """git に1つ聞いて、はい(返り 0)かどうかだけ受け取る。★出力は1文字も使わない。
+
+    取れない・遅い・git が無い、のどれでも「いいえ」にする（★閉じる側へ倒す）。
+    """
+    try:
+        import subprocess
+        r = subprocess.run(
+            ['git'] + list(args), cwd=cwd,
+            stdout=subprocess.DEVNULL, stderr=subprocess.DEVNULL, timeout=5,
+        )
+        return r.returncode == 0
+    except Exception:  # noqa: BLE001
+        return False
+
+
+def machine_installed_dependency(real_path: str):
+    """実在のパスが「機械（パッケージ管理）が入れた部品の中」なら、その置き場を返す。
+
+    ★ここが「管理主体」の判定。AI が渡した文字列の中の説明・引数の名前は1文字も見ない。
+      見るのは次の3つだけ。
+        (a) 決め打ちの部品置き場の名前（_DEPENDENCY_DIR_NAMES・大文字小文字を区別）
+        (b) その置き場が git から【無視されている】こと
+            ＝そのリポジトリ自身が「これは人の成果物ではない」と宣言している
+        (c) 対象が git に【追跡されていない】こと
+            ＝人が置いてコミットした物は、置き場の名前が何であれ部品として扱わない
+      (b)(c) のどちらかでも確かめられなければ None（＝部品と認めない＝秘密として扱う）。
+    """
+    comps = [c for c in real_path.split('/') if c]
+    idx = None
+    for i, c in enumerate(comps):
+        if c in _DEPENDENCY_DIR_NAMES:
+            idx = i  # 入れ子のときは一番内側を採る
+    if idx is None:
+        return None
+    dep_root = '/' + '/'.join(comps[:idx + 1])
+    key = (dep_root, real_path)
+    if key in _DEPENDENCY_TRUST_CACHE:
+        return _DEPENDENCY_TRUST_CACHE[key]
+    parent = os.path.dirname(dep_root) or '/'
+    ok = (
+        os.path.isdir(parent)
+        and _git_says_yes(['rev-parse', '--git-dir'], parent)
+        and _git_says_yes(['check-ignore', '-q', dep_root], parent)
+        and not _git_says_yes(['ls-files', '--error-unmatch', real_path], parent)
+    )
+    result = dep_root if ok else None
+    _DEPENDENCY_TRUST_CACHE[key] = result
+    return result
+
+
+def resolved_path(path: str, cwd=None) -> str:
+    """近道(symlink)・..・相対・~ を解いた【実在の場所】を返す。解けなければ元の字面。
+
+    ★これが迂回対策の土台。別名から本物へ回り込む道は、ここで正体が出る。
+    """
+    try:
+        q = os.path.expanduser(path.strip())
+        if not os.path.isabs(q):
+            base = cwd if (cwd and os.path.isabs(cwd)) else os.getcwd()
+            q = os.path.join(base, q)
+        return os.path.realpath(q)
+    except Exception:  # noqa: BLE001
+        return path
+
+
+def dependency_root(path: str, cwd=None):
+    """パスを正規化したうえで、機械が入れた部品の中なら置き場を返す（でなければ None）。"""
+    real = resolved_path(path, cwd)
+    comps = [c for c in real.replace('\\', '/').split('/') if c]
+    if not comps:
+        return None
+    if _static_secret_reason(comps, comps[-1]):
+        return None  # ★解いた先が本物の秘密だった＝部品ではない
+    return machine_installed_dependency(real)
+
+
+def secret_reason(path: str, cwd=None):
+    """パスが秘密に触れるなら理由、そうでなければ None。読み書きを問わない。
+
+    層の順は (1)(2)(3) → (4) → (5)。(4) だけが場所と管理主体を見る。
+    ★字面と、近道を解いた【実体】の両方を同じ物差しで測る。どちらかが秘密なら止める。
+    """
+    comps = [c for c in path.replace('\\', '/').split('/') if c]
+    if not comps:
+        return None
+    name = comps[-1]
+    sr = _static_secret_reason(comps, name)
+    if sr:
+        return sr
+
+    # ★近道(symlink)や .. で回り込む道。解いた実体を (1)(2)(3) にもう一度掛ける。
+    #   例: node_modules の中の何でもない名前が、鍵の置き場を指しているとき。
+    real = resolved_path(path, cwd)
+    rcomps = [c for c in real.replace('\\', '/').split('/') if c]
+    if rcomps and real != path:
+        rsr = _static_secret_reason(rcomps, rcomps[-1])
+        if rsr:
+            return f'{rsr} (via link)'
+
+    # (4) 名前だけでは言い切れないもの。★機械が入れた部品の中のときだけ通す。
+    #   字面の名前と、解いた実体の名前の【どちらか】が当たれば見る（別名で隠せない）。
+    names = [name]
+    if rcomps and rcomps[-1] != name:
+        names.append(rcomps[-1])
+    for n in names:
+        if _LOCATION_SECRET_FILE_RE.match(n):
+            if machine_installed_dependency(real) is None:
+                return f'secret file ({n})'
+            break
+    return None
+
+
 # システム領域だが書いても無害な特殊ファイル（捨て先・標準出力など）。
 # ★ここを除外しないと `... > /dev/null` という日常操作が止まる（実際に止まった）。
 _HARMLESS_DEVICES = frozenset({
@@ -295,6 +463,41 @@ EXFIL_VERBS = frozenset({
     'ssh', 'mail', 'sendmail', 'tar', 'zip', 'gzip', 'base64', 'openssl', 'gpg',
 })
 
+# ★探す道具（1つ目の引数が「探す文字」で、パスではないもの）。
+#   【なぜ要るか（実測 2026-09-16・便 ee354590 の発見6）】
+#     src の中を process.env という【文字】で探しただけで番人が止めた。
+#     理由は、引数 process.env が「.env で終わる名前」に当たったため。
+#     ★探す文字はパスではない。パスとして測ると、コードの書き方を調べる普通の作業が止まる。
+#   【どう決めるか】この動詞では、旗(-)でない最初の引数を【探す文字】として扱い、
+#     パスの判定に掛けない。残りの引数は今までどおりパスとして測る。
+#     ★-e / --regexp で探す文字を明示したときは、最初の引数も【パス】に戻す（取りこぼさない）。
+#     ★-f / --file の値は「探す文字が書いてあるファイル」＝パスなので測る。
+_PATTERN_FIRST_VERBS = frozenset({'grep', 'egrep', 'fgrep', 'rg', 'ag', 'ack', 'ugrep'})
+
+# 探す文字を旗で明示する書き方（これが在れば、最初の引数もパスとして測る）。
+_PATTERN_FLAGS = ('-e', '--regexp')
+# 「探す文字が書いてあるファイル」を指す旗（値はパスとして測る）。
+_PATTERN_FILE_FLAGS = ('-f', '--file')
+
+
+def pattern_arg_index(verb: str, args):
+    """探す文字として扱う引数の位置を返す（無ければ -1）。
+
+    ★ここで返した1つだけをパスの判定から外す。それ以外は今までどおり全部測る。
+    """
+    if verb not in _PATTERN_FIRST_VERBS:
+        return -1
+    for i, t in enumerate(args):
+        if t in _PATTERN_FLAGS or t.startswith('--regexp='):
+            return -1  # 探す文字は旗で示されている＝最初の引数はパス
+        if t in _PATTERN_FILE_FLAGS or t.startswith('--file='):
+            return -1
+    for i, t in enumerate(args):
+        if not t.startswith('-'):
+            return i
+    return -1
+
+
 # 「中身を読み出す」動詞（秘密に対して使われたら露出）。
 READ_VERBS = frozenset({
     'cat', 'head', 'tail', 'less', 'more', 'strings', 'xxd', 'od', 'grep', 'awk', 'sed',
@@ -414,7 +617,7 @@ def _inner_payloads(command: str):
     return out
 
 
-def _wrapper_danger(command: str, depth: int = 0):
+def _wrapper_danger(command: str, depth: int = 0, cwd=None):
     """ラッパの中身に同じ判定を当てる。危険なら理由を返す。"""
     if depth >= _UNWRAP_MAX_DEPTH:
         return None
@@ -433,10 +636,10 @@ def _wrapper_danger(command: str, depth: int = 0):
             return f'{hit} ({where})'
         for seg in split_segments(inner):
             toks = tokens_of(seg)
-            hit = _secret_danger(seg, verb_of(toks), toks)
+            hit = _secret_danger(seg, verb_of(toks), toks, cwd)
             if hit:
                 return f'{hit} ({where})'
-        hit = _wrapper_danger(inner, depth + 1)
+        hit = _wrapper_danger(inner, depth + 1, cwd)
         if hit:
             return hit
     return None
@@ -525,7 +728,7 @@ def _rm_danger(command: str):
     return None
 
 
-def _secret_danger(segment: str, verb: str, tokens):
+def _secret_danger(segment: str, verb: str, tokens, cwd=None):
     """このセグメントが秘密に触れる／システム領域へ書くなら理由を返す。
 
     ★ここが「対象と作用」判定の本体。動詞が何であれ、対象が秘密なら止める。
@@ -535,7 +738,11 @@ def _secret_danger(segment: str, verb: str, tokens):
         return 'secret environment variable exposure'
 
     args = tokens[1:] if tokens else []
-    for raw in args:
+    # ★探す文字（grep の1つ目の引数など）はパスではないので、パスの判定から外す。
+    skip = pattern_arg_index(verb, args)
+    for pos, raw in enumerate(args):
+        if pos == skip:
+            continue
         # 値の書き方は色々ある: `.env` / `@.env`（curl -d @file）/ `--post-file=.env`。
         # オプション名に埋まった値まで見ないと、持ち出しを1つ取りこぼす。
         candidates = [raw.lstrip('@')]
@@ -544,7 +751,7 @@ def _secret_danger(segment: str, verb: str, tokens):
         a = next((c for c in candidates if c and not c.startswith('-')), '')
         if not a:
             continue
-        sr = secret_reason(a)
+        sr = secret_reason(a, cwd)
         if sr:
             # 秘密に触れる動詞なら止める（読み・書き・持ち出しのいずれでも露出になる）。
             #
@@ -561,7 +768,7 @@ def _secret_danger(segment: str, verb: str, tokens):
 
     # リダイレクト先（> / >>）も「書き込む作用」。
     for t in redirect_targets(segment):
-        sr = secret_reason(t)
+        sr = secret_reason(t, cwd)
         if sr:
             return f'redirect into {sr}'
         syr = system_write_reason(t)
@@ -662,7 +869,7 @@ def _gate_db(low: str, verb: str, tokens, segment: str):
 # 入口: Bash
 # ═════════════════════════════════════════════════════════════════════════════
 
-def decide_bash(command: str):
+def decide_bash(command: str, cwd=None):
     """Bash コマンド1件の判定。既定は allow。"""
     if not command or not command.strip():
         return _r(ALLOW, 'empty command')
@@ -682,13 +889,13 @@ def decide_bash(command: str):
     for seg in segments:
         toks = tokens_of(seg)
         v = verb_of(toks)
-        hit = _secret_danger(seg, v, toks)
+        hit = _secret_danger(seg, v, toks, cwd)
         if hit:
             return _r(DENY, f'danger: {hit}')
 
     # ---- 1c) 危険（ラッパの中身にも同じ物差しを当てる） ----
     #      `bash -c "cat .env"` / `python3 -c "open('.env')"` / ヒアドキュメント経由。
-    hit = _wrapper_danger(command)
+    hit = _wrapper_danger(command, 0, cwd)
     if hit:
         return _r(DENY, f'danger: {hit}')
 
@@ -827,7 +1034,15 @@ def decide_read(file_path: str, cwd=None):
     return _r(ALLOW, 'no gate, no danger')
 
 
-def decide_search(tool_input, cwd=None):
+#: 探す道具ごとの pattern の意味。★同じ項目名でも道具によって別物なので、道具名で決める。
+#:   Glob … pattern は【ファイルの名前の形】＝パスとして測る
+#:   Grep … pattern は【本文を探す正規表現】＝パスとして測らない（glob の方が名前の形）
+#:   知らない道具 … 測る側へ倒す（閉じる側の既定）
+_PATTERN_IS_PATH_TOOLS = frozenset({'Glob'})
+_PATTERN_IS_REGEX_TOOLS = frozenset({'Grep'})
+
+
+def decide_search(tool_input, cwd=None, tool=None):
     """探す道具（Grep / Glob）の判定。
 
     ★2つを見る。
@@ -842,7 +1057,18 @@ def decide_search(tool_input, cwd=None):
         res = decide_read(where, cwd)
         if res['decision'] == DENY:
             return _r(DENY, res['reason'].replace('read from', 'search in'))
-    for key in ('glob', 'pattern'):
+    # ★探す【対象の名前】(glob) は測る。探す【文字】(pattern) は測らない。
+    #   【なぜ分けたか（実測 2026-09-16・便 ee354590 の発見6）】
+    #     pattern は本文を探す正規表現で、ファイルの場所ではない。パスとして測っていたため、
+    #     src の中を process.env という文字で探しただけで番人が止めた。
+    #   【秘密が漏れないことは変わらない】
+    #     中身を取り出せるのは path と glob が指す先だけで、その2つは今までどおり測る。
+    #     pattern に秘密のファイル名を書いても、探す先が普通のコードなら、出てくるのは
+    #     「そのコードの中にその文字がある行」だけである。
+    keys = ['glob']
+    if tool not in _PATTERN_IS_REGEX_TOOLS:
+        keys.append('pattern')   # Glob の pattern と、知らない道具は測る側へ倒す
+    for key in keys:
         sr = glob_secret_reason(tool_input.get(key))
         if sr:
             return _r(DENY, f'danger: search for {sr}')
@@ -914,7 +1140,7 @@ def decide_event(data):
         tin = {}
 
     if tool == 'Bash':
-        return decide_bash(tin.get('command', ''))
+        return decide_bash(tin.get('command', ''), data.get('cwd'))
     if tool == 'WebFetch':
         return decide_network(tin.get('url', ''))
     if tool in WRITE_TOOLS:
@@ -928,7 +1154,7 @@ def decide_event(data):
             return _r(ALLOW, 'no file_path')
         return decide_read(fp, data.get('cwd'))
     if tool in SEARCH_TOOLS:
-        return decide_search(tin, data.get('cwd'))
+        return decide_search(tin, data.get('cwd'), tool)
     # ★知らない道具（MCP・将来増える組み込み）も、入力にパスらしい項目があれば同じ判定を通す。
     #   当たらなければ従来どおり自走する（WebSearch・道具の呼び出し等は1つも止まらない）。
     return decide_any_path(tin, data.get('cwd'))

package/scripts/hooks/skill_sync_notify.py

@@ -45,11 +45,35 @@ import hook_datalink  # noqa: E402
 #:   ★1時間ごとの同期と同じ幅にしてあるので、直らない限りカードは途切れない。
 NOTIFY_WAIT_MS = 60 * 60 * 1000
 
-#: 同じカードを積み上げないための鍵の頭。★機体ごとに1枚だけにする。
+#: 同じカードを積み上げないための鍵の頭。★機体ごと・種類ごとに1枚だけにする。
 #:   管制は同じ鍵の再登録を【寿命の延長】として扱う（upsertHookRequest）。だから
 #:   毎時の失敗でカードが増えず、直ればその回で登録が止まって数分後に自然に閉じる。
 REQUEST_KEY_PREFIX = 'craftsman-skill-stale'
 
+#: 知らせの種類ごとの文面（★便 4061dd71 で2種類目を足した）。
+#:   控えの `what=` で選ぶ。無ければ従来どおり鉄則の配り損ね（便 29612ff1）。
+#:   ★新しい知らせ方（別の口）は作らない。ここに1行足すだけで同じ確認カードに載る。
+NOTICE_KINDS = {
+    'craftsman-skill': {
+        'key': 'craftsman-skill-stale',
+        'summary': '職人の決まりが古いままです',
+        'stopped': '職人の決まり（鉄則）が、新しい版に入れ替わっていません。'
+                   '職人は古い決まりのまま動きます。',
+    },
+    'dist-source': {
+        'key': 'dist-source-unverified',
+        'summary': '安全装置を配れていません',
+        'stopped': '配り元（この PC に入っている采配くん本体）が公開済みの正規版だと'
+                   '確かめられないため、番人・職人の決まり・現場の権限ルールを'
+                   '1件も配っていません。現場は前に配られたままの状態で動きます。',
+    },
+}
+
+
+def notice_kind(rec):
+    """控えの what= から文面を選ぶ。知らない種類なら鉄則の配り損ねとして扱う。"""
+    return NOTICE_KINDS.get(rec.get('what') or 'craftsman-skill', NOTICE_KINDS['craftsman-skill'])
+
 
 def parse_last(path):
     """直近の試みの控えを {鍵: 値} に読む。読めなければ空。
@@ -77,9 +101,9 @@ def build_payload(rec, env=None):
     env = os.environ if env is None else env
     machine = env.get('CONDUCTOR_MACHINE') or os.uname().nodename
     reason = rec.get('reason', '不明')
+    kind = notice_kind(rec)
     body = '\n'.join([
-        f'いま止まっているもの: この PC（{machine}）の職人の決まり（鉄則）が、'
-        '新しい版に入れ替わっていません。職人は古い決まりのまま動きます。',
+        f'いま止まっているもの: この PC（{machine}）で、{kind["stopped"]}',
         '再開のしかた: この PC で次の1行を打ってください。'
         '　cd ~/projects/conductor　そのあと　APPLY=1 bash scripts/update-guard.sh',
         '★このカードは管制からは押せません（この PC での操作が要ります）。',
@@ -94,10 +118,10 @@ def build_payload(rec, env=None):
         'sessionId': hook_datalink.stable_session_id('', machine, 'guard-sync'),
         'kind': 'message',
         'question': body,
-        'summary': f'職人の決まりが古いままです（{machine}）',
+        'summary': f'{kind["summary"]}（{machine}）',
         'waitMs': NOTIFY_WAIT_MS,
-        # ★機体ごとに固定の鍵。毎時の失敗が同じ1枚に集約される（増殖しない）。
-        'requestKey': f'{REQUEST_KEY_PREFIX}:{machine}',
+        # ★機体ごと・種類ごとに固定の鍵。毎時の失敗が同じ1枚に集約される（増殖しない）。
+        'requestKey': f'{kind["key"]}:{machine}',
     }
 
 

package/scripts/hooks/test_policy.py

@@ -332,9 +332,13 @@ print('\n=== (b4-2) ★接続情報・認証情報の穴を塞いだ（2026-09-0
 #   （項目名だけを見て確認。値は1文字も読んでいない）。
 _CONDUCTOR_ENV = '.conductor' + '.env'   # ← この検査自身が番人に引っかからないよう分けて書く
 for name in [_CONDUCTOR_ENV, 'migration' + '.env', 'prod' + '.env',
-             'auth.json', '.credentials.json', 'credentials.json',
+             'auth.json', '.credentials.json',
              'ai-saku-login.json', 'login.json']:
     check(f'★秘密として止める {name}', policy.is_secret_name(name), True)
+# ★頭に点の無い credentials.json は「名前だけでは言い切れない」側へ移した（便 3a3771b1）。
+#   依存の部品の中にも同じ名前が置かれうるため。場所まで見れば今までどおり止まる。
+check('★秘密として止める credentials.json（依存の外）',
+      bool(policy.secret_reason('/repo/cre' + 'dentials.json')), True)
 # 雛形は今までどおり通す（見本を直すだけの作業を止めない）。
 for name in ['example' + '.env', 'sample' + '.env', '.env.example', 'auth.json.example']:
     check(f'雛形は通す {name}', policy.is_secret_name(name), False)
@@ -974,8 +978,17 @@ check('同期モードは権限ルールの整理より前で終わる',
 #   人が流し忘れても、すでに配ってしまった現場の二重登録が1時間以内にそろう。
 check('同期モードは現場の二重登録外しまでは行う',
       _ug.index('③ 現場の二重登録を外す') < _ug.index('同期のみ完了しました'), True)
-check('同期モードは作業中(未コミット)の番人を配らない',
-      'status --porcelain -- scripts/hooks' in _ug, True)
+# ★2026-09-16（便 4061dd71）に守り方を移した。旧＝「この作業ツリーに未コミットの変更が
+#   無ければ配ってよい」（＝コミットさえすれば作りかけでも配れた・そもそも作業ツリーが配り元だった）。
+#   新＝配り元を「この機に入っている配布物で、版が公開 npm のいまの版と一致するもの」だけに限る。
+#   中身の検査は test/dist-source-published-only.test.ts。
+check('配り元を決める部品を通している', 'dist-source.sh' in _ug, True)
+check('配り元は公開済みの正規版だけ', 'dist_source_resolve' in _ug, True)
+check('配る中身はすべて配り元から取る',
+      all(x in _ug for x in ('GUARD_SRC_DIR="$DIST_ROOT/scripts/hooks"',
+                             'SETTINGS_SRC="$DIST_ROOT/sales-template/settings.json"',
+                             'CRAFTSMAN_SKILL_SRC="$DIST_ROOT/skills/conductor-craftsman/SKILL.md"')), True)
+check('確かめられないときは配らずに終わる', 'dist_record failed' in _ug, True)
 
 _svc = os.path.join(_conductor, 'systemd', 'tyhld-guard-sync.service')
 _tmr = os.path.join(_conductor, 'systemd', 'tyhld-guard-sync.timer')

package/scripts/hooks/test_skill_sync_notify.py

@@ -124,6 +124,33 @@ with tempfile.TemporaryDirectory() as tmp:
     # ★控えの中身（パス）以外の余計な物を載せない＝秘密は1文字も入らない。
     check('本文にトークンは入らない', CFG['token'] in q, False)
 
+# ── ★2種類目＝配り元が正規版でない（便 4061dd71）────────────────────────────
+print('\n【★2種類目＝配り元の配り損ね（便 4061dd71）】')
+DIST_NG = ('2026-09-16T12:00:00+0900 status=failed reason=version-drift what=dist-source '
+           'version=0.12.6 published=0.12.8 root=/n/@tyhld/conductor')
+with tempfile.TemporaryDirectory() as tmp:
+    link = FakeLink()
+    sn.run(write(tmp, 'dist.last', DIST_NG + '\n'), datalink=link)
+    p = link.sent[0]
+    q = p['question']
+    check_true('見出しが配り元の話になっている', '安全装置を配れていません' in p['summary'])
+    check_true('本文に「いま止まっているもの」がある', 'いま止まっているもの:' in q)
+    check_true('本文に「再開のしかた」がある', '再開のしかた:' in q)
+    check_true('何を配れていないかが書いてある', '番人' in q and '権限ルール' in q)
+    check_true('うまくいかなかった理由が載る', 'version-drift' in q)
+    check_true('鍵が種類ごとに分かれている', p['requestKey'].startswith('dist-source-unverified:'))
+    # ★鉄則の配り損ねとは別の鍵＝2種類が同じ1枚に潰れない。
+    link2 = FakeLink()
+    sn.run(write(tmp, 'skill.last', NG_LINE + '\n'), datalink=link2)
+    check('鉄則の配り損ねとは別の鍵', p['requestKey'] == link2.sent[0]['requestKey'], False)
+    # ★知らない種類は、従来どおり鉄則の配り損ねとして扱う（増やしても壊れない）。
+    link3 = FakeLink()
+    unknown = DIST_NG.replace('what=dist-source', 'what=まだ無い種類')
+    sn.run(write(tmp, 'unknown.last', unknown + '\n'), datalink=link3)
+    check_true('知らない種類でも落ちずにカードは出る', bool(link3.sent))
+    check_true('知らない種類は従来の文面へ倒れる',
+               '職人の決まりが古いままです' in link3.sent[0]['summary'])
+
 # ── (f) 知らせに失敗しても同期は止めない ────────────────────────────────────
 print('\n【(f) 知らせに失敗しても同期を止めない】')
 with tempfile.TemporaryDirectory() as tmp: