@tyhld/conductor 0.12.71 → 0.12.72

package/dist/headless.js

@@ -427,6 +427,7 @@ export function spawnClaudeProcess(cfg, cmd, sessionId, attempt, isResume) {
     delete env.ANTHROPIC_API_KEY;
     env.CONDUCTOR_SITE = cfg.site;
     env.CONDUCTOR_MACHINE = cfg.machine;
+    env.CONDUCTOR_WORK_DIR = cfg.workDir;
     // ★テスト用: CONDUCTOR_CLAUDE_CONFIG_DIR を設定すると、claude の設定フォルダを差し替える。
     //   本物のログインを壊さずに認証エラーを再現できる（空のフォルダを指す → not logged in）。
     //   本番では設定しない（claude は既定の ~/.claude を使う）。

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@tyhld/conductor",
-  "version": "0.12.71",
+  "version": "0.12.72",
   "description": "采配くん管制の見守りアプリ（conductor-agent）。各PCで常駐し、中央(devlog-tracker)へ定期的に生存報告(heartbeat)を送る常駐CLI。",
   "type": "module",
   "bin": {

package/scripts/hooks/policy.py

@@ -2066,8 +2066,13 @@ def _prod_db_change_result(reason):
 _SAFE_ABS_TOP = frozenset({'tmp'})
 
 
-def rm_path_risk(path: str) -> str:
-    """rm の対象パスの危険度: 'dangerous' / 'safe' / 'unknown'。"""
+def rm_path_risk(path: str, work_dir: str = None) -> str:
+    """rm の対象パスの危険度: 'dangerous' / 'safe' / 'unknown'。
+
+    work_dir が渡されたとき、絶対パスが work_dir の中を指すなら 'safe'（相対パスと同じ扱い）。
+    ただし work_dir 自体・.git を含むパス・.. やシンボリックリンクで外に出るパスは 'dangerous'。
+    work_dir が None のとき（非 conductor 環境）は従来どおり。
+    """
     p = path.strip().strip('"').strip("'")
     if p == '':
         return 'unknown'
@@ -2086,14 +2091,34 @@ def rm_path_risk(path: str) -> str:
         comps = [c for c in p.split('/') if c]
         if not comps:
             return 'dangerous'
+        # ★workDir 内の絶対パスは相対パスと同じ扱い（便 24c9b6b6）。
+        #   workDir 自体・.git・.. やシンボリックリンクで外に出るパスは引き続き dangerous。
+        #   workDir を知れないときは従来どおり止める（Fail Closed）。
+        #   ★秘密（.env 等）と設定（.claude 等）は別の検査（_secret_danger / _guard_write_scan）が
+        #     引き続き止めるので、ここでは .git だけを追加で守る。
+        if work_dir:
+            try:
+                resolved = os.path.realpath(p)
+                work_resolved = os.path.realpath(work_dir)
+                if resolved == work_resolved:
+                    pass  # workDir 自体 → fall through to 'dangerous'
+                elif resolved.startswith(work_resolved + os.sep):
+                    rel_comps = resolved[len(work_resolved) + 1:].split(os.sep)
+                    if '.git' not in rel_comps:
+                        return 'safe'
+                    # .git を含む → fall through to 'dangerous'
+            except (OSError, ValueError):
+                pass  # 解決できない → fall through（Fail Closed）
         if comps[0] in _SAFE_ABS_TOP and len(comps) >= 2:
             return 'safe'
         return 'dangerous'
     return 'safe'
 
 
-def _rm_danger(command: str):
+def _rm_danger(command: str, work_dir: str = None):
     """再帰的 rm の対象パスを全部見て、危険なものがあれば理由を返す。"""
+    if work_dir is None:
+        work_dir = os.environ.get('CONDUCTOR_WORK_DIR') or None
     for m in re.finditer(r'\brm\b', command):
         seg = _SPLIT_RE.split(command[m.end():], maxsplit=1)[0]
         toks = seg.split()
@@ -2101,7 +2126,7 @@ def _rm_danger(command: str):
         recursive = any(('r' in f.lstrip('-').lower()) or f in ('--recursive',) for f in flags)
         paths = [t for t in toks if not t.startswith('-')]
         for p in paths:
-            risk = rm_path_risk(p)
+            risk = rm_path_risk(p, work_dir=work_dir)
             if risk == 'dangerous':
                 return f'rm on dangerous path ({p})'
             if risk == 'unknown' and recursive:

package/scripts/hooks/test_policy.py

@@ -1742,6 +1742,89 @@ try:
 finally:
     shutil.rmtree(_secret_dir, ignore_errors=True)
 
+# ─────────────────────────────────────────────────────────────────────────────
+# workDir 内の rm 絶対パス判定（便 24c9b6b6）
+# ─────────────────────────────────────────────────────────────────────────────
+print('\n=== workDir 内の rm 絶対パス: 作業ファイルの絶対パスは safe ===')
+_WD = '/home/goto/projects/goto-renshu'
+check('workDir 内の作業ファイル (絶対パス)',
+      policy.rm_path_risk('/home/goto/projects/goto-renshu/goto-renshu-check.txt', _WD), 'safe')
+check('workDir 内の深いパス',
+      policy.rm_path_risk('/home/goto/projects/goto-renshu/sub/dir/file.txt', _WD), 'safe')
+# git リポジトリでない作業フォルダでも通る
+_WD2 = '/home/user/projects/work'
+check('workDir 内の作業ファイル (別のユーザー)',
+      policy.rm_path_risk('/home/user/projects/work/output.log', _WD2), 'safe')
+
+print('\n=== workDir 内の rm 絶対パス: 引き続き止まるもの ===')
+# workDir 自体
+check('workDir 自体の削除',
+      policy.rm_path_risk('/home/goto/projects/goto-renshu', _WD), 'dangerous')
+check('workDir/ (末尾にスラッシュ)',
+      policy.rm_path_risk('/home/goto/projects/goto-renshu/', _WD), 'dangerous')
+# workDir の外
+check('workDir の外 (親)',
+      policy.rm_path_risk('/home/goto/projects/other-repo/file.txt', _WD), 'dangerous')
+check('workDir の外 (/etc)',
+      policy.rm_path_risk('/etc/passwd', _WD), 'dangerous')
+# .. で外に出るパス
+check('.. で workDir の外',
+      policy.rm_path_risk('/home/goto/projects/goto-renshu/../other/file', _WD), 'dangerous')
+# .git
+check('workDir 内の .git',
+      policy.rm_path_risk('/home/goto/projects/goto-renshu/.git', _WD), 'dangerous')
+check('workDir 内の .git/ 配下',
+      policy.rm_path_risk('/home/goto/projects/goto-renshu/.git/config', _WD), 'dangerous')
+check('workDir 内の sub/.git',
+      policy.rm_path_risk('/home/goto/projects/goto-renshu/sub/.git/HEAD', _WD), 'dangerous')
+# / ~ /home はそもそも dangerous（workDir に関係なく）
+check('/ (ルート)',
+      policy.rm_path_risk('/', _WD), 'dangerous')
+check('~ (ホーム)',
+      policy.rm_path_risk('~', _WD), 'dangerous')
+check('/home',
+      policy.rm_path_risk('/home', _WD), 'dangerous')
+
+# workDir を知れないとき → 従来どおり dangerous
+check('workDir なし → dangerous',
+      policy.rm_path_risk('/home/goto/projects/goto-renshu/file.txt'), 'dangerous')
+check('workDir なし → dangerous (None)',
+      policy.rm_path_risk('/home/goto/projects/goto-renshu/file.txt', None), 'dangerous')
+
+print('\n=== workDir 内の rm: decide_bash 経由で秘密・設定は引き続き止まる ===')
+# ★ .env 等は _secret_danger が止める（rm_path_risk の変更とは別の検査）
+_wd_env = os.environ.get('CONDUCTOR_WORK_DIR')
+try:
+    os.environ['CONDUCTOR_WORK_DIR'] = _WD
+    check('rm .env (workDir 内・絶対パス) → deny',
+          policy.decide_bash(f'rm {_WD}/.env')['decision'], policy.DENY)
+    check('rm .dev.vars (workDir 内) → deny',
+          policy.decide_bash(f'rm {_WD}/.dev.vars')['decision'], policy.DENY)
+    check('rm .npmrc (workDir 内) → deny',
+          policy.decide_bash(f'rm {_WD}/.npmrc')['decision'], policy.DENY)
+    check('rm id_rsa (workDir 内) → deny',
+          policy.decide_bash(f'rm {_WD}/id_rsa')['decision'], policy.DENY)
+    check('rm server.key (workDir 内) → deny',
+          policy.decide_bash(f'rm {_WD}/server.key')['decision'], policy.DENY)
+    check('rm server.pem (workDir 内) → deny',
+          policy.decide_bash(f'rm {_WD}/server.pem')['decision'], policy.DENY)
+    # .git は rm_path_risk 自体が止める
+    check('rm -rf .git (workDir 内) → deny',
+          policy.decide_bash(f'rm -rf {_WD}/.git')['decision'], policy.DENY)
+    # .claude/settings.json は _guard_write_scan が止める
+    check('rm .claude/settings.json (workDir 内) → deny',
+          policy.decide_bash(f'rm {_WD}/.claude/settings.json')['decision'], policy.DENY)
+    # 作業ファイルは通る
+    check('rm 作業ファイル (workDir 内・絶対パス) → allow',
+          policy.decide_bash(f'rm {_WD}/goto-renshu-check.txt')['decision'], policy.ALLOW)
+    check('rm 作業ファイル (workDir 内・相対パス) → allow',
+          policy.decide_bash('rm goto-renshu-check.txt')['decision'], policy.ALLOW)
+finally:
+    if _wd_env is None:
+        os.environ.pop('CONDUCTOR_WORK_DIR', None)
+    else:
+        os.environ['CONDUCTOR_WORK_DIR'] = _wd_env
+
 # ─────────────────────────────────────────────────────────────────────────────
 print('\n' + '=' * 72)
 if failures: