@tyhld/conductor 0.12.75 → 0.12.77

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@tyhld/conductor",
-  "version": "0.12.75",
+  "version": "0.12.77",
   "description": "采配くん管制の見守りアプリ（conductor-agent）。各PCで常駐し、中央(devlog-tracker)へ定期的に生存報告(heartbeat)を送る常駐CLI。",
   "type": "module",
   "bin": {

package/scripts/hooks/policy.py

@@ -2065,12 +2065,23 @@ def _prod_db_change_result(reason):
 # 危険でない作業フォルダの絶対パス先頭成分（/tmp/xxx は限定削除として通す）。
 _SAFE_ABS_TOP = frozenset({'tmp'})
 
+# rm で保護するディレクトリ名（workDir の中であっても削除禁止）。
+# .git … リポジトリの履歴、.claude … エージェント設定、.tyhld … 番人・道具の設定。
+_RM_PROTECTED_DIRS = frozenset({'.git', '.claude', '.tyhld'})
+
+
+def _rm_hits_protected(rel_comps: list) -> bool:
+    """相対パスの成分リストが保護対象を含むか（.git・.claude・.tyhld のいずれかに当たるか）。"""
+    return bool(_RM_PROTECTED_DIRS.intersection(rel_comps))
+
 
 def rm_path_risk(path: str, work_dir: str = None) -> str:
     """rm の対象パスの危険度: 'dangerous' / 'safe' / 'unknown'。
 
     work_dir が渡されたとき、絶対パスが work_dir の中を指すなら 'safe'（相対パスと同じ扱い）。
-    ただし work_dir 自体・.git を含むパス・.. やシンボリックリンクで外に出るパスは 'dangerous'。
+    ただし work_dir 自体・保護対象（.git/.claude/.tyhld）を含むパス・
+    .. やシンボリックリンクで外に出るパスは 'dangerous'。
+    相対パスでも保護対象を含むなら 'dangerous'。
     work_dir が None のとき（非 conductor 環境）は従来どおり。
     """
     p = path.strip().strip('"').strip("'")
@@ -2092,10 +2103,8 @@ def rm_path_risk(path: str, work_dir: str = None) -> str:
         if not comps:
             return 'dangerous'
         # ★workDir 内の絶対パスは相対パスと同じ扱い（便 24c9b6b6）。
-        #   workDir 自体・.git・.. やシンボリックリンクで外に出るパスは引き続き dangerous。
+        #   workDir 自体・保護対象（.git/.claude/.tyhld）・.. やシンボリックリンクで外に出るパスは dangerous。
         #   workDir を知れないときは従来どおり止める（Fail Closed）。
-        #   ★秘密（.env 等）と設定（.claude 等）は別の検査（_secret_danger / _guard_write_scan）が
-        #     引き続き止めるので、ここでは .git だけを追加で守る。
         if work_dir:
             try:
                 resolved = os.path.realpath(p)
@@ -2104,14 +2113,37 @@ def rm_path_risk(path: str, work_dir: str = None) -> str:
                     pass  # workDir 自体 → fall through to 'dangerous'
                 elif resolved.startswith(work_resolved + os.sep):
                     rel_comps = resolved[len(work_resolved) + 1:].split(os.sep)
-                    if '.git' not in rel_comps:
+                    if not _rm_hits_protected(rel_comps):
                         return 'safe'
-                    # .git を含む → fall through to 'dangerous'
+                    # 保護対象を含む → fall through to 'dangerous'
             except (OSError, ValueError):
                 pass  # 解決できない → fall through（Fail Closed）
         if comps[0] in _SAFE_ABS_TOP and len(comps) >= 2:
             return 'safe'
         return 'dangerous'
+    # 相対パス: 保護対象を含むなら dangerous（書き方に依らず最終的に消される先で判定）。
+    # work_dir があれば解決して判定、なければ成分名で判定（Fail Closed）。
+    rel_comps = [c for c in p.replace('\\', '/').split('/') if c and c != '.']
+    if '..' in rel_comps:
+        # .. を含む相対パスは解決しないと行き先が分からない
+        if work_dir:
+            try:
+                resolved = os.path.realpath(os.path.join(work_dir, p))
+                work_resolved = os.path.realpath(work_dir)
+                if resolved == work_resolved or not resolved.startswith(work_resolved + os.sep):
+                    return 'dangerous'
+                inner = resolved[len(work_resolved) + 1:].split(os.sep)
+                if _rm_hits_protected(inner):
+                    return 'dangerous'
+            except (OSError, ValueError):
+                # 解決できない＋保護対象の名前を含む → dangerous（Fail Closed）
+                if _RM_PROTECTED_DIRS.intersection(rel_comps):
+                    return 'dangerous'
+        else:
+            if _RM_PROTECTED_DIRS.intersection(rel_comps):
+                return 'dangerous'
+    elif _rm_hits_protected(rel_comps):
+        return 'dangerous'
     return 'safe'
 
 

package/scripts/hooks/test_policy.py

@@ -1825,6 +1825,82 @@ finally:
     else:
         os.environ['CONDUCTOR_WORK_DIR'] = _wd_env
 
+# ─────────────────────────────────────────────────────────────────────────────
+# workDir 内の rm: .claude/.tyhld/.git を絶対パス・相対パス両方で保護（便 13954515）
+# ─────────────────────────────────────────────────────────────────────────────
+print('\n=== workDir 内の rm: 環境設定の保護（絶対パス） ===')
+check('workDir 内の .claude/hooks (絶対パス)',
+      policy.rm_path_risk(f'{_WD}/.claude/hooks', _WD), 'dangerous')
+check('workDir 内の .claude/任意ファイル (絶対パス)',
+      policy.rm_path_risk(f'{_WD}/.claude/any-file.json', _WD), 'dangerous')
+check('workDir 内の .tyhld (絶対パス)',
+      policy.rm_path_risk(f'{_WD}/.tyhld', _WD), 'dangerous')
+check('workDir 内の .tyhld/hooks/p.py (絶対パス)',
+      policy.rm_path_risk(f'{_WD}/.tyhld/hooks/p.py', _WD), 'dangerous')
+check('workDir 内の作業ファイルは引き続き safe (絶対パス)',
+      policy.rm_path_risk(f'{_WD}/src/main.ts', _WD), 'safe')
+
+print('\n=== workDir 内の rm: 環境設定の保護（相対パス） ===')
+check('rm -rf .git (相対パス)',
+      policy.rm_path_risk('.git', _WD), 'dangerous')
+check('rm -rf ./.git (相対パス)',
+      policy.rm_path_risk('./.git', _WD), 'dangerous')
+check('rm -rf .git/config (相対パス)',
+      policy.rm_path_risk('.git/config', _WD), 'dangerous')
+check('rm -rf .claude/hooks (相対パス)',
+      policy.rm_path_risk('.claude/hooks', _WD), 'dangerous')
+check('rm -rf .claude/settings.json (相対パス)',
+      policy.rm_path_risk('.claude/settings.json', _WD), 'dangerous')
+check('rm -rf .tyhld (相対パス)',
+      policy.rm_path_risk('.tyhld', _WD), 'dangerous')
+check('rm -rf .tyhld/hooks (相対パス)',
+      policy.rm_path_risk('.tyhld/hooks', _WD), 'dangerous')
+# .. で保護対象を指す
+check('sub/../.git (相対パス)',
+      policy.rm_path_risk('sub/../.git', _WD), 'dangerous')
+check('sub/../.claude/hooks (相対パス)',
+      policy.rm_path_risk('sub/../.claude/hooks', _WD), 'dangerous')
+check('sub/../.tyhld (相対パス)',
+      policy.rm_path_risk('sub/../.tyhld', _WD), 'dangerous')
+# 普通の相対パスは引き続き safe
+check('rm -rf node_modules (相対パス) → safe',
+      policy.rm_path_risk('node_modules', _WD), 'safe')
+check('rm -rf dist (相対パス) → safe',
+      policy.rm_path_risk('dist', _WD), 'safe')
+check('rm foo.txt (相対パス) → safe',
+      policy.rm_path_risk('foo.txt', _WD), 'safe')
+check('rm -rf .next (相対パス) → safe',
+      policy.rm_path_risk('.next', _WD), 'safe')
+
+print('\n=== workDir 内の rm: decide_bash 経由で環境設定の保護 ===')
+_wd_env2 = os.environ.get('CONDUCTOR_WORK_DIR')
+try:
+    os.environ['CONDUCTOR_WORK_DIR'] = _WD
+    # 絶対パス
+    check('decide_bash: rm -rf .claude/hooks (絶対パス) → deny',
+          policy.decide_bash(f'rm -rf {_WD}/.claude/hooks')['decision'], policy.DENY)
+    check('decide_bash: rm -rf .tyhld (絶対パス) → deny',
+          policy.decide_bash(f'rm -rf {_WD}/.tyhld')['decision'], policy.DENY)
+    # 相対パス
+    check('decide_bash: rm -rf .git (相対パス) → deny',
+          policy.decide_bash('rm -rf .git')['decision'], policy.DENY)
+    check('decide_bash: rm -rf .claude/hooks (相対パス) → deny',
+          policy.decide_bash('rm -rf .claude/hooks')['decision'], policy.DENY)
+    check('decide_bash: rm -rf .tyhld (相対パス) → deny',
+          policy.decide_bash('rm -rf .tyhld')['decision'], policy.DENY)
+    # 普通の削除は引き続き allow
+    check('decide_bash: rm -rf node_modules (相対パス) → allow',
+          policy.decide_bash('rm -rf node_modules')['decision'], policy.ALLOW)
+    check('decide_bash: rm -rf dist (相対パス) → allow',
+          policy.decide_bash('rm -rf dist')['decision'], policy.ALLOW)
+    check('decide_bash: rm foo.txt → allow',
+          policy.decide_bash('rm foo.txt')['decision'], policy.ALLOW)
+finally:
+    if _wd_env2 is None:
+        os.environ.pop('CONDUCTOR_WORK_DIR', None)
+    else:
+        os.environ['CONDUCTOR_WORK_DIR'] = _wd_env2
+
 # ─────────────────────────────────────────────────────────────────────────────
 print('\n' + '=' * 72)
 if failures: