@tyhld/conductor 0.12.91 → 0.12.93

package/dist/autoupdate.js

@@ -36,7 +36,7 @@ import os from 'node:os';
 import path from 'node:path';
 import { fileURLToPath } from 'node:url';
 import { CLAUDE_MIN_VERSION, compareVersions, isProcessAlive, parseClaudeVersion, resolveClaudeBin, } from './headless.js';
-import { defaultExec, fetchClaudeStable, npmBesideNode, pickCandidates } from './selfcheck.js';
+import { defaultExec, fetchClaudeStable, npmBesideNode, pickCandidates, selfcheckDir } from './selfcheck.js';
 // ─────────────────────────────────────────────────────────────────────────────
 // 定数（★時間の値は設計 3ed9e2b2 の推奨値・管制の ROLLOUT_TIMES と同じ考え方）
 // ─────────────────────────────────────────────────────────────────────────────
@@ -55,6 +55,12 @@ export const RESTART_WAIT_MS = 120_000;
 export const RESTART_POLL_MS = 5_000;
 /** 戻しても直らなかった機で、自己診断を測り直す間隔。 */
 export const HELD_RECHECK_MS = 60 * 60 * 1000;
+/**
+ * 自己診断が「人にしかできない操作（🔵）」だけで落ちているとき、測り直す間隔（便 4cf71dde）。
+ *   ★人は直したあと何も打たない。この間隔で更新係が自己診断をやり直し、通れば先へ進む。
+ *   1回 約0.04ドルなので、待っているあいだも1時間に1回まで（戻しても直らない機の測り直しと同じ間隔）。
+ */
+export const HUMAN_RECHECK_MS = 60 * 60 * 1000;
 /** 候補を届けられなかったとき、もう一度届けに行くまでの間隔。 */
 export const CANDIDATE_RETRY_MS = 24 * 60 * 60 * 1000;
 const SEMVER = /^\d+\.\d+\.\d+$/;
@@ -352,7 +358,10 @@ async function afterSwap(d, s) {
     const failed = r.failedKeys.join(',') || '不明';
     if (!s.rollback) {
         // ★前の版へ戻す（そのPCだけ）。
-        addFailed(s, comp, s.to);
+        //   ★人にしかできない操作だけで落ちたときは、版の不具合と決めつけない（落ちた版の印を付けない）。
+        //     人が直した後、管制がまだその版を返していれば、もう一度入れ替えて確かめられる（便 4cf71dde）。
+        if (!r.humanOnly)
+            addFailed(s, comp, s.to);
         const back = s.from ?? null;
         if (comp === 'claude-code' && back && compareVersions(back, CLAUDE_MIN_VERSION) < 0) {
             s.phase = 'held';
@@ -409,6 +418,49 @@ async function rollBack(d, s, back) {
     removeDrain(d, s);
     return afterSwap(d, s);
 }
+/** 手元の自己診断の控え（last.json）のうち、更新係が読む物。読めなければ null。 */
+export function readLastSelfcheck(home) {
+    try {
+        const j = JSON.parse(readFileSync(path.join(selfcheckDir(home), 'last.json'), 'utf8'));
+        if (j.result !== 'PASS' && j.result !== 'FAIL')
+            return null;
+        const failed = (j.items ?? []).filter((i) => i.ok === false);
+        const at = typeof j.finishedAt === 'string' ? Date.parse(j.finishedAt) : NaN;
+        return {
+            pass: j.result === 'PASS',
+            humanOnly: failed.length > 0 && failed.every((i) => i.failKind === 'human'),
+            finishedAt: Number.isFinite(at) ? at : null,
+        };
+    }
+    catch {
+        return null;
+    }
+}
+/**
+ * 最後の自己診断が「人にしかできない操作」だけで落ちているあいだは、人の手番を待つ（便 4cf71dde）。
+ *   ★人が直しても何も打たなくてよいように、HUMAN_RECHECK_MS ごとに自己診断をやり直す。通れば待ちは終わり。
+ *   返り値 waiting=true ＝まだ待つ（入れ替えない・候補の自己診断を流さない）。
+ *   ★仕組みの異常（fault）が混ざる FAIL は、ここでは待たない（今までどおり入れ替え・戻しで確かめる）。
+ */
+function waitingForHuman(d, now) {
+    const last = readLastSelfcheck(d.home);
+    if (!last || last.pass || !last.humanOnly)
+        return { waiting: false, detail: '' };
+    const age = last.finishedAt === null ? Infinity : now.getTime() - last.finishedAt;
+    if (age < HUMAN_RECHECK_MS) {
+        const next = new Date((last.finishedAt ?? now.getTime()) + HUMAN_RECHECK_MS).toISOString();
+        return { waiting: true, detail: `自己診断が人の操作待ち（🔵）で落ちたままです。次の測り直し ${next}` };
+    }
+    const r = d.runSelfcheck('daily');
+    if (r.pass) {
+        d.log('人の操作待ちだった自己診断が通りました。先へ進みます');
+        return { waiting: false, detail: '' };
+    }
+    return {
+        waiting: true,
+        detail: `自己診断を測り直しましたが、まだ通りません（${r.failedKeys.join(',') || '不明'}${r.humanOnly ? '・人の操作待ち' : ''}）`,
+    };
+}
 // ─────────────────────────────────────────────────────────────────────────────
 // 1回ぶん
 // ─────────────────────────────────────────────────────────────────────────────
@@ -465,6 +517,9 @@ export async function runUpdater(d) {
         const why = !target.ready ? '管制はまだ準備中です' : target.halted ? '管制で自動更新が止められています' : 'この機は自動更新の対象ではありません';
         return done(d, s, 'skip', `${why}（${target.reason ?? '理由なし'}）。何もしません`);
     }
+    // ③-2 人の操作待ち（🔵）で自己診断が落ちたままなら、測り直してから先へ進む（便 4cf71dde）。
+    //   ★落ちたまま入れ替えると、同じ理由で落ちて戻し、版に疑いが付く（実物 2026-10-03 02:43Z・ノートPC）。
+    const human = waitingForHuman(d, now);
     // ④ どの部品を動かすか（★conductor の目標が今と違うあいだは Claude Code を動かさない）。
     const claudeNow = d.resolveClaude();
     let comp = null;
@@ -495,11 +550,18 @@ export async function runUpdater(d) {
     if (!comp || !want) {
         removeDrain(d, s);
         s.busySince = null;
+        if (human.waiting)
+            return done(d, s, 'wait-human', human.detail);
         // ★後続の機は候補を探さない・候補の自己診断を流さない（役は管制が決める・欄が無ければ今までどおり）。
         if (target.role !== 'follower')
             await reportCandidates(d, s, installed, claudeNow?.version ?? null);
         return done(d, s, 'none', `目標の版と同じです（conductor ${installed ?? '不明'}・Claude Code ${claudeNow?.version ?? '不明'}）`);
     }
+    if (human.waiting) {
+        removeDrain(d, s);
+        s.busySince = null;
+        return done(d, s, 'wait-human', `${comp} ${want} へは入れ替えません。${human.detail}`);
+    }
     // ⑤ 全現場が空きか。
     const busy = busySites(d.home, d.isAlive);
     if (busy.length > 0) {
@@ -603,11 +665,14 @@ export function selfcheckViaEntry(home, exec, env) {
         catch {
             // 読めない＝FAIL として扱う（迷ったら戻す側）
         }
-        const failedKeys = (parsed.items ?? []).filter((x) => x.ok === false).map((x) => String(x.key));
+        const failedItems = (parsed.items ?? []).filter((x) => x.ok === false);
+        const failedKeys = failedItems.map((x) => String(x.key));
         const pass = r.status === 0 && parsed.result === 'PASS';
+        // ★読めなかった FAIL（項目が無い）は人の操作待ちとは言わない（迷ったら版を疑う側）。
+        const humanOnly = !pass && failedItems.length > 0 && failedItems.every((x) => x.failKind === 'human');
         if (!pass && failedKeys.length === 0)
             failedKeys.push(`selfcheck(終了 ${r.status})`);
-        return { pass, failedKeys, sent: typeof parsed.sent?.sent === 'boolean' ? parsed.sent.sent : null };
+        return { pass, failedKeys, sent: typeof parsed.sent?.sent === 'boolean' ? parsed.sent.sent : null, humanOnly };
     };
 }
 /** `conductor autoupdate [--boot]` の入口。返り値は終了コード（★失敗でも 0＝タイマーを止めない。使い方の誤りだけ 2）。 */

package/dist/headless.js

@@ -996,6 +996,41 @@ function closeLog(ws) {
  *   失敗の理由は lastSpawnError に入る。
  */
 export let lastSpawnError = '';
+/** 職人の PATH で「古い node が先に来ない」ように見る道具の名前。 */
+const NODE_TOOLS = ['node', 'npm', 'npx'];
+/**
+ * 職人（claude -p）の子プロセスへ渡す PATH を作る（便 24c9b6b6・e9276b86）。
+ *
+ * 【なぜ要るか（実物 2026-10-03・TYHLD-OTA 便 f770cd9d／ノートPC 便 4cf71dde）】
+ *   systemd の常駐はシェルの PATH を継承しないので、nvm の bin が職人の PATH に無い。
+ *   以前は claude が nvm の bin に居たので、claude の bin を足すだけで npm・npx も一緒に見えていた。
+ *   Claude Code を公式の入れ方（~/.local/bin/claude）にそろえた後は、足されるのが ~/.local/bin だけになり、
+ *   職人の bash で `npm: command not found`。node だけは /usr/local/bin/node（nvm への近道）で見えていた。
+ *   ★/usr/bin/node（v18）が別に在る機もあるので、PATH の順が崩れると古い node が動く。
+ *
+ * 【決め方】
+ *   - 中継を動かしている node（process.execPath＝conductor-run が選んだ配布物の node）の bin を必ず足す。
+ *     ＝職人の node・npm・npx は、中継と同じ版になる（その bin に npm・npx が同居する入れ方＝nvm 等）。
+ *   - claude の bin も足す（便 24c9b6b6）。ただし claude の bin に node・npm・npx のどれかが在るとき
+ *     （/usr/bin・nvm の別の版など）は、中継の node の bin をその前に置く＝古い node が先に来ない。
+ *     claude の bin に node 類が無いとき（~/.local/bin などの公式の入れ方）は、claude の bin を先に置く
+ *     ＝職人の bash の `claude` は中継が選んだ claude のまま。
+ *   - 2つは既に PATH に在っても先頭へ寄せる（後ろに残っていると、先に在る古い node が勝つため）。重複させない。
+ *   - PATH が空でも動く。
+ */
+export function buildWorkerPath(currentPath, claudeBin, nodeExecPath = process.execPath, hasTool = (dir, name) => existsSync(path.join(dir, name))) {
+    const nodeDir = path.dirname(nodeExecPath);
+    const claudeDir = path.dirname(claudeBin);
+    let front;
+    if (nodeDir === claudeDir)
+        front = [nodeDir];
+    else if (NODE_TOOLS.some((t) => hasTool(claudeDir, t)))
+        front = [nodeDir, claudeDir];
+    else
+        front = [claudeDir, nodeDir];
+    const rest = (currentPath ?? '').split(':').filter((d) => d !== '' && !front.includes(d));
+    return [...front, ...rest].join(':');
+}
 export function spawnClaudeProcess(cfg, cmd, sessionId, attempt, isResume) {
     // 前の失敗の理由を持ち越さない（理由の無い失敗に古い理由が付かないように）
     lastSpawnError = '';
@@ -1025,15 +1060,9 @@ export function spawnClaudeProcess(cfg, cmd, sessionId, attempt, isResume) {
     env.CONDUCTOR_SITE = cfg.site;
     env.CONDUCTOR_MACHINE = cfg.machine;
     env.CONDUCTOR_WORK_DIR = cfg.workDir;
-    // ★claude が見つかった bin ディレクトリを PATH の先頭に足す（便 24c9b6b6）。
-    //   systemd 経由の起動では nvm の bin が PATH に無いため、子プロセスの bash から
-    //   claude・node・npm・pnpm が command not found になる。resolveClaudeBin() が
-    //   信頼したディレクトリだけを足す。重複させない・PATH が空でも動く。
-    const claudeBinDir = path.dirname(claudeBin);
-    const currentPath = env.PATH ?? '';
-    if (!currentPath.split(':').includes(claudeBinDir)) {
-        env.PATH = currentPath ? `${claudeBinDir}:${currentPath}` : claudeBinDir;
-    }
+    // ★職人の PATH の先頭に、中継を動かしている node の bin と claude の bin を足す
+    //   （便 24c9b6b6・e9276b86）。決め方は buildWorkerPath の説明を見ること。
+    env.PATH = buildWorkerPath(env.PATH, claudeBin);
     // ★テスト用: CONDUCTOR_CLAUDE_CONFIG_DIR を設定すると、claude の設定フォルダを差し替える。
     //   本物のログインを壊さずに認証エラーを再現できる（空のフォルダを指す → not logged in）。
     //   本番では設定しない（claude は既定の ~/.claude を使う）。

package/dist/realtime-parse.js

@@ -22,6 +22,14 @@ export const EAR_REFRESH_FALLBACK_MS = 8 * 60 * 60 * 1000;
 /** 再接続の待ち（指数バックオフ）の初期値と上限。 */
 export const EAR_RETRY_BASE_MS = 5 * 1000;
 export const EAR_RETRY_MAX_MS = 5 * 60 * 1000;
+/**
+ * 鍵が通らない（401・403）ときの聞き直しの待ち（指数バックオフ）の初期値と上限（便 e9276b86）。
+ *   【実物 2026-10-03 03:04〜03:24Z】鍵が通らない機から realtime-token が 2〜4秒おきに聞き直され、20分で 401 が189件。
+ *   鍵は待っても直らない（人が入れ直すまで同じ答え）ので、ふつうの切断（5秒から）より長く空ける。
+ *   ★1分 → 2分 → 4分 …と広げ、30分で頭打ち。つながっているときの速さ（合図・取り直し）は変えない。
+ */
+export const EAR_AUTH_RETRY_BASE_MS = 60 * 1000;
+export const EAR_AUTH_RETRY_MAX_MS = 30 * 60 * 1000;
 /** 購読設定が無い（unsupported）ときに問い直す間隔(ms)。中央の設定投入に自然に追従するため。 */
 export const EAR_UNSUPPORTED_RETRY_MS = 30 * 60 * 1000;
 /**
@@ -108,6 +116,15 @@ export function computeRefreshDelayMs(expiresAt, nowMs) {
         return clamp(EAR_REFRESH_FALLBACK_MS);
     return clamp(at - nowMs - EAR_REFRESH_MARGIN_MS);
 }
+/** 中央の答えが「鍵が通らない」か（401・403）。 */
+export function isAuthRejected(r) {
+    return r.kind === 'error' && (r.status === 401 || r.status === 403);
+}
+/** 鍵が通らないときの待ち(ms)。続けて断られた回数に応じて 1分 → 2分 → 4分 …と広げ、30分で頭打ち。 */
+export function computeAuthRetryDelayMs(failures) {
+    const n = failures < 0 ? 0 : failures;
+    return Math.min(EAR_AUTH_RETRY_MAX_MS, EAR_AUTH_RETRY_BASE_MS * 2 ** Math.min(n, 20));
+}
 /** 再接続の待ち(ms)。試行回数に応じて 5s → 10s → 20s …と広げ、5分で頭打ちにする。 */
 export function computeRetryDelayMs(attempt) {
     const n = attempt < 0 ? 0 : attempt;

package/dist/realtime.js

@@ -30,7 +30,7 @@
  *   読めなければ「耳なし＝各relayのポーリングのみ」で静かに動き続ける。
  */
 import { describeTransport, resolveWebSocketTransport } from './websocket-transport.js';
-import { EAR_NO_SITE_RETRY_MS, EAR_NUDGE_MIN_GAP_MS, EAR_TOKEN_FETCH_TIMEOUT_MS, EAR_UNSUPPORTED_RETRY_MS, computeRefreshDelayMs, computeRetryDelayMs, parseRealtimeConnection, readSignalSite, } from './realtime-parse.js';
+import { EAR_NO_SITE_RETRY_MS, EAR_NUDGE_MIN_GAP_MS, EAR_TOKEN_FETCH_TIMEOUT_MS, EAR_UNSUPPORTED_RETRY_MS, computeAuthRetryDelayMs, computeRefreshDelayMs, computeRetryDelayMs, isAuthRejected, parseRealtimeConnection, readSignalSite, } from './realtime-parse.js';
 // 読み取りと間合いの計算は src/realtime-parse.ts に分けてある（外部I/Oなし＝単体テスト可能）。
 // 従来どおり `./realtime.js` からも使えるよう、ここで通しておく。
 export * from './realtime-parse.js';
@@ -60,7 +60,7 @@ export async function fetchRealtimeConnection(cfg, site) {
             signal: AbortSignal.timeout(EAR_TOKEN_FETCH_TIMEOUT_MS),
         });
         if (!res.ok)
-            return { kind: 'error', detail: `HTTP ${res.status}` };
+            return { kind: 'error', detail: `HTTP ${res.status}`, status: res.status };
         const data = await res.json().catch(() => null);
         return parseRealtimeConnection(data);
     }
@@ -78,12 +78,17 @@ async function loadCreateClient() {
         return null;
     }
 }
+const DEFAULT_IO = {
+    fetchConnection: fetchRealtimeConnection,
+    loadCreateClient,
+    resolveTransport: resolveWebSocketTransport,
+};
 /**
  * 指示の着信合図を受け取る耳を1本張る（★このPCに1本だけ＝耳プロセスからのみ呼ぶ）。
  *
  * 呼び出し側は各relayのポーリングを止めないこと——耳が死んでいる間はポーリングが肩代わりする。
  */
-export function startRealtimeEar(cfg, handlers) {
+export function startRealtimeEar(cfg, handlers, io = DEFAULT_IO) {
     const { siteForToken, onSignal } = handlers;
     let stopped = false;
     let client = null;
@@ -96,6 +101,18 @@ export function startRealtimeEar(cfg, handlers) {
     let lastNudgeSite = null;
     /** 再接続の予約が二重に積まれないようにする（切断イベントは連続で飛んでくる）。 */
     let reconnectArmed = false;
+    /**
+     * 鍵が通らない（401・403）と続けて断られた回数（便 e9276b86）。★接続情報が取れたときだけ 0 に戻す
+     *   （購読の SUBSCRIBED では戻さない＝別の線の知らせで待ちが縮まない）。
+     */
+    let authFailures = 0;
+    /**
+     * いま張っている線の世代（便 e9276b86）。片付けるたびに1つ進める。
+     *   ★片付けた古い線から遅れて届く CLOSED などの知らせは、世代が違うので無視する。
+     *   （以前は、期限の手前の張り直しで古い線を片付けると、その CLOSED で2本目の張り直しが走り、
+     *    聞き直しが重なっていた。）
+     */
+    let generation = 0;
     const clearTimers = () => {
         if (retryTimer) {
             clearTimeout(retryTimer);
@@ -122,16 +139,28 @@ export function startRealtimeEar(cfg, handlers) {
         }
         channel = null;
         client = null;
+        generation += 1;
     };
-    /** 一拍おいて張り直す。理由はログに残す（凝らない＝最悪はポーリングが拾う）。 */
-    const scheduleReconnect = (reason) => {
+    /**
+     * 一拍おいて張り直す。理由はログに残す（凝らない＝最悪はポーリングが拾う）。
+     *   authRejected＝鍵が通らない（401・403）ときは、ふつうの切断より長く空ける（便 e9276b86）。
+     */
+    const scheduleReconnect = (reason, authRejected = false) => {
         if (stopped || reconnectArmed)
             return;
         reconnectArmed = true;
         teardown();
-        const delay = computeRetryDelayMs(attempt);
-        attempt += 1;
-        log(`${reason} → ${Math.round(delay / 1000)}秒後に張り直します（この間は各relayの15秒ポーリングが肩代わり）`);
+        let delay;
+        if (authRejected) {
+            delay = computeAuthRetryDelayMs(authFailures);
+            authFailures += 1;
+        }
+        else {
+            delay = computeRetryDelayMs(attempt);
+            attempt += 1;
+        }
+        log(`${reason} → ${Math.round(delay / 1000)}秒後に張り直します（この間は各relayの15秒ポーリングが肩代わり）` +
+            (authRejected ? '。★鍵が通りません（~/.conductor.env の合言葉を確かめてください）' : ''));
         clearTimers();
         retryTimer = setTimeout(() => {
             reconnectArmed = false;
@@ -168,7 +197,7 @@ export function startRealtimeEar(cfg, handlers) {
     const connect = async () => {
         if (stopped)
             return;
-        const createClient = await loadCreateClient();
+        const createClient = await io.loadCreateClient();
         if (createClient === null) {
             log('@supabase/supabase-js が読めないため耳は張りません（各relayの15秒ポーリングでこれまでどおり動きます）');
             return; // 依存は実行中に生えないので再試行しない。
@@ -176,7 +205,7 @@ export function startRealtimeEar(cfg, handlers) {
         // ★どの Node(18/20/22) でも耳が張れるようにする（実機 Node 20 の「native WebSocket not found」根治）。
         //   標準の WebSocket が無い機では同梱の ws を supabase-js の transport へ渡す。
         //   どちらも用意できなければ耳は張らない——が、プロセスは落とさない（ポーリングが肩代わりする）。
-        const transport = await resolveWebSocketTransport();
+        const transport = await io.resolveTransport();
         if (transport === null) {
             log('この機には標準のWebSocketが無く、同梱のWebSocket部品(ws)も読めないため耳は張りません' +
                 '（npm install で解消します。それまでも各relayの15秒ポーリングでこれまでどおり動きます）');
@@ -189,7 +218,9 @@ export function startRealtimeEar(cfg, handlers) {
             retryTimer = setTimeout(() => void connect(), EAR_NO_SITE_RETRY_MS);
             return;
         }
-        const result = await fetchRealtimeConnection(cfg, site);
+        const result = await io.fetchConnection(cfg, site);
+        if (stopped)
+            return;
         if (result.kind === 'unsupported') {
             log(`中央から購読設定が返らないため耳は張りません（${result.detail}）。` +
                 `各relayの15秒ポーリングで動き続け、${Math.round(EAR_UNSUPPORTED_RETRY_MS / 60000)}分後にもう一度問い合わせます`);
@@ -198,10 +229,12 @@ export function startRealtimeEar(cfg, handlers) {
             return;
         }
         if (result.kind === 'error') {
-            scheduleReconnect(`接続情報を取得できません（${result.detail}）`);
+            scheduleReconnect(`接続情報を取得できません（${result.detail}）`, isAuthRejected(result));
             return;
         }
+        authFailures = 0;
         const conn = result.conn;
+        const myGeneration = generation;
         try {
             client = createClient(conn.supabaseUrl, conn.supabaseAnonKey, {
                 auth: { persistSession: false, autoRefreshToken: false },
@@ -221,7 +254,8 @@ export function startRealtimeEar(cfg, handlers) {
                 .channel(spec.channel)
                 .on('postgres_changes', filterOpt, handleSignal)
                 .subscribe((status, err) => {
-                if (stopped)
+                // ★片付けた古い線の知らせは無視する（張り直しを重ねない・便 e9276b86）。
+                if (stopped || myGeneration !== generation)
                     return;
                 if (status === 'SUBSCRIBED') {
                     attempt = 0;

package/dist/selfcheck.js

@@ -27,7 +27,7 @@ import { existsSync, mkdirSync, readFileSync, readdirSync, rmSync, writeFileSync
 import os from 'node:os';
 import path from 'node:path';
 import { fileURLToPath } from 'node:url';
-import { CLAUDE_MIN_VERSION, claudeUpdateHint, compareVersions, lastClaudePinStatus, resolveClaudeBin, } from './headless.js';
+import { buildWorkerPath, CLAUDE_MIN_VERSION, claudeUpdateHint, compareVersions, lastClaudePinStatus, resolveClaudeBin, } from './headless.js';
 import { fetchControl } from './relay.js';
 import { readDrain } from './autoupdate-flags.js';
 // ─────────────────────────────────────────────────────────────────────────────
@@ -164,8 +164,9 @@ export function summarizeStream(stdout) {
  *   init 行には `mcp_servers: [{ name, status }]` が載る。status は connected / pending /
  *   needs-auth / failed など。このPCでは「claude.ai ai-kana」（アカウントのコネクタ）と、
  *   使っていない手元の登録「ai-kana」（いつも needs-auth）の2つが並ぶ。
- *   ★1つでも connected なら接続済み。pending（つなぎかけで始まった）が在れば確定できない
- *     （＝要認証とは言わない）。connected も pending も無く needs-auth が在るときだけ要認証。
+ *   ★1つでも connected なら接続済み（便が完了の知らせに使えるのは、どれか1つがつながっていれば足りる）。
+ *     pending（つなぎかけ）・読めない状態が在れば確定できない（＝要認証とは言わない）。
+ *     connected も pending も無く needs-auth が在るときだけ要認証。
  */
 export function aiKanaMcpState(mcp) {
     if (mcp === null)
@@ -175,12 +176,88 @@ export function aiKanaMcpState(mcp) {
         return 'missing';
     if (mine.some((s) => s.status === 'connected'))
         return 'connected';
-    if (mine.some((s) => s.status === 'pending'))
+    if (mine.some((s) => s.status === 'pending' || s.status === 'unknown'))
         return 'pending';
     if (mine.some((s) => /auth/i.test(s.status)))
         return 'needs-auth';
     return 'failed';
 }
+/**
+ * MCP の状態が落ち着くのを待つ上限（★回数と時間の両方・便 4cf71dde）。
+ *   ふつうは `claude mcp list` 1回（数秒）で落ち着く。上限まで落ち着かなければ PASS にも 🔵 にもしない（🟡）。
+ */
+export const MCP_SETTLE_TRIES = 3;
+export const MCP_SETTLE_WAIT_MS = 5_000;
+export const MCP_LIST_TIMEOUT_MS = 45_000;
+/**
+ * `claude mcp list` の出力を読む（★実機 2026-10-03・Claude Code 2.1.287 の形）。
+ *   `claude.ai ai-kana: https://… - ✔ Connected` ／ `ai-kana: https://… (HTTP) - ! Needs authentication` ／
+ *   `名前: … - ✗ Failed to connect`。★知らない形の行は「読めない（unknown）」＝落ち着いていない側に倒す。
+ */
+export function parseMcpList(stdout) {
+    const out = [];
+    for (const raw of stdout.split('\n')) {
+        const line = raw.trim();
+        const m = line.match(/^(.+?): .* - (.+)$/);
+        if (!m)
+            continue;
+        const word = m[2];
+        const status = /connected/i.test(word) && !/not connected|disconnected/i.test(word)
+            ? 'connected'
+            : /auth/i.test(word)
+                ? 'needs-auth'
+                : /fail|error/i.test(word)
+                    ? 'failed'
+                    : /pending|connecting/i.test(word)
+                        ? 'pending'
+                        : 'unknown';
+        out.push({ name: m[1], status });
+    }
+    return out;
+}
+/**
+ * 便が実際に使う MCP の状態を、落ち着くまで確かめる（★便 4cf71dde の根治）。
+ *
+ * 【なぜ init 行だけでは足りないか（実物 2026-10-03・ノートPC）】
+ *   便（claude -p）が完了の知らせ・開発履歴に使っているのはアカウントのコネクタ「claude.ai ai-kana」
+ *   （道具の名前 mcp__claude_ai_ai-kana__*）で、手元の登録「ai-kana」（User config・要認証）は使っていない。
+ *   ところが常駐（systemd）から起こした claude -p の init 行には、コネクタがまだ1つも載らない
+ *   （便の記録でも init は [ai-kana:needs-auth] だけ。コネクタは後から読み込まれ、便の中では使えている）。
+ *   人が端末から流すと載るが pending のまま。＝init 行は「始まった瞬間」の写しで、落ち着いた状態ではない。
+ *   そのため同じPC・同じ日に「つなぎかけ→PASS」と「要認証→🔵」に割れた。
+ * 【どう確かめるか】init 行で接続済みなら、それで足りる（追加の所要なし）。そうでなければ、同じ claude・
+ *   同じ環境で `claude mcp list`（コネクタも含めて1つずつつないで確かめる・型は使わない＝費用なし）を流し、
+ *   落ち着いた状態（つながった／要認証／失敗）が出るまで、回数と時間の上限つきで待つ。
+ */
+export async function settleMcp(d, claudeBin, cwd, init) {
+    const first = aiKanaMcpState(init);
+    if (first === 'connected')
+        return { state: 'connected', list: init, source: 'init', tries: 0, why: null };
+    if (!claudeBin) {
+        return { state: first === 'pending' ? 'unsettled' : first, list: init, source: init ? 'init' : 'none', tries: 0, why: 'claude が無いので確かめ直せません' };
+    }
+    const sleep = d.sleep ?? ((ms) => new Promise((r) => setTimeout(r, ms)));
+    const env = probeEnv(d, claudeBin);
+    let last = null;
+    let why = null;
+    for (let i = 1; i <= MCP_SETTLE_TRIES; i++) {
+        const r = d.exec(claudeBin, ['mcp', 'list'], { cwd, env, timeoutMs: MCP_LIST_TIMEOUT_MS });
+        const list = parseMcpList(r.stdout);
+        if (list.length > 0)
+            last = list;
+        const st = list.length > 0 ? aiKanaMcpState(list) : 'unknown';
+        if (st === 'connected' || st === 'needs-auth' || st === 'failed' || st === 'missing') {
+            return { state: st, list, source: 'mcp-list', tries: i, why: null };
+        }
+        why =
+            list.length === 0
+                ? `claude mcp list の一覧を読めません（終了 ${r.status}${r.error ? `・${r.error.slice(0, 80)}` : ''}）`
+                : 'ai-kana の MCP が つなぎかけのまま';
+        if (i < MCP_SETTLE_TRIES)
+            await sleep(MCP_SETTLE_WAIT_MS);
+    }
+    return { state: 'unsettled', list: last ?? init, source: last ? 'mcp-list' : init ? 'init' : 'none', tries: MCP_SETTLE_TRIES, why };
+}
 // ─────────────────────────────────────────────────────────────────────────────
 // 本体
 // ─────────────────────────────────────────────────────────────────────────────
@@ -456,6 +533,14 @@ function siteSettingsFor(distRoot) {
         return null;
     }
 }
+/** 小さな試験と MCP の確かめで claude に渡す環境（★中継と同じ形・src/headless.ts）。 */
+function probeEnv(d, claudeBin) {
+    const env = { ...d.env };
+    delete env.CLAUDECODE;
+    delete env.ANTHROPIC_API_KEY;
+    env.PATH = buildWorkerPath(env.PATH, claudeBin);
+    return env;
+}
 /** ⑥ 小さな headless 試験を1回流す。 */
 function runHeadlessProbe(d, claudeBin, runDir) {
     const res = { summary: null, exitCode: null, outsideWrite: 'unknown', net: {}, probeRan: false, error: null };
@@ -475,12 +560,7 @@ function runHeadlessProbe(d, claudeBin, runDir) {
     }
     writeFileSync(path.join(work, '.claude', 'settings.json'), settings);
     writeFileSync(path.join(work, 'probe.sh'), probeScript(outsideFile), { mode: 0o755 });
-    const env = { ...d.env };
-    delete env.CLAUDECODE;
-    delete env.ANTHROPIC_API_KEY;
-    const binDir = path.dirname(claudeBin);
-    if (!(env.PATH ?? '').split(':').includes(binDir))
-        env.PATH = env.PATH ? `${binDir}:${env.PATH}` : binDir;
+    const env = probeEnv(d, claudeBin);
     const r = d.exec(claudeBin, [
         '-p', PROBE_PROMPT,
         '--output-format', 'stream-json',
@@ -683,23 +763,32 @@ export async function runSelfcheck(d, trigger) {
             else
                 fail(headless, 'fault', 'tool の結果に台本の目印がありません（Bash が動いていない）');
         }
-        // ③ MCP
-        const mcpState = aiKanaMcpState(sum?.mcp ?? null);
-        if (mcpState === 'connected')
-            pass(central, 'ai-kana の MCP が接続済み');
-        else if (mcpState === 'needs-auth') {
-            fail(central, 'human', 'ai-kana の MCP が要認証です（完了の知らせを出せません）', {
+        // ③ MCP（★落ち着くまで確かめる・便が実際に使う登録を見る＝settleMcp）
+        const mcp = await settleMcp(d, claude.bin, path.join(runDir, 'work'), sum?.mcp ?? null);
+        const seen = mcp.source === 'mcp-list' ? `claude mcp list で確かめた・${mcp.tries}回目` : mcp.source === 'init' ? '小さな試験の最初の行' : '一覧なし';
+        const mineOf = (st) => (mcp.list ?? []).filter((s) => /ai-kana/i.test(s.name) && s.status === st).map((s) => s.name);
+        if (mcp.state === 'connected') {
+            pass(central, `ai-kana の MCP が接続済み（${mineOf('connected').join('・')}／${seen}）`);
+            const unused = mineOf('needs-auth');
+            if (unused.length > 0)
+                note(central, `要認証の登録 ${unused.join('・')} は、つながっている登録があるので便は使いません（直さなくて構いません）`);
+        }
+        else if (mcp.state === 'needs-auth') {
+            const names = mineOf('needs-auth');
+            fail(central, 'human', `ai-kana の MCP が要認証です（${names.join('・')}／${seen}・つながっている登録が無いので完了の知らせを出せません）`, {
                 machine: d.machine,
-                what: 'Ubuntu で claude を開き、/mcp → ai-kana → Authenticate を選んでブラウザでログインする',
+                what: `Ubuntu で claude を開き、/mcp → ${names[0] ?? 'ai-kana'} → Authenticate を選んでブラウザでログインする`,
                 command: 'claude',
             });
         }
-        else if (mcpState === 'pending')
-            note(central, 'ai-kana の MCP は つなぎかけのまま試験が始まりました（接続済みか要認証かは確定できません）');
-        else if (mcpState === 'missing')
-            fail(central, 'fault', 'ai-kana の MCP が一覧にありません');
-        else if (mcpState === 'failed')
-            fail(central, 'fault', 'ai-kana の MCP につながりません（failed）');
+        else if (mcp.state === 'unsettled' || mcp.state === 'pending') {
+            // ★PASS にも 🔵 にもしない（確かめきれていない＝🟡）。
+            fail(central, 'fault', `ai-kana の MCP の状態が、上限（${MCP_SETTLE_TRIES}回）まで待っても落ち着きませんでした（${mcp.why ?? 'つなぎかけのまま'}）`);
+        }
+        else if (mcp.state === 'missing')
+            fail(central, 'fault', `ai-kana の MCP が一覧にありません（${seen}）`);
+        else if (mcp.state === 'failed')
+            fail(central, 'fault', `ai-kana の MCP につながりません（failed・${seen}）`);
         else
             note(central, 'MCP の状態を読めませんでした（小さな試験の最初の行が無い）');
         // ④ 書き込み
@@ -731,7 +820,7 @@ export async function runSelfcheck(d, trigger) {
             result: items.some((i) => i.ok === false) ? 'FAIL' : 'PASS',
             conductorVersion: version,
             claude: { bin: claude.bin, version: claude.version, loggedIn: claude.loggedIn, pin: lastClaudePinStatus() },
-            mcp: sum?.mcp ?? null,
+            mcp: mcp.list,
             drain: readDrain().active,
             items,
             humanActions,
@@ -750,8 +839,31 @@ export async function runSelfcheck(d, trigger) {
     finally {
         // ★一時の作業場所は必ず消す（外に書けてしまった物も含めて）。
         rmSync(runDir, { recursive: true, force: true });
+        // ★道具（Claude Code）が作業場所ごとに /tmp/claude-<uid>/ の下へ作る記録も消す（便 e9276b86）。
+        //   作業場所は毎回名前が違うので、消さないと自己診断のたびに1つずつ溜まる（ノートPCで9つ）。
+        for (const dir of [runDir, path.join(runDir, 'work')]) {
+            const trace = claudeTraceDir(dir, d.claudeTmpRoot);
+            if (trace)
+                rmSync(trace, { recursive: true, force: true });
+        }
     }
 }
+/**
+ * Claude Code が作業場所ごとに作る記録の置き場（★実物 2026-10-03・Claude Code 2.1.287）。
+ *   `/tmp/claude-<uid>/` の下に、作業場所のパスの英数字以外を `-` に替えた名前で作る
+ *   （例 /home/u/.local/state/conductor/selfcheck/run-…/work → -home-u--local-state-conductor-selfcheck-run-…-work）。
+ * ★消してよいのは自己診断の作業場所の分だけ。名前に selfcheck の run- が入らなければ null（他人の物に触らない）。
+ */
+export function claudeTraceDir(workDir, root = defaultClaudeTmpRoot()) {
+    const name = workDir.replace(/[^a-zA-Z0-9]/g, '-');
+    if (!/-selfcheck-run-/.test(name))
+        return null;
+    return path.join(root, name);
+}
+function defaultClaudeTmpRoot() {
+    const uid = typeof process.getuid === 'function' ? process.getuid() : 0;
+    return path.join('/tmp', `claude-${uid}`);
+}
 /** 画面に出す形（人が読む）。 */
 export function formatSelfcheck(r) {
     const lines = [

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@tyhld/conductor",
-  "version": "0.12.91",
+  "version": "0.12.93",
   "description": "采配くん管制の見守りアプリ（conductor-agent）。各PCで常駐し、中央(devlog-tracker)へ定期的に生存報告(heartbeat)を送る常駐CLI。",
   "type": "module",
   "bin": {

package/sales-template/setup.sh

@@ -1290,6 +1290,49 @@ else
   cleanup_stale_units || warn "古いユニットの掃除に失敗しました（インストールは続行します）。"
 fi
 
+# --- 画面なし方式（headless）の機では、足す現場も画面なし方式で立てる（便 e9276b86） ---
+# 【なぜ要るか（実物 2026-10-03・TYHLD-GOTO・TYHLD-OTA）】
+#   1行インストーラ（install.sh）は最初の現場に drop-in（headless.conf）を置いて画面なし方式にする。
+#   ところが2つ目の現場を `conductor setup 現場名` で足すと drop-in が無く、古い方式（tmux）で立った
+#   （管制で「AI担当は休止中」。人が drop-in を手で置いて直した）。⑧の案内も tmux の3行を出していた。
+# 【決め方】次のどれかなら、この機は画面なし方式＝この現場にも install.sh と同じ drop-in を置く。
+#   ① CONDUCTOR_RUNNER_MODE=headless で呼ばれた（install.sh から）。★=tmux と明示されたら置かない。
+#   ② この機のほかの現場（またはテンプレート全体）の drop-in に画面なし方式の指定が在る。
+#   ★どれにも当たらない機（もとから tmux 方式の機）は、1つも変えない。Mac（launchd）も変えない。
+HEADLESS_LINE='Environment=CONDUCTOR_RUNNER_MODE=headless'
+HEADLESS_DROPIN_DIR="$HOME/.config/systemd/user/conductor@${SITE}.service.d"
+HEADLESS_DROPIN="$HEADLESS_DROPIN_DIR/headless.conf"
+machine_is_headless() {
+  case "${CONDUCTOR_RUNNER_MODE:-}" in
+    headless) return 0 ;;
+    tmux) return 1 ;;
+  esac
+  local f
+  for f in "$HOME"/.config/systemd/user/conductor@*.service.d/*.conf; do
+    [[ -f "$f" ]] || continue
+    grep -qxF "$HEADLESS_LINE" "$f" && return 0
+  done
+  return 1
+}
+HEADLESS_ADDED=0
+if [[ "$OS_KIND" != "mac" ]] && machine_is_headless; then
+  if [[ -f "$HEADLESS_DROPIN" ]] && grep -qxF "$HEADLESS_LINE" "$HEADLESS_DROPIN"; then
+    echo "[setup] 画面なし方式: この現場には設定済みです（${HEADLESS_DROPIN}）"
+  else
+    mkdir -p "$HEADLESS_DROPIN_DIR"
+    cat > "$HEADLESS_DROPIN" <<DROPIN
+# setup.sh が設定: この機は画面なし方式（headless）なので、この現場も同じ方式で動かす。
+# ★tmux に切り替えたいときはこのファイルを消して systemctl --user daemon-reload。
+[Service]
+${HEADLESS_LINE}
+DROPIN
+    HEADLESS_ADDED=1
+    echo "[setup] 画面なし方式を設定しました（drop-in: ${HEADLESS_DROPIN}）"
+  fi
+  # ⑧ の案内を画面なし方式に切り替える。
+  CONDUCTOR_RUNNER_MODE=headless
+fi
+
 # ★常駐の設置だけが OS で分かれる（ADR-019・案C）。ここより上も下も1本のまま。
 if [[ "$OS_KIND" == "mac" ]]; then
   SVC_INSTALL="$SCRIPT_DIR/launchd/install.sh"
@@ -1298,6 +1341,10 @@ else
 fi
 if [[ -f "$SVC_INSTALL" ]]; then
   bash "$SVC_INSTALL" "$SITE" "$PROJECT_DIR"
+  # ★もう動いていた現場（setup のやり直し）は enable --now では読み直さないので、入れ直して効かせる。
+  if [[ "$HEADLESS_ADDED" == "1" ]]; then
+    systemctl --user restart "conductor@${SITE}.service" 2>/dev/null || true
+  fi
 else
   warn "常駐の設置スクリプトが見つかりません: $SVC_INSTALL（スキップ）"
   echo "[setup] 手動で設定する場合は sales-template/${SVC_KIND}/ を参照してください。"
@@ -1452,12 +1499,13 @@ if [[ "${CONDUCTOR_RUNNER_MODE:-}" == "headless" ]]; then
   合言葉を入れ直す: rm ~/.conductor.env   → そのあと setup.sh をもう一度実行
 
 ──────────────────────────────────────────────────────────
-職人の画面を手で開きたいとき（tmux 方式・補助）
+職人の画面を手で開きたいとき（見るだけ・補助）
 ──────────────────────────────────────────────────────────
 
-  tmux new-session -d -s "$SITE" -c "$PROJECT_DIR"
-  tmux send-keys -t "$SITE" "unset ANTHROPIC_API_KEY && claude" C-m
-  tmux attach -t "$SITE"
+  画面なし方式では、職人の画面を手で立ち上げません（立ち上げると、便と同じ現場で2人目の職人が動きます）。
+  職人がいま何をしているかは、管制の画面か、次の1行で見られます（見るだけ・入力はできません）:
+
+  kc ${SITE}        （kc が無いときは  conductor view ${SITE}）
 
 GUIDE
 else

package/scripts/hooks/policy.py

@@ -3586,6 +3586,7 @@ def _gate_command(command: str, depth: int = 0):
 # 【何のため】次の3件は、毎便の本文に「やらない」と書いてきたが、番人は通していた（棚卸し 8ceae57d の
 #   実測で allow）。番人で止められれば、便の本文からその行を外せる（書かなくても守られる）。
 #   ① git add -A（--all・-A を含む短い旗のまとめ・git add . ・git add :/）
+#      と git commit -a（--all・-am などのまとめ・便 4cf71dde で足した）
 #   ② cd を && でほかの命令とつなげる／cd とリダイレクトを同じ命令の行に混ぜる
 #   ③ リポ全体・ホーム全体を指す再帰の検索（grep -r・rg・ag・ack・find）
 # 【★確実にその形と言える物だけを止める】命令の1行目を、引用符を守って字句に割ってから見る
@@ -3600,6 +3601,8 @@ _DISCIPLINE_REDIRECTS = frozenset({'>', '>>', '<', '>&', '&>', '>|', '<>', '&>>'
 
 _DISC_GIT_ADD = ('git add はまとめて足さない（-A・--all・. は秘密や無関係の変更まで入る）。'
                  '足すファイルを名指しで git add path/to/file（鉄則1）')
+_DISC_GIT_COMMIT_ALL = ('git commit -a・-am・--all はまとめて記録に入れない（着手前から変わっていた設定ファイルまで入る）。'
+                        'ファイルを名指しで git add path/to/file してから git commit（鉄則1）')
 _DISC_CD = ('cd を && でほかの命令とつなげない・cd とリダイレクトを同じ行に混ぜない（許可の確認で止まる）。'
             'cd は作業のはじめに1回だけ単独で打ち、以後は絶対パスか git -C を使う（鉄則2）')
 _DISC_SEARCH = ('リポ全体・ホーム全体を再帰で検索しない（重く、秘密の置き場にも当たる）。'
@@ -3678,6 +3681,56 @@ def _disc_git_add(words):
     return None
 
 
+# git commit の短い旗のうち、値を取る物（-m 説明・-F ファイル・-C/-c 記録・-t 型）と、
+# 値を続けて書ける物（-u 形・-S 鍵）。★これらより後ろの字は旗ではなく値（`-ma` は説明 "a"）。
+_COMMIT_VALUE_SHORT = frozenset('mFCct')
+_COMMIT_OPTVALUE_SHORT = frozenset('uS')
+_COMMIT_VALUE_LONG = frozenset({'--message', '--file', '--reuse-message', '--reedit-message',
+                                '--template', '--author', '--date', '--fixup', '--squash',
+                                '--cleanup', '--trailer', '--pathspec-from-file'})
+
+
+def _disc_git_commit_all(words):
+    """git commit -a／--all／-am（追跡しているファイルの変更を全部まとめて記録に入れる形）。
+
+    ★便 4cf71dde：着手前から M だった .claude/settings.json が、空振り確認の `git commit -a` で
+      手元の記録に入った（ai-kana の2便が続けて踏んだ）。`git add -A` と同じ「まとめて入れる」形なので、
+      同じ扱いで止める（止める物を足すだけ）。
+    """
+    if not words or words[0].split('/')[-1] != 'git':
+        return None
+    i = 1
+    while i < len(words) and words[i].startswith('-'):
+        i += 2 if words[i] in ('-C', '-c') else 1
+    if i >= len(words) or words[i] != 'commit':
+        return None
+    rest = words[i + 1:]
+    k = 0
+    while k < len(rest):
+        a = rest[k]
+        k += 1
+        if a == '--':
+            break
+        if a.startswith('--'):
+            if a == '--all':
+                return _DISC_GIT_COMMIT_ALL
+            if a in _COMMIT_VALUE_LONG:
+                k += 1   # 値は次の語（`--message=…` の形は1語で終わる）
+            continue
+        if not a.startswith('-') or a == '-':
+            continue
+        for j, ch in enumerate(a[1:], 1):
+            if ch == 'a':
+                return _DISC_GIT_COMMIT_ALL
+            if ch in _COMMIT_VALUE_SHORT:
+                if j == len(a) - 1:
+                    k += 1   # `-m 説明` … 値は次の語
+                break        # `-mabc` … 残りは値
+            if ch in _COMMIT_OPTVALUE_SHORT:
+                break
+    return None
+
+
 def _disc_repo_top(cwd):
     d = os.path.normpath(cwd) if cwd and os.path.isabs(cwd) else None
     while d:
@@ -3808,7 +3861,7 @@ def _discipline_scan(command: str, cwd=None):
         while k < len(words) and (_ASSIGN_RE.match(words[k]) or words[k].split('/')[-1] in _WRAPPERS):
             k += 1
         core = words[k:]
-        hit = _disc_git_add(core) or _disc_search(core, cwd)
+        hit = _disc_git_add(core) or _disc_git_commit_all(core) or _disc_search(core, cwd)
         if hit:
             return hit
     return None

package/scripts/hooks/test_discipline.py

@@ -6,6 +6,7 @@
 
 【何を守っているか】
   (n) ★止まる形：git add -A／--all／.／-Av／git -C 場所 add -A、
+      git commit -a／-am／--all／-qam／git -C 場所 commit -av（便 4cf71dde）、
       cd を && でつなぐ（前でも後ろでも・括弧の中でも）・cd とリダイレクトを同じ行に混ぜる、
       リポ全体・ホーム全体・/ を指す再帰の検索（grep -r・rg・find、行き先を省いた形も）
   (p) 止まってはいけない似た形：git add ファイル名・git add -- ファイル名・cd 単独・cd X; 命令・
@@ -44,6 +45,7 @@ os.mkdir(os.path.join(REPO, 'src'))
 SUB = os.path.join(REPO, 'src')
 HOME = os.path.expanduser('~')
 ADD = 'git ' + 'add'
+COMMIT = 'git ' + 'commit'
 
 
 def decide(cmd, cwd=REPO):
@@ -76,6 +78,14 @@ NEGATIVE = [
     ('n22 リポの一番上を名指しした find', f'find {REPO} -name x'),
     ('n23 リポより広い所（リポの親）', f'find {os.path.dirname(REPO)} -name x'),
     ('n24 env 変数=… を前に付けても', f'GIT_TRACE=1 {ADD} -A'),
+    # ★便 4cf71dde：git commit -a は git add -A と同じ「まとめて入れる」形（ai-kana の2便が踏んだ）。
+    ('n25 git commit -a', f'{COMMIT} -a'),
+    ('n26 git commit -am 説明', f'{COMMIT} -am "x"'),
+    ('n27 git commit --all', f'{COMMIT} --all -m x'),
+    ('n28 git commit -m 説明 -a（後ろに置いても）', f'{COMMIT} -m "x" -a'),
+    ('n29 git -C 場所 commit -av', f'git -C /x commit -av'),
+    ('n30 git commit -qam 説明（短い旗のまとめ）', f'{COMMIT} -qam x'),
+    ('n31 命令 && git commit -am 説明', f'git status && {COMMIT} -am x'),
 ]
 for label, cmd in NEGATIVE:
     r = decide(cmd)
@@ -101,6 +111,14 @@ POSITIVE = [
     ('p16 下の場所から find .（リポ全体ではない）', 'find . -name x'),
     ('p17 grep（再帰でない）', 'grep -n foo src/a.ts'),
     ('p18 リダイレクトだけ（cd なし）', 'ls > /tmp/claude-1000/o'),
+    ('p19 git commit -m 説明（名指しで add した後）', f'{COMMIT} -m "fix: 直す"'),
+    ('p20 説明の中の -a は旗ではない', f'{COMMIT} -m "-a を止める"'),
+    ('p21 -ma は説明 "a"（-a ではない）', f'{COMMIT} -ma'),
+    ('p22 git commit --amend --no-edit', f'{COMMIT} --amend --no-edit'),
+    ('p23 git commit -F ファイル', f'{COMMIT} -F /tmp/claude-1000/msg.txt'),
+    ('p24 git commit --author 名前', f'{COMMIT} --author "-a <a@b>" -m x'),
+    ('p25 git commit -- ファイル名', f'{COMMIT} -m x -- src/a.ts'),
+    ('p26 git log --all（commit ではない）', 'git log --all --oneline'),
 ]
 for label, cmd in POSITIVE:
     cwd = SUB if label.startswith('p16') else REPO
@@ -108,6 +126,8 @@ for label, cmd in POSITIVE:
 
 print('── (m) 止めたときの文 ' + '─' * 44)
 check('(m) git add は名指しを案内', 'git add path/to/file' in decide(f'{ADD} -A')['reason'], True)
+check('(m) git commit -a は「名指しで add してから commit」を案内',
+      all(w in decide(f'{COMMIT} -am x')['reason'] for w in ('git add path/to/file', 'してから git commit')), True)
 check('(m) cd は絶対パスか git -C を案内', 'git -C' in decide('cd x && ls')['reason'], True)
 check('(m) 検索は名指しの場所を案内', '名指し' in decide('find . -name x')['reason'], True)
 for label, cmd in [('git add', f'{ADD} -A'), ('cd', 'cd x && ls'), ('検索', 'find / -name x')]:

package/skills/conductor-craftsman/SKILL.md

@@ -22,7 +22,7 @@ description: 采配くんの便（プロンプト末尾に CONDUCTOR_JOB:<id>
      - ① そのファイルを**触らない・開かない・`git diff` の対象にしない**。「読めるようにする」方向へ回避しない（鉄則4）。
      - ② 差分は**対象を名指しして**見る。例 `git diff -- src docs`。全体で見たいときは除いて見る＝`git diff -- . ':(exclude).npmrc'`。
      - ③ `M` と出ていても、**自分が触っていなければ触っていない**。★職人には本当に変わったかを確かめられない。`git status --porcelain -- <そのファイル>` の**表示だけ**を報告に書き、**中身は1文字も書かない**。
-     - ④ **コミットに含めない**（`git add` は対象を名指しする＝`git add -A` を使わない）。
+     - ④ **コミットに含めない**（`git add` は対象を名指しする＝`git add -A` を使わない）。★`git commit -a`・`-am`・`--all` も同じ「まとめて全部を入れる」形なので使わない（番人が止める）。**ファイルを名指しで `git add` してから `git commit -m …`**（便 4cf71dde：着手前から `M` だった `.claude/settings.json` が、空振り確認の `git commit -a` で手元の記録に入った）。
      - ⑤ それで進めないときだけ、回避せず**人の手番として報告して止まる**。
 2. **cd は1回だけ** — cd は作業開始時に1回だけ実行する。以後 cd を `&&` で他コマンドと連結しない・リダイレクトと混ぜない。
 3. **持ち場の外に出ない** — 指示された作業ディレクトリの外を変更しない。
@@ -132,6 +132,10 @@ description: 采配くんの便（プロンプト末尾に CONDUCTOR_JOB:<id>
     - **なぜ（置き場の話）。** 実機 2026-09-03: ai-saku の画面便（PR#258・PR#269）で、検品用の使い捨てページ `_layout-check.html` をリポジトリ直下に作り、`rm -rf` で消そうとして止められ、人が2回消した。**禁止の一覧と番人の制限は正しい（緩めない）。悪いのは置き場。**
     - **なぜ（後片付けの話を改めた理由）。** 旧い文言は「リポジトリ直下は番人が `rm` を止めるので自分で消さず報告」だった。実測（便 fb248f6e）では、`-f` を付けない `rm -r` と実在のパスの名指しなら、リポジトリ直下の自分の作業ファイルも通る。止まるのは `-f` 付きと変数・`*` 入りだけ。**止まらない形を「止まる」と書いていると、職人が自分の残骸を残したまま便を終える**ので、実物に合わせた（番人・禁止の一覧は1行も変えていない）。
     - 置き場を `/tmp/claude-1000/` にすれば、止められることも、残骸がコミットに混ざることも起きない（根治＝鉄則10）。Playwright の検品ページも同じ（鉄則8-④）。
+    - **空振り確認（直しをわざと外して、試験が落ちるのを見る）も、使い捨ての複製の中だけで行う（えふさん確定 2026-10-03・便 4cf71dde の要判断②）。**
+      - 形: `git clone --no-hardlinks <リポの実在のパス> /tmp/claude-1000/karaburi-<便IDの頭8文字>` → その中で直しを外す → 試験を流す → 終わったら `rm -r /tmp/claude-1000/karaburi-<便IDの頭8文字>`（`-f` を付けない・名指し）。
+      - ★**作業ツリーの中で直しを外さない**（戻し忘れがそのまま PR に入る）。★**`git worktree` を使わない**：囲いが `.git/worktrees` を読み取り専用で重ねるので、`git worktree remove` が「Device or resource busy」で止まり、職人が片付けられない（便 4cf71dde で再現）。複製なら囲いにも番人にも止められずに片付く。
+      - 複製の中でも記録に入れるときは名指しで `git add <ファイル>`（鉄則1-④）。複製は GitHub へ push しない。
 14. **`.env` 類（`.env`・`.env.local`・`.env.example` などの雛形も含む）は職人が書き換えない（えふさん確定 2026-09-18・便 3d11f913）**
     - **番人は `.env` 本体も `.env.example` などの雛形も、書き込みを止める**（Write／Edit の設定 deny と、Bash の `echo`／`tee`／`sed -i`／`cp`／`mv` などを、経路を問わず同じ結果にそろえた）。読み込みは今までどおり（雛形は読める・本物は読めない）。
     - **なぜ。** 雛形（`.env.example`）は普通は秘密値を置かないが、「exampleだから常に安全」と番人へ例外を作ると、将来誤って実値が書かれたときの穴になる（利便性より安全側・えふさん確定）。
@@ -164,6 +168,7 @@ description: 采配くんの便（プロンプト末尾に CONDUCTOR_JOB:<id>
   - 通る例: `rm -r /tmp/claude-1000/作業名` ／ `rm -r node_modules/.tmp-作業名`（★`-f` を付けない・自分で作った物だけ）
   - 止まる例: `rm -rf /tmp/claude-1000/作業名`（禁止の一覧）／ `rm -r "$DIR/x"`・`rm -r build/*`（番人）／ `rm -r .git`・`rm -r .claude/hooks`・`rm -r .tyhld`（番人＝相対パスでも消せない）
   - ★**探すだけの道具の「探す言葉」に `rm …` と書いても、もう止まらない**（便 915694ac で直した）。鉄則や台本を調べるときの `grep -rn 'rm -rf .git' skills`・`git grep -n 'rm -r' -- skills`・`rg 'rm -rf /' docs` は通る。★囲みの外に書いた `rm` は今までどおり測るので、`grep -rn 'x' docs; rm -rf .git` のように**後ろで消す形は止まる**。
+- **まとめて全部を記録に入れる `git add`・`git commit`**（`git add -A`・`git add .`・`git commit -a`・`git commit -am 説明`・`git commit --all`）→ 止まる。着手前から変わっていたファイル（例 `.claude/settings.json`）まで入り、番人がそれを記録から外す操作も止めるので取り返せない（便 4cf71dde）。**ファイルを名指しで `git add <ファイル>` してから `git commit -m 説明`**（鉄則1-④）。
 - **作業場所が変数のままの `git push`**（`git -C "$DIR" push`・行き先のブランチを確かめられない形）→ 止まる。**リポの中で、ブランチを名指しして** `git push origin <作業ブランチ名>`（★`-u` は付けない＝鉄則7-⓪。上流の設定を書くと、囲いが `.git/config` を塞いでいるPCで止まる）。
 
 ## 便の終え方