@tyhld/conductor 0.12.92 → 0.12.93

package/dist/headless.js

@@ -996,6 +996,41 @@ function closeLog(ws) {
  *   失敗の理由は lastSpawnError に入る。
  */
 export let lastSpawnError = '';
+/** 職人の PATH で「古い node が先に来ない」ように見る道具の名前。 */
+const NODE_TOOLS = ['node', 'npm', 'npx'];
+/**
+ * 職人（claude -p）の子プロセスへ渡す PATH を作る（便 24c9b6b6・e9276b86）。
+ *
+ * 【なぜ要るか（実物 2026-10-03・TYHLD-OTA 便 f770cd9d／ノートPC 便 4cf71dde）】
+ *   systemd の常駐はシェルの PATH を継承しないので、nvm の bin が職人の PATH に無い。
+ *   以前は claude が nvm の bin に居たので、claude の bin を足すだけで npm・npx も一緒に見えていた。
+ *   Claude Code を公式の入れ方（~/.local/bin/claude）にそろえた後は、足されるのが ~/.local/bin だけになり、
+ *   職人の bash で `npm: command not found`。node だけは /usr/local/bin/node（nvm への近道）で見えていた。
+ *   ★/usr/bin/node（v18）が別に在る機もあるので、PATH の順が崩れると古い node が動く。
+ *
+ * 【決め方】
+ *   - 中継を動かしている node（process.execPath＝conductor-run が選んだ配布物の node）の bin を必ず足す。
+ *     ＝職人の node・npm・npx は、中継と同じ版になる（その bin に npm・npx が同居する入れ方＝nvm 等）。
+ *   - claude の bin も足す（便 24c9b6b6）。ただし claude の bin に node・npm・npx のどれかが在るとき
+ *     （/usr/bin・nvm の別の版など）は、中継の node の bin をその前に置く＝古い node が先に来ない。
+ *     claude の bin に node 類が無いとき（~/.local/bin などの公式の入れ方）は、claude の bin を先に置く
+ *     ＝職人の bash の `claude` は中継が選んだ claude のまま。
+ *   - 2つは既に PATH に在っても先頭へ寄せる（後ろに残っていると、先に在る古い node が勝つため）。重複させない。
+ *   - PATH が空でも動く。
+ */
+export function buildWorkerPath(currentPath, claudeBin, nodeExecPath = process.execPath, hasTool = (dir, name) => existsSync(path.join(dir, name))) {
+    const nodeDir = path.dirname(nodeExecPath);
+    const claudeDir = path.dirname(claudeBin);
+    let front;
+    if (nodeDir === claudeDir)
+        front = [nodeDir];
+    else if (NODE_TOOLS.some((t) => hasTool(claudeDir, t)))
+        front = [nodeDir, claudeDir];
+    else
+        front = [claudeDir, nodeDir];
+    const rest = (currentPath ?? '').split(':').filter((d) => d !== '' && !front.includes(d));
+    return [...front, ...rest].join(':');
+}
 export function spawnClaudeProcess(cfg, cmd, sessionId, attempt, isResume) {
     // 前の失敗の理由を持ち越さない（理由の無い失敗に古い理由が付かないように）
     lastSpawnError = '';
@@ -1025,15 +1060,9 @@ export function spawnClaudeProcess(cfg, cmd, sessionId, attempt, isResume) {
     env.CONDUCTOR_SITE = cfg.site;
     env.CONDUCTOR_MACHINE = cfg.machine;
     env.CONDUCTOR_WORK_DIR = cfg.workDir;
-    // ★claude が見つかった bin ディレクトリを PATH の先頭に足す（便 24c9b6b6）。
-    //   systemd 経由の起動では nvm の bin が PATH に無いため、子プロセスの bash から
-    //   claude・node・npm・pnpm が command not found になる。resolveClaudeBin() が
-    //   信頼したディレクトリだけを足す。重複させない・PATH が空でも動く。
-    const claudeBinDir = path.dirname(claudeBin);
-    const currentPath = env.PATH ?? '';
-    if (!currentPath.split(':').includes(claudeBinDir)) {
-        env.PATH = currentPath ? `${claudeBinDir}:${currentPath}` : claudeBinDir;
-    }
+    // ★職人の PATH の先頭に、中継を動かしている node の bin と claude の bin を足す
+    //   （便 24c9b6b6・e9276b86）。決め方は buildWorkerPath の説明を見ること。
+    env.PATH = buildWorkerPath(env.PATH, claudeBin);
     // ★テスト用: CONDUCTOR_CLAUDE_CONFIG_DIR を設定すると、claude の設定フォルダを差し替える。
     //   本物のログインを壊さずに認証エラーを再現できる（空のフォルダを指す → not logged in）。
     //   本番では設定しない（claude は既定の ~/.claude を使う）。

package/dist/realtime-parse.js

@@ -22,6 +22,14 @@ export const EAR_REFRESH_FALLBACK_MS = 8 * 60 * 60 * 1000;
 /** 再接続の待ち（指数バックオフ）の初期値と上限。 */
 export const EAR_RETRY_BASE_MS = 5 * 1000;
 export const EAR_RETRY_MAX_MS = 5 * 60 * 1000;
+/**
+ * 鍵が通らない（401・403）ときの聞き直しの待ち（指数バックオフ）の初期値と上限（便 e9276b86）。
+ *   【実物 2026-10-03 03:04〜03:24Z】鍵が通らない機から realtime-token が 2〜4秒おきに聞き直され、20分で 401 が189件。
+ *   鍵は待っても直らない（人が入れ直すまで同じ答え）ので、ふつうの切断（5秒から）より長く空ける。
+ *   ★1分 → 2分 → 4分 …と広げ、30分で頭打ち。つながっているときの速さ（合図・取り直し）は変えない。
+ */
+export const EAR_AUTH_RETRY_BASE_MS = 60 * 1000;
+export const EAR_AUTH_RETRY_MAX_MS = 30 * 60 * 1000;
 /** 購読設定が無い（unsupported）ときに問い直す間隔(ms)。中央の設定投入に自然に追従するため。 */
 export const EAR_UNSUPPORTED_RETRY_MS = 30 * 60 * 1000;
 /**
@@ -108,6 +116,15 @@ export function computeRefreshDelayMs(expiresAt, nowMs) {
         return clamp(EAR_REFRESH_FALLBACK_MS);
     return clamp(at - nowMs - EAR_REFRESH_MARGIN_MS);
 }
+/** 中央の答えが「鍵が通らない」か（401・403）。 */
+export function isAuthRejected(r) {
+    return r.kind === 'error' && (r.status === 401 || r.status === 403);
+}
+/** 鍵が通らないときの待ち(ms)。続けて断られた回数に応じて 1分 → 2分 → 4分 …と広げ、30分で頭打ち。 */
+export function computeAuthRetryDelayMs(failures) {
+    const n = failures < 0 ? 0 : failures;
+    return Math.min(EAR_AUTH_RETRY_MAX_MS, EAR_AUTH_RETRY_BASE_MS * 2 ** Math.min(n, 20));
+}
 /** 再接続の待ち(ms)。試行回数に応じて 5s → 10s → 20s …と広げ、5分で頭打ちにする。 */
 export function computeRetryDelayMs(attempt) {
     const n = attempt < 0 ? 0 : attempt;

package/dist/realtime.js

@@ -30,7 +30,7 @@
  *   読めなければ「耳なし＝各relayのポーリングのみ」で静かに動き続ける。
  */
 import { describeTransport, resolveWebSocketTransport } from './websocket-transport.js';
-import { EAR_NO_SITE_RETRY_MS, EAR_NUDGE_MIN_GAP_MS, EAR_TOKEN_FETCH_TIMEOUT_MS, EAR_UNSUPPORTED_RETRY_MS, computeRefreshDelayMs, computeRetryDelayMs, parseRealtimeConnection, readSignalSite, } from './realtime-parse.js';
+import { EAR_NO_SITE_RETRY_MS, EAR_NUDGE_MIN_GAP_MS, EAR_TOKEN_FETCH_TIMEOUT_MS, EAR_UNSUPPORTED_RETRY_MS, computeAuthRetryDelayMs, computeRefreshDelayMs, computeRetryDelayMs, isAuthRejected, parseRealtimeConnection, readSignalSite, } from './realtime-parse.js';
 // 読み取りと間合いの計算は src/realtime-parse.ts に分けてある（外部I/Oなし＝単体テスト可能）。
 // 従来どおり `./realtime.js` からも使えるよう、ここで通しておく。
 export * from './realtime-parse.js';
@@ -60,7 +60,7 @@ export async function fetchRealtimeConnection(cfg, site) {
             signal: AbortSignal.timeout(EAR_TOKEN_FETCH_TIMEOUT_MS),
         });
         if (!res.ok)
-            return { kind: 'error', detail: `HTTP ${res.status}` };
+            return { kind: 'error', detail: `HTTP ${res.status}`, status: res.status };
         const data = await res.json().catch(() => null);
         return parseRealtimeConnection(data);
     }
@@ -78,12 +78,17 @@ async function loadCreateClient() {
         return null;
     }
 }
+const DEFAULT_IO = {
+    fetchConnection: fetchRealtimeConnection,
+    loadCreateClient,
+    resolveTransport: resolveWebSocketTransport,
+};
 /**
  * 指示の着信合図を受け取る耳を1本張る（★このPCに1本だけ＝耳プロセスからのみ呼ぶ）。
  *
  * 呼び出し側は各relayのポーリングを止めないこと——耳が死んでいる間はポーリングが肩代わりする。
  */
-export function startRealtimeEar(cfg, handlers) {
+export function startRealtimeEar(cfg, handlers, io = DEFAULT_IO) {
     const { siteForToken, onSignal } = handlers;
     let stopped = false;
     let client = null;
@@ -96,6 +101,18 @@ export function startRealtimeEar(cfg, handlers) {
     let lastNudgeSite = null;
     /** 再接続の予約が二重に積まれないようにする（切断イベントは連続で飛んでくる）。 */
     let reconnectArmed = false;
+    /**
+     * 鍵が通らない（401・403）と続けて断られた回数（便 e9276b86）。★接続情報が取れたときだけ 0 に戻す
+     *   （購読の SUBSCRIBED では戻さない＝別の線の知らせで待ちが縮まない）。
+     */
+    let authFailures = 0;
+    /**
+     * いま張っている線の世代（便 e9276b86）。片付けるたびに1つ進める。
+     *   ★片付けた古い線から遅れて届く CLOSED などの知らせは、世代が違うので無視する。
+     *   （以前は、期限の手前の張り直しで古い線を片付けると、その CLOSED で2本目の張り直しが走り、
+     *    聞き直しが重なっていた。）
+     */
+    let generation = 0;
     const clearTimers = () => {
         if (retryTimer) {
             clearTimeout(retryTimer);
@@ -122,16 +139,28 @@ export function startRealtimeEar(cfg, handlers) {
         }
         channel = null;
         client = null;
+        generation += 1;
     };
-    /** 一拍おいて張り直す。理由はログに残す（凝らない＝最悪はポーリングが拾う）。 */
-    const scheduleReconnect = (reason) => {
+    /**
+     * 一拍おいて張り直す。理由はログに残す（凝らない＝最悪はポーリングが拾う）。
+     *   authRejected＝鍵が通らない（401・403）ときは、ふつうの切断より長く空ける（便 e9276b86）。
+     */
+    const scheduleReconnect = (reason, authRejected = false) => {
         if (stopped || reconnectArmed)
             return;
         reconnectArmed = true;
         teardown();
-        const delay = computeRetryDelayMs(attempt);
-        attempt += 1;
-        log(`${reason} → ${Math.round(delay / 1000)}秒後に張り直します（この間は各relayの15秒ポーリングが肩代わり）`);
+        let delay;
+        if (authRejected) {
+            delay = computeAuthRetryDelayMs(authFailures);
+            authFailures += 1;
+        }
+        else {
+            delay = computeRetryDelayMs(attempt);
+            attempt += 1;
+        }
+        log(`${reason} → ${Math.round(delay / 1000)}秒後に張り直します（この間は各relayの15秒ポーリングが肩代わり）` +
+            (authRejected ? '。★鍵が通りません（~/.conductor.env の合言葉を確かめてください）' : ''));
         clearTimers();
         retryTimer = setTimeout(() => {
             reconnectArmed = false;
@@ -168,7 +197,7 @@ export function startRealtimeEar(cfg, handlers) {
     const connect = async () => {
         if (stopped)
             return;
-        const createClient = await loadCreateClient();
+        const createClient = await io.loadCreateClient();
         if (createClient === null) {
             log('@supabase/supabase-js が読めないため耳は張りません（各relayの15秒ポーリングでこれまでどおり動きます）');
             return; // 依存は実行中に生えないので再試行しない。
@@ -176,7 +205,7 @@ export function startRealtimeEar(cfg, handlers) {
         // ★どの Node(18/20/22) でも耳が張れるようにする（実機 Node 20 の「native WebSocket not found」根治）。
         //   標準の WebSocket が無い機では同梱の ws を supabase-js の transport へ渡す。
         //   どちらも用意できなければ耳は張らない——が、プロセスは落とさない（ポーリングが肩代わりする）。
-        const transport = await resolveWebSocketTransport();
+        const transport = await io.resolveTransport();
         if (transport === null) {
             log('この機には標準のWebSocketが無く、同梱のWebSocket部品(ws)も読めないため耳は張りません' +
                 '（npm install で解消します。それまでも各relayの15秒ポーリングでこれまでどおり動きます）');
@@ -189,7 +218,9 @@ export function startRealtimeEar(cfg, handlers) {
             retryTimer = setTimeout(() => void connect(), EAR_NO_SITE_RETRY_MS);
             return;
         }
-        const result = await fetchRealtimeConnection(cfg, site);
+        const result = await io.fetchConnection(cfg, site);
+        if (stopped)
+            return;
         if (result.kind === 'unsupported') {
             log(`中央から購読設定が返らないため耳は張りません（${result.detail}）。` +
                 `各relayの15秒ポーリングで動き続け、${Math.round(EAR_UNSUPPORTED_RETRY_MS / 60000)}分後にもう一度問い合わせます`);
@@ -198,10 +229,12 @@ export function startRealtimeEar(cfg, handlers) {
             return;
         }
         if (result.kind === 'error') {
-            scheduleReconnect(`接続情報を取得できません（${result.detail}）`);
+            scheduleReconnect(`接続情報を取得できません（${result.detail}）`, isAuthRejected(result));
             return;
         }
+        authFailures = 0;
         const conn = result.conn;
+        const myGeneration = generation;
         try {
             client = createClient(conn.supabaseUrl, conn.supabaseAnonKey, {
                 auth: { persistSession: false, autoRefreshToken: false },
@@ -221,7 +254,8 @@ export function startRealtimeEar(cfg, handlers) {
                 .channel(spec.channel)
                 .on('postgres_changes', filterOpt, handleSignal)
                 .subscribe((status, err) => {
-                if (stopped)
+                // ★片付けた古い線の知らせは無視する（張り直しを重ねない・便 e9276b86）。
+                if (stopped || myGeneration !== generation)
                     return;
                 if (status === 'SUBSCRIBED') {
                     attempt = 0;

package/dist/selfcheck.js

@@ -27,7 +27,7 @@ import { existsSync, mkdirSync, readFileSync, readdirSync, rmSync, writeFileSync
 import os from 'node:os';
 import path from 'node:path';
 import { fileURLToPath } from 'node:url';
-import { CLAUDE_MIN_VERSION, claudeUpdateHint, compareVersions, lastClaudePinStatus, resolveClaudeBin, } from './headless.js';
+import { buildWorkerPath, CLAUDE_MIN_VERSION, claudeUpdateHint, compareVersions, lastClaudePinStatus, resolveClaudeBin, } from './headless.js';
 import { fetchControl } from './relay.js';
 import { readDrain } from './autoupdate-flags.js';
 // ─────────────────────────────────────────────────────────────────────────────
@@ -538,9 +538,7 @@ function probeEnv(d, claudeBin) {
     const env = { ...d.env };
     delete env.CLAUDECODE;
     delete env.ANTHROPIC_API_KEY;
-    const binDir = path.dirname(claudeBin);
-    if (!(env.PATH ?? '').split(':').includes(binDir))
-        env.PATH = env.PATH ? `${binDir}:${env.PATH}` : binDir;
+    env.PATH = buildWorkerPath(env.PATH, claudeBin);
     return env;
 }
 /** ⑥ 小さな headless 試験を1回流す。 */
@@ -841,8 +839,31 @@ export async function runSelfcheck(d, trigger) {
     finally {
         // ★一時の作業場所は必ず消す（外に書けてしまった物も含めて）。
         rmSync(runDir, { recursive: true, force: true });
+        // ★道具（Claude Code）が作業場所ごとに /tmp/claude-<uid>/ の下へ作る記録も消す（便 e9276b86）。
+        //   作業場所は毎回名前が違うので、消さないと自己診断のたびに1つずつ溜まる（ノートPCで9つ）。
+        for (const dir of [runDir, path.join(runDir, 'work')]) {
+            const trace = claudeTraceDir(dir, d.claudeTmpRoot);
+            if (trace)
+                rmSync(trace, { recursive: true, force: true });
+        }
     }
 }
+/**
+ * Claude Code が作業場所ごとに作る記録の置き場（★実物 2026-10-03・Claude Code 2.1.287）。
+ *   `/tmp/claude-<uid>/` の下に、作業場所のパスの英数字以外を `-` に替えた名前で作る
+ *   （例 /home/u/.local/state/conductor/selfcheck/run-…/work → -home-u--local-state-conductor-selfcheck-run-…-work）。
+ * ★消してよいのは自己診断の作業場所の分だけ。名前に selfcheck の run- が入らなければ null（他人の物に触らない）。
+ */
+export function claudeTraceDir(workDir, root = defaultClaudeTmpRoot()) {
+    const name = workDir.replace(/[^a-zA-Z0-9]/g, '-');
+    if (!/-selfcheck-run-/.test(name))
+        return null;
+    return path.join(root, name);
+}
+function defaultClaudeTmpRoot() {
+    const uid = typeof process.getuid === 'function' ? process.getuid() : 0;
+    return path.join('/tmp', `claude-${uid}`);
+}
 /** 画面に出す形（人が読む）。 */
 export function formatSelfcheck(r) {
     const lines = [

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@tyhld/conductor",
-  "version": "0.12.92",
+  "version": "0.12.93",
   "description": "采配くん管制の見守りアプリ（conductor-agent）。各PCで常駐し、中央(devlog-tracker)へ定期的に生存報告(heartbeat)を送る常駐CLI。",
   "type": "module",
   "bin": {

package/sales-template/setup.sh

@@ -1290,6 +1290,49 @@ else
   cleanup_stale_units || warn "古いユニットの掃除に失敗しました（インストールは続行します）。"
 fi
 
+# --- 画面なし方式（headless）の機では、足す現場も画面なし方式で立てる（便 e9276b86） ---
+# 【なぜ要るか（実物 2026-10-03・TYHLD-GOTO・TYHLD-OTA）】
+#   1行インストーラ（install.sh）は最初の現場に drop-in（headless.conf）を置いて画面なし方式にする。
+#   ところが2つ目の現場を `conductor setup 現場名` で足すと drop-in が無く、古い方式（tmux）で立った
+#   （管制で「AI担当は休止中」。人が drop-in を手で置いて直した）。⑧の案内も tmux の3行を出していた。
+# 【決め方】次のどれかなら、この機は画面なし方式＝この現場にも install.sh と同じ drop-in を置く。
+#   ① CONDUCTOR_RUNNER_MODE=headless で呼ばれた（install.sh から）。★=tmux と明示されたら置かない。
+#   ② この機のほかの現場（またはテンプレート全体）の drop-in に画面なし方式の指定が在る。
+#   ★どれにも当たらない機（もとから tmux 方式の機）は、1つも変えない。Mac（launchd）も変えない。
+HEADLESS_LINE='Environment=CONDUCTOR_RUNNER_MODE=headless'
+HEADLESS_DROPIN_DIR="$HOME/.config/systemd/user/conductor@${SITE}.service.d"
+HEADLESS_DROPIN="$HEADLESS_DROPIN_DIR/headless.conf"
+machine_is_headless() {
+  case "${CONDUCTOR_RUNNER_MODE:-}" in
+    headless) return 0 ;;
+    tmux) return 1 ;;
+  esac
+  local f
+  for f in "$HOME"/.config/systemd/user/conductor@*.service.d/*.conf; do
+    [[ -f "$f" ]] || continue
+    grep -qxF "$HEADLESS_LINE" "$f" && return 0
+  done
+  return 1
+}
+HEADLESS_ADDED=0
+if [[ "$OS_KIND" != "mac" ]] && machine_is_headless; then
+  if [[ -f "$HEADLESS_DROPIN" ]] && grep -qxF "$HEADLESS_LINE" "$HEADLESS_DROPIN"; then
+    echo "[setup] 画面なし方式: この現場には設定済みです（${HEADLESS_DROPIN}）"
+  else
+    mkdir -p "$HEADLESS_DROPIN_DIR"
+    cat > "$HEADLESS_DROPIN" <<DROPIN
+# setup.sh が設定: この機は画面なし方式（headless）なので、この現場も同じ方式で動かす。
+# ★tmux に切り替えたいときはこのファイルを消して systemctl --user daemon-reload。
+[Service]
+${HEADLESS_LINE}
+DROPIN
+    HEADLESS_ADDED=1
+    echo "[setup] 画面なし方式を設定しました（drop-in: ${HEADLESS_DROPIN}）"
+  fi
+  # ⑧ の案内を画面なし方式に切り替える。
+  CONDUCTOR_RUNNER_MODE=headless
+fi
+
 # ★常駐の設置だけが OS で分かれる（ADR-019・案C）。ここより上も下も1本のまま。
 if [[ "$OS_KIND" == "mac" ]]; then
   SVC_INSTALL="$SCRIPT_DIR/launchd/install.sh"
@@ -1298,6 +1341,10 @@ else
 fi
 if [[ -f "$SVC_INSTALL" ]]; then
   bash "$SVC_INSTALL" "$SITE" "$PROJECT_DIR"
+  # ★もう動いていた現場（setup のやり直し）は enable --now では読み直さないので、入れ直して効かせる。
+  if [[ "$HEADLESS_ADDED" == "1" ]]; then
+    systemctl --user restart "conductor@${SITE}.service" 2>/dev/null || true
+  fi
 else
   warn "常駐の設置スクリプトが見つかりません: $SVC_INSTALL（スキップ）"
   echo "[setup] 手動で設定する場合は sales-template/${SVC_KIND}/ を参照してください。"
@@ -1452,12 +1499,13 @@ if [[ "${CONDUCTOR_RUNNER_MODE:-}" == "headless" ]]; then
   合言葉を入れ直す: rm ~/.conductor.env   → そのあと setup.sh をもう一度実行
 
 ──────────────────────────────────────────────────────────
-職人の画面を手で開きたいとき（tmux 方式・補助）
+職人の画面を手で開きたいとき（見るだけ・補助）
 ──────────────────────────────────────────────────────────
 
-  tmux new-session -d -s "$SITE" -c "$PROJECT_DIR"
-  tmux send-keys -t "$SITE" "unset ANTHROPIC_API_KEY && claude" C-m
-  tmux attach -t "$SITE"
+  画面なし方式では、職人の画面を手で立ち上げません（立ち上げると、便と同じ現場で2人目の職人が動きます）。
+  職人がいま何をしているかは、管制の画面か、次の1行で見られます（見るだけ・入力はできません）:
+
+  kc ${SITE}        （kc が無いときは  conductor view ${SITE}）
 
 GUIDE
 else

package/skills/conductor-craftsman/SKILL.md

@@ -132,6 +132,10 @@ description: 采配くんの便（プロンプト末尾に CONDUCTOR_JOB:<id>
     - **なぜ（置き場の話）。** 実機 2026-09-03: ai-saku の画面便（PR#258・PR#269）で、検品用の使い捨てページ `_layout-check.html` をリポジトリ直下に作り、`rm -rf` で消そうとして止められ、人が2回消した。**禁止の一覧と番人の制限は正しい（緩めない）。悪いのは置き場。**
     - **なぜ（後片付けの話を改めた理由）。** 旧い文言は「リポジトリ直下は番人が `rm` を止めるので自分で消さず報告」だった。実測（便 fb248f6e）では、`-f` を付けない `rm -r` と実在のパスの名指しなら、リポジトリ直下の自分の作業ファイルも通る。止まるのは `-f` 付きと変数・`*` 入りだけ。**止まらない形を「止まる」と書いていると、職人が自分の残骸を残したまま便を終える**ので、実物に合わせた（番人・禁止の一覧は1行も変えていない）。
     - 置き場を `/tmp/claude-1000/` にすれば、止められることも、残骸がコミットに混ざることも起きない（根治＝鉄則10）。Playwright の検品ページも同じ（鉄則8-④）。
+    - **空振り確認（直しをわざと外して、試験が落ちるのを見る）も、使い捨ての複製の中だけで行う（えふさん確定 2026-10-03・便 4cf71dde の要判断②）。**
+      - 形: `git clone --no-hardlinks <リポの実在のパス> /tmp/claude-1000/karaburi-<便IDの頭8文字>` → その中で直しを外す → 試験を流す → 終わったら `rm -r /tmp/claude-1000/karaburi-<便IDの頭8文字>`（`-f` を付けない・名指し）。
+      - ★**作業ツリーの中で直しを外さない**（戻し忘れがそのまま PR に入る）。★**`git worktree` を使わない**：囲いが `.git/worktrees` を読み取り専用で重ねるので、`git worktree remove` が「Device or resource busy」で止まり、職人が片付けられない（便 4cf71dde で再現）。複製なら囲いにも番人にも止められずに片付く。
+      - 複製の中でも記録に入れるときは名指しで `git add <ファイル>`（鉄則1-④）。複製は GitHub へ push しない。
 14. **`.env` 類（`.env`・`.env.local`・`.env.example` などの雛形も含む）は職人が書き換えない（えふさん確定 2026-09-18・便 3d11f913）**
     - **番人は `.env` 本体も `.env.example` などの雛形も、書き込みを止める**（Write／Edit の設定 deny と、Bash の `echo`／`tee`／`sed -i`／`cp`／`mv` などを、経路を問わず同じ結果にそろえた）。読み込みは今までどおり（雛形は読める・本物は読めない）。
     - **なぜ。** 雛形（`.env.example`）は普通は秘密値を置かないが、「exampleだから常に安全」と番人へ例外を作ると、将来誤って実値が書かれたときの穴になる（利便性より安全側・えふさん確定）。