@tyhld/conductor 0.3.0 → 0.7.0

package/sales-template/cc2_guard.py

@@ -1,395 +0,0 @@
-#!/usr/bin/env python3
-"""cc2_guard.py — 采配くん職人(CC2)用の PreToolUse フック（硬い安全境界）。
-
-【目的】
-  Claude Code の Bash ツール実行直前にコマンド全文を検査し、
-    - 赤（取り返しのつかない操作）   → deny（問答無用ブロック）
-    - 白黄（読み取り/コード変更・PR・本番デプロイ等の安全動詞のみ） → allow（自動許可）
-    - それ以外（判断不能・未知）     → 何も返さず（=従来の許可ルール/プロンプトに委ねる）
-  を実現する。複合コマンド(&&/;/|)や変数展開(${...}/$?)込みでも、
-  allow パターン照合のように「展開で止まる」ことなく、フック側のロジックで判定する。
-
-【設計の核（前回調査 cmqau0e9 / 公式 hooks.md に基づく）】
-  - パターン deny は公式が「fragile・確実な遮断はフックを使え」と明言 → 赤はここで全文検査して確実に止める。
-  - フックの "allow" は設定の deny を上書きできない（hooks cannot approve what rules deny）。
-    つまり本フックが allow を返しても、~/.claude/settings.json の deny13 は二重の壁として残る（多重防御）。
-  - 「迷ったら止める」: 読めない/未知のコマンドは絶対に allow しない。最悪でも defer（プロンプト）に倒す。
-    → 変数に隠れたコマンド（例 `X="..."; $X`）は `$X` が安全動詞でないため自動 allow されず、人間へ。
-
-【入出力（公式 hooks.md, v2.1.x）】
-  入力(stdin JSON): {"tool_name":"Bash","tool_input":{"command":"..."}, ...}
-  出力(stdout JSON, exit 0):
-    {"hookSpecificOutput":{"hookEventName":"PreToolUse",
-      "permissionDecision":"deny"|"allow","permissionDecisionReason":"..."}}
-  defer（委譲）は「何も出力せず exit 0」で表現する（非決定 → 通常の許可フローへ）。
-  例外時も何も出力せず exit 0（フェイルセーフ：誤って allow しない。赤は settings deny13 が拾う）。
-
-  本ファイルはテスト容易性のため、判定ロジックを純粋関数 decide(command) に分離してある。
-"""
-import sys
-import json
-import re
-
-# ─────────────────────────────────────────────────────────────────────────────
-# 安全な動詞（白＝読み取り / 黄＝コード変更・PR・本番）。これ「のみ」で構成される複合コマンドは allow。
-# 任意コード実行ラッパ（bash/sh/eval/exec/source/.）は含めない＝中身が読めないため defer に倒す。
-# ─────────────────────────────────────────────────────────────────────────────
-SAFE_VERBS = {
-    # 読み取り（白）
-    'cat', 'grep', 'egrep', 'fgrep', 'rg', 'ls', 'sed', 'head', 'tail', 'find',
-    'wc', 'echo', 'printf', 'which', 'type', 'awk', 'sort', 'uniq', 'cut', 'tr',
-    'diff', 'cmp', 'file', 'stat', 'basename', 'dirname', 'realpath', 'readlink',
-    'date', 'pwd', 'true', 'false', 'test', '[', '[[', 'jq', 'column', 'xxd', 'base64',
-    'tee', 'tar',
-    # シェル組込みの無害系（制御構文の条件/本文で出現する。read=標準入力→変数、:=no-op）。
-    'read', ':',
-    # ディレクトリ移動（読み取り系。複合コマンド先頭の `cd ... &&` で defer に倒れていた根治）。
-    'cd', 'pushd', 'popd', 'dirs',
-    # コード変更・ビルド・PR・本番（黄）— 当ワークフローで信頼する実行系
-    'npm', 'npx', 'node', 'python', 'python3', 'pip', 'pip3', 'pnpm', 'yarn',
-    'curl', 'wget', 'vercel', 'tsc', 'eslint', 'prettier', 'vitest', 'jest',
-    'tsx', 'ts-node', 'mkdir', 'touch', 'cp', 'mv',
-    # git / gh / rm はサブコマンド・パスを個別に検査する（下記）
-}
-
-# git の安全サブコマンド（push は force 系を別途レッド判定済みなのでここでは安全扱い）。
-GIT_SAFE_SUB = {
-    'status', 'log', 'diff', 'add', 'commit', 'checkout', 'switch', 'pull',
-    'push', 'stash', 'merge', 'branch', 'show', 'fetch', 'rev-parse',
-    'rev-list', 'ls-files', 'ls-tree', 'remote', 'config', 'restore', 'tag',
-    'describe', 'blame', 'cherry-pick', 'rebase', 'reset', 'init', 'clone',
-}
-
-# gh pr の安全サブコマンド。
-GH_PR_SAFE = {
-    'create', 'merge', 'view', 'checks', 'list', 'status', 'diff', 'comment',
-    'ready', 'edit', 'close', 'reopen',
-}
-
-# 動詞単体で赤（取り返しのつかない）と見なすもの。部分一致だと echo 等で誤爆するため「動詞位置」でのみ判定。
-RED_VERBS = {'psql', 'dropdb', 'truncate'}
-
-# 危険でない作業フォルダの絶対パス先頭成分（/tmp/xxx は限定削除として通す）。
-_SAFE_ABS_TOP = {'tmp'}
-
-# シェル制御演算子（複合コマンド分割用）。rm 抽出など「素の全文」用（括弧は含めない）。
-_SPLIT_RE = re.compile(r'&&|\|\||[;|&\n]')
-
-# 白黄の安全判定用の分割。上記に加えサブシェル/グループ/case パターンの `( )` でも割る。
-# （クォートは事前に潰すので、文字列中の括弧では誤爆しない。`{ }` はブレース展開 file{1,2}
-#  を壊すため split には含めず、_real_tokens 側で構文トークンとして透過スキップする。）
-_SPLIT_SIMPLE_RE = re.compile(r'&&|\|\||[;|&()\n]')
-
-# `&` を含むリダイレクト（2>&1 / >&2 / 1>&2 / &>file / &>>file / <&0 等）。
-# これらの `&` を _SPLIT_RE が「バックグラウンド/区切り」と誤認すると、コマンドが
-# 途中で割れて残骸トークン（例: 2>&1 の "1"）が未知コマンド扱いになり defer に倒れる。
-# 分割前に空白へ潰して、安全な複合コマンド（cd ... && build > log 2>&1 等）の自動allowを守る。
-_REDIR_AMP_RE = re.compile(r'\d*>&\d*|&>>?|\d*<&\d*')
-
-
-def _strip_redirs(s: str) -> str:
-    """`&` を含むリダイレクト記法を空白化する（コマンド分割の誤爆防止）。"""
-    return _REDIR_AMP_RE.sub(' ', s)
-
-# 先頭に付く環境/ラッパ系（実体の動詞へ読み進めるためにスキップ）。
-_WRAPPERS = {'env', 'nohup', 'time', 'stdbuf', 'setsid', 'timeout', 'nice', 'ionice', 'command', 'builtin'}
-
-# ─── シェル制御構文（for/while/if/case …）の一般化 ────────────────────────────
-# 制御語は「実行される実コマンド」ではないので、動詞探索時に透過的に扱う。
-#   _NOOP_KW      … このセグメントに走るコマンドは無い（ヘッダ/終端）。→ no-op 扱い。
-#                    for/select/case はワードリストを導くだけ（本文は別セグメント）。
-#                    done/fi/esac は終端語のみ。
-#   _COND_KW      … 直後が「実行される条件コマンド」。語だけスキップし後続を実コマンドとして評価。
-#                    （例 `if [ -f a ]` → `[ -f a ]`、`while read l` → `read l`）
-#   _TRANSPARENT_KW … 構文語。スキップして後続（本文コマンド）を評価。（例 `then cat a`→`cat a`）
-_NOOP_KW = {'for', 'select', 'case', 'done', 'fi', 'esac'}
-_COND_KW = {'if', 'elif', 'while', 'until'}
-_TRANSPARENT_KW = {'then', 'do', 'else', 'in', '!'}
-
-# クォート内（'...' / "..."）は分割・動詞判定の対象外。プレースホルダ 'Q' に潰して
-# 文字列中の `( ) && ; |` 等が複合コマンド分割を誤爆させないようにする。
-# 注意: これは「安全動詞の構造判定」専用。赤(_hard_reds/_rm_findings)は常に素の全文を走査するため、
-# クォートに隠した危険（例 "$(rm -rf /)"）はそちら＋$()中身抽出で従来どおり捕捉される。
-def _blank_quotes(s: str) -> str:
-    out = []
-    i, n, q = 0, len(s), None
-    while i < n:
-        c = s[i]
-        if q:
-            if c == '\\' and q == '"' and i + 1 < n:
-                i += 2
-                continue
-            if c == q:
-                out.append('Q')      # 閉じクォートで丸ごと1トークン化
-                q = None
-            i += 1
-            continue
-        if c in ('"', "'"):
-            q = c
-            i += 1
-            continue
-        out.append(c)
-        i += 1
-    return ''.join(out)
-
-
-# ─────────────────────────────────────────────────────────────────────────────
-# 赤（無条件）: 全文（小文字化）に対する正規表現。複合の同一サブコマンド内に限定し、
-# かつ変数に直書きされた赤（例 X="git push --force"; $X）も文字列として拾う。
-# ─────────────────────────────────────────────────────────────────────────────
-def _hard_reds(low: str):
-    # force push（--force / --force-with-lease / -f / refspec の +）
-    if re.search(r'git\s+push\b[^;&|\n]*?(--force(-with-lease)?\b|(?:^|\s)-f(?:\s|$)|\s\+\S)', low):
-        return 'force push'
-    # git reset --hard
-    if re.search(r'git\s+reset\b[^;&|\n]*--hard\b', low):
-        return 'git reset --hard'
-    # git clean で f と d の両方（-fd / -fdx / -df / -xfd 等）
-    for m in re.finditer(r'git\s+clean\b([^;&|\n]*)', low):
-        fl = ''.join(re.findall(r'-([a-z]+)', m.group(1)))
-        if 'f' in fl and 'd' in fl:
-            return 'git clean -fd'
-    # 本番DB破壊
-    if re.search(r'\bdrop\s+table\b', low):
-        return 'drop table'
-    if re.search(r'\bdrop\s+database\b', low):
-        return 'drop database'
-    if re.search(r'\bsupabase\s+db\s+reset\b', low):
-        return 'supabase db reset'
-    # 権限・秘密・sudo rm
-    if re.search(r'\bgh\s+secret\b', low):
-        return 'gh secret'
-    if re.search(r'\bsudo\s+rm\b', low):
-        return 'sudo rm'
-    return None
-
-
-# ─────────────────────────────────────────────────────────────────────────────
-# rm のパス危険度判定。'dangerous'（赤=deny）/ 'safe'（作業フォルダ=allow可）/ 'unknown'（変数/glob=prompt）。
-# ─────────────────────────────────────────────────────────────────────────────
-def _classify_rm_path(path: str) -> str:
-    p = path.strip().strip('"').strip("'").strip()
-    if p == '':
-        return 'unknown'
-    # 明示的ホーム変数
-    if p in ('$HOME', '${HOME}', '$HOME/', '${HOME}/'):
-        return 'dangerous'
-    if p.startswith('$HOME/') or p.startswith('${HOME}/'):
-        rest = p.split('/', 1)[1] if '/' in p else ''
-        return 'safe' if rest.strip() else 'dangerous'
-    # 変数・コマンド置換・glob を含む → 不明（自動 allow しない / 自動 deny もしない）
-    if any(c in p for c in ('$', '`', '*', '?', '{', '[')):
-        return 'unknown'
-    # ルート / ホーム
-    if p in ('/', '~', '~/'):
-        return 'dangerous'
-    if p.startswith('~'):
-        rest = p[1:].lstrip('/')
-        return 'dangerous' if rest == '' else 'safe'  # ~ 単体は危険、~/sub は作業扱い
-    if p.startswith('/'):
-        comps = [c for c in p.split('/') if c != '']
-        if len(comps) == 0:
-            return 'dangerous'           # '/'
-        if comps[0] in _SAFE_ABS_TOP and len(comps) >= 2:
-            return 'safe'                # /tmp/xxx
-        return 'dangerous'               # /home, /etc, /x ... 非tmpの絶対パス
-    # 相対パス（先頭が / ~ $ でない）＝作業フォルダ → 安全
-    return 'safe'
-
-
-def _rm_findings(command: str):
-    """コマンド全文から再帰的 rm を全て拾い、各々の危険度を返す（変数に直書きされた rm も拾う）。"""
-    findings = []
-    for m in re.finditer(r'\brm\b', command):
-        seg = _SPLIT_RE.split(command[m.end():], maxsplit=1)[0]
-        toks = seg.split()
-        flagchars = ''
-        longs = []
-        paths = []
-        for t in toks:
-            if t.startswith('--'):
-                longs.append(t)
-            elif t.startswith('-') and len(t) > 1:
-                flagchars += t[1:]
-            else:
-                paths.append(t)
-        recursive = ('r' in flagchars) or ('R' in flagchars) or ('--recursive' in longs)
-        if not recursive:
-            continue  # 単一ファイル削除は赤の対象外
-        if not paths:
-            findings.append('unknown')   # rm -rf でパスが直書きされていない（変数等）→ 不明
-            continue
-        cls = [_classify_rm_path(p) for p in paths]
-        if 'dangerous' in cls:
-            findings.append('dangerous')
-        elif 'unknown' in cls:
-            findings.append('unknown')
-        else:
-            findings.append('safe')
-    return findings
-
-
-# ─────────────────────────────────────────────────────────────────────────────
-# 白黄判定: 全サブコマンド（subshell 中身を含む）が安全動詞のみか。
-# ─────────────────────────────────────────────────────────────────────────────
-def _simple_commands(command: str):
-    command = _strip_redirs(command)                      # 2>&1 等の `&` で割れないよう先に潰す
-    # $(...)/`...` の中身は「素の全文」から抽出（クォート内でも必ず走査対象にする）。
-    inner = re.findall(r'\$\(([^()]*)\)', command)        # $(...) の中身
-    inner += re.findall(r'`([^`]*)`', command)            # `...` の中身
-    base = re.sub(r'\$\([^()]*\)', ' ', command)          # 置換部を除去（残った素の () はサブシェル/case）
-    base = re.sub(r'`[^`]*`', ' ', base)
-    base = _blank_quotes(base)                            # クォートを潰してから括弧/演算子で分割
-    cands = _SPLIT_SIMPLE_RE.split(base)
-    for s in inner:
-        cands += _SPLIT_SIMPLE_RE.split(_blank_quotes(s))
-    return [c.strip() for c in cands if c.strip()]
-
-
-def _real_tokens(seg: str):
-    """セグメントから実体コマンドのトークン列を返す。
-
-    先頭の VAR=val 代入・ラッパ(env/timeout 等)・グループ括弧 `( ) { }`・制御構文語
-    (for/while/if/then/do/… )・リダイレクト（例 `> f`）を透過的に読み飛ばし、実際に走る
-    コマンドの先頭に到達したらそれ以降を返す。制御構文のヘッダ/終端など「走るコマンドが
-    無い」セグメントは [] を返す（no-op）。`xargs` は後続コマンドの実行器なのでオプションを
-    飛ばして後続を実コマンドとして扱う。"""
-    toks = seg.split()
-    i = 0
-    while i < len(toks):
-        t = toks[i].strip('(){}')                       # 付随するサブシェル/グループ括弧を除去
-        if t == '':                                     # 素の `(` `)` `{` `}` 単体 → 透過
-            i += 1
-            continue
-        if re.match(r'^[A-Za-z_][A-Za-z0-9_]*=', t):    # VAR=val 代入
-            i += 1
-            continue
-        if re.match(r'^[0-9]*[<>]+$', t):               # リダイレクト演算子単体（> / 2> / < 等）
-            i += 1
-            if i < len(toks) and not re.match(r'^[0-9]*[<>]', toks[i]):
-                i += 1                                  # リダイレクト先ファイルを飛ばす
-            continue
-        base = t.split('/')[-1]
-        if base in _NOOP_KW:                            # for/select/case/done/fi/esac → 走るコマンド無し
-            return []
-        if base in _COND_KW or base in _TRANSPARENT_KW:  # if/while/then/do/… → 語を飛ばし後続を評価
-            i += 1
-            continue
-        if base in _WRAPPERS:
-            i += 1
-            while i < len(toks) and toks[i].startswith('-'):
-                i += 1                                  # ラッパのフラグをスキップ
-            if base in ('timeout', 'nice', 'ionice') and i < len(toks) and not toks[i].startswith('-'):
-                i += 1                                  # 期間/優先度の引数をスキップ
-            continue
-        if base == 'xargs':                             # xargs は後続コマンドの実行器
-            i += 1
-            while i < len(toks) and (toks[i].startswith('-') or toks[i] == '{}' or toks[i].isdigit()):
-                i += 1                                  # xargs のオプション/置換文字列/数値引数を飛ばす
-            continue
-        return [t] + toks[i + 1:]                       # 実コマンド先頭（括弧除去済み）以降
-    return []   # 代入/構文語のみ＝実コマンドなし（no-op）
-
-
-def _is_safe_command(toks) -> bool:
-    if not toks:
-        return True   # 代入のみ等の no-op
-    verb = toks[0].split('/')[-1].strip('"\'')
-    if verb in RED_VERBS:
-        return False  # ここには来ない想定（先に deny 済）だが保険
-    if verb == 'rm':
-        return True   # 危険/不明 rm は decide() で先に deny/defer 済 → ここに来る rm は安全パス
-    if verb == 'git':
-        sub = toks[1].split('/')[-1] if len(toks) > 1 else ''
-        return sub in GIT_SAFE_SUB
-    if verb == 'gh':
-        if len(toks) > 2 and toks[1] == 'pr' and toks[2] in GH_PR_SAFE:
-            return True
-        if len(toks) > 2 and toks[1] == 'run' and toks[2] in ('view', 'list', 'watch'):
-            return True
-        return False
-    if verb == 'find':
-        if any(a in ('-delete', '-exec', '-execdir', '-ok', '-okdir') for a in toks):
-            return False  # find -delete / -exec は実質任意実行 → 自動 allow しない
-        return True
-    return verb in SAFE_VERBS
-
-
-def _red_verb_hit(simples):
-    for seg in simples:
-        toks = _real_tokens(seg)
-        if toks:
-            verb = toks[0].split('/')[-1].strip('"\'')
-            if verb in RED_VERBS:
-                return verb
-    return None
-
-
-# ─────────────────────────────────────────────────────────────────────────────
-# 中心の純粋関数。
-# 返り値: {'decision': 'deny'|'allow'|'defer', 'reason': str}
-#   deny  … 赤。ブロック。
-#   allow … 白黄。自動許可。
-#   defer … 委譲（何も出力しない＝従来の許可ルール/プロンプトへ）。
-# ─────────────────────────────────────────────────────────────────────────────
-def decide(command: str):
-    if not command or not command.strip():
-        return {'decision': 'defer', 'reason': 'empty command'}
-    low = command.lower()
-
-    # 1) 無条件レッド（多語キーワード／force push 等。変数直書きも文字列として拾う）
-    hit = _hard_reds(low)
-    if hit:
-        return {'decision': 'deny', 'reason': f'red: {hit}'}
-
-    simples = _simple_commands(command)
-
-    # 2) 動詞位置のレッド（psql/dropdb/truncate）
-    rv = _red_verb_hit(simples)
-    if rv:
-        return {'decision': 'deny', 'reason': f'red verb: {rv}'}
-
-    # 3) rm の危険パス
-    rmf = _rm_findings(command)
-    if 'dangerous' in rmf:
-        return {'decision': 'deny', 'reason': 'red: rm -rf on dangerous path (root/home/non-tmp absolute)'}
-    if 'unknown' in rmf:
-        return {'decision': 'defer', 'reason': 'rm -rf with variable/glob path → prompt'}
-
-    # 4) 白黄: 全サブコマンドが安全動詞のみなら allow
-    if simples and all(_is_safe_command(_real_tokens(s)) for s in simples):
-        return {'decision': 'allow', 'reason': 'white/yellow: safe verbs only'}
-
-    # 5) それ以外は委譲（未知 → 通常の許可フロー＝プロンプト）
-    return {'decision': 'defer', 'reason': 'unknown/uncertain → normal permission flow'}
-
-
-def main() -> int:
-    try:
-        raw = sys.stdin.read()
-        data = json.loads(raw) if raw.strip() else {}
-    except Exception:
-        return 0  # 入力不正 → 委譲（フェイルセーフ）
-    try:
-        if data.get('tool_name') != 'Bash':
-            return 0  # Bash 以外は委譲
-        command = (data.get('tool_input') or {}).get('command', '')
-        result = decide(command)
-        if result['decision'] in ('allow', 'deny'):
-            out = {
-                'hookSpecificOutput': {
-                    'hookEventName': 'PreToolUse',
-                    'permissionDecision': result['decision'],
-                    'permissionDecisionReason': result['reason'],
-                }
-            }
-            sys.stdout.write(json.dumps(out))
-        # defer は何も出力しない（exit 0）
-        return 0
-    except Exception:
-        # 想定外の例外でも絶対に allow を出さない＝委譲（赤は settings deny13 が拾う）
-        return 0
-
-
-if __name__ == '__main__':
-    sys.exit(main())

package/sales-template/systemd/conductor@.service

@@ -1,47 +0,0 @@
-# conductor@.service — 采配くん常駐サービス（systemd ユーザーサービス テンプレート）。
-#
-# PC起動時に自動で采配くんの relay（指示の自動流し込み）+ heartbeat を常駐させる。
-# 落ちても Restart=always で自動復活する。
-#
-# テンプレート方式:
-#   conductor@<プロジェクト名>.service で1サービス。%i に <プロジェクト名> が入る。
-#   例) systemctl --user enable --now conductor@my-app
-#
-# 導入: sales-template/systemd/install.sh が配置・enable・linger まで面倒を見る。
-#
-# 鍵: %h/.conductor.env（chmod 600）を EnvironmentFile で読み込む。
-#   中身:
-#     CONDUCTOR_URL=https://<采配くん管制サーバURL>
-#     CONDUCTOR_SHARED_SECRET=<シークレット>
-#
-# WorkingDirectory: 既定は %h/projects/%i。プロジェクト名とディレクトリ名が異なる場合は
-#   install.sh が drop-in で WorkingDirectory を上書きする。
-#
-# ExecStart のパス解決: systemd ユーザーサービスはシェルの PATH を継承しない。
-#   install.sh が npm グローバルインストール先から conductor コマンドの実体パスを検出し、
-#   __CONDUCTOR_BIN__ を実際のフルパスに置換してからユニットを配置する。
-#   node 自体も /usr/local/bin/node にシンボリックリンクを作成して解決する。
-#
-# relay: heartbeat + 指示の自動流し込みを常駐で有効化。
-#   送信前ガードが「プロジェクト名と一致する tmux セッションが存在し、
-#   Claude Code がアイドルで待機している時だけ送る／それ以外はスキップ」を担保する。
-
-[Unit]
-Description=Conductor heartbeat (%i)
-After=network-online.target
-Wants=network-online.target
-
-[Service]
-Type=simple
-EnvironmentFile=%h/.conductor.env
-# relay（指示の自動流し込み）を常駐で有効化。送信前ガードで誤爆を防止。
-Environment=CONDUCTOR_RELAY_ENABLED=true
-Environment=CONDUCTOR_RELAY_INTERVAL_SEC=15
-WorkingDirectory=%h/projects/%i
-# __CONDUCTOR_BIN__ は install.sh が配置時に conductor コマンドのフルパスに置換する。
-ExecStart=__CONDUCTOR_BIN__ start -s %i -t working -a "%i常駐"
-Restart=always
-RestartSec=5
-
-[Install]
-WantedBy=default.target