@tyhld/conductor 0.3.0

package/package.json

@@ -0,0 +1,35 @@
+{
+  "name": "@tyhld/conductor",
+  "version": "0.3.0",
+  "description": "采配くん管制の見守りアプリ（conductor-agent）。各PCで常駐し、中央(devlog-tracker)へ定期的に生存報告(heartbeat)を送る常駐CLI。",
+  "type": "module",
+  "bin": {
+    "conductor": "dist/cli.js"
+  },
+  "files": [
+    "dist",
+    "sales-template",
+    "README.md"
+  ],
+  "engines": {
+    "node": ">=18"
+  },
+  "scripts": {
+    "build": "tsc",
+    "start": "node dist/cli.js start",
+    "test": "tsc && node --test --experimental-strip-types test/*.test.ts",
+    "prepublishOnly": "npm run build"
+  },
+  "publishConfig": {
+    "access": "public"
+  },
+  "repository": {
+    "type": "git",
+    "url": "git+https://github.com/tyhld/conductor.git"
+  },
+  "license": "MIT",
+  "devDependencies": {
+    "@types/node": "^25.9.1",
+    "typescript": "^6.0.3"
+  }
+}

package/sales-template/README.md

@@ -0,0 +1,199 @@
+# 采配くん販売テンプレート
+
+采配くんを顧客PCにインストールするためのテンプレート一式です。
+
+## クイックスタート（1コマンドインストール）
+
+```bash
+# @tyhld/conductor パッケージに同梱された setup.sh を実行
+bash setup.sh my-app /path/to/my-app
+```
+
+### 必要なもの
+
+| 項目 | 説明 |
+|------|------|
+| Node.js 18+ | fnm / nvm / volta / apt いずれか |
+| tmux | `sudo apt install tmux` |
+| git | `sudo apt install git` |
+| Python 3.8+ | OS 標準で入っていることが多い |
+| systemd | WSL の場合: `/etc/wsl.conf` に `[boot] systemd=true` |
+| sudo | node symlink 作成（③）と linger 設定（⑥）で必要 |
+
+### setup.sh がやること
+
+```
+bash setup.sh <プロジェクト名> [プロジェクトディレクトリ]
+
+ ① 前提チェック (node/tmux/git/python3/systemd)
+ ② conductor 本体インストール (npm i -g @tyhld/conductor)
+ ③ node symlink (/usr/local/bin/node → 実体)      ← sudo
+ ④ .conductor.env 作成 (対話入力)                   ← URL/SECRET入力
+ ⑤ .claude/ 配置 (cc2_guard.py + settings.json)
+ ⑥ systemd enable (conductor@<名前>)               ← sudo (linger)
+ ⑦ 職人起動の案内表示
+```
+
+顧客の手数: **1コマンド + 対話2問 + sudo + Claude Code 起動 = 実質3アクション**
+
+### インストール（認証不要）
+
+@tyhld/conductor は公開 npm レジストリ（registry.npmjs.org）で配布されます。
+GitHub PAT や `.npmrc` の設定は不要で、そのまま無認証でインストールできます:
+
+```bash
+npm i -g @tyhld/conductor
+```
+
+`setup.sh` はこのインストールを自動で行うため、通常は個別に実行する必要はありません。
+
+---
+
+## PERM ルール（権限設定）の詳細
+
+采配くんが Claude Code（職人/CC2）の操作を安全に制御するための権限設定テンプレートです。
+
+## この2ファイルは何をするか
+
+| ファイル | 役割 | 設置先 |
+|----------|------|--------|
+| `cc2_guard.py` | Bash コマンド実行前の自動検査（Hook） | プロジェクトの `.claude/hooks/` に配置し、hooks 設定で PreToolUse に登録 |
+| `settings.json` | Claude Code の権限ルール（deny/allow/ask） | プロジェクトの `.claude/settings.json` として配置 |
+
+### 動作の仕組み（3層防御）
+
+```
+コマンド実行要求
+  │
+  ▼
+[第1層] cc2_guard.py (Hook)
+  │  危険コマンド → 即ブロック（deny）
+  │  安全コマンド → 即許可（allow）
+  │  不明         → 次の層へ委譲
+  ▼
+[第2層] settings.json (権限ルール)
+  │  deny パターン → ブロック（Hook の allow より優先）
+  │  allow パターン → 自動許可
+  │  ask パターン  → 人間に確認
+  ▼
+[第3層] Claude Code のデフォルト判断
+  │  permission-mode に応じて人間に確認
+```
+
+**設計思想: 「危険だけ確実に止める・それ以外は自動許可」**
+
+- 赤（deny）: 取り返しのつかない操作（force push、本番DB破壊、rm -rf 等）を問答無用でブロック
+- 黄（ask）: 本番デプロイや PR マージなど、実行自体は正当だが人間の確認が欲しい操作
+- 白（allow）: ビルド・テスト・git 操作・ファイル閲覧など、日常開発で安全な操作を自動許可
+
+## セットアップ手順
+
+### 1. settings.json を配置
+
+```bash
+# プロジェクトルートに .claude/ がなければ作成
+mkdir -p .claude
+
+# テンプレートをコピー
+cp settings.json .claude/settings.json
+
+# プレースホルダを差し替え（下記「プレースホルダ一覧」参照）
+# エディタで .claude/settings.json を開いて編集
+```
+
+### 2. cc2_guard.py を Hook として登録
+
+```bash
+# hooks ディレクトリを作成
+mkdir -p .claude/hooks
+
+# cc2_guard.py をコピー
+cp cc2_guard.py .claude/hooks/cc2_guard.py
+chmod +x .claude/hooks/cc2_guard.py
+```
+
+Claude Code の設定（`.claude/settings.json` または `~/.claude/settings.json`）に以下を追加:
+
+```json
+{
+  "hooks": {
+    "PreToolUse": [
+      {
+        "matcher": "Bash",
+        "hooks": [
+          {
+            "type": "command",
+            "command": "python3 .claude/hooks/cc2_guard.py"
+          }
+        ]
+      }
+    ]
+  }
+}
+```
+
+### 3. 動作確認
+
+```bash
+# Claude Code を起動して以下を試す:
+# - `ls` → 自動許可されるはず（allow）
+# - `git push --force` → ブロックされるはず（deny）
+# - 未知のコマンド → 人間に確認が来るはず（ask/prompt）
+```
+
+## プレースホルダ一覧
+
+テンプレート内の `<PLACEHOLDER>` を顧客環境に合わせて差し替えてください。
+
+| プレースホルダ | 説明 | 記載ファイル | 例 |
+|---------------|------|-------------|-----|
+| `<PROJECT_DIR>` | プロジェクトの絶対パス | settings.json (allow) | `/home/user/projects/my-app` |
+| `<SUPABASE_PROJECT_ID>` | Supabase プロジェクトの Reference ID | settings.json (sandbox) | `abcdefghijklmnop` |
+
+### 差し替えが不要なケース
+
+- **Supabase を使わない場合**: `<SUPABASE_PROJECT_ID>` を含む行（sandbox の allowedDomains / deniedDomains）を削除してください。Supabase MCP の deny ルールもそのまま残しても害はありません。
+- **Vercel を使わない場合**: sandbox の `vercel.com` / `api.vercel.com` 行を削除してください。
+- **sandbox 自体を使わない場合**: `"sandbox"` セクション全体を削除してください（sandbox は Claude Code の実験的機能です）。
+
+## カスタマイズガイド
+
+### プロジェクト固有の保護対象を追加する
+
+特定のディレクトリやファイルを職人に編集させたくない場合:
+
+```json
+"deny": [
+  "Edit(config/production/**)",
+  "Write(config/production/**)"
+]
+```
+
+### 本番デプロイコマンドを追加する
+
+自社固有のデプロイコマンドがある場合、ask に追加:
+
+```json
+"ask": [
+  "Bash(./deploy.sh:*)",
+  "Bash(make deploy:*)"
+]
+```
+
+### cc2_guard.py の安全動詞を追加する
+
+プロジェクト固有のCLIツール（例: `turbo`, `nx`）を自動許可したい場合、
+`cc2_guard.py` の `SAFE_VERBS` セットに追加:
+
+```python
+SAFE_VERBS = {
+    # ... 既存の動詞 ...
+    'turbo', 'nx',  # 追加
+}
+```
+
+## 注意事項
+
+- `settings.json` の deny は cc2_guard.py の allow より**優先**されます（多重防御）。Hook が「安全」と判断しても settings の deny に引っかかればブロックされます。
+- `disableBypassPermissionsMode` を `"disable"` にしてあるため、`--dangerously-skip-permissions` フラグは無効化されています。
+- cc2_guard.py は Python 3.8 以上で動作します（外部ライブラリ不要）。

package/sales-template/cc2_guard.py

@@ -0,0 +1,395 @@
+#!/usr/bin/env python3
+"""cc2_guard.py — 采配くん職人(CC2)用の PreToolUse フック（硬い安全境界）。
+
+【目的】
+  Claude Code の Bash ツール実行直前にコマンド全文を検査し、
+    - 赤（取り返しのつかない操作）   → deny（問答無用ブロック）
+    - 白黄（読み取り/コード変更・PR・本番デプロイ等の安全動詞のみ） → allow（自動許可）
+    - それ以外（判断不能・未知）     → 何も返さず（=従来の許可ルール/プロンプトに委ねる）
+  を実現する。複合コマンド(&&/;/|)や変数展開(${...}/$?)込みでも、
+  allow パターン照合のように「展開で止まる」ことなく、フック側のロジックで判定する。
+
+【設計の核（前回調査 cmqau0e9 / 公式 hooks.md に基づく）】
+  - パターン deny は公式が「fragile・確実な遮断はフックを使え」と明言 → 赤はここで全文検査して確実に止める。
+  - フックの "allow" は設定の deny を上書きできない（hooks cannot approve what rules deny）。
+    つまり本フックが allow を返しても、~/.claude/settings.json の deny13 は二重の壁として残る（多重防御）。
+  - 「迷ったら止める」: 読めない/未知のコマンドは絶対に allow しない。最悪でも defer（プロンプト）に倒す。
+    → 変数に隠れたコマンド（例 `X="..."; $X`）は `$X` が安全動詞でないため自動 allow されず、人間へ。
+
+【入出力（公式 hooks.md, v2.1.x）】
+  入力(stdin JSON): {"tool_name":"Bash","tool_input":{"command":"..."}, ...}
+  出力(stdout JSON, exit 0):
+    {"hookSpecificOutput":{"hookEventName":"PreToolUse",
+      "permissionDecision":"deny"|"allow","permissionDecisionReason":"..."}}
+  defer（委譲）は「何も出力せず exit 0」で表現する（非決定 → 通常の許可フローへ）。
+  例外時も何も出力せず exit 0（フェイルセーフ：誤って allow しない。赤は settings deny13 が拾う）。
+
+  本ファイルはテスト容易性のため、判定ロジックを純粋関数 decide(command) に分離してある。
+"""
+import sys
+import json
+import re
+
+# ─────────────────────────────────────────────────────────────────────────────
+# 安全な動詞（白＝読み取り / 黄＝コード変更・PR・本番）。これ「のみ」で構成される複合コマンドは allow。
+# 任意コード実行ラッパ（bash/sh/eval/exec/source/.）は含めない＝中身が読めないため defer に倒す。
+# ─────────────────────────────────────────────────────────────────────────────
+SAFE_VERBS = {
+    # 読み取り（白）
+    'cat', 'grep', 'egrep', 'fgrep', 'rg', 'ls', 'sed', 'head', 'tail', 'find',
+    'wc', 'echo', 'printf', 'which', 'type', 'awk', 'sort', 'uniq', 'cut', 'tr',
+    'diff', 'cmp', 'file', 'stat', 'basename', 'dirname', 'realpath', 'readlink',
+    'date', 'pwd', 'true', 'false', 'test', '[', '[[', 'jq', 'column', 'xxd', 'base64',
+    'tee', 'tar',
+    # シェル組込みの無害系（制御構文の条件/本文で出現する。read=標準入力→変数、:=no-op）。
+    'read', ':',
+    # ディレクトリ移動（読み取り系。複合コマンド先頭の `cd ... &&` で defer に倒れていた根治）。
+    'cd', 'pushd', 'popd', 'dirs',
+    # コード変更・ビルド・PR・本番（黄）— 当ワークフローで信頼する実行系
+    'npm', 'npx', 'node', 'python', 'python3', 'pip', 'pip3', 'pnpm', 'yarn',
+    'curl', 'wget', 'vercel', 'tsc', 'eslint', 'prettier', 'vitest', 'jest',
+    'tsx', 'ts-node', 'mkdir', 'touch', 'cp', 'mv',
+    # git / gh / rm はサブコマンド・パスを個別に検査する（下記）
+}
+
+# git の安全サブコマンド（push は force 系を別途レッド判定済みなのでここでは安全扱い）。
+GIT_SAFE_SUB = {
+    'status', 'log', 'diff', 'add', 'commit', 'checkout', 'switch', 'pull',
+    'push', 'stash', 'merge', 'branch', 'show', 'fetch', 'rev-parse',
+    'rev-list', 'ls-files', 'ls-tree', 'remote', 'config', 'restore', 'tag',
+    'describe', 'blame', 'cherry-pick', 'rebase', 'reset', 'init', 'clone',
+}
+
+# gh pr の安全サブコマンド。
+GH_PR_SAFE = {
+    'create', 'merge', 'view', 'checks', 'list', 'status', 'diff', 'comment',
+    'ready', 'edit', 'close', 'reopen',
+}
+
+# 動詞単体で赤（取り返しのつかない）と見なすもの。部分一致だと echo 等で誤爆するため「動詞位置」でのみ判定。
+RED_VERBS = {'psql', 'dropdb', 'truncate'}
+
+# 危険でない作業フォルダの絶対パス先頭成分（/tmp/xxx は限定削除として通す）。
+_SAFE_ABS_TOP = {'tmp'}
+
+# シェル制御演算子（複合コマンド分割用）。rm 抽出など「素の全文」用（括弧は含めない）。
+_SPLIT_RE = re.compile(r'&&|\|\||[;|&\n]')
+
+# 白黄の安全判定用の分割。上記に加えサブシェル/グループ/case パターンの `( )` でも割る。
+# （クォートは事前に潰すので、文字列中の括弧では誤爆しない。`{ }` はブレース展開 file{1,2}
+#  を壊すため split には含めず、_real_tokens 側で構文トークンとして透過スキップする。）
+_SPLIT_SIMPLE_RE = re.compile(r'&&|\|\||[;|&()\n]')
+
+# `&` を含むリダイレクト（2>&1 / >&2 / 1>&2 / &>file / &>>file / <&0 等）。
+# これらの `&` を _SPLIT_RE が「バックグラウンド/区切り」と誤認すると、コマンドが
+# 途中で割れて残骸トークン（例: 2>&1 の "1"）が未知コマンド扱いになり defer に倒れる。
+# 分割前に空白へ潰して、安全な複合コマンド（cd ... && build > log 2>&1 等）の自動allowを守る。
+_REDIR_AMP_RE = re.compile(r'\d*>&\d*|&>>?|\d*<&\d*')
+
+
+def _strip_redirs(s: str) -> str:
+    """`&` を含むリダイレクト記法を空白化する（コマンド分割の誤爆防止）。"""
+    return _REDIR_AMP_RE.sub(' ', s)
+
+# 先頭に付く環境/ラッパ系（実体の動詞へ読み進めるためにスキップ）。
+_WRAPPERS = {'env', 'nohup', 'time', 'stdbuf', 'setsid', 'timeout', 'nice', 'ionice', 'command', 'builtin'}
+
+# ─── シェル制御構文（for/while/if/case …）の一般化 ────────────────────────────
+# 制御語は「実行される実コマンド」ではないので、動詞探索時に透過的に扱う。
+#   _NOOP_KW      … このセグメントに走るコマンドは無い（ヘッダ/終端）。→ no-op 扱い。
+#                    for/select/case はワードリストを導くだけ（本文は別セグメント）。
+#                    done/fi/esac は終端語のみ。
+#   _COND_KW      … 直後が「実行される条件コマンド」。語だけスキップし後続を実コマンドとして評価。
+#                    （例 `if [ -f a ]` → `[ -f a ]`、`while read l` → `read l`）
+#   _TRANSPARENT_KW … 構文語。スキップして後続（本文コマンド）を評価。（例 `then cat a`→`cat a`）
+_NOOP_KW = {'for', 'select', 'case', 'done', 'fi', 'esac'}
+_COND_KW = {'if', 'elif', 'while', 'until'}
+_TRANSPARENT_KW = {'then', 'do', 'else', 'in', '!'}
+
+# クォート内（'...' / "..."）は分割・動詞判定の対象外。プレースホルダ 'Q' に潰して
+# 文字列中の `( ) && ; |` 等が複合コマンド分割を誤爆させないようにする。
+# 注意: これは「安全動詞の構造判定」専用。赤(_hard_reds/_rm_findings)は常に素の全文を走査するため、
+# クォートに隠した危険（例 "$(rm -rf /)"）はそちら＋$()中身抽出で従来どおり捕捉される。
+def _blank_quotes(s: str) -> str:
+    out = []
+    i, n, q = 0, len(s), None
+    while i < n:
+        c = s[i]
+        if q:
+            if c == '\\' and q == '"' and i + 1 < n:
+                i += 2
+                continue
+            if c == q:
+                out.append('Q')      # 閉じクォートで丸ごと1トークン化
+                q = None
+            i += 1
+            continue
+        if c in ('"', "'"):
+            q = c
+            i += 1
+            continue
+        out.append(c)
+        i += 1
+    return ''.join(out)
+
+
+# ─────────────────────────────────────────────────────────────────────────────
+# 赤（無条件）: 全文（小文字化）に対する正規表現。複合の同一サブコマンド内に限定し、
+# かつ変数に直書きされた赤（例 X="git push --force"; $X）も文字列として拾う。
+# ─────────────────────────────────────────────────────────────────────────────
+def _hard_reds(low: str):
+    # force push（--force / --force-with-lease / -f / refspec の +）
+    if re.search(r'git\s+push\b[^;&|\n]*?(--force(-with-lease)?\b|(?:^|\s)-f(?:\s|$)|\s\+\S)', low):
+        return 'force push'
+    # git reset --hard
+    if re.search(r'git\s+reset\b[^;&|\n]*--hard\b', low):
+        return 'git reset --hard'
+    # git clean で f と d の両方（-fd / -fdx / -df / -xfd 等）
+    for m in re.finditer(r'git\s+clean\b([^;&|\n]*)', low):
+        fl = ''.join(re.findall(r'-([a-z]+)', m.group(1)))
+        if 'f' in fl and 'd' in fl:
+            return 'git clean -fd'
+    # 本番DB破壊
+    if re.search(r'\bdrop\s+table\b', low):
+        return 'drop table'
+    if re.search(r'\bdrop\s+database\b', low):
+        return 'drop database'
+    if re.search(r'\bsupabase\s+db\s+reset\b', low):
+        return 'supabase db reset'
+    # 権限・秘密・sudo rm
+    if re.search(r'\bgh\s+secret\b', low):
+        return 'gh secret'
+    if re.search(r'\bsudo\s+rm\b', low):
+        return 'sudo rm'
+    return None
+
+
+# ─────────────────────────────────────────────────────────────────────────────
+# rm のパス危険度判定。'dangerous'（赤=deny）/ 'safe'（作業フォルダ=allow可）/ 'unknown'（変数/glob=prompt）。
+# ─────────────────────────────────────────────────────────────────────────────
+def _classify_rm_path(path: str) -> str:
+    p = path.strip().strip('"').strip("'").strip()
+    if p == '':
+        return 'unknown'
+    # 明示的ホーム変数
+    if p in ('$HOME', '${HOME}', '$HOME/', '${HOME}/'):
+        return 'dangerous'
+    if p.startswith('$HOME/') or p.startswith('${HOME}/'):
+        rest = p.split('/', 1)[1] if '/' in p else ''
+        return 'safe' if rest.strip() else 'dangerous'
+    # 変数・コマンド置換・glob を含む → 不明（自動 allow しない / 自動 deny もしない）
+    if any(c in p for c in ('$', '`', '*', '?', '{', '[')):
+        return 'unknown'
+    # ルート / ホーム
+    if p in ('/', '~', '~/'):
+        return 'dangerous'
+    if p.startswith('~'):
+        rest = p[1:].lstrip('/')
+        return 'dangerous' if rest == '' else 'safe'  # ~ 単体は危険、~/sub は作業扱い
+    if p.startswith('/'):
+        comps = [c for c in p.split('/') if c != '']
+        if len(comps) == 0:
+            return 'dangerous'           # '/'
+        if comps[0] in _SAFE_ABS_TOP and len(comps) >= 2:
+            return 'safe'                # /tmp/xxx
+        return 'dangerous'               # /home, /etc, /x ... 非tmpの絶対パス
+    # 相対パス（先頭が / ~ $ でない）＝作業フォルダ → 安全
+    return 'safe'
+
+
+def _rm_findings(command: str):
+    """コマンド全文から再帰的 rm を全て拾い、各々の危険度を返す（変数に直書きされた rm も拾う）。"""
+    findings = []
+    for m in re.finditer(r'\brm\b', command):
+        seg = _SPLIT_RE.split(command[m.end():], maxsplit=1)[0]
+        toks = seg.split()
+        flagchars = ''
+        longs = []
+        paths = []
+        for t in toks:
+            if t.startswith('--'):
+                longs.append(t)
+            elif t.startswith('-') and len(t) > 1:
+                flagchars += t[1:]
+            else:
+                paths.append(t)
+        recursive = ('r' in flagchars) or ('R' in flagchars) or ('--recursive' in longs)
+        if not recursive:
+            continue  # 単一ファイル削除は赤の対象外
+        if not paths:
+            findings.append('unknown')   # rm -rf でパスが直書きされていない（変数等）→ 不明
+            continue
+        cls = [_classify_rm_path(p) for p in paths]
+        if 'dangerous' in cls:
+            findings.append('dangerous')
+        elif 'unknown' in cls:
+            findings.append('unknown')
+        else:
+            findings.append('safe')
+    return findings
+
+
+# ─────────────────────────────────────────────────────────────────────────────
+# 白黄判定: 全サブコマンド（subshell 中身を含む）が安全動詞のみか。
+# ─────────────────────────────────────────────────────────────────────────────
+def _simple_commands(command: str):
+    command = _strip_redirs(command)                      # 2>&1 等の `&` で割れないよう先に潰す
+    # $(...)/`...` の中身は「素の全文」から抽出（クォート内でも必ず走査対象にする）。
+    inner = re.findall(r'\$\(([^()]*)\)', command)        # $(...) の中身
+    inner += re.findall(r'`([^`]*)`', command)            # `...` の中身
+    base = re.sub(r'\$\([^()]*\)', ' ', command)          # 置換部を除去（残った素の () はサブシェル/case）
+    base = re.sub(r'`[^`]*`', ' ', base)
+    base = _blank_quotes(base)                            # クォートを潰してから括弧/演算子で分割
+    cands = _SPLIT_SIMPLE_RE.split(base)
+    for s in inner:
+        cands += _SPLIT_SIMPLE_RE.split(_blank_quotes(s))
+    return [c.strip() for c in cands if c.strip()]
+
+
+def _real_tokens(seg: str):
+    """セグメントから実体コマンドのトークン列を返す。
+
+    先頭の VAR=val 代入・ラッパ(env/timeout 等)・グループ括弧 `( ) { }`・制御構文語
+    (for/while/if/then/do/… )・リダイレクト（例 `> f`）を透過的に読み飛ばし、実際に走る
+    コマンドの先頭に到達したらそれ以降を返す。制御構文のヘッダ/終端など「走るコマンドが
+    無い」セグメントは [] を返す（no-op）。`xargs` は後続コマンドの実行器なのでオプションを
+    飛ばして後続を実コマンドとして扱う。"""
+    toks = seg.split()
+    i = 0
+    while i < len(toks):
+        t = toks[i].strip('(){}')                       # 付随するサブシェル/グループ括弧を除去
+        if t == '':                                     # 素の `(` `)` `{` `}` 単体 → 透過
+            i += 1
+            continue
+        if re.match(r'^[A-Za-z_][A-Za-z0-9_]*=', t):    # VAR=val 代入
+            i += 1
+            continue
+        if re.match(r'^[0-9]*[<>]+$', t):               # リダイレクト演算子単体（> / 2> / < 等）
+            i += 1
+            if i < len(toks) and not re.match(r'^[0-9]*[<>]', toks[i]):
+                i += 1                                  # リダイレクト先ファイルを飛ばす
+            continue
+        base = t.split('/')[-1]
+        if base in _NOOP_KW:                            # for/select/case/done/fi/esac → 走るコマンド無し
+            return []
+        if base in _COND_KW or base in _TRANSPARENT_KW:  # if/while/then/do/… → 語を飛ばし後続を評価
+            i += 1
+            continue
+        if base in _WRAPPERS:
+            i += 1
+            while i < len(toks) and toks[i].startswith('-'):
+                i += 1                                  # ラッパのフラグをスキップ
+            if base in ('timeout', 'nice', 'ionice') and i < len(toks) and not toks[i].startswith('-'):
+                i += 1                                  # 期間/優先度の引数をスキップ
+            continue
+        if base == 'xargs':                             # xargs は後続コマンドの実行器
+            i += 1
+            while i < len(toks) and (toks[i].startswith('-') or toks[i] == '{}' or toks[i].isdigit()):
+                i += 1                                  # xargs のオプション/置換文字列/数値引数を飛ばす
+            continue
+        return [t] + toks[i + 1:]                       # 実コマンド先頭（括弧除去済み）以降
+    return []   # 代入/構文語のみ＝実コマンドなし（no-op）
+
+
+def _is_safe_command(toks) -> bool:
+    if not toks:
+        return True   # 代入のみ等の no-op
+    verb = toks[0].split('/')[-1].strip('"\'')
+    if verb in RED_VERBS:
+        return False  # ここには来ない想定（先に deny 済）だが保険
+    if verb == 'rm':
+        return True   # 危険/不明 rm は decide() で先に deny/defer 済 → ここに来る rm は安全パス
+    if verb == 'git':
+        sub = toks[1].split('/')[-1] if len(toks) > 1 else ''
+        return sub in GIT_SAFE_SUB
+    if verb == 'gh':
+        if len(toks) > 2 and toks[1] == 'pr' and toks[2] in GH_PR_SAFE:
+            return True
+        if len(toks) > 2 and toks[1] == 'run' and toks[2] in ('view', 'list', 'watch'):
+            return True
+        return False
+    if verb == 'find':
+        if any(a in ('-delete', '-exec', '-execdir', '-ok', '-okdir') for a in toks):
+            return False  # find -delete / -exec は実質任意実行 → 自動 allow しない
+        return True
+    return verb in SAFE_VERBS
+
+
+def _red_verb_hit(simples):
+    for seg in simples:
+        toks = _real_tokens(seg)
+        if toks:
+            verb = toks[0].split('/')[-1].strip('"\'')
+            if verb in RED_VERBS:
+                return verb
+    return None
+
+
+# ─────────────────────────────────────────────────────────────────────────────
+# 中心の純粋関数。
+# 返り値: {'decision': 'deny'|'allow'|'defer', 'reason': str}
+#   deny  … 赤。ブロック。
+#   allow … 白黄。自動許可。
+#   defer … 委譲（何も出力しない＝従来の許可ルール/プロンプトへ）。
+# ─────────────────────────────────────────────────────────────────────────────
+def decide(command: str):
+    if not command or not command.strip():
+        return {'decision': 'defer', 'reason': 'empty command'}
+    low = command.lower()
+
+    # 1) 無条件レッド（多語キーワード／force push 等。変数直書きも文字列として拾う）
+    hit = _hard_reds(low)
+    if hit:
+        return {'decision': 'deny', 'reason': f'red: {hit}'}
+
+    simples = _simple_commands(command)
+
+    # 2) 動詞位置のレッド（psql/dropdb/truncate）
+    rv = _red_verb_hit(simples)
+    if rv:
+        return {'decision': 'deny', 'reason': f'red verb: {rv}'}
+
+    # 3) rm の危険パス
+    rmf = _rm_findings(command)
+    if 'dangerous' in rmf:
+        return {'decision': 'deny', 'reason': 'red: rm -rf on dangerous path (root/home/non-tmp absolute)'}
+    if 'unknown' in rmf:
+        return {'decision': 'defer', 'reason': 'rm -rf with variable/glob path → prompt'}
+
+    # 4) 白黄: 全サブコマンドが安全動詞のみなら allow
+    if simples and all(_is_safe_command(_real_tokens(s)) for s in simples):
+        return {'decision': 'allow', 'reason': 'white/yellow: safe verbs only'}
+
+    # 5) それ以外は委譲（未知 → 通常の許可フロー＝プロンプト）
+    return {'decision': 'defer', 'reason': 'unknown/uncertain → normal permission flow'}
+
+
+def main() -> int:
+    try:
+        raw = sys.stdin.read()
+        data = json.loads(raw) if raw.strip() else {}
+    except Exception:
+        return 0  # 入力不正 → 委譲（フェイルセーフ）
+    try:
+        if data.get('tool_name') != 'Bash':
+            return 0  # Bash 以外は委譲
+        command = (data.get('tool_input') or {}).get('command', '')
+        result = decide(command)
+        if result['decision'] in ('allow', 'deny'):
+            out = {
+                'hookSpecificOutput': {
+                    'hookEventName': 'PreToolUse',
+                    'permissionDecision': result['decision'],
+                    'permissionDecisionReason': result['reason'],
+                }
+            }
+            sys.stdout.write(json.dumps(out))
+        # defer は何も出力しない（exit 0）
+        return 0
+    except Exception:
+        # 想定外の例外でも絶対に allow を出さない＝委譲（赤は settings deny13 が拾う）
+        return 0
+
+
+if __name__ == '__main__':
+    sys.exit(main())