kotonoha 0.5.5 → 0.5.6

package/CHANGELOG.md

@@ -7,6 +7,26 @@ and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0
 
 ## [Unreleased]
 
+## [0.5.6] - 2026-11-07
+
+### Added
+
+- Allow authorized host directory creation and regular-file creation, editing
+  and deletion, including verified OneDrive paths. Require exact path/action
+  authority, non-overwriting creation, source rechecks and verified deletion.
+  Disclose synced deletion and uncertain recovery; exclude directory deletion,
+  recursive removal, moves and renames. Retain dedicated content save gates.
+
+### Fixed
+
+- Allow host saves on verified non-redirecting OneDrive cloud paths, including
+  native Windows and WSL, instead of rejecting every reparse point. Retain
+  identity, in-place updates, attribute preservation and hydration consent.
+- Add an explicitly authorized host import workflow for PDF downloads and local
+  Docling outputs in the selected Vault directory. Require exact output paths,
+  non-overwriting creation, scoped scratch/directory consent and per-artifact
+  verification. Keep Python CLI, Canvas and Bases storage support unchanged.
+
 ## [0.5.5] - 2026-11-06
 
 ### Fixed
@@ -284,4 +304,5 @@ and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0
 [0.5.3]: https://github.com/nahisaho/kotonoha/compare/d665884...v0.5.3
 [0.5.4]: https://github.com/nahisaho/kotonoha/compare/v0.5.3...v0.5.4
 [0.5.5]: https://github.com/nahisaho/kotonoha/compare/v0.5.4...v0.5.5
-[Unreleased]: https://github.com/nahisaho/kotonoha/compare/v0.5.5...HEAD
+[0.5.6]: https://github.com/nahisaho/kotonoha/compare/v0.5.5...v0.5.6
+[Unreleased]: https://github.com/nahisaho/kotonoha/compare/v0.5.6...HEAD

package/README-ja.md

@@ -6,7 +6,7 @@ kotonohaは、GitHub CopilotとClaude Code向けのスキルを提供します
 
 Obsidian向けには、Markdown記法、許可されたVault内のノート操作、JSON Canvas、Bases、公式アプリCLIを扱います。DefuddleによるWeb・HTML本文の抽出と、KnapによるJSON・CSVからのテンプレート生成にも対応します。操作ごとに、参照範囲・依存関係・保存の許可を確認します。
 
-バージョンは **0.5.5** です（2026-11-06更新）。`obsidian-markdown`、`obsidian-cli`、`defuddle`、`knap`を含む11のスキルを同梱しています。npmパッケージを使うか、[ソースからスキルを導入する手順](#このチェックアウトからスキルを導入)を参照してください。
+バージョンは **0.5.6** です（2026-11-07更新）。`obsidian-markdown`、`obsidian-cli`、`defuddle`、`knap`を含む11のスキルを同梱しています。npmパッケージを使うか、[ソースからスキルを導入する手順](#このチェックアウトからスキルを導入)を参照してください。
 
 [English](./README.md) | [日本語](./README-ja.md)
 
@@ -71,7 +71,7 @@ Obsidianでは、[`obsidian.md`](skills/tech-writer/assets/templates/obsidian.md
 
 Markdownノートとテンプレートの作成・編集は`obsidian-markdown`が担当します。
 文書構成にはtech-writer、日本語の校正にはjapanese-proseを利用します。
-`obsidian-vault`は、許可範囲のローカル読み取り・静的検証・確定済み候補の保存だけを担う共用基盤に縮小しました。
+`obsidian-vault`は、許可範囲のローカル読み取り・静的検証・確定済み候補の保存、明示許可されたファイル・ディレクトリ操作と成果物の取り込みを担う共用基盤です。
 直接保存はホストのファイルツールを使うため、Python、uv、専用CLIの計画ファイルは不要です。
 Obsidianアプリ、MCP、プラグインにも依存しません。
 
@@ -101,12 +101,27 @@ Linuxでは所有者・グループ・権限を維持します。
 既存ノートは置換せず同じ実体へ書き込み、WindowsのACL・属性を保持します。仮想的なLinux権限だけでは拒否しません。
 ネットワーク共有は対象外とし、パス・実体・保存後のバイト列を検証します。保存方式が不明な編集ツールは使いません。
 `/tmp`等への別出力を、許可済みVaultの更新の代わりにはしません。
+ネイティブWindowsとWSLでは、転送を伴わない確認済みのOneDrive cloud系再解析タグを許可します。
+フォルダー名や属性だけでは保存を拒否せず、未知のタグ・ジャンクション・範囲外への逸脱は拒否します。
+オンライン専用ファイルのローカル取得通信には別途同意が必要です。
 Python CLI・Canvas・Basesの対応範囲は広げません。CLIでは引き続きWSLのWindowsドライブや拡張属性付き対象を拒否します。
 SELinuxラベルなどの削除を回避策にしません。
 直接編集はCLIの原子的確定、ルートロック、成功記録による再実行保護を利用しません。
 保存後に読み戻して確認しますが、途中失敗や同時編集の完全な防止は保証しません。
 LLMの誤判断を完全には防げず、ホストを隔離する機能でもありません。
 
+ホストツールでは、Markdown・PDFに限らず、明示指定したディレクトリの作成と通常ファイルの作成・編集・削除も行えます。
+正確な対象・操作への許可を確認し、ワイルドカードの一括指定は範囲内で列挙した全対象を承認してから実行します。
+作成は非上書き、編集は原文・実体の再照合、削除は対象・ハッシュの直前照合と削除後の不在確認を必須とします。
+OneDriveの削除は他の端末へ同期され得ます。復旧は保証せず、ディレクトリ削除・再帰削除・移動・改名は対象外です。
+Markdown校正とCanvas・Basesの保存検査は維持し、Python CLIに新しい操作コマンドは追加しません。
+
+明示指定したPDFのダウンロードとローカルDocling変換成果物は、検証済みのOneDriveを含むVault内作業ディレクトリへ取り込めます。
+取得元・通信・変換への許可と全出力先を確認し、作業ディレクトリ指定だけでは書き込みません。
+非上書き作成と保存先・属性検査を使い、新規フォルダー、追加出力、補助ファイルには正確な場所への別途同意が必要です。
+Doclingは任意導入であり、同梱・自動導入しません。取得と変換を個別に検証し、成果物のパスとハッシュを報告します。
+詳しくは[取り込み手順](skills/obsidian-vault/references/workflow.md#pdfdocling変換成果物の取り込み)を参照してください。
+
 ## Obsidian Canvasの操作
 
 専用の`obsidian-canvas`は、ノート関係図、アイデア整理、条件付きの手順、資料比較を扱います。
@@ -140,7 +155,7 @@ Node 18以上と固定依存が必要です。依存の準備は別途許可を
 
 ## Obsidian記法・アプリ操作・データからのノート生成
 
-0.5.5は、[kepano/obsidian-skills](https://github.com/kepano/obsidian-skills)の6つの機能分野を、kotonoha独自の手順と例で扱います。
+0.5.6は、[kepano/obsidian-skills](https://github.com/kepano/obsidian-skills)の6つの機能分野を、kotonoha独自の手順と例で扱います。
 参照した版は[`3ccff5338ea700537839b21900aa5358a0402c98`](https://github.com/kepano/obsidian-skills/tree/3ccff5338ea700537839b21900aa5358a0402c98)です（2026-11-05確認）。
 対応する実行環境や保存方法が参照先と同一という意味ではありません。既存のCanvas・Basesの検査範囲と保存制約を維持します。
 
@@ -284,7 +299,7 @@ npx kotonoha install --skill all
 ```
 
 `--skill all`が既定値であるため、`npx kotonoha install`も同じ動作です。導入できるスキルは、使用したパッケージに依存します。
-0.5.5には11のスキルを同梱しています。導入先プロジェクトで、すべて配置されたことを確認します。
+0.5.6には11のスキルを同梱しています。導入先プロジェクトで、すべて配置されたことを確認します。
 
 ```bash
 test -f .github/skills/consulting-analyst/SKILL.md

package/README.md

@@ -14,7 +14,7 @@ The Obsidian suite covers Markdown syntax, authorized Vault notes, JSON Canvas,
 Bases, official app commands, web/HTML extraction and JSON/CSV template rendering.
 Each workflow keeps its own scope, dependency and save requirements.
 
-Version: **0.5.5** (updated 2026-11-06), with eleven bundled Skills, including
+Version: **0.5.6** (updated 2026-11-07), with eleven bundled Skills, including
 `obsidian-markdown`, `obsidian-cli`, `defuddle` and `knap`.
 Install the npm package or use the
 [source-checkout installation](#install-skills-from-this-source-checkout).
@@ -132,8 +132,9 @@ for setup, placeholder handling, and limitations.
 
 Use `obsidian-markdown` to create or edit Markdown notes and templates. It uses
 `tech-writer` for structure and coordinates Japanese proofreading with
-`japanese-prose`. `obsidian-vault` is now only the shared backend for scoped
-local reads, static validation and saving an already prepared candidate.
+`japanese-prose`. `obsidian-vault` is the shared backend for scoped local reads,
+static validation, saving an already prepared candidate, authorized file/directory
+operations and artifact imports.
 Its direct-save path uses host file tools without Python, uv, Obsidian, MCP
 or plugins.
 
@@ -174,8 +175,11 @@ for requests, command examples, data retention and recovery.
 
 Saving requires verifiable local regular files; symlinks and multiple hard
 links are refused. Native Linux saves preserve ownership/modes.
-Host direct saves also support confirmed local Windows drives through WSL
-(`drvfs`/`9p`/`v9fs`), not network shares. Existing notes must be updated in place,
+Host direct saves also support native Windows and confirmed local Windows drives
+through WSL (`drvfs`/`9p`/`v9fs`), not network shares. Verified non-redirecting
+OneDrive cloud reparse tags are allowed; folder names/flags alone do not block
+saving. Unknown tags, junctions and scope escapes are still refused; hydration
+requires separate consent. Existing notes must be updated in place,
 preserving Windows ACLs/attributes rather than replacing the file or requiring
 synthetic Linux permissions. Path/identity checks and exact readback remain
 mandatory; an unknown host replacement method is not sufficient.
@@ -187,6 +191,25 @@ Direct-edit failure and concurrency limitations are disclosed before saving;
 neither mode eliminates post-check external edits or LLM mistakes.
 The skill is not a host sandbox.
 
+Host operations also allow explicitly authorized directory creation and
+regular-file creation, editing and deletion, not just Markdown/PDF outputs.
+Each exact path/action needs authority; wildcard batches need approval after
+scoped enumeration. Creation is non-overwriting, edits recheck source bytes and
+identity, and deletion rechecks the exact file/hash then verifies absence.
+OneDrive may sync deletions to other devices; recovery is not guaranteed.
+Directory deletion, recursive removal, moves and renames remain outside this
+workflow. Markdown proofreading and dedicated Canvas/Bases write gates remain
+in force; the Python CLI gains no new commands.
+
+Explicit PDF downloads and local Docling conversion outputs can be imported into
+the authorized Vault working directory, including verified OneDrive paths.
+Source/network/conversion authority and every output path must be specified;
+directory selection alone grants no write permission. Imports use non-overwriting
+creation and the same path/attribute checks, with separate consent for exact new
+directories, sidecars and scratch locations. Docling is optional, not bundled or
+auto-installed. Downloads and conversion are verified and reported separately
+with output paths/hashes; Python CLI, Canvas and Bases support is unchanged.
+
 ## Working with Obsidian Canvas
 
 The dedicated `obsidian-canvas` skill handles note maps, mind maps, conditional
@@ -232,7 +255,7 @@ for exact-byte preservation, four original templates and failure handling.
 
 ## Obsidian syntax, app commands and data-driven notes
 
-The 0.5.5 Skills cover all six capability families in
+The 0.5.6 Skills cover all six capability families in
 [kepano/obsidian-skills](https://github.com/kepano/obsidian-skills), with original
 kotonoha instructions and examples. Reference snapshot:
 [`3ccff5338ea700537839b21900aa5358a0402c98`](https://github.com/kepano/obsidian-skills/tree/3ccff5338ea700537839b21900aa5358a0402c98),
@@ -424,7 +447,7 @@ npx kotonoha install --skill all
 ```
 
 `--skill all` is the default, so `npx kotonoha install` has the same behavior.
-The selected package determines which Skills are available; version 0.5.5
+The selected package determines which Skills are available; version 0.5.6
 includes all eleven. In the destination project, confirm they were installed:
 
 ```bash

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "kotonoha",
-  "version": "0.5.5",
+  "version": "0.5.6",
   "description": "Skills for GitHub Copilot and Claude Code: consulting, technical writing, Japanese prose, Obsidian Markdown, Canvas, Bases and CLI, Defuddle, Knap, and PPTX planning.",
   "license": "MIT",
   "author": "nahisaho",

package/skills/obsidian-markdown/SKILL.md

@@ -27,6 +27,8 @@ Coordinate content and review, not a second storage backend. Read the
   Preserve the selected direct-save or optional plan-approved workflow.
   For a WSL local Windows drive, use its host direct-save profile; do not
   reject `v9fs` alone or route a normal content edit through Python CLI planning.
+  Native Windows and OneDrive saves use the backend's verified Windows profile;
+  cloud folder names/flags alone do not justify a refusal.
   Do not silently substitute `/tmp` output for the authorized Vault target.
   If it is unavailable, report the missing sibling and provide an unsaved draft.
 - Use `tech-writer` for note structure and its existing
@@ -36,6 +38,17 @@ Coordinate content and review, not a second storage backend. Read the
   storage backend to draft or correct content.
 - Route `.canvas` to `obsidian-canvas` and standalone `.base` to
   `obsidian-bases`. Do not replace their checkers with Markdown validation.
+- Explicit PDF downloads and Docling extraction use `obsidian-vault`'s host
+  artifact-import workflow with separate source/network/output authority.
+  A normal note edit does not authorize imports. Do not block an authorized
+  import merely because its outputs are in a Vault or verified OneDrive path.
+  Keep raw extraction separate from requested note authoring and proofreading;
+  neither Defuddle nor Knap is a PDF converter.
+- Route explicitly requested directory creation or file deletion to
+  `obsidian-vault`'s host file/directory workflow with exact paths/actions and
+  user authority. A note save can create missing parents only when those exact
+  directory paths are also authorized. Do not infer deletion or attachment
+  mutation from a content edit, and do not automatically repair deleted links.
 - The official application CLI is a separate, explicitly selected
   `obsidian-cli` workflow, not an automatic fallback for a refused save.
   When it supplies authorized source text, return the candidate and applicable
@@ -101,7 +114,8 @@ Vault-relative paths. Never save any operation files in session storage,
 including `~/.copilot/session-state/`, and pass this rule to delegated tools.
 Auxiliary copies require a separately consented non-session location; otherwise
 keep the draft in the conversation. Target authority never grants whole-Vault
-access, folder creation or attachment changes.
+access, folder creation or attachment changes. Those operations need separate
+exact-path/action authority through the backend's host file/directory workflow.
 
 Report draft-only, reviewed or handed-off status and the unperformed checks.
 Do not claim a save based on a draft or an unexecuted handoff.

package/skills/obsidian-vault/SKILL.md

@@ -1,21 +1,25 @@
 ---
 name: obsidian-vault
 description: >-
-  Provides scoped local reads, static validation and candidate-only Markdown
-  saving for sibling Skills. Use for explicit local storage operations or a
+  Provides scoped local reads, static validation, candidate-only Markdown
+  saving, directory creation, regular-file creation/editing/deletion and
+  authorized PDF/conversion artifact imports, including verified local
+  OneDrive paths. Use for explicit local storage operations or a
   sibling's authorized read/validate/save handoff, not content generation.
   Preserves consent, paths, metadata and source identity, with optional
   plan-approved saving. Also supplies Canvas storage API version 1.
   Requires no Obsidian app, official CLI, MCP or plugins.
 license: MIT
-argument-hint: "[read|validate|save] <authorized target and supplied candidate>"
+argument-hint: "[read|validate|save|mkdir|create|edit|delete|import] <authorized targets>"
 ---
 
 # obsidian-vault
 
 Own local storage, not note content. Read authorized bytes, return static
 validation evidence, and save an already prepared candidate without changing
-it. See [workflow.md](references/workflow.md) for the handoff contract, CLI
+it. Also perform explicitly authorized directory creation and regular-file
+creation, editing or deletion through the host workflow below.
+See [workflow.md](references/workflow.md) for the handoff contract, CLI
 compatibility fields, diagnostic limits and recovery.
 
 ## Responsibility boundary
@@ -32,6 +36,9 @@ to the explicitly selected `obsidian-cli` workflow. Do not silently launch the
 app, broaden scope, switch after failure or bypass a refused save.
 `defuddle` and `knap` prepare candidates outside the Vault; note-level
 integration belongs to `obsidian-markdown`, not this backend.
+Explicit PDF downloads and local Docling conversion outputs use the separate
+host artifact-import workflow below, not Defuddle, Knap or Python CLI saving.
+The caller owns fetching/conversion; this backend owns scoped output storage.
 
 Retain `STORAGE_API_VERSION=1`, authorized reads/enumeration, parsing helpers
 and `commit_bytes` for `obsidian-canvas`. Its own plan/apply workflow remains
@@ -41,13 +48,15 @@ as static validation data, never inferred rules, recommendations or repairs.
 
 ## Candidate handoff
 
-For saving, require the caller to supply the absolute Vault root, authorized read/model
+For content saving, require the caller to supply the absolute Vault root, authorized read/model
 scopes, exact target, creation versus replacement, original bytes/hash for an
 edit, exact candidate, allowed change, save mode and actual save authority.
 Also carry the working directory, auxiliary-copy consent and applicable
 proofreading review. Ask only for missing storage details, one at a time.
 Do not author missing content or infer authority from a sibling's draft.
 Return a refused candidate unchanged to its caller; never repair it to pass.
+Directory creation and file deletion use the operation handoff below; neither
+requires a fabricated content candidate or a Markdown CLI plan.
 
 ## Scope and consent
 
@@ -92,7 +101,7 @@ concurrent changes rather than presenting unstable content as verified.
 Once these checks pass, read each authorized document independently; one blocked
 file does not block other verified targets. Report which documents were actually
 read and the specific reason for any unread document. Read permission does not
-grant save permission: the stricter save profiles below remain unchanged.
+grant save permission: apply the save profiles below with separate write authority.
 
 ## Working directory and copies
 
@@ -108,8 +117,9 @@ This includes deliverables, requests, originals, candidates, diffs, diagnostics,
 reviews, plans, receipts, results and temporary files. Check resolved locations
 before writing; if the working directory or any selected output is in session
 storage, stop and ask for a non-session location. Do not use it as a fallback.
-Stop on out-of-scope, ambiguous or missing-parent targets; do not create folders
-or substitute another location.
+Stop on out-of-scope or ambiguous targets; do not substitute another location.
+For missing parents, use the directory-creation workflow below only with explicit
+authorization for each exact directory; otherwise stop.
 
 Direct editing needs no external copies or plan files. For necessary auxiliary
 files, use a suitable consented location in the current or user-specified
@@ -140,15 +150,19 @@ not performed, not an unverified substitute.
    changes; never overwrite from stale content. Identical bytes mean no write.
 5. Save the exact candidate with host tools. On native Linux filesystems,
    preserve owner/group/modes and refuse xattrs or unsupported attributes.
-   For WSL Windows drives, use the direct-save profile below instead.
+   For native Windows or WSL Windows drives, use the Windows direct-save
+   profile below instead.
    Both profiles refuse multiple hard links and attribute-removing workarounds,
    including removal of SELinux labels.
 6. Read back after saving; require exact candidate bytes and unchanged unspecified content.
    Report the exact target and outcome, never success on failure or uncertainty.
 
 Preserve unspecified frontmatter, links, code, numbers, identifiers, encoding and
-newlines; no unsolicited reformatting. No folder creation, deletion, moves,
-renames, attachments or other formats. Proofreading still needs the gate below.
+newlines; no unsolicited reformatting. Markdown candidate saving does not
+authorize folder creation, deletion, moves, renames, attachments or other
+formats; explicit file/directory operations and artifact imports have their own
+authorization below.
+Proofreading still needs the gate below.
 Before saving, disclose that direct edits lack CLI root locking, atomic commit,
 plan-hash approval and receipt replay protection. Report only verified readback,
 not invented CLI JSON/receipts. If the user needs CLI guarantees, await selection.
@@ -160,14 +174,28 @@ the target first when its save state is unknown.
 Support authorized Markdown saves on a confirmed local Windows drive mounted
 through WSL as `drvfs`, `9p` or `v9fs`. Do not reject it solely because of that
 filesystem name or apply the Python CLI's filesystem allowlist to host saves.
+Native Windows host saves use the same path, identity, attribute-preservation
+and in-place write rules, without the WSL mount checks.
 This profile does not extend Python CLI, Canvas or Bases saving support.
 
 1. Verify WSL, the actual mount and its Windows path mapping; a `/mnt/c/...`
    spelling alone is not evidence. Confirm the Windows backing drive is local,
    not a mapped network drive or UNC/SMB share. Stop if that cannot be established.
 2. Keep the authorized root/target, byte hashes, no-symlink and link-count checks.
-   Check for Windows reparse points, including junctions, along the resolved path;
-   reject them. Respect Windows read-only attributes and ACL access denials.
+   Check for Windows reparse points, including junctions, along the resolved path.
+   A OneDrive folder name or `FILE_ATTRIBUTE_REPARSE_POINT` alone is not grounds
+   to refuse saving. Inspect each actual tag, including parent directories;
+   allow only verified Windows cloud-family tags (`IO_REPARSE_TAG_CLOUD` and
+   documented variants) that are not name surrogates. Verify the opened object's
+   final path and identity stay inside the authorized root and exact target.
+   Reject symlinks, junctions, mount-point redirections, unknown tags and escapes.
+   For new files verify the parent before exclusive creation and the opened
+   file before writing. Missing tag/final-path verification blocks only the
+   affected target; report its exact path and missing capability.
+   Before reading or updating an online-only or recall-on-access placeholder,
+   obtain explicit hydration/network consent; stop if availability is unknown.
+   Do not pin files, remove cloud attributes or change sync settings.
+   Respect Windows read-only attributes and ACL access denials.
    Target only the ordinary `.md` data stream, not `:stream` or device paths.
    Never run chmod/chown, remove attributes or change mount/Windows settings.
 3. For an existing note, use a verified in-place write to the same file object,
@@ -182,7 +210,8 @@ This profile does not extend Python CLI, Canvas or Bases saving support.
    For a new note, create exclusively without overwriting an equivalent name,
    allowing normal Windows parent ACL inheritance.
 5. Flush/close, then read back exact bytes and verify file identity and observable
-   attributes, allowing only normal write timestamps/archive-bit updates.
+   attributes, allowing only normal write timestamps/archive-bit updates and
+   consented hydration state changes, not loss of cloud-provider metadata.
    Report saved only on a match. Disclose non-atomic writes,
    possible partial writes and concurrent Obsidian/Sync/Windows edits before saving;
    after a possible write failure report unknown, without retry or rollback.
@@ -193,6 +222,128 @@ Do not silently redirect a refused save to `/tmp` or another file. An alternate
 output needs explicit exact-path consent and is never a successful Vault update.
 Proofreading gates and the session-storage prohibition still apply.
 
+## Authorized file and directory operations
+
+Use host filesystem tools for directory creation and regular-file creation,
+editing or deletion inside the authorized Vault/scopes, including verified
+OneDrive paths. These are host operations, not new Python CLI commands.
+Do not refuse an authorized ordinary file merely because its extension is not
+`.md`. The backend stores supplied bytes, not authored content or executable
+instructions. Markdown authoring/proofreading stays with `obsidian-markdown`;
+Canvas and Bases creation/editing stays with their dedicated workflows and
+existing save gates. Never use generic file writing to bypass those gates.
+
+1. Require the absolute Vault root, working directory, exact resolved targets,
+   operation (`mkdir`, `create`, `edit` or `delete`), permitted changes and actual
+   user authority. For file creation/editing require exact candidate bytes;
+   edits also require current source bytes/hash and identity. A capability
+   request or directory selection is not permission to mutate existing files.
+   Explicit target/action/change authority suffices without repeated approval,
+   unless pre-operation confirmation was requested. Ask for missing details one
+   at a time; pass read/model scopes and copy consent where applicable.
+2. Present the exact operation list. Expand a wildcard or batch only within
+   separately authorized enumeration scopes, then obtain approval for the
+   resulting exact paths/actions before mutation. Do not infer permission for
+   siblings, parent creation, attachment changes or backlink repair.
+   Check resolved paths from root to target, equivalent-name collisions, types,
+   identity, link counts and management-directory exclusions. Reject symlinks,
+   junctions, unknown reparse tags, scope escapes and special/device files.
+   Use the Windows profile's verified cloud-tag, local-drive, ordinary-stream,
+   ACL and hydration checks on Windows/WSL. Do not bypass host refusals or
+   content exclusions; missing verification blocks only the affected operation.
+3. For `mkdir`, list and authorize each missing parent explicitly. Create each
+   directory without overwriting, after verifying its existing parent; recheck
+   the new directory's identity and scope before proceeding to its children.
+   An already-existing verified directory is a no-op, not a newly created one;
+   a file or equivalent-name collision is a conflict, not success.
+4. For `create`, use exclusive non-overwriting creation of the exact supplied
+   bytes. For `edit`, compare current source bytes/hash and identity immediately
+   before writing; stop on concurrent changes and do not write identical bytes.
+   Apply the existing Linux/Windows save-preservation and readback rules to the
+   authorized file type. Binary edits require a supplied complete byte candidate
+   or a separately authorized format-aware producer, not text rewriting.
+5. For `delete`, require explicit deletion authority for every exact regular
+   file, including notes and attachments. Identify and record the current file's
+   identity and SHA-256 with authorized local reads; hashing does not authorize
+   sending its content to a model. Present the deletion and disclose that
+   OneDrive may propagate it to other devices and backups/trash recovery are
+   not guaranteed. Recheck bytes/hash, identity, parent and scope immediately
+   before unlinking only that file; stop on changes. Do not remove attributes,
+   broaden ACLs or use a recursive deletion command. Deletion uses the same
+   path/access checks, not the content-save attribute-preservation/readback
+   requirement. Verify absence without following links afterward; a replacement
+   at that path is a conflict/unknown result, never a reason to delete again.
+   A missing target is reported as already absent, not deleted by this operation.
+6. Report each path/action as created, edited, deleted, unchanged/already absent,
+   blocked, failed or unknown based on observed results. Stop dependent operations
+   after a prerequisite fails and report partial batches accurately. Disclose
+   non-atomicity and concurrent edits before mutation; never automatically retry
+   or roll back a possibly performed operation.
+
+Directory deletion, recursive removal, moves and renames are outside this
+workflow. Never delete the Vault root, working-directory root or session storage.
+Do not automatically repair references after deletion, make backup copies or
+claim recoverability. Backups need separate exact-path/copy authorization.
+Network fetch, tool execution and dependency installation need their own consent.
+
+## Authorized PDF and conversion artifact imports
+
+This is a host-tool storage workflow, not a new `vault.py` command or a
+relaxation of Markdown, Canvas or Bases save gates. Do not treat OneDrive or
+being inside a Vault as a blanket prohibition on an explicitly authorized
+PDF download or Docling conversion. Neither tool is bundled or auto-installed.
+
+1. Obtain the absolute Vault root, selected working directory, exact source
+   URLs/local files, permitted read/model-input scopes and exact output paths.
+   Resolve paths using the working-directory rules above. A directory choice
+   alone is not download, conversion, network or write permission. Ask for
+   missing details one at a time. Explicit source/action/output authorization
+   suffices; do not demand Markdown candidates before downloading a PDF.
+2. Distinguish source fetch consent, cloud hydration, local conversion and
+   sending content to models/services. A download authorizes only its specified
+   source, not arbitrary redirects, linked resources or remote conversion.
+   Do not upload Vault content to external conversion services. Check available
+   download/Docling capabilities and their output behavior before execution;
+   ask before installing dependencies or downloading OCR/model assets.
+3. Present every output path before writing: source `.pdf`, extracted `.md`,
+   and only explicitly requested images/JSON or other conversion sidecars.
+   Use non-overwriting creation with exact/equivalent-name collision checks.
+   Existing files require separate replacement authority and source bytes/hash;
+   use the selected direct-save profile, never a converter's unchecked overwrite.
+   Verify paths, identities, no symlinks, management-directory exclusions and
+   link counts as above. Windows/WSL imports use the Windows profile, including
+   verified non-redirecting cloud tags; apply its ordinary-data-stream rule to
+   each authorized artifact extension, never `:stream` or device paths.
+4. Only create missing directories with separate approval for their exact paths,
+   after verifying the existing ancestor and rechecking each created directory;
+   follow the file/directory operation workflow above.
+   Authorization for an output does not authorize sibling outputs. Configure
+   conversion to produce only the approved outputs; if that cannot be guaranteed,
+   use a separately consented staging location and transfer exact verified bytes.
+   A consented workspace inside the selected Vault directory may hold import
+   scratch files; the Python CLI workspace remains Vault-external. List scratch,
+   cache and temporary locations/retention before running. Never use session
+   storage or silently substitute `/tmp`. Without approved locations or a known
+   safe creation/write method, stop before fetching or converting.
+5. For downloads check command/HTTP failure and verify the result is a PDF, not
+   an HTML error/login page. For conversion check exit status and every expected
+   artifact's existence/content; an empty or missing result is not success.
+   Read back exact stored bytes and record their SHA-256 hashes. Keep provenance
+   from the authorized source; do not claim extraction fidelity without review.
+   Raw extracted Markdown is not meaning-preserving proofreading. Hand requested
+   note authoring or Japanese revisions to `obsidian-markdown`; those edits keep
+   their normal save/review gates.
+6. Report download, conversion and each output's exact path/hash/status separately.
+   A verified PDF can remain saved when conversion fails; report that partial
+   result. After a possible write failure report unknown for the affected output,
+   inspect without rewriting, and never automatically retry, roll back or delete.
+   Respect host refusals, ACL denials and content exclusions; this workflow must
+   not bypass them. Clean up only known scratch files with deletion consent.
+
+Disclose direct-save non-atomicity and concurrent OneDrive/Obsidian edits before
+writing. One blocked artifact does not invalidate other verified outputs; do not
+claim the entire import was completed when any requested step was unperformed.
+
 ## Validation and proofreading save gates
 
 Validate only; do not generate or improve the candidate. Unresolved links are
@@ -247,11 +398,13 @@ plan and approval.
 
 ## Outcomes and limits
 
-Both modes save one note per operation. Distinguish unsaved, saved, partial,
+Both Markdown save modes save one note per operation. Artifact imports report
+each separately authorized output. Distinguish unsaved, saved, partial,
 failed and unknown outcomes, naming the target and unperformed work. Never
 automatically re-save or roll back a possibly saved operation. Confirm unknown
-records/temp files and their diffs with the user before acting. Do not commit,
-push, publish, delete, move or rename notes.
+records/temp files and their diffs with the user before acting. File deletion
+requires the explicit host-operation authority above; it is never implied by
+editing, importing or cleanup. Do not commit, push, publish, move or rename notes.
 
 Require verifiable local regular files and the selected profile's attribute preservation; refuse
 unsupported capabilities rather than weakening checks. Neither mode guarantees

package/skills/obsidian-vault/references/workflow.md

@@ -1,8 +1,9 @@
 # Obsidianローカル保存バックエンド
 
-呼出元が指定した範囲の読み取り・静的検証・候補の保存だけを担当する。
+呼出元が指定した範囲の読み取り・静的検証・候補の保存と、明示許可されたPDF・変換成果物の取り込みを担当する。
+ホストツールによるディレクトリ作成、通常ファイルの作成・編集・削除も、正確な対象と操作への許可を得て行う。
 本文の作成・編集の指揮はobsidian-markdown、日本語の校正はjapanese-proseへ分離する。
-対象は0.5.4であり、Canvas用の共用保存API版1は維持する。
+対象は0.5.6であり、Canvas用の共用保存API版1は維持する。
 
 ## 上位ワークフローの移管
 
@@ -13,6 +14,8 @@
 | アプリ上の検索・リンク確認・タスクやプロパティの操作 | 明示的に選択したobsidian-cli |
 | Web・HTML抽出、JSON・CSVからの候補生成 | defuddle、knap。ノートへの組み込みはobsidian-markdown |
 | 許可範囲のローカル読み取り・検証・確定済み候補の保存 | obsidian-vault |
+| ディレクトリ作成、通常ファイルの作成・編集・削除 | obsidian-vaultのホスト操作手順。Markdown・Canvas・Basesの内容編集は各担当を維持 |
+| 明示指定したPDFのダウンロードとDocling変換成果物の保存 | ホストの取得・変換ツールとobsidian-vaultの取り込み手順。本文編集はobsidian-markdown |
 
 規約の推定、関連ノートの推薦、独立したリンク分析・修復は、このSkillでは行わない。
 旧来の高水準の依頼を受けた場合は担当を案内し、ここで候補本文を作ったり探索を始めたりしない。
@@ -26,6 +29,7 @@
 作業ディレクトリ、補助コピーへの同意、校正結果のレビューも引き継ぐ。
 不足する保存情報は1問ずつ確認し、候補が未作成なら呼出元へ戻す。
 候補を検査に通すために、バックエンドが本文を補完・修正することはない。
+ディレクトリ作成とファイル削除は後述の操作情報を渡し、架空の本文候補やCLI計画は要求しない。
 
 ## ホストツールによる候補の直接保存
 
@@ -41,12 +45,13 @@ Vaultルート基準と明示されたパスや絶対パスは、その指定を
 依頼、原文、候補、差分、診断、レビュー、計画、保存記録、結果、一時ファイルにも同じ制約を適用する。
 書き込み前に実体の保存場所を確認し、作業ディレクトリや出力先がセッション領域なら、別の場所を1問ずつ確認する。
 明示指定された場合も、このSkillではセッション領域へ書かず、代替場所への許可を得る。
-対象の親が存在しなければ止め、セッション領域への代替保存や新規フォルダー作成を行わない。
+対象の親が存在しなければ、正確な各ディレクトリの作成への明示許可を確認する。
+許可がなければ止め、セッション領域への代替保存や無断のフォルダー作成は行わない。
 対象や変更内容が曖昧なら1問ずつ確認する。「案を作って」だけでは保存しない。
 利用者が対象・変更内容・保存を明示した依頼は、その範囲の書き込み許可として扱える。
 毎回のCLI計画承認は要求しない。保存前の差分確認を求められたら、確認まで書かない。
 
-Vault内の`.md`だけを扱い、対象と親の実体、許可範囲、通常ファイルかを確認する。
+Markdown候補保存ではVault内の`.md`だけを扱い、対象と親の実体、許可範囲、通常ファイルかを確認する。
 途中のシンボリックリンク、Vault外、管理フォルダーへのアクセスを拒否する。
 大文字小文字違いも含めて`.obsidian`と`.git`を除外し、別表記の同名対象を上書きしない。
 確認に必要な機能がないホストでは保存しない。
@@ -56,7 +61,9 @@ Vault内の`.md`だけを扱い、対象と親の実体、許可範囲、通常
 Linuxの通常FSでは所有者・グループ・権限を維持し、拡張属性などを保全できなければ拒否する。
 WSLのWindowsドライブには次節の直接保存手順を使い、仮想的なLinux権限だけで拒否しない。
 どちらも複数ハードリンクを拒否し、属性を削除して回避しない。
-新規フォルダー、削除・移動・改名、添付や`.canvas`・`.base`の編集は対象外とする。
+ノート保存への許可だけではフォルダー作成、削除、添付変更を行わず、明示許可された操作は後述のホスト操作手順で扱う。
+`.canvas`・`.base`の作成・内容編集は専用ワークフローを維持し、移動・改名はこの手順の対象外とする。
+PDF・変換成果物は独立した取り込み手順も適用する。
 指定外のプロパティ、リンク、コード、数値、識別子、文字コード、改行を保持する。
 同一内容なら書かず、保存後は読み戻して対象パスと実際の変更内容を報告する。
 
@@ -77,6 +84,8 @@ CLI操作が失敗した場合も、この経路へ無断で切り替えない
 
 この手順は、ホストツールによる通常のMarkdownノート保存だけに適用する。
 この直接保存手順は0.5.4から対応する。
+ネイティブWindowsにも実体・属性保持・同一実体への書き込みの確認を適用し、WSLのマウント確認だけを省く。
+通常ファイルの作成・編集と成果物取り込みは、明示許可を得た各拡張子の通常データストリームに同じWindows保存確認を適用する。
 WSLのローカルWindowsドライブなら、FS名がdrvfs・9p・v9fsであることだけを理由に拒否しない。
 Python CLI・Canvas・Basesの保存対応は拡張せず、CLIの許可FS一覧を直接保存の条件に流用しない。
 Pythonやuvを必須にする変更でもない。
@@ -84,7 +93,14 @@ Pythonやuvを必須にする変更でもない。
 1. WSL環境、実際のマウント、Windowsパスとの対応を確認する。`/mnt/c/...`という表記だけでは判断しない。
    Windows側の実体がローカルドライブであることも確認し、ネットワークドライブやUNC・SMB共有は対象外にする。
 2. 許可済みのVaultと保存先、原文ハッシュ、ファイル実体、リンク数を確認する。
-   パス途中のWindowsジャンクション等の再解析ポイントも拒否し、読み取り専用属性やACLによる拒否を尊重する。
+   OneDriveというフォルダー名や再解析ポイント属性だけでは保存を拒否しない。
+   親を含む各再解析ポイントの実際のタグを検査し、名前の代理ではない確認済みのWindows cloud系タグだけを許可する。
+   開いた実体の最終パスと識別情報が許可済みのVaultと正確な対象に一致することを確認する。
+   シンボリックリンク、ジャンクション、マウント先への転送、未知のタグ、範囲外への逸脱は拒否する。
+   新規対象は排他的作成前に親を検証し、作成した実体も書き込み前に確認する。
+   オンライン専用やアクセス時に取得するファイルは、読み取り・更新前に取得通信への明示同意を得る。
+   ローカル利用可能か不明なら止め、固定、クラウド属性削除、同期設定変更で回避しない。
+   確認できない場合は、対象パスと不足する機能を報告する。読み取り専用属性やACLによる拒否を尊重する。
    通常の`.md`データストリームだけを対象にし、`:stream`やデバイスパスへ書き込まない。
 3. 既存ノートは同じファイル実体へ書き込む。切り詰めずに開き、同じハンドルで原文と実体を保存直前に照合する。
    候補を書いた後、候補と同じ長さに切り詰める。一時ファイルへの置換、改名、削除しての再作成は使わない。
@@ -93,7 +109,8 @@ Pythonやuvを必須にする変更でもない。
    Linuxのuid・gid・modeが仮想表示であることや、POSIX拡張属性一覧を取得できないことだけでは拒否しない。
    新規ノートは排他的に作成し、既存名を上書きせず、通常のWindows親ディレクトリのACL継承に従う。
 5. 書き込みをフラッシュして閉じ、読み戻したバイト列・実体・観測できる属性を確認する。
-   通常の書き込みに伴う時刻やアーカイブ属性の更新は許容するが、他の属性の変更は許容しない。
+   通常の書き込みに伴う時刻・アーカイブ属性更新と、同意済みのローカル取得に伴う状態変化だけを許容する。
+   クラウドプロバイダーのメタデータを失わせない。
    途中失敗やObsidian・Sync・Windows側の同時編集を完全には防げないことを、保存前に説明する。
    書いた可能性がある失敗は結果不明とし、自動再保存やロールバックは行わない。
 
@@ -104,6 +121,78 @@ chmod・chown、属性の削除、マウントやWindows設定の変更で保存
 校正の保護検査・意味レビューと、セッション領域への保存禁止は維持する。
 権限の違いは[MicrosoftのWSLファイル権限資料](https://learn.microsoft.com/en-us/windows/wsl/file-permissions)を参照する。
 
+## ディレクトリとファイルのホスト操作
+
+許可済みのVaultと範囲内で、ディレクトリ作成、通常ファイルの作成・編集・削除をホストツールで行う。
+検証済みのOneDriveも対象とし、通常ファイルを`.md`以外という理由だけで拒否しない。
+`mkdir`・`create`・`edit`・`delete`はホストへの操作指定であり、Python CLIに同名コマンドを追加するものではない。
+本文生成は担当Skillへ戻し、Markdownの校正・Canvas・Basesの保存検査を汎用書き込みで回避しない。
+
+1. Vaultの絶対パス、作業ディレクトリ、解決済みの正確な全対象、操作、変更範囲、利用者の実際の許可を受け取る。
+   ファイル作成・編集は正確な候補バイト列、編集は現在の原文バイト列・ハッシュ・実体も必要とする。
+   機能追加の依頼や作業ディレクトリ指定だけでは実際のファイル操作を許可しない。
+   対象・操作・変更への明示許可があれば毎回の再承認は不要だが、事前確認を求められた場合は確認まで操作しない。
+   必要な読み取り・モデル入力範囲、コピー同意も渡し、不足する情報は1問ずつ確認する。
+2. 全対象と操作を提示する。ワイルドカードや一括指定は許可済みの列挙範囲内だけで展開し、確定したパス・操作への承認を得る。
+   親・対象の実体、同等名、型、範囲、リンク数、管理フォルダー除外を確認する。
+   シンボリックリンク、ジャンクション、未知の再解析タグ、範囲外、特殊ファイルは拒否する。
+   Windows・WSLでは前節のcloudタグ・ローカルドライブ・通常ストリーム・ACL・取得通信の確認を使う。
+   ホスト拒否やコンテンツ除外を回避せず、確認不能なら影響する操作だけを停止する。
+3. ディレクトリ作成は未作成の親もすべて正確なパスで許可を得て、既存の親を検証してから非上書きで順に作る。
+   作成した各実体と範囲を確認してから子へ進む。検証済みの既存ディレクトリは変更なしとする。
+   同名ファイルや同等名の衝突は成功ではなく競合とする。
+4. ファイル作成は正確なバイト列を排他的に保存する。編集は直前の原文バイト列・ハッシュ・実体を照合し、外部変更なら止める。
+   同一内容なら書かず、対象形式にも既存のLinux・Windows属性保全と読み戻しの確認を適用する。
+   バイナリは完全な候補バイト列か別途許可した形式対応ツールを使い、テキスト置換で壊さない。
+5. 削除はノート・添付を含む正確な各通常ファイルへの明示的な削除許可を必須とする。
+   許可済みのローカル読み取りで現在の実体とSHA-256を記録する。ハッシュ計算は本文のモデル送信を許可しない。
+   削除対象を提示し、OneDriveが他の端末へ削除を同期し得ること、バックアップやごみ箱からの復旧を保証しないことを説明する。
+   削除直前に内容・ハッシュ・実体・親・範囲を再照合し、変更があれば止める。正確な1ファイルだけをunlinkする。
+   属性削除・ACL変更・再帰削除で通さない。保存時の属性保全や内容読み戻しは削除の条件に流用しない。
+   削除後はリンクを追わず不在を確認する。同じパスの別実体は競合・結果不明とし、再削除しない。
+   もともと不在なら「既に不在」と報告し、この操作で削除済みとはしない。
+6. 各パスと操作の作成済み・編集済み・削除済み・変更なし・既に不在・停止・失敗・結果不明を実測で報告する。
+   前提操作が失敗したら依存する操作を止め、一括処理の部分実施を正確に報告する。
+   非原子的操作と同時編集リスクを事前説明し、実行された可能性がある操作を自動再実行・ロールバックしない。
+
+ディレクトリ削除、再帰削除、移動・改名は対象外とする。Vaultルート、作業ディレクトリのルート、セッション領域を削除しない。
+削除後の参照修復やバックアップ作成は自動で行わない。バックアップには正確な場所とコピーへの別途同意が必要である。
+通信、外部ツールの実行、依存導入はそれぞれの許可を維持する。
+
+## PDF・Docling変換成果物の取り込み
+
+これはホストツールで行う保存手順であり、`vault.py`に新しいコマンドを追加するものではない。
+Vault内やOneDrive上であることだけを理由に、明示許可されたPDF保存や変換を禁止しない。
+Doclingは同梱・自動導入せず、取得と変換は呼出元のツールが担当する。
+DefuddleとKnapをPDF変換の代替として使わない。
+
+1. Vaultの絶対パス、作業ディレクトリ、正確な取得元URL・入力ファイル、読み取り・モデル入力範囲、全出力先を確認する。
+   作業ディレクトリ指定だけでは取得・変換・通信・保存の許可にならない。不足する情報は1問ずつ確認する。
+   明示された取得元・操作・出力先への許可があれば、PDF取得前にMarkdown候補を要求しない。
+2. ダウンロード通信、クラウドファイルのローカル取得、ローカル変換、モデルへの入力を区別する。
+   指定外のリダイレクト先や参照資料の取得は無断で行わず、Vault本文を外部変換サービスへ送らない。
+   利用できる取得ツール・Doclingと出力方式を実行前に確認する。依存導入やOCR・モデル資産の取得は別途許可を得る。
+3. 元PDF、抽出Markdown、明示指定した画像・JSON等の全出力先を保存前に提示する。
+   同名・同等名の衝突を確認して非上書きで作成し、既存対象の置換には別途許可と元のバイト列・ハッシュを要求する。
+   対象・親の実体、範囲、管理フォルダー除外、リンク数を確認し、Windowsでは前節のcloudタグと属性保全の確認を使う。
+   変換ツールの無検証上書きは使わず、通常データストリーム以外への書き込みは拒否する。
+4. 親が未作成なら正確な作成パスへの別途許可を得て、既存の祖先と作成した各フォルダーを再確認する。
+   ツールの追加出力を承認済みのものに限定できなければ、別途同意した仮出力先で生成し、検証済みのバイト列だけを移す。
+   取り込みの補助ファイルは同意済みのVault内作業ディレクトリも利用できるが、CLI計画の作業領域はVault外のままとする。
+   補助・キャッシュ・一時ファイルの場所と保持を事前に提示する。セッション領域や無断の`/tmp`代替は使わない。
+   安全な作成・書き込み方法や必要な場所への許可がなければ、取得・変換前に止める。
+5. 取得は終了状態とHTTPエラーを確認し、HTMLのログイン・エラーページではなくPDFであることを検証する。
+   変換は終了状態と全成果物の存在・内容を確認する。空・欠落した出力を成功としない。
+   保存後は正確なバイト列を読み戻し、SHA-256を記録する。取得元を保持し、内容の忠実性はレビューなしに保証しない。
+   生の抽出は意味保存校正ではない。本文作成・日本語修正を求められたらobsidian-markdownへ渡し、通常の保存・レビュー検査を使う。
+6. ダウンロード・変換・各成果物の正確なパス、ハッシュ、結果を個別に報告する。
+   PDF保存後に変換が失敗した場合はPDFだけ保存済みの部分実施とする。書いた可能性がある失敗は対象の結果不明とする。
+   自動再保存・ロールバック・削除は行わず、確認のための読み取りだけを行う。補助ファイルの削除にも許可が必要である。
+   ホストの拒否、ACL、コンテンツ除外を回避しない。1成果物の停止で他の検証済み成果物を未実施と扱わない。
+
+保存前には非原子的書き込みとOneDrive・Obsidianの同時編集リスクを説明する。
+取り込みへの許可は通常のノート編集・Canvas・Basesの保存許可を拡大しない。
+
 ## CLI計画保存モードの導入と起動
 
 既存の同名Skillを無断で置換しない。必要な呼出元と兄弟Skillは別途導入する。
@@ -241,4 +330,5 @@ receipt.jsonは保存後の検証済み記録、result.jsonは本文を含めな
 成功記録が不正、欠落した記録から以前の保存が疑われる、現在の内容が変わった、という場合は自動再保存しない。
 unknownは「変更なし」を意味しない。対象、原文、候補、一時ファイル、記録を確認し、新しい計画が必要か判断する。
 一時ファイルや操作ディレクトリは利用者の確認なしに掃除しない。
-削除を依頼された場合も、確認した操作ディレクトリの既知ファイルだけを対象にする。
+補助ファイルの掃除は、確認した操作ディレクトリの既知ファイルへの削除許可の範囲に限定する。
+Vault内の通常ファイルを削除する依頼には、上記のホスト操作手順を使う。CLIに削除コマンドはない。