kotonoha 0.5.5 → 0.5.7

package/CHANGELOG.md

@@ -7,6 +7,42 @@ and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0
 
 ## [Unreleased]
 
+## [0.5.7] - 2026-11-08
+
+### Added
+
+- Allow an approved tarball SHA-256 in the manual npm publishing workflow.
+  Pack once, verify the supplied hash and publish that exact archive; stop
+  before publishing if the artifact differs.
+
+### Fixed
+
+- Use WSL-visible path, type and file-identity checks for normal OneDrive host
+  reads/saves instead of requiring Windows reparse-tag or final-path APIs.
+  Cloud reparse metadata alone no longer blocks WSL operations. Keep detected
+  redirection/access denials, source rechecks and in-place updates; retain
+  native Windows tag verification and unchanged Python CLI/Canvas/Bases gates.
+
+## [0.5.6] - 2026-11-07
+
+### Added
+
+- Allow authorized host directory creation and regular-file creation, editing
+  and deletion, including verified OneDrive paths. Require exact path/action
+  authority, non-overwriting creation, source rechecks and verified deletion.
+  Disclose synced deletion and uncertain recovery; exclude directory deletion,
+  recursive removal, moves and renames. Retain dedicated content save gates.
+
+### Fixed
+
+- Allow host saves on verified non-redirecting OneDrive cloud paths, including
+  native Windows and WSL, instead of rejecting every reparse point. Retain
+  identity, in-place updates, attribute preservation and hydration consent.
+- Add an explicitly authorized host import workflow for PDF downloads and local
+  Docling outputs in the selected Vault directory. Require exact output paths,
+  non-overwriting creation, scoped scratch/directory consent and per-artifact
+  verification. Keep Python CLI, Canvas and Bases storage support unchanged.
+
 ## [0.5.5] - 2026-11-06
 
 ### Fixed
@@ -284,4 +320,6 @@ and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0
 [0.5.3]: https://github.com/nahisaho/kotonoha/compare/d665884...v0.5.3
 [0.5.4]: https://github.com/nahisaho/kotonoha/compare/v0.5.3...v0.5.4
 [0.5.5]: https://github.com/nahisaho/kotonoha/compare/v0.5.4...v0.5.5
-[Unreleased]: https://github.com/nahisaho/kotonoha/compare/v0.5.5...HEAD
+[0.5.6]: https://github.com/nahisaho/kotonoha/compare/v0.5.5...v0.5.6
+[0.5.7]: https://github.com/nahisaho/kotonoha/compare/v0.5.6...v0.5.7
+[Unreleased]: https://github.com/nahisaho/kotonoha/compare/v0.5.7...HEAD

package/README-ja.md

@@ -6,7 +6,7 @@ kotonohaは、GitHub CopilotとClaude Code向けのスキルを提供します
 
 Obsidian向けには、Markdown記法、許可されたVault内のノート操作、JSON Canvas、Bases、公式アプリCLIを扱います。DefuddleによるWeb・HTML本文の抽出と、KnapによるJSON・CSVからのテンプレート生成にも対応します。操作ごとに、参照範囲・依存関係・保存の許可を確認します。
 
-バージョンは **0.5.5** です（2026-11-06更新）。`obsidian-markdown`、`obsidian-cli`、`defuddle`、`knap`を含む11のスキルを同梱しています。npmパッケージを使うか、[ソースからスキルを導入する手順](#このチェックアウトからスキルを導入)を参照してください。
+バージョンは **0.5.7** です（2026-11-08更新）。`obsidian-markdown`、`obsidian-cli`、`defuddle`、`knap`を含む11のスキルを同梱しています。npmパッケージを使うか、[ソースからスキルを導入する手順](#このチェックアウトからスキルを導入)を参照してください。
 
 [English](./README.md) | [日本語](./README-ja.md)
 
@@ -71,7 +71,7 @@ Obsidianでは、[`obsidian.md`](skills/tech-writer/assets/templates/obsidian.md
 
 Markdownノートとテンプレートの作成・編集は`obsidian-markdown`が担当します。
 文書構成にはtech-writer、日本語の校正にはjapanese-proseを利用します。
-`obsidian-vault`は、許可範囲のローカル読み取り・静的検証・確定済み候補の保存だけを担う共用基盤に縮小しました。
+`obsidian-vault`は、許可範囲のローカル読み取り・静的検証・確定済み候補の保存、明示許可されたファイル・ディレクトリ操作と成果物の取り込みを担う共用基盤です。
 直接保存はホストのファイルツールを使うため、Python、uv、専用CLIの計画ファイルは不要です。
 Obsidianアプリ、MCP、プラグインにも依存しません。
 
@@ -101,11 +101,28 @@ Linuxでは所有者・グループ・権限を維持します。
 既存ノートは置換せず同じ実体へ書き込み、WindowsのACL・属性を保持します。仮想的なLinux権限だけでは拒否しません。
 ネットワーク共有は対象外とし、パス・実体・保存後のバイト列を検証します。保存方式が不明な編集ツールは使いません。
 `/tmp`等への別出力を、許可済みVaultの更新の代わりにはしません。
+WSLのOneDrive保存は、WSLのパス解決・要素の型・ファイル実体の確認を使います。cloud再解析属性はWSLのシンボリックリンクではありません。
+通常のWSLファイルにWindows再解析タグ取得や最終パスAPIを要求せず、取得機能がないことだけでは保存を拒否しません。
+ネイティブWindowsではcloudタグ検証を維持します。検出した転送・リンク・範囲外への逸脱と実際の権限拒否は引き続き拒否します。
+オンライン専用と判明したファイルのローカル取得通信には別途同意が必要です。
 Python CLI・Canvas・Basesの対応範囲は広げません。CLIでは引き続きWSLのWindowsドライブや拡張属性付き対象を拒否します。
 SELinuxラベルなどの削除を回避策にしません。
 直接編集はCLIの原子的確定、ルートロック、成功記録による再実行保護を利用しません。
 保存後に読み戻して確認しますが、途中失敗や同時編集の完全な防止は保証しません。
 LLMの誤判断を完全には防げず、ホストを隔離する機能でもありません。
+WSLのホストから見えるパス確認はWindows再解析情報の独立監査ではなく、検出不能な転送がないことを保証しません。
+
+ホストツールでは、Markdown・PDFに限らず、明示指定したディレクトリの作成と通常ファイルの作成・編集・削除も行えます。
+正確な対象・操作への許可を確認し、ワイルドカードの一括指定は範囲内で列挙した全対象を承認してから実行します。
+作成は非上書き、編集は原文・実体の再照合、削除は対象・ハッシュの直前照合と削除後の不在確認を必須とします。
+OneDriveの削除は他の端末へ同期され得ます。復旧は保証せず、ディレクトリ削除・再帰削除・移動・改名は対象外です。
+Markdown校正とCanvas・Basesの保存検査は維持し、Python CLIに新しい操作コマンドは追加しません。
+
+明示指定したPDFのダウンロードとローカルDocling変換成果物は、検証済みのOneDriveを含むVault内作業ディレクトリへ取り込めます。
+取得元・通信・変換への許可と全出力先を確認し、作業ディレクトリ指定だけでは書き込みません。
+非上書き作成と保存先・属性検査を使い、新規フォルダー、追加出力、補助ファイルには正確な場所への別途同意が必要です。
+Doclingは任意導入であり、同梱・自動導入しません。取得と変換を個別に検証し、成果物のパスとハッシュを報告します。
+詳しくは[取り込み手順](skills/obsidian-vault/references/workflow.md#pdfdocling変換成果物の取り込み)を参照してください。
 
 ## Obsidian Canvasの操作
 
@@ -140,7 +157,7 @@ Node 18以上と固定依存が必要です。依存の準備は別途許可を
 
 ## Obsidian記法・アプリ操作・データからのノート生成
 
-0.5.5は、[kepano/obsidian-skills](https://github.com/kepano/obsidian-skills)の6つの機能分野を、kotonoha独自の手順と例で扱います。
+0.5.7は、[kepano/obsidian-skills](https://github.com/kepano/obsidian-skills)の6つの機能分野を、kotonoha独自の手順と例で扱います。
 参照した版は[`3ccff5338ea700537839b21900aa5358a0402c98`](https://github.com/kepano/obsidian-skills/tree/3ccff5338ea700537839b21900aa5358a0402c98)です（2026-11-05確認）。
 対応する実行環境や保存方法が参照先と同一という意味ではありません。既存のCanvas・Basesの検査範囲と保存制約を維持します。
 
@@ -284,7 +301,7 @@ npx kotonoha install --skill all
 ```
 
 `--skill all`が既定値であるため、`npx kotonoha install`も同じ動作です。導入できるスキルは、使用したパッケージに依存します。
-0.5.5には11のスキルを同梱しています。導入先プロジェクトで、すべて配置されたことを確認します。
+0.5.7には11のスキルを同梱しています。導入先プロジェクトで、すべて配置されたことを確認します。
 
 ```bash
 test -f .github/skills/consulting-analyst/SKILL.md

package/README.md

@@ -14,7 +14,7 @@ The Obsidian suite covers Markdown syntax, authorized Vault notes, JSON Canvas,
 Bases, official app commands, web/HTML extraction and JSON/CSV template rendering.
 Each workflow keeps its own scope, dependency and save requirements.
 
-Version: **0.5.5** (updated 2026-11-06), with eleven bundled Skills, including
+Version: **0.5.7** (updated 2026-11-08), with eleven bundled Skills, including
 `obsidian-markdown`, `obsidian-cli`, `defuddle` and `knap`.
 Install the npm package or use the
 [source-checkout installation](#install-skills-from-this-source-checkout).
@@ -132,8 +132,9 @@ for setup, placeholder handling, and limitations.
 
 Use `obsidian-markdown` to create or edit Markdown notes and templates. It uses
 `tech-writer` for structure and coordinates Japanese proofreading with
-`japanese-prose`. `obsidian-vault` is now only the shared backend for scoped
-local reads, static validation and saving an already prepared candidate.
+`japanese-prose`. `obsidian-vault` is the shared backend for scoped local reads,
+static validation, saving an already prepared candidate, authorized file/directory
+operations and artifact imports.
 Its direct-save path uses host file tools without Python, uv, Obsidian, MCP
 or plugins.
 
@@ -174,8 +175,13 @@ for requests, command examples, data retention and recovery.
 
 Saving requires verifiable local regular files; symlinks and multiple hard
 links are refused. Native Linux saves preserve ownership/modes.
-Host direct saves also support confirmed local Windows drives through WSL
-(`drvfs`/`9p`/`v9fs`), not network shares. Existing notes must be updated in place,
+Host direct saves also support native Windows and confirmed local Windows drives
+through WSL (`drvfs`/`9p`/`v9fs`), not network shares. WSL OneDrive saves use
+WSL-resolved paths, component types and file identity; cloud reparse metadata
+is not a WSL symlink. Windows tag/final-path APIs are not required for otherwise
+normal WSL files. Native Windows retains cloud-tag verification. Detected
+redirections, symlinks, scope escapes and actual access denials remain blocked;
+known hydration requires separate consent. Existing notes must be updated in place,
 preserving Windows ACLs/attributes rather than replacing the file or requiring
 synthetic Linux permissions. Path/identity checks and exact readback remain
 mandatory; an unknown host replacement method is not sufficient.
@@ -185,7 +191,27 @@ CLI saving still requires a verified Linux filesystem and refuses all xattrs,
 including SELinux labels. Never remove attributes to bypass a refusal.
 Direct-edit failure and concurrency limitations are disclosed before saving;
 neither mode eliminates post-check external edits or LLM mistakes.
-The skill is not a host sandbox.
+The skill is not a host sandbox. WSL host-visible checks are not an independent
+Windows reparse audit or a guarantee against undetectable redirections.
+
+Host operations also allow explicitly authorized directory creation and
+regular-file creation, editing and deletion, not just Markdown/PDF outputs.
+Each exact path/action needs authority; wildcard batches need approval after
+scoped enumeration. Creation is non-overwriting, edits recheck source bytes and
+identity, and deletion rechecks the exact file/hash then verifies absence.
+OneDrive may sync deletions to other devices; recovery is not guaranteed.
+Directory deletion, recursive removal, moves and renames remain outside this
+workflow. Markdown proofreading and dedicated Canvas/Bases write gates remain
+in force; the Python CLI gains no new commands.
+
+Explicit PDF downloads and local Docling conversion outputs can be imported into
+the authorized Vault working directory, including verified OneDrive paths.
+Source/network/conversion authority and every output path must be specified;
+directory selection alone grants no write permission. Imports use non-overwriting
+creation and the same path/attribute checks, with separate consent for exact new
+directories, sidecars and scratch locations. Docling is optional, not bundled or
+auto-installed. Downloads and conversion are verified and reported separately
+with output paths/hashes; Python CLI, Canvas and Bases support is unchanged.
 
 ## Working with Obsidian Canvas
 
@@ -232,7 +258,7 @@ for exact-byte preservation, four original templates and failure handling.
 
 ## Obsidian syntax, app commands and data-driven notes
 
-The 0.5.5 Skills cover all six capability families in
+The 0.5.7 Skills cover all six capability families in
 [kepano/obsidian-skills](https://github.com/kepano/obsidian-skills), with original
 kotonoha instructions and examples. Reference snapshot:
 [`3ccff5338ea700537839b21900aa5358a0402c98`](https://github.com/kepano/obsidian-skills/tree/3ccff5338ea700537839b21900aa5358a0402c98),
@@ -424,7 +450,7 @@ npx kotonoha install --skill all
 ```
 
 `--skill all` is the default, so `npx kotonoha install` has the same behavior.
-The selected package determines which Skills are available; version 0.5.5
+The selected package determines which Skills are available; version 0.5.7
 includes all eleven. In the destination project, confirm they were installed:
 
 ```bash

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "kotonoha",
-  "version": "0.5.5",
+  "version": "0.5.7",
   "description": "Skills for GitHub Copilot and Claude Code: consulting, technical writing, Japanese prose, Obsidian Markdown, Canvas, Bases and CLI, Defuddle, Knap, and PPTX planning.",
   "license": "MIT",
   "author": "nahisaho",

package/skills/obsidian-markdown/SKILL.md

@@ -27,6 +27,10 @@ Coordinate content and review, not a second storage backend. Read the
   Preserve the selected direct-save or optional plan-approved workflow.
   For a WSL local Windows drive, use its host direct-save profile; do not
   reject `v9fs` alone or route a normal content edit through Python CLI planning.
+  WSL OneDrive targets use WSL path/type/identity checks, not native Windows
+  reparse-tag or final-path API requirements. Missing Windows metadata tools
+  alone must not block a normal WSL OneDrive save. Native Windows uses the
+  backend's separate tag-verification profile.
   Do not silently substitute `/tmp` output for the authorized Vault target.
   If it is unavailable, report the missing sibling and provide an unsaved draft.
 - Use `tech-writer` for note structure and its existing
@@ -36,6 +40,17 @@ Coordinate content and review, not a second storage backend. Read the
   storage backend to draft or correct content.
 - Route `.canvas` to `obsidian-canvas` and standalone `.base` to
   `obsidian-bases`. Do not replace their checkers with Markdown validation.
+- Explicit PDF downloads and Docling extraction use `obsidian-vault`'s host
+  artifact-import workflow with separate source/network/output authority.
+  A normal note edit does not authorize imports. Do not block an authorized
+  import merely because its outputs are in a Vault or verified OneDrive path.
+  Keep raw extraction separate from requested note authoring and proofreading;
+  neither Defuddle nor Knap is a PDF converter.
+- Route explicitly requested directory creation or file deletion to
+  `obsidian-vault`'s host file/directory workflow with exact paths/actions and
+  user authority. A note save can create missing parents only when those exact
+  directory paths are also authorized. Do not infer deletion or attachment
+  mutation from a content edit, and do not automatically repair deleted links.
 - The official application CLI is a separate, explicitly selected
   `obsidian-cli` workflow, not an automatic fallback for a refused save.
   When it supplies authorized source text, return the candidate and applicable
@@ -101,7 +116,8 @@ Vault-relative paths. Never save any operation files in session storage,
 including `~/.copilot/session-state/`, and pass this rule to delegated tools.
 Auxiliary copies require a separately consented non-session location; otherwise
 keep the draft in the conversation. Target authority never grants whole-Vault
-access, folder creation or attachment changes.
+access, folder creation or attachment changes. Those operations need separate
+exact-path/action authority through the backend's host file/directory workflow.
 
 Report draft-only, reviewed or handed-off status and the unperformed checks.
 Do not claim a save based on a draft or an unexecuted handoff.

package/skills/obsidian-vault/SKILL.md

@@ -1,21 +1,25 @@
 ---
 name: obsidian-vault
 description: >-
-  Provides scoped local reads, static validation and candidate-only Markdown
-  saving for sibling Skills. Use for explicit local storage operations or a
+  Provides scoped local reads, static validation, candidate-only Markdown
+  saving, directory creation, regular-file creation/editing/deletion and
+  authorized PDF/conversion artifact imports, including verified local
+  OneDrive paths. Use for explicit local storage operations or a
   sibling's authorized read/validate/save handoff, not content generation.
   Preserves consent, paths, metadata and source identity, with optional
   plan-approved saving. Also supplies Canvas storage API version 1.
   Requires no Obsidian app, official CLI, MCP or plugins.
 license: MIT
-argument-hint: "[read|validate|save] <authorized target and supplied candidate>"
+argument-hint: "[read|validate|save|mkdir|create|edit|delete|import] <authorized targets>"
 ---
 
 # obsidian-vault
 
 Own local storage, not note content. Read authorized bytes, return static
 validation evidence, and save an already prepared candidate without changing
-it. See [workflow.md](references/workflow.md) for the handoff contract, CLI
+it. Also perform explicitly authorized directory creation and regular-file
+creation, editing or deletion through the host workflow below.
+See [workflow.md](references/workflow.md) for the handoff contract, CLI
 compatibility fields, diagnostic limits and recovery.
 
 ## Responsibility boundary
@@ -32,6 +36,9 @@ to the explicitly selected `obsidian-cli` workflow. Do not silently launch the
 app, broaden scope, switch after failure or bypass a refused save.
 `defuddle` and `knap` prepare candidates outside the Vault; note-level
 integration belongs to `obsidian-markdown`, not this backend.
+Explicit PDF downloads and local Docling conversion outputs use the separate
+host artifact-import workflow below, not Defuddle, Knap or Python CLI saving.
+The caller owns fetching/conversion; this backend owns scoped output storage.
 
 Retain `STORAGE_API_VERSION=1`, authorized reads/enumeration, parsing helpers
 and `commit_bytes` for `obsidian-canvas`. Its own plan/apply workflow remains
@@ -41,13 +48,15 @@ as static validation data, never inferred rules, recommendations or repairs.
 
 ## Candidate handoff
 
-For saving, require the caller to supply the absolute Vault root, authorized read/model
+For content saving, require the caller to supply the absolute Vault root, authorized read/model
 scopes, exact target, creation versus replacement, original bytes/hash for an
 edit, exact candidate, allowed change, save mode and actual save authority.
 Also carry the working directory, auxiliary-copy consent and applicable
 proofreading review. Ask only for missing storage details, one at a time.
 Do not author missing content or infer authority from a sibling's draft.
 Return a refused candidate unchanged to its caller; never repair it to pass.
+Directory creation and file deletion use the operation handoff below; neither
+requires a fabricated content candidate or a Markdown CLI plan.
 
 ## Scope and consent
 
@@ -70,7 +79,13 @@ write or CLI filesystem requirements to a read. Do not enumerate a parent
 folder or read sibling documents merely to open an already specified file;
 parent metadata checks do not authorize parent content access.
 
-On Windows or WSL Windows drives, a OneDrive folder name or the
+On WSL Windows drives, use the WSL host path/type/identity checks described in
+the direct-save profile below for authorized reads too. Windows cloud reparse
+metadata is not a WSL symlink. Do not require Windows reparse-tag queries or
+Windows final-path APIs when WSL resolves the authorized path and exposes a
+regular file; their absence alone must not block the read.
+
+On native Windows, a OneDrive folder name or the
 `FILE_ATTRIBUTE_REPARSE_POINT` flag alone is not grounds to refuse reading.
 Inspect the actual reparse tag for each flagged component from root to target.
 Allow only verified Windows cloud-family tags (`IO_REPARSE_TAG_CLOUD` and its
@@ -80,10 +95,13 @@ Reject symlinks, junctions, mount-point redirections, unknown tags and scope
 escapes. Missing tag/final-path verification blocks the affected read; report
 the exact path and missing capability rather than declaring all OneDrive unsafe.
 
-Read only locally available regular-file bytes. Before opening an online-only
+Read only locally available regular-file bytes. Before opening a known online-only
 or recall-on-access placeholder, obtain explicit consent for hydration/network
-access; if availability cannot be established, stop before a potentially
-hydrating read. Do not change cloud attributes, pin files, change sync settings
+access; if metadata or host warnings indicate recall risk and availability
+cannot be established, stop before a potentially hydrating read. A normal WSL
+file read does not need a separate Windows cloud-availability query merely
+because a parent is in OneDrive. Do not change cloud attributes, pin files,
+change sync settings
 or create copies to force access. Respect ACL denials, host tool refusals and
 content-exclusion policies; never retry through another tool to bypass them.
 Check the source identity and change metadata around the read and report
@@ -92,7 +110,7 @@ concurrent changes rather than presenting unstable content as verified.
 Once these checks pass, read each authorized document independently; one blocked
 file does not block other verified targets. Report which documents were actually
 read and the specific reason for any unread document. Read permission does not
-grant save permission: the stricter save profiles below remain unchanged.
+grant save permission: apply the save profiles below with separate write authority.
 
 ## Working directory and copies
 
@@ -108,8 +126,9 @@ This includes deliverables, requests, originals, candidates, diffs, diagnostics,
 reviews, plans, receipts, results and temporary files. Check resolved locations
 before writing; if the working directory or any selected output is in session
 storage, stop and ask for a non-session location. Do not use it as a fallback.
-Stop on out-of-scope, ambiguous or missing-parent targets; do not create folders
-or substitute another location.
+Stop on out-of-scope or ambiguous targets; do not substitute another location.
+For missing parents, use the directory-creation workflow below only with explicit
+authorization for each exact directory; otherwise stop.
 
 Direct editing needs no external copies or plan files. For necessary auxiliary
 files, use a suitable consented location in the current or user-specified
@@ -140,15 +159,19 @@ not performed, not an unverified substitute.
    changes; never overwrite from stale content. Identical bytes mean no write.
 5. Save the exact candidate with host tools. On native Linux filesystems,
    preserve owner/group/modes and refuse xattrs or unsupported attributes.
-   For WSL Windows drives, use the direct-save profile below instead.
+   For Windows drives, select the matching WSL or native Windows direct-save
+   profile below instead; do not apply native Windows checks to WSL.
    Both profiles refuse multiple hard links and attribute-removing workarounds,
    including removal of SELinux labels.
 6. Read back after saving; require exact candidate bytes and unchanged unspecified content.
    Report the exact target and outcome, never success on failure or uncertainty.
 
 Preserve unspecified frontmatter, links, code, numbers, identifiers, encoding and
-newlines; no unsolicited reformatting. No folder creation, deletion, moves,
-renames, attachments or other formats. Proofreading still needs the gate below.
+newlines; no unsolicited reformatting. Markdown candidate saving does not
+authorize folder creation, deletion, moves, renames, attachments or other
+formats; explicit file/directory operations and artifact imports have their own
+authorization below.
+Proofreading still needs the gate below.
 Before saving, disclose that direct edits lack CLI root locking, atomic commit,
 plan-hash approval and receipt replay protection. Report only verified readback,
 not invented CLI JSON/receipts. If the user needs CLI guarantees, await selection.
@@ -160,14 +183,38 @@ the target first when its save state is unknown.
 Support authorized Markdown saves on a confirmed local Windows drive mounted
 through WSL as `drvfs`, `9p` or `v9fs`. Do not reject it solely because of that
 filesystem name or apply the Python CLI's filesystem allowlist to host saves.
+WSL OneDrive saves are supported when the authorized target is exposed as a
+normal WSL file. OneDrive cloud reparse metadata, including on parent directories,
+is not a WSL symbolic link and is not itself a path redirection.
+Native Windows uses the separate tag-verification profile below.
 This profile does not extend Python CLI, Canvas or Bases saving support.
 
 1. Verify WSL, the actual mount and its Windows path mapping; a `/mnt/c/...`
-   spelling alone is not evidence. Confirm the Windows backing drive is local,
-   not a mapped network drive or UNC/SMB share. Stop if that cannot be established.
+   spelling alone is not evidence. Use the actual WSL mount metadata and path
+   mapping to identify the local Windows drive, not a mapped network drive or
+   UNC/SMB share. Do not require PowerShell, fsutil or Windows drive APIs to
+   repeat a local-drive mapping already established from WSL.
 2. Keep the authorized root/target, byte hashes, no-symlink and link-count checks.
-   Check for Windows reparse points, including junctions, along the resolved path;
-   reject them. Respect Windows read-only attributes and ACL access denials.
+   Use WSL path resolution, component metadata (`lstat` or equivalent), regular
+   file/directory types and opened-file identity within the authorized root.
+   A OneDrive folder name or `FILE_ATTRIBUTE_REPARSE_POINT` alone is not grounds
+   to refuse saving. Do not require Windows reparse-tag queries, cloud-tag
+   allowlists or Windows final-path APIs for this WSL profile. Missing Windows
+   metadata capabilities alone must not block a normal WSL OneDrive save.
+   Verify the resolved WSL path and opened file stay inside the authorized root
+   and exact target. Reject WSL symlinks, detected junctions or other path
+   redirections, scope escapes and special files. If optional Windows metadata
+   identifies an actual name-surrogate/redirection, reject it; do not ignore
+   positive evidence of a redirection.
+   For new files verify the parent before exclusive creation and the opened
+   file before writing. Missing WSL path/type/identity checks block the affected
+   target; report which check is missing, not a blanket reparse-point refusal.
+   Before reading or updating a known online-only or recall-on-access placeholder,
+   obtain explicit hydration/network consent. Stop if recall risk is indicated
+   but availability is unknown; do not demand a cloud-availability API for an
+   otherwise normal WSL file merely because its parent is in OneDrive.
+   Do not pin files, remove cloud attributes or change sync settings.
+   Respect Windows read-only attributes and ACL access denials.
    Target only the ordinary `.md` data stream, not `:stream` or device paths.
    Never run chmod/chown, remove attributes or change mount/Windows settings.
 3. For an existing note, use a verified in-place write to the same file object,
@@ -182,7 +229,12 @@ This profile does not extend Python CLI, Canvas or Bases saving support.
    For a new note, create exclusively without overwriting an equivalent name,
    allowing normal Windows parent ACL inheritance.
 5. Flush/close, then read back exact bytes and verify file identity and observable
-   attributes, allowing only normal write timestamps/archive-bit updates.
+   WSL-observable attributes, allowing only normal write timestamps/archive-bit
+   updates and
+   consented hydration state changes, not loss of cloud-provider metadata.
+   Retaining the object avoids intentionally replacing its Windows metadata;
+   unavailable Windows ACL/cloud-attribute enumeration is not a refusal reason
+   and must not be reported as verified attribute preservation.
    Report saved only on a match. Disclose non-atomic writes,
    possible partial writes and concurrent Obsidian/Sync/Windows edits before saving;
    after a possible write failure report unknown, without retry or rollback.
@@ -193,6 +245,149 @@ Do not silently redirect a refused save to `/tmp` or another file. An alternate
 output needs explicit exact-path consent and is never a successful Vault update.
 Proofreading gates and the session-storage prohibition still apply.
 
+### Native Windows direct saves
+
+Use the same authorization, source rechecks, exclusive creation, in-place updates
+and exact readback rules. Verify the local Windows backing drive and ordinary
+data stream. A OneDrive folder name or flag alone is not grounds to refuse
+saving. For native Windows path verification, inspect each actual reparse
+tag, including parent directories, and allow only verified Windows cloud-family
+tags (`IO_REPARSE_TAG_CLOUD` and documented variants) that are not name surrogates.
+Verify the opened object's final path and identity stay inside the authorized
+root and exact target. Reject symlinks, junctions, mount-point redirections,
+unknown tags and escapes. Missing tag/final-path verification blocks the affected
+native Windows target. Respect ACLs/read-only attributes and hydration consent.
+Do not apply these Windows-API preconditions to WSL host reads or saves.
+
+Neither host profile is a Windows security sandbox or a guarantee against all
+undetectable reparse redirections, races or sync failures. WSL checks establish
+the host-visible path/type/identity, not an independent Windows reparse audit.
+
+## Authorized file and directory operations
+
+Use host filesystem tools for directory creation and regular-file creation,
+editing or deletion inside the authorized Vault/scopes, including verified
+OneDrive paths. These are host operations, not new Python CLI commands.
+Do not refuse an authorized ordinary file merely because its extension is not
+`.md`. The backend stores supplied bytes, not authored content or executable
+instructions. Markdown authoring/proofreading stays with `obsidian-markdown`;
+Canvas and Bases creation/editing stays with their dedicated workflows and
+existing save gates. Never use generic file writing to bypass those gates.
+
+1. Require the absolute Vault root, working directory, exact resolved targets,
+   operation (`mkdir`, `create`, `edit` or `delete`), permitted changes and actual
+   user authority. For file creation/editing require exact candidate bytes;
+   edits also require current source bytes/hash and identity. A capability
+   request or directory selection is not permission to mutate existing files.
+   Explicit target/action/change authority suffices without repeated approval,
+   unless pre-operation confirmation was requested. Ask for missing details one
+   at a time; pass read/model scopes and copy consent where applicable.
+2. Present the exact operation list. Expand a wildcard or batch only within
+   separately authorized enumeration scopes, then obtain approval for the
+   resulting exact paths/actions before mutation. Do not infer permission for
+   siblings, parent creation, attachment changes or backlink repair.
+   Check resolved paths from root to target, equivalent-name collisions, types,
+   identity, link counts and management-directory exclusions. Reject symlinks,
+   detected junctions/redirections, scope escapes and special/device files.
+   Select the WSL or native Windows profile for local-drive, ordinary-stream,
+   ACL and hydration checks; unknown-tag refusal is native-Windows-only.
+   Do not reintroduce Windows tag/API requirements for WSL operations.
+   Do not bypass host refusals or content exclusions; missing verification blocks
+   only the affected operation.
+3. For `mkdir`, list and authorize each missing parent explicitly. Create each
+   directory without overwriting, after verifying its existing parent; recheck
+   the new directory's identity and scope before proceeding to its children.
+   An already-existing verified directory is a no-op, not a newly created one;
+   a file or equivalent-name collision is a conflict, not success.
+4. For `create`, use exclusive non-overwriting creation of the exact supplied
+   bytes. For `edit`, compare current source bytes/hash and identity immediately
+   before writing; stop on concurrent changes and do not write identical bytes.
+   Apply the existing Linux/Windows save-preservation and readback rules to the
+   authorized file type. Binary edits require a supplied complete byte candidate
+   or a separately authorized format-aware producer, not text rewriting.
+5. For `delete`, require explicit deletion authority for every exact regular
+   file, including notes and attachments. Identify and record the current file's
+   identity and SHA-256 with authorized local reads; hashing does not authorize
+   sending its content to a model. Present the deletion and disclose that
+   OneDrive may propagate it to other devices and backups/trash recovery are
+   not guaranteed. Recheck bytes/hash, identity, parent and scope immediately
+   before unlinking only that file; stop on changes. Do not remove attributes,
+   broaden ACLs or use a recursive deletion command. Deletion uses the same
+   path/access checks, not the content-save attribute-preservation/readback
+   requirement. Verify absence without following links afterward; a replacement
+   at that path is a conflict/unknown result, never a reason to delete again.
+   A missing target is reported as already absent, not deleted by this operation.
+6. Report each path/action as created, edited, deleted, unchanged/already absent,
+   blocked, failed or unknown based on observed results. Stop dependent operations
+   after a prerequisite fails and report partial batches accurately. Disclose
+   non-atomicity and concurrent edits before mutation; never automatically retry
+   or roll back a possibly performed operation.
+
+Directory deletion, recursive removal, moves and renames are outside this
+workflow. Never delete the Vault root, working-directory root or session storage.
+Do not automatically repair references after deletion, make backup copies or
+claim recoverability. Backups need separate exact-path/copy authorization.
+Network fetch, tool execution and dependency installation need their own consent.
+
+## Authorized PDF and conversion artifact imports
+
+This is a host-tool storage workflow, not a new `vault.py` command or a
+relaxation of Markdown, Canvas or Bases save gates. Do not treat OneDrive or
+being inside a Vault as a blanket prohibition on an explicitly authorized
+PDF download or Docling conversion. Neither tool is bundled or auto-installed.
+
+1. Obtain the absolute Vault root, selected working directory, exact source
+   URLs/local files, permitted read/model-input scopes and exact output paths.
+   Resolve paths using the working-directory rules above. A directory choice
+   alone is not download, conversion, network or write permission. Ask for
+   missing details one at a time. Explicit source/action/output authorization
+   suffices; do not demand Markdown candidates before downloading a PDF.
+2. Distinguish source fetch consent, cloud hydration, local conversion and
+   sending content to models/services. A download authorizes only its specified
+   source, not arbitrary redirects, linked resources or remote conversion.
+   Do not upload Vault content to external conversion services. Check available
+   download/Docling capabilities and their output behavior before execution;
+   ask before installing dependencies or downloading OCR/model assets.
+3. Present every output path before writing: source `.pdf`, extracted `.md`,
+   and only explicitly requested images/JSON or other conversion sidecars.
+   Use non-overwriting creation with exact/equivalent-name collision checks.
+   Existing files require separate replacement authority and source bytes/hash;
+   use the selected direct-save profile, never a converter's unchecked overwrite.
+   Verify paths, identities, no symlinks, management-directory exclusions and
+   link counts as above. Windows/WSL imports use their respective host profile:
+   WSL path/type checks or native Windows verified non-redirecting cloud tags.
+   Apply the profile's ordinary-data-stream rule to
+   each authorized artifact extension, never `:stream` or device paths.
+4. Only create missing directories with separate approval for their exact paths,
+   after verifying the existing ancestor and rechecking each created directory;
+   follow the file/directory operation workflow above.
+   Authorization for an output does not authorize sibling outputs. Configure
+   conversion to produce only the approved outputs; if that cannot be guaranteed,
+   use a separately consented staging location and transfer exact verified bytes.
+   A consented workspace inside the selected Vault directory may hold import
+   scratch files; the Python CLI workspace remains Vault-external. List scratch,
+   cache and temporary locations/retention before running. Never use session
+   storage or silently substitute `/tmp`. Without approved locations or a known
+   safe creation/write method, stop before fetching or converting.
+5. For downloads check command/HTTP failure and verify the result is a PDF, not
+   an HTML error/login page. For conversion check exit status and every expected
+   artifact's existence/content; an empty or missing result is not success.
+   Read back exact stored bytes and record their SHA-256 hashes. Keep provenance
+   from the authorized source; do not claim extraction fidelity without review.
+   Raw extracted Markdown is not meaning-preserving proofreading. Hand requested
+   note authoring or Japanese revisions to `obsidian-markdown`; those edits keep
+   their normal save/review gates.
+6. Report download, conversion and each output's exact path/hash/status separately.
+   A verified PDF can remain saved when conversion fails; report that partial
+   result. After a possible write failure report unknown for the affected output,
+   inspect without rewriting, and never automatically retry, roll back or delete.
+   Respect host refusals, ACL denials and content exclusions; this workflow must
+   not bypass them. Clean up only known scratch files with deletion consent.
+
+Disclose direct-save non-atomicity and concurrent OneDrive/Obsidian edits before
+writing. One blocked artifact does not invalidate other verified outputs; do not
+claim the entire import was completed when any requested step was unperformed.
+
 ## Validation and proofreading save gates
 
 Validate only; do not generate or improve the candidate. Unresolved links are
@@ -247,11 +442,13 @@ plan and approval.
 
 ## Outcomes and limits
 
-Both modes save one note per operation. Distinguish unsaved, saved, partial,
+Both Markdown save modes save one note per operation. Artifact imports report
+each separately authorized output. Distinguish unsaved, saved, partial,
 failed and unknown outcomes, naming the target and unperformed work. Never
 automatically re-save or roll back a possibly saved operation. Confirm unknown
-records/temp files and their diffs with the user before acting. Do not commit,
-push, publish, delete, move or rename notes.
+records/temp files and their diffs with the user before acting. File deletion
+requires the explicit host-operation authority above; it is never implied by
+editing, importing or cleanup. Do not commit, push, publish, move or rename notes.
 
 Require verifiable local regular files and the selected profile's attribute preservation; refuse
 unsupported capabilities rather than weakening checks. Neither mode guarantees

package/skills/obsidian-vault/references/workflow.md

@@ -1,8 +1,9 @@
 # Obsidianローカル保存バックエンド
 
-呼出元が指定した範囲の読み取り・静的検証・候補の保存だけを担当する。
+呼出元が指定した範囲の読み取り・静的検証・候補の保存と、明示許可されたPDF・変換成果物の取り込みを担当する。
+ホストツールによるディレクトリ作成、通常ファイルの作成・編集・削除も、正確な対象と操作への許可を得て行う。
 本文の作成・編集の指揮はobsidian-markdown、日本語の校正はjapanese-proseへ分離する。
-対象は0.5.4であり、Canvas用の共用保存API版1は維持する。
+対象は0.5.7であり、Canvas用の共用保存API版1は維持する。
 
 ## 上位ワークフローの移管
 
@@ -13,6 +14,8 @@
 | アプリ上の検索・リンク確認・タスクやプロパティの操作 | 明示的に選択したobsidian-cli |
 | Web・HTML抽出、JSON・CSVからの候補生成 | defuddle、knap。ノートへの組み込みはobsidian-markdown |
 | 許可範囲のローカル読み取り・検証・確定済み候補の保存 | obsidian-vault |
+| ディレクトリ作成、通常ファイルの作成・編集・削除 | obsidian-vaultのホスト操作手順。Markdown・Canvas・Basesの内容編集は各担当を維持 |
+| 明示指定したPDFのダウンロードとDocling変換成果物の保存 | ホストの取得・変換ツールとobsidian-vaultの取り込み手順。本文編集はobsidian-markdown |
 
 規約の推定、関連ノートの推薦、独立したリンク分析・修復は、このSkillでは行わない。
 旧来の高水準の依頼を受けた場合は担当を案内し、ここで候補本文を作ったり探索を始めたりしない。
@@ -26,6 +29,7 @@
 作業ディレクトリ、補助コピーへの同意、校正結果のレビューも引き継ぐ。
 不足する保存情報は1問ずつ確認し、候補が未作成なら呼出元へ戻す。
 候補を検査に通すために、バックエンドが本文を補完・修正することはない。
+ディレクトリ作成とファイル削除は後述の操作情報を渡し、架空の本文候補やCLI計画は要求しない。
 
 ## ホストツールによる候補の直接保存
 
@@ -41,12 +45,13 @@ Vaultルート基準と明示されたパスや絶対パスは、その指定を
 依頼、原文、候補、差分、診断、レビュー、計画、保存記録、結果、一時ファイルにも同じ制約を適用する。
 書き込み前に実体の保存場所を確認し、作業ディレクトリや出力先がセッション領域なら、別の場所を1問ずつ確認する。
 明示指定された場合も、このSkillではセッション領域へ書かず、代替場所への許可を得る。
-対象の親が存在しなければ止め、セッション領域への代替保存や新規フォルダー作成を行わない。
+対象の親が存在しなければ、正確な各ディレクトリの作成への明示許可を確認する。
+許可がなければ止め、セッション領域への代替保存や無断のフォルダー作成は行わない。
 対象や変更内容が曖昧なら1問ずつ確認する。「案を作って」だけでは保存しない。
 利用者が対象・変更内容・保存を明示した依頼は、その範囲の書き込み許可として扱える。
 毎回のCLI計画承認は要求しない。保存前の差分確認を求められたら、確認まで書かない。
 
-Vault内の`.md`だけを扱い、対象と親の実体、許可範囲、通常ファイルかを確認する。
+Markdown候補保存ではVault内の`.md`だけを扱い、対象と親の実体、許可範囲、通常ファイルかを確認する。
 途中のシンボリックリンク、Vault外、管理フォルダーへのアクセスを拒否する。
 大文字小文字違いも含めて`.obsidian`と`.git`を除外し、別表記の同名対象を上書きしない。
 確認に必要な機能がないホストでは保存しない。
@@ -56,7 +61,9 @@ Vault内の`.md`だけを扱い、対象と親の実体、許可範囲、通常
 Linuxの通常FSでは所有者・グループ・権限を維持し、拡張属性などを保全できなければ拒否する。
 WSLのWindowsドライブには次節の直接保存手順を使い、仮想的なLinux権限だけで拒否しない。
 どちらも複数ハードリンクを拒否し、属性を削除して回避しない。
-新規フォルダー、削除・移動・改名、添付や`.canvas`・`.base`の編集は対象外とする。
+ノート保存への許可だけではフォルダー作成、削除、添付変更を行わず、明示許可された操作は後述のホスト操作手順で扱う。
+`.canvas`・`.base`の作成・内容編集は専用ワークフローを維持し、移動・改名はこの手順の対象外とする。
+PDF・変換成果物は独立した取り込み手順も適用する。
 指定外のプロパティ、リンク、コード、数値、識別子、文字コード、改行を保持する。
 同一内容なら書かず、保存後は読み戻して対象パスと実際の変更内容を報告する。
 
@@ -77,14 +84,29 @@ CLI操作が失敗した場合も、この経路へ無断で切り替えない
 
 この手順は、ホストツールによる通常のMarkdownノート保存だけに適用する。
 この直接保存手順は0.5.4から対応する。
+ネイティブWindowsの再解析タグ検証は別の手順とし、WSL保存の必須条件に流用しない。
+通常ファイルの作成・編集と成果物取り込みも、実行環境に応じた手順を各拡張子の通常データストリームに適用する。
 WSLのローカルWindowsドライブなら、FS名がdrvfs・9p・v9fsであることだけを理由に拒否しない。
 Python CLI・Canvas・Basesの保存対応は拡張せず、CLIの許可FS一覧を直接保存の条件に流用しない。
 Pythonやuvを必須にする変更でもない。
 
 1. WSL環境、実際のマウント、Windowsパスとの対応を確認する。`/mnt/c/...`という表記だけでは判断しない。
-   Windows側の実体がローカルドライブであることも確認し、ネットワークドライブやUNC・SMB共有は対象外にする。
+   WSLのマウント情報とパス対応からローカルWindowsドライブを確認し、ネットワークドライブやUNC・SMB共有は対象外にする。
+   WSLで確認できたドライブ対応を、PowerShell・fsutil・Windows APIで再確認することは必須にしない。
 2. 許可済みのVaultと保存先、原文ハッシュ、ファイル実体、リンク数を確認する。
-   パス途中のWindowsジャンクション等の再解析ポイントも拒否し、読み取り専用属性やACLによる拒否を尊重する。
+   OneDriveというフォルダー名や再解析ポイント属性だけでは保存を拒否しない。
+   OneDriveのcloud再解析属性はWSLのシンボリックリンクではなく、それ自体は別パスへの転送を示さない。
+   WSLのパス解決、各要素のlstat等のメタデータ、通常ファイル・ディレクトリか、開いた実体の識別情報を確認する。
+   解決したWSLパスと実体が許可済みのVaultと正確な対象の範囲に収まることを確認する。
+   Windows再解析タグ取得、cloudタグの許可一覧、Windows最終パスAPIは必須にしない。
+   それらの取得機能がないことだけで、通常のWSLファイルとして扱えるOneDriveへの保存を拒否しない。
+   WSLのシンボリックリンク、検出したジャンクションや実際の転送、範囲外、特殊ファイルは拒否する。
+   任意のWindowsメタデータ検査で名前代理・転送が判明した場合も拒否し、実際の転送の証拠は無視しない。
+   新規対象は排他的作成前に親を検証し、作成した実体も書き込み前に確認する。
+   オンライン専用やアクセス時に取得すると判明したファイルは、読み取り・更新前に取得通信への明示同意を得る。
+   取得通信の兆候がありローカル利用可能か不明なら止めるが、通常のWSLファイルにWindows側の利用可能性APIを要求しない。
+   固定、クラウド属性削除、同期設定変更で回避しない。
+   WSLのパス・型・実体を確認できなければ、その不足と対象パスを具体的に報告する。読み取り専用属性やACLによる拒否を尊重する。
    通常の`.md`データストリームだけを対象にし、`:stream`やデバイスパスへ書き込まない。
 3. 既存ノートは同じファイル実体へ書き込む。切り詰めずに開き、同じハンドルで原文と実体を保存直前に照合する。
    候補を書いた後、候補と同じ長さに切り詰める。一時ファイルへの置換、改名、削除しての再作成は使わない。
@@ -93,7 +115,9 @@ Pythonやuvを必須にする変更でもない。
    Linuxのuid・gid・modeが仮想表示であることや、POSIX拡張属性一覧を取得できないことだけでは拒否しない。
    新規ノートは排他的に作成し、既存名を上書きせず、通常のWindows親ディレクトリのACL継承に従う。
 5. 書き込みをフラッシュして閉じ、読み戻したバイト列・実体・観測できる属性を確認する。
-   通常の書き込みに伴う時刻やアーカイブ属性の更新は許容するが、他の属性の変更は許容しない。
+   通常の書き込みに伴う時刻・アーカイブ属性更新と、同意済みのローカル取得に伴う状態変化だけを許容する。
+   同じ実体を維持し、クラウドプロバイダーのメタデータを意図的に置換しない。
+   WindowsのACL・cloud属性を列挙できないことだけでは拒否せず、検証できた属性として報告もしない。
    途中失敗やObsidian・Sync・Windows側の同時編集を完全には防げないことを、保存前に説明する。
    書いた可能性がある失敗は結果不明とし、自動再保存やロールバックは行わない。
 
@@ -104,6 +128,89 @@ chmod・chown、属性の削除、マウントやWindows設定の変更で保存
 校正の保護検査・意味レビューと、セッション領域への保存禁止は維持する。
 権限の違いは[MicrosoftのWSLファイル権限資料](https://learn.microsoft.com/en-us/windows/wsl/file-permissions)を参照する。
 
+### ネイティブWindowsでの直接保存
+
+ネイティブWindowsでは親を含む実際の再解析タグを確認し、名前代理ではない確認済みのcloud系タグだけを許可する。
+開いた実体のWindows最終パスと識別情報を確認し、未知のタグ、ジャンクション、範囲外への転送は拒否する。
+確認できなければネイティブWindowsの対象を停止するが、このWindows API要件をWSL保存へ流用しない。
+認可、原文再照合、非上書き作成、同一実体への更新、読み戻しと取得通信同意は維持する。
+WSLの確認はホストから見えるパス・型・実体の確認であり、Windows再解析情報の独立監査ではない。
+どちらも検出不能な転送、同時変更、同期失敗がないことを保証しない。
+
+## ディレクトリとファイルのホスト操作
+
+許可済みのVaultと範囲内で、ディレクトリ作成、通常ファイルの作成・編集・削除をホストツールで行う。
+検証済みのOneDriveも対象とし、通常ファイルを`.md`以外という理由だけで拒否しない。
+`mkdir`・`create`・`edit`・`delete`はホストへの操作指定であり、Python CLIに同名コマンドを追加するものではない。
+本文生成は担当Skillへ戻し、Markdownの校正・Canvas・Basesの保存検査を汎用書き込みで回避しない。
+
+1. Vaultの絶対パス、作業ディレクトリ、解決済みの正確な全対象、操作、変更範囲、利用者の実際の許可を受け取る。
+   ファイル作成・編集は正確な候補バイト列、編集は現在の原文バイト列・ハッシュ・実体も必要とする。
+   機能追加の依頼や作業ディレクトリ指定だけでは実際のファイル操作を許可しない。
+   対象・操作・変更への明示許可があれば毎回の再承認は不要だが、事前確認を求められた場合は確認まで操作しない。
+   必要な読み取り・モデル入力範囲、コピー同意も渡し、不足する情報は1問ずつ確認する。
+2. 全対象と操作を提示する。ワイルドカードや一括指定は許可済みの列挙範囲内だけで展開し、確定したパス・操作への承認を得る。
+   親・対象の実体、同等名、型、範囲、リンク数、管理フォルダー除外を確認する。
+   シンボリックリンク、検出したジャンクション・転送、範囲外、特殊ファイルは拒否する。
+   WSLでは前節のWSLパス・型・実体の確認、ネイティブWindowsでは再解析タグ検証を使う。
+   未知のWindowsタグ拒否はネイティブWindowsに限定し、WSLでWindowsメタデータ取得を再び必須にしない。
+   どちらもローカルドライブ・通常ストリーム・ACL・取得通信の確認は維持する。
+   ホスト拒否やコンテンツ除外を回避せず、確認不能なら影響する操作だけを停止する。
+3. ディレクトリ作成は未作成の親もすべて正確なパスで許可を得て、既存の親を検証してから非上書きで順に作る。
+   作成した各実体と範囲を確認してから子へ進む。検証済みの既存ディレクトリは変更なしとする。
+   同名ファイルや同等名の衝突は成功ではなく競合とする。
+4. ファイル作成は正確なバイト列を排他的に保存する。編集は直前の原文バイト列・ハッシュ・実体を照合し、外部変更なら止める。
+   同一内容なら書かず、対象形式にも既存のLinux・Windows属性保全と読み戻しの確認を適用する。
+   バイナリは完全な候補バイト列か別途許可した形式対応ツールを使い、テキスト置換で壊さない。
+5. 削除はノート・添付を含む正確な各通常ファイルへの明示的な削除許可を必須とする。
+   許可済みのローカル読み取りで現在の実体とSHA-256を記録する。ハッシュ計算は本文のモデル送信を許可しない。
+   削除対象を提示し、OneDriveが他の端末へ削除を同期し得ること、バックアップやごみ箱からの復旧を保証しないことを説明する。
+   削除直前に内容・ハッシュ・実体・親・範囲を再照合し、変更があれば止める。正確な1ファイルだけをunlinkする。
+   属性削除・ACL変更・再帰削除で通さない。保存時の属性保全や内容読み戻しは削除の条件に流用しない。
+   削除後はリンクを追わず不在を確認する。同じパスの別実体は競合・結果不明とし、再削除しない。
+   もともと不在なら「既に不在」と報告し、この操作で削除済みとはしない。
+6. 各パスと操作の作成済み・編集済み・削除済み・変更なし・既に不在・停止・失敗・結果不明を実測で報告する。
+   前提操作が失敗したら依存する操作を止め、一括処理の部分実施を正確に報告する。
+   非原子的操作と同時編集リスクを事前説明し、実行された可能性がある操作を自動再実行・ロールバックしない。
+
+ディレクトリ削除、再帰削除、移動・改名は対象外とする。Vaultルート、作業ディレクトリのルート、セッション領域を削除しない。
+削除後の参照修復やバックアップ作成は自動で行わない。バックアップには正確な場所とコピーへの別途同意が必要である。
+通信、外部ツールの実行、依存導入はそれぞれの許可を維持する。
+
+## PDF・Docling変換成果物の取り込み
+
+これはホストツールで行う保存手順であり、`vault.py`に新しいコマンドを追加するものではない。
+Vault内やOneDrive上であることだけを理由に、明示許可されたPDF保存や変換を禁止しない。
+Doclingは同梱・自動導入せず、取得と変換は呼出元のツールが担当する。
+DefuddleとKnapをPDF変換の代替として使わない。
+
+1. Vaultの絶対パス、作業ディレクトリ、正確な取得元URL・入力ファイル、読み取り・モデル入力範囲、全出力先を確認する。
+   作業ディレクトリ指定だけでは取得・変換・通信・保存の許可にならない。不足する情報は1問ずつ確認する。
+   明示された取得元・操作・出力先への許可があれば、PDF取得前にMarkdown候補を要求しない。
+2. ダウンロード通信、クラウドファイルのローカル取得、ローカル変換、モデルへの入力を区別する。
+   指定外のリダイレクト先や参照資料の取得は無断で行わず、Vault本文を外部変換サービスへ送らない。
+   利用できる取得ツール・Doclingと出力方式を実行前に確認する。依存導入やOCR・モデル資産の取得は別途許可を得る。
+3. 元PDF、抽出Markdown、明示指定した画像・JSON等の全出力先を保存前に提示する。
+   同名・同等名の衝突を確認して非上書きで作成し、既存対象の置換には別途許可と元のバイト列・ハッシュを要求する。
+   対象・親の実体、範囲、管理フォルダー除外、リンク数を確認し、WSLとネイティブWindowsそれぞれの手順を使う。
+   変換ツールの無検証上書きは使わず、通常データストリーム以外への書き込みは拒否する。
+4. 親が未作成なら正確な作成パスへの別途許可を得て、既存の祖先と作成した各フォルダーを再確認する。
+   ツールの追加出力を承認済みのものに限定できなければ、別途同意した仮出力先で生成し、検証済みのバイト列だけを移す。
+   取り込みの補助ファイルは同意済みのVault内作業ディレクトリも利用できるが、CLI計画の作業領域はVault外のままとする。
+   補助・キャッシュ・一時ファイルの場所と保持を事前に提示する。セッション領域や無断の`/tmp`代替は使わない。
+   安全な作成・書き込み方法や必要な場所への許可がなければ、取得・変換前に止める。
+5. 取得は終了状態とHTTPエラーを確認し、HTMLのログイン・エラーページではなくPDFであることを検証する。
+   変換は終了状態と全成果物の存在・内容を確認する。空・欠落した出力を成功としない。
+   保存後は正確なバイト列を読み戻し、SHA-256を記録する。取得元を保持し、内容の忠実性はレビューなしに保証しない。
+   生の抽出は意味保存校正ではない。本文作成・日本語修正を求められたらobsidian-markdownへ渡し、通常の保存・レビュー検査を使う。
+6. ダウンロード・変換・各成果物の正確なパス、ハッシュ、結果を個別に報告する。
+   PDF保存後に変換が失敗した場合はPDFだけ保存済みの部分実施とする。書いた可能性がある失敗は対象の結果不明とする。
+   自動再保存・ロールバック・削除は行わず、確認のための読み取りだけを行う。補助ファイルの削除にも許可が必要である。
+   ホストの拒否、ACL、コンテンツ除外を回避しない。1成果物の停止で他の検証済み成果物を未実施と扱わない。
+
+保存前には非原子的書き込みとOneDrive・Obsidianの同時編集リスクを説明する。
+取り込みへの許可は通常のノート編集・Canvas・Basesの保存許可を拡大しない。
+
 ## CLI計画保存モードの導入と起動
 
 既存の同名Skillを無断で置換しない。必要な呼出元と兄弟Skillは別途導入する。
@@ -241,4 +348,5 @@ receipt.jsonは保存後の検証済み記録、result.jsonは本文を含めな
 成功記録が不正、欠落した記録から以前の保存が疑われる、現在の内容が変わった、という場合は自動再保存しない。
 unknownは「変更なし」を意味しない。対象、原文、候補、一時ファイル、記録を確認し、新しい計画が必要か判断する。
 一時ファイルや操作ディレクトリは利用者の確認なしに掃除しない。
-削除を依頼された場合も、確認した操作ディレクトリの既知ファイルだけを対象にする。
+補助ファイルの掃除は、確認した操作ディレクトリの既知ファイルへの削除許可の範囲に限定する。
+Vault内の通常ファイルを削除する依頼には、上記のホスト操作手順を使う。CLIに削除コマンドはない。