claude-code-conductor 1.5.2__tar.gz → 1.7.0__tar.gz

{claude_code_conductor-1.5.2 → claude_code_conductor-1.7.0}/.claude/hooks/consolidate_memory.py

@@ -17,6 +17,10 @@ F-004 MVP: 過去 N 日分の `.claude/memory/sessions/YYYYMMDD.tmp` から
 呼び出し:
 - `.claude/settings.json` の `Stop` hook 配列に登録される。
 - stdin から JSON payload を受け取るが、内容は使わない（情報源は session ファイルのみ）。
+
+実行モード:
+- 通常モード（`_full_sync_main`）: Stop hook から起動される。同期で MVP 集約・promotion ログ・archive を完了させ、LLM 要約は子プロセスとしてデタッチ起動して即終了する。Stop hook ブロック時間を 200〜900ms に抑える。
+- LLM 限定モード（`_llm_only_main`、`--llm-only <today_iso>` で起動）: 親の Stop hook がデタッチ起動した子プロセス専用エントリ。`.claude/state/consolidate_llm.lock` で多重起動を防ぎ、`write_summary(enable_llm=True)` を実行して `consolidated_summary.md` を LLM 要約付きで書き直す。
 """
 
 from __future__ import annotations
@@ -27,6 +31,7 @@ import shutil
 import subprocess
 import sys
 import tempfile
+import time
 from datetime import datetime, timedelta, timezone
 from pathlib import Path
 
@@ -83,6 +88,14 @@ PROMOTION_CANDIDATES_PATH = os.path.join(
     _CLAUDE_DIR, "memory", PROMOTION_CANDIDATES_FILE_NAME
 )
 
+# LLM 子プロセスの多重起動防止ロック。
+# `.claude/state/` は `.gitignore` 既存ルールでカバー済み。
+LOCK_PATH = os.path.join(_CLAUDE_DIR, "state", "consolidate_llm.lock")
+# ロックを「新鮮」とみなす TTL（秒）。LLM タイムアウト（60s）の 2 倍を上限とする。
+LOCK_STALE_SEC = 120
+# `--llm-only` モードのフラグ
+LLM_ONLY_FLAG = "--llm-only"
+
 
 def _load_session_utils():
     """session_utils モジュールを動的にロードして返す（同階層）。"""
@@ -90,7 +103,8 @@ def _load_session_utils():
 
     util_path = os.path.join(_HOOKS_DIR, "session_utils.py")
     spec = importlib.util.spec_from_file_location("session_utils", util_path)
-    assert spec is not None and spec.loader is not None
+    if spec is None or spec.loader is None:
+        raise ImportError(f"session_utils が見つかりません: {util_path}")
     module = importlib.util.module_from_spec(spec)
     spec.loader.exec_module(module)  # type: ignore[attr-defined]
     return module
@@ -174,7 +188,7 @@ def build_summary_markdown(
         "# 集約サマリ",
         "",
         f"_直近 {window_days} 日（{start_str} 〜 {today_str}）の session ファイル {len(files)} 件をマージ_",
-        f"_最終更新: {datetime.now(timezone.utc).isoformat(timespec='seconds')}_",
+        f"_最終更新: {today.isoformat(timespec='seconds')}_",
         "",
         "本ファイルは `.claude/hooks/consolidate_memory.py` が Stop フックで自動生成する。",
         "重複行・空行を除去した単純マージのため、文脈は元の session ファイルを参照すること。",
@@ -499,6 +513,11 @@ def _atomic_write(output_path: str, payload: str) -> bool:
 # ---------------------------------------------------------------------------
 
 
+def _escape_for_xml(text: str) -> str:
+    """XML タグ境界突破を防ぐためタグ記号をエンティティに変換する。[SR-AI-001]"""
+    return text.replace("&", "&amp;").replace("<", "&lt;").replace(">", "&gt;")
+
+
 def _build_llm_prompt(
     files: list[str],
     *,
@@ -513,8 +532,8 @@ def _build_llm_prompt(
     success_lines = _collect_section_lines(files, TARGET_SECTIONS[0], extract_fn)
     failure_lines = _collect_section_lines(files, TARGET_SECTIONS[1], extract_fn)
 
-    success_text = "\n".join(success_lines)
-    failure_text = "\n".join(failure_lines)
+    success_text = _escape_for_xml("\n".join(success_lines))
+    failure_text = _escape_for_xml("\n".join(failure_lines))
 
     # 入力サイズ制御: 両セクション合計が _LLM_INPUT_MAX_CHARS を超えたら均等に切り詰める
     half = _LLM_INPUT_MAX_CHARS // 2
@@ -599,17 +618,27 @@ def build_llm_summary_section(
     # 子プロセスへ env を引き継いで深度を 1 加算（再帰防止フラグ）
     env = {**os.environ, _LLM_DEPTH_ENV: str(depth + 1)}
 
+    # Windows では claude.exe が console application のため、CREATE_NO_WINDOW を
+    # 指定しないとウィンドウが可視化される（特に親 python が DETACHED 系で起動された場合）。
+    run_kwargs: dict = dict(
+        capture_output=True,
+        text=True,
+        encoding="utf-8",
+        errors="replace",
+        timeout=timeout,
+        env=env,
+        cwd=_CLAUDE_DIR,
+        check=False,
+    )
+    if sys.platform == "win32":
+        run_kwargs["creationflags"] = getattr(
+            subprocess, "CREATE_NO_WINDOW", 0x08000000
+        )
+
     try:
         result = subprocess.run(
             [claude_exe, "-p", prompt, "--dangerously-skip-permissions"],
-            capture_output=True,
-            text=True,
-            encoding="utf-8",
-            errors="replace",
-            timeout=timeout,
-            env=env,
-            cwd=_CLAUDE_DIR,
-            check=False,
+            **run_kwargs,
         )
     except subprocess.TimeoutExpired:
         print(
@@ -783,10 +812,95 @@ def _resolve_archive_dest(archive_dir: str, base_name: str) -> str:
     return candidate
 
 
-def main() -> int:
-    """Stop フックエントリポイント。失敗してもセッションを止めない（exit 0）。
+def _acquire_llm_lock(lock_path: str = LOCK_PATH) -> bool:
+    """LLM 子プロセスのロックを取得する。新鮮な既存ロックがあれば False を返す。
 
-    F-004 Phase 2-A 以降は MVP マージ → archive を独立した try/except で実行。
+    ロックファイル: ``.claude/state/consolidate_llm.lock``
+    新鮮判定: mtime が現在時刻から ``LOCK_STALE_SEC`` 秒以内
+    """
+    try:
+        if os.path.exists(lock_path):
+            mtime = os.path.getmtime(lock_path)
+            if time.time() - mtime < LOCK_STALE_SEC:
+                return False
+        os.makedirs(os.path.dirname(lock_path), exist_ok=True)
+        with open(lock_path, "w", encoding="utf-8") as f:
+            f.write(f"{os.getpid()}\n{time.time()}\n")
+        return True
+    except OSError:
+        return False
+
+
+def _release_llm_lock(lock_path: str = LOCK_PATH) -> None:
+    """LLM 子プロセスのロックを解放する。失敗時は無視（次回 stale 判定で破棄される）。"""
+    try:
+        os.unlink(lock_path)
+    except OSError:
+        pass
+
+
+def _spawn_detached_llm(today_iso: str) -> None:
+    """LLM 要約フェーズを ``--llm-only`` モードで子プロセスとしてデタッチ起動する。
+
+    親（Stop hook 内）は子の完了を待たない。子が失敗・ハングしても親は
+    ブロックされず、``consolidated_summary.md`` は LLM セクションなし版が残る。
+
+    Windows では ``CREATE_NO_WINDOW | CREATE_NEW_PROCESS_GROUP`` を使い、
+    Unix 系（macOS / Linux）では ``start_new_session=True`` を使う。
+    """
+    args = [sys.executable, os.path.abspath(__file__), LLM_ONLY_FLAG, today_iso]
+    popen_kwargs: dict = dict(
+        stdin=subprocess.DEVNULL,
+        stdout=subprocess.DEVNULL,
+        stderr=subprocess.DEVNULL,
+        close_fds=True,
+        cwd=_CLAUDE_DIR,
+    )
+    if sys.platform == "win32":
+        # CREATE_NO_WINDOW: 子プロセス（および子が呼ぶ console アプリ）の
+        # コンソールウィンドウを完全に非表示にする。
+        # DETACHED_PROCESS は親コンソールから切り離す効果はあるが、
+        # 子が更に呼ぶ console アプリ（claude.exe 等）が新規コンソールを
+        # 自動取得してウィンドウが見えてしまうため使わない（両者は排他）。
+        # CREATE_NEW_PROCESS_GROUP は親からの Ctrl+C 伝播を防ぐので維持。
+        # 値は CREATE_NO_WINDOW=0x08000000, CREATE_NEW_PROCESS_GROUP=0x00000200。
+        creationflags = getattr(subprocess, "CREATE_NO_WINDOW", 0x08000000) | getattr(
+            subprocess, "CREATE_NEW_PROCESS_GROUP", 0x00000200
+        )
+        popen_kwargs["creationflags"] = creationflags
+    else:
+        popen_kwargs["start_new_session"] = True
+
+    try:
+        # Popen の戻り値を保持しない: プロセスはデタッチ起動済みなので親が exit しても継続する。
+        subprocess.Popen(args, **popen_kwargs)
+    except OSError as exc:
+        print(f"[consolidate_memory] detach spawn failed: {exc}", file=sys.stderr)
+
+
+def _parse_today_arg(argv: list[str]) -> datetime:
+    """``--llm-only <today_iso>`` の today を解釈して返す。失敗時は now を返す。"""
+    try:
+        idx = argv.index(LLM_ONLY_FLAG)
+        if idx + 1 < len(argv):
+            parsed = datetime.fromisoformat(argv[idx + 1])
+            if parsed.tzinfo is None:
+                parsed = parsed.replace(tzinfo=timezone.utc)
+            return parsed
+    except (ValueError, IndexError):
+        pass
+    return datetime.now(timezone.utc)
+
+
+def _full_sync_main() -> int:
+    """Stop hook 通常モード: 同期処理のみ完了させ LLM はバックグラウンドへ。
+
+    同期で実行する処理:
+      - MVP セクション集約 + 昇格候補サマリの consolidated_summary.md 書き出し（LLM なし）
+      - Phase 2-B: promotion-candidates.md 書き出し
+      - Phase 2-A: 古い session.tmp の archive/ 移動
+
+    完了後、LLM 要約を ``--llm-only`` 子プロセスにデタッチ起動して即 exit 0。
     """
     # stdin の payload は読むが内容は使わない（呼び出し元の Claude Code から送られる）
     try:
@@ -797,18 +911,17 @@ def main() -> int:
     # main() 全体で同じ "today" を共有する（datetime.now() の二重評価回避 + 決定論性）
     today = datetime.now(timezone.utc)
 
-    # MVP + Phase 2-B + Phase 2-C: consolidated_summary.md 生成
-    # (LLM 要約 + 昇格候補サマリを含む)
+    # 同期: MVP + 昇格候補サマリを LLM なしで生成
     try:
         write_summary(
             patterns_path=PATTERNS_PATH,
             today=today,
-            enable_llm=True,
+            enable_llm=False,
         )
     except Exception as exc:  # noqa: BLE001
         print(f"[consolidate_memory] unexpected error: {exc}", file=sys.stderr)
 
-    # Phase 2-B: 半自動 promotion 候補ログ
+    # 同期: Phase 2-B 半自動 promotion 候補ログ
     try:
         _, candidates = build_promotion_candidates_section(
             PATTERNS_PATH, today=today
@@ -822,7 +935,7 @@ def main() -> int:
             file=sys.stderr,
         )
 
-    # Phase 2-A: 古い session.tmp を archive/ へ移動
+    # 同期: Phase 2-A 古い session.tmp を archive/ へ移動
     try:
         ttl = _resolve_archive_ttl()
         archive_old_sessions(ttl_days=ttl)
@@ -832,8 +945,53 @@ def main() -> int:
             file=sys.stderr,
         )
 
+    # 非同期: LLM 要約を子プロセスとしてデタッチ起動
+    _spawn_detached_llm(today.isoformat())
+
+    return 0
+
+
+def _llm_only_main() -> int:
+    """``--llm-only`` 子プロセスエントリ: LLM 要約のみ実行して summary を更新する。
+
+    多重起動防止のためロックを取得する。新鮮な既存ロックがあれば即終了する。
+    LLM 要約に失敗しても exit 0（既存挙動と同等）。
+    """
+    today = _parse_today_arg(sys.argv)
+
+    # LOCK_PATH をモジュール属性から取得することでテストの monkeypatch に対応
+    if not _acquire_llm_lock(LOCK_PATH):
+        # 既に他の子が走っている、または直前の子がロック保持中
+        return 0
+
+    try:
+        write_summary(
+            patterns_path=PATTERNS_PATH,
+            today=today,
+            enable_llm=True,
+        )
+    except Exception as exc:  # noqa: BLE001
+        print(
+            f"[consolidate_memory:llm-only] unexpected error: {exc}",
+            file=sys.stderr,
+        )
+    finally:
+        _release_llm_lock(LOCK_PATH)
+
     return 0
 
 
+def main() -> int:
+    """Stop フックエントリポイント。失敗してもセッションを止めない（exit 0）。
+
+    起動引数で 2 つのモードに分岐する:
+      - ``--llm-only``: 子プロセスとしての LLM 限定モード
+      - それ以外: Stop hook 通常モード（同期処理 + LLM デタッチ）
+    """
+    if LLM_ONLY_FLAG in sys.argv:
+        return _llm_only_main()
+    return _full_sync_main()
+
+
 if __name__ == "__main__":
     sys.exit(main())

{claude_code_conductor-1.5.2 → claude_code_conductor-1.7.0}/.claude/hooks/init_c3_db.py

@@ -71,7 +71,7 @@ def apply_schema(db_path: str = DB_PATH, schema_path: str = SCHEMA_PATH) -> None
     with open(schema_path, 'r', encoding='utf-8') as f:
         ddl = f.read()
 
-    conn = sqlite3.connect(db_path)
+    conn = sqlite3.connect(db_path, timeout=30)
     try:
         # WAL モードを有効化（reader が writer をブロックしない）
         conn.execute('PRAGMA journal_mode=WAL')

{claude_code_conductor-1.5.2 → claude_code_conductor-1.7.0}/.claude/hooks/permission_handler.py

@@ -41,7 +41,8 @@ def notify(message: str) -> None:
                 capture_output=True, timeout=5
             )
         elif system == 'Windows':
-            safe = message.replace('"', '`"')
+            safe = re.sub(r'[`$(){}\r\n]', '', message)
+            safe = safe.replace('"', '`"')
             ps = (
                 'Add-Type -AssemblyName System.Windows.Forms; '
                 '$n = New-Object System.Windows.Forms.NotifyIcon; '

{claude_code_conductor-1.5.2 → claude_code_conductor-1.7.0}/.claude/hooks/select_tier.py

@@ -258,8 +258,9 @@ def maybe_escalate(
         if c3_db is None:
             return chosen_tier, None
 
-        def failure_rate_fn(complexity: str, tier: str):  # type: ignore[no-redef]
+        def _db_failure_rate(complexity: str, tier: str) -> tuple:
             return c3_db.read_tier_failure_rate(complexity, tier)
+        failure_rate_fn = _db_failure_rate
 
     rate, samples = failure_rate_fn(complexity, chosen_tier)
     if rate is None or rate < ESCALATION_THRESHOLD:

{claude_code_conductor-1.5.2 → claude_code_conductor-1.7.0}/.claude/settings.local.json

@@ -43,7 +43,8 @@
       "Bash(python -m pytest tests/parallel_orchestra/test_po_worktree_writes.py tests/parallel_orchestra/test_po_results_recording.py::TestLocateC3Db -v)",
       "Bash(python -m pytest tests/hooks/test_consolidate_memory.py -v)",
       "Bash(mkdir -p .claude/memory/archive)",
-      "Bash(touch .claude/memory/archive/.gitkeep)"
+      "Bash(touch .claude/memory/archive/.gitkeep)",
+      "Bash(dir *)"
     ]
   },
   "hooks": {

{claude_code_conductor-1.5.2 → claude_code_conductor-1.7.0}/.claude/skills/dev-workflow/SKILL.md

@@ -502,7 +502,7 @@ AskUserQuestion で確認する:
 }
 ```
 
-承認後 → セッションファイルの `- [ ] security-review` を `- [x]` に Edit してコミットを提案する。
+承認後 → セッションファイルの `- [ ] security-review` を `- [x]` に Edit する。続けて **「引き継ぎバックログの照合」**（後述の共通ステップ）を実行してからコミットを提案する。
 **F-005 結果記録**: フェーズ E の最終承認時のみ Bash で記録する（多重カウント防止のため E-1 では記録しない）:
 ```bash
 python .claude/hooks/record_tier_outcome.py --outcome success
@@ -562,7 +562,7 @@ AskUserQuestion で許容理由を確認する:
 1. 全指摘の直下に `> **[許容]** {理由}` を Edit で追記する（検出記録は削除しない）
 2. **F-001 判断記録**: 全 `[SR-XX-NNN]` 指摘について `record_review_decision.py --decision accepted` で記録する
 3. セッションファイルの `## うまくいったアプローチ` に `[許容例外] {指摘内容} → {許容理由}` の形式で追記し `patterns` に記録する
-4. セッションファイルの `- [ ] security-review` を `- [x]` に Edit してコミットを提案する。
+4. セッションファイルの `- [ ] security-review` を `- [x]` に Edit する。続けて **「引き継ぎバックログの照合」**（後述の共通ステップ）を実行してからコミットを提案する。
 5. **F-005 結果記録**: 全許容で完了するのも「成功」としてカウント:
    ```bash
    python .claude/hooks/record_tier_outcome.py --outcome success
@@ -581,3 +581,37 @@ python .claude/hooks/record_tier_outcome.py --outcome failure
 ```bash
 python .claude/hooks/record_tier_outcome.py --outcome failure
 ```
+
+---
+
+## 引き継ぎバックログの照合（フェーズ E 共通ステップ）
+
+フェーズ E の最終承認後、コミット提案の直前に必ず実行する。
+
+引き継ぎバックログ（過去セッションから繰り越された `## 残タスク` 内の `- [ ]` 行のうち、ワークフローフェーズではない高レベル項目）が今回の作業で完了する場合、ここで `[x]` 化する。リリース時など節目の取りこぼしを防ぐ。
+
+### 手順
+
+1. session.tmp の `## 残タスク` セクションから `- [ ]` 行を抽出する
+2. 当セッションの作業内容（DURATION・requirements-report タイトル・plan-report タイトル・関連コミット予定の内容）と、各 `- [ ]` 行を**キーワード照合**する（`F-XXX` / `Phase X` / 機能名 / 「Zenn」「リリース」「ドキュメント」などの名詞）
+3. ワークフローフェーズ項目（`ヒアリング` / `設計` / `計画` / `tester:` / `developer:` / `code-review` / `security-review` で始まる行）は対象外。引き継ぎバックログのみを候補にする
+4. 候補が**ゼロ件**ならこのステップをスキップしてそのままコミット提案へ
+5. 候補が**1 件以上**あれば AskUserQuestion を提示する:
+
+```json
+{
+  "questions": [{
+    "question": "今回の作業で完了する引き継ぎバックログ項目があれば [x] にしますか？",
+    "options": [
+      { "label": "全て [x] にする", "description": "候補を全て完了扱いにする" },
+      { "label": "個別に選ぶ", "description": "項目ごとに確認する" },
+      { "label": "更新しない", "description": "後で手動確認する" }
+    ]
+  }]
+}
+```
+
+6. 承認された項目は Edit で `- [ ] {元の文}` を `- [x] {元の文} → 完了` に置換する（コミット直前のためハッシュは未確定）
+7. ステップ完了後、通常通りコミット提案へ進む
+
+> 補足: バックログの陳腐化（例: 「v1.0.0〜v1.6.0 の Zenn 記事化」のように完了済みバージョンを含む）も検出したらユーザーに記述更新を促す。

{claude_code_conductor-1.5.2 → claude_code_conductor-1.7.0}/.claude/skills/init-session/SKILL.md

@@ -26,6 +26,24 @@ Glob で `.claude/memory/sessions/*.tmp` を検索し、ファイル名（YYYYMM
 
 ---
 
+## Step 1.5: 残タスクと git log を照合する（陳腐化チェック）
+
+引き継ぎバックログ（過去セッションから繰り越された `- [ ]` 項目）が古くなっていないかを確認する。
+
+1. 前回 session.tmp の `## 残タスク` セクションから `- [ ]` で始まる行を抽出する
+2. Bash で前回セッション以降のコミット一覧を取得する:
+   ```bash
+   git log --since='{前回 SESSION の YYYYMMDD を YYYY-MM-DD 形式に変換}' --oneline
+   ```
+3. 各 `- [ ]` 行に含まれる識別キーワード（`F-XXX` / `Phase X` / 機能名 / 「Zenn」「リリース」などの名詞）が、いずれかのコミットメッセージに含まれているかをキーワード照合する
+4. 該当があれば「**完了している可能性のあるタスク**」として Step 3 のサマリに加える（コミットハッシュも併記する）
+5. **自動で `[x]` 化はしない**。Step 4 のあとで AskUserQuestion を提示し、ユーザー承認した項目のみ Edit で `[x]` 化する
+6. 該当なし、または前回セッションが当日の場合はこの Step をスキップする
+
+> 目的: 「F-004 Phase 2 → v1.3.0 完了」のように、リリースで完了したのに `[ ]` のまま残った引き継ぎタスクを次セッション開始時に検出する。
+
+---
+
 ## Step 2: 昇格候補パターンを確認する
 
 `.claude/memory/patterns.json` を Read する（存在する場合）。
@@ -46,6 +64,9 @@ Glob で `.claude/memory/sessions/*.tmp` を検索し、ファイル名（YYYYMM
 **残タスク:**
 {残タスクリスト。完了済み [x] は省略する}
 
+**完了している可能性のあるタスク（Step 1.5 で検出）:**
+{該当タスク行 + 関連コミットハッシュ。検出ゼロなら省略}
+
 **前回うまくいったこと:**
 {成功アプローチの要約}
 
@@ -56,6 +77,23 @@ Glob で `.claude/memory/sessions/*.tmp` を検索し、ファイル名（YYYYMM
 {promotion_candidate: true のパターン一覧。なければ「なし」}
 ```
 
+Step 1.5 で「完了している可能性のあるタスク」が検出された場合は、Step 4 の前に以下の AskUserQuestion を提示する:
+
+```json
+{
+  "questions": [{
+    "question": "以下の残タスクは完了済みかもしれません。 [x] に更新しますか？",
+    "options": [
+      { "label": "全て [x] にする", "description": "検出された全項目を完了扱いにする" },
+      { "label": "個別に選ぶ", "description": "項目ごとに確認する" },
+      { "label": "更新しない", "description": "後で手動確認する" }
+    ]
+  }]
+}
+```
+
+承認された項目は Edit で `- [ ] {元の文}` を `- [x] {元の文} → {コミットハッシュ} 完了` に置換する。
+
 ---
 
 ## Step 4: 作業の開始方法を選ぶ
@@ -97,6 +135,16 @@ Skill ツールで `start` スキルを呼び出す。
 
 session ファイルはタスク完了のたびに更新する。まとめて最後に書かない。
 
+`## 残タスク` には性質の異なる 2 種類の項目が混在することに注意する:
+
+- **A. ワークフローフェーズ項目**（例: `- [ ] ヒアリング` / `- [ ] 設計` / `- [ ] tester: Red フェーズ`）
+  - 各スキル（dev-workflow など）が承認直後に Edit で `[x]` 化する。タイミングは各 SKILL.md に明記されている
+- **B. 引き継ぎバックログ項目**（例: `- [ ] F-XXX Phase X` / `- [ ] Zenn 記事化`）
+  - セッションを跨ぐ高レベルタスク。以下のタイミングで必ず照合・更新する:
+    - **セッション開始時**: init-session Step 1.5 で git log と照合
+    - **リリース・大きな完了の節目**: dev-workflow フェーズ E の最終承認時にバックログ確認 AskUserQuestion で更新
+    - **タスクが解決済みと判明した時**: 即座に `[x]` 化、または陳腐化した記述（例: 「v1.0.0〜v1.6.0」のように完了済みバージョンを含む）は内容を更新
+
 | タイミング | 更新内容 |
 |---|---|
 | タスク完了時 | 残タスクの該当行を `[x]` にする |

{claude_code_conductor-1.5.2 → claude_code_conductor-1.7.0}/.claude/skills/start/SKILL.md

@@ -1,5 +1,5 @@
 ---
-description: 開発ワークフローの入口。既存レポートの整理後、ヒアリング・設計・計画・実装のどこから始めるかを選んで dev-workflow を実行する。
+description: 開発ワークフローの入口。タスク種別（feature / bug-fix / refactor / security-audit / docs）を確認後、種別に応じた最適なエージェント編成と開始地点を選んで実行する。security-audit は並列レビュー→修正計画→TDD 実装→最終レビューのフル修正サイクルを提供する。
 ---
 
 # start
@@ -240,13 +240,114 @@ new: TASK_TYPE: {task_type}
 | feature | 設計 | `.claude/skills/dev-workflow/SKILL.md` を Read してフェーズ B から |
 | feature | 計画 | `.claude/skills/dev-workflow/SKILL.md` を Read してフェーズ C から |
 | feature | 実装 | `.claude/skills/dev-workflow/SKILL.md` を Read してフェーズ D から |
-| bug-fix | systematic-debugger 直起動 | Agent ツールで `systematic-debugger` を起動 → `developer` → `tester` → `code-reviewer` の順 |
+| bug-fix | systematic-debugger 直起動 | Agent ツールで `systematic-debugger` を起動 → `developer` → `tester` 完了後、`code-reviewer` と `security-reviewer` を 1 メッセージ内で並列起動 |
 | bug-fix | 計画から | `.claude/skills/dev-workflow/SKILL.md` を Read してフェーズ C から（既存 plan-report を利用） |
+
 | refactor | 計画 | Agent ツールで `planner` を起動して `po_plan_version` 付き plan-report を生成 → `.claude/skills/wave-execution/SKILL.md` を Read |
 | refactor | 実装 | `.claude/skills/wave-execution/SKILL.md` を Read して PO 並列実行に直接入る |
 | security-audit | 即実行 | Agent ツールで `code-reviewer` と `security-reviewer` を **1 メッセージ内で並列起動** |
+| security-audit | 承認後 | Step 3（フェーズ F/G/H）へ進む（自動遷移） |
 | docs | 即実行 | Agent ツールで `doc-writer` を単独起動 |
 
 **最初に必ず** 遷移先の SKILL.md を Read してから実行する。記憶・推測で進めず、AskUserQuestion・Edit・セッションファイル更新の手順を省略しないこと。
 
 各エージェント完了後は通常の Approval Flow に従う。
+
+---
+
+## Step 3: security-audit 承認後フェーズ
+
+security-audit の並列レビュー（Step 2）で両レポートが生成され、ユーザー承認を得た後に
+このフェーズへ進む。フェーズ F → G → H の順に実行する。
+
+---
+
+## フェーズ F: 修正計画（planner）
+
+Glob で `.claude/reports/code-review-report-*.md` と
+`.claude/reports/security-review-report-*.md` の最新をそれぞれ確認する。
+
+Agent ツールで `planner` を起動する。プロンプトには両レポートのファイルパスのみ渡し、Read はエージェント側で行わせる（内容を直接プロンプトに展開しない）[SR-AI-001 対策]。プロンプトには以下を含める:
+- 両レポートのファイルパス（パスのみ渡す）
+- 修正タスクを **High / Medium / Low** の重要度別に整理すること
+- 各タスクに「なぜ直すか（根拠・checklist_id）」を記録すること
+- 許容例外（直さないと判断したもの）を `## 許容・除外した変更` セクションに
+  理由付きで明示すること
+- 各タスクに **複雑度ラベル** を付与すること
+  （Low=1〜5 行 / Medium=〜20 行 / High=大規模リファクタ）
+- 出力先: `.claude/reports/plan-report-YYYYMMDD-HHMMSS.md`（タイムスタンプは `report-timestamp` スキルで取得）
+
+planner 完了後、AskUserQuestion で承認を取る:
+
+```json
+{
+  "questions": [{
+    "question": "plan-report の内容を確認してください。どうしますか？",
+    "header": "フェーズ F 承認",
+    "options": [
+      { "label": "承認—フェーズ G へ進む", "description": "plan-report の修正タスクを TDD で実装する" },
+      { "label": "否認・修正を依頼する", "description": "フィードバックを入力して planner を再起動する" },
+      { "label": "否認・自分で修正する", "description": "plan-report を手動編集してから再開する" }
+    ]
+  }]
+}
+```
+
+---
+
+## フェーズ G: 実装（TDD）
+
+フェーズ F で承認された plan-report の各修正タスクを以下のサイクルで処理する。
+plan-report はファイルパスとして渡し、tester・developer が Read して内容を参照する。
+
+各タスクごとに:
+
+**G-1: tester（Red フェーズ）**
+Agent ツールで `tester` を起動し、修正タスクに対するテストを先行作成させる。
+テストは実装前なので失敗する（Red）のが正しい状態。
+
+**G-2: developer（Green フェーズ）**
+Agent ツールで `developer` を起動し、G-1 のテストが通る最小実装を行わせる。
+
+**G-2.5: Stuck チェック**
+`.claude/reports/debug-needed-*.md` が存在する場合は Agent ツールで
+`systematic-debugger` を起動して根本原因を調査する。
+
+**G-3: tester（最終検証）**
+Agent ツールで `tester` を起動し、全テストの合否を確認させる。
+
+全タスクの TDD サイクル（G-1〜G-3）が完了した後、承認なしでフェーズ H へ進む。
+
+**設計判断**: フェーズ F で plan-report が承認済みのため、フェーズ G 内の中間承認は不要（承認済みの計画を自律実行する）。レビューゲートはフェーズ H（code-reviewer + security-reviewer 並列）で担保する。
+
+---
+
+## フェーズ H: 最終レビュー
+
+Agent ツールで `code-reviewer` と `security-reviewer` を **1 メッセージ内で並列起動** する。
+
+- `code-reviewer`: フェーズ G で実装したコードの品質・保守性を確認
+- `security-reviewer`: 修正適用後に新たな脆弱性が生まれていないかを確認
+  （修正実装によって別の攻撃経路が開く可能性はゼロではないため必須）
+
+いずれかのレビューエージェントが失敗した場合は再起動して両方の結果を得てから統合する。
+
+両レビュー完了後、AskUserQuestion で承認を取る。承認時は親 Claude がコミットを提案する（git add / git commit）:
+
+```json
+{
+  "questions": [{
+    "question": "最終レビュー結果を確認してください。どうしますか？",
+    "header": "フェーズ H 承認",
+    "options": [
+      { "label": "承認—コミットへ進む", "description": "修正をコミットして完了" },
+      { "label": "全て対応する", "description": "全指摘を修正してフェーズ F へ戻る" },
+      { "label": "対応する指摘を選ぶ", "description": "対応指摘を選択してフェーズ F へ戻る" },
+      { "label": "全て許容して進む", "description": "指摘を許容理由付きで記録してコミットへ進む" }
+    ]
+  }]
+}
+```
+
+「全て対応する」「対応する指摘を選ぶ」を選んだ場合はフェーズ F へ戻り、
+新たな plan-report を生成して TDD サイクルを再度実施する。

{claude_code_conductor-1.5.2 → claude_code_conductor-1.7.0}/.claude/skills/task-routing/SKILL.md

@@ -62,10 +62,10 @@ AskUserQuestion ツール:
 | 1 | `systematic-debugger` | 不具合の根本原因を特定 |
 | 2 | `developer` | 修正実装 |
 | 3 | `tester` | リグレッション確認 |
-| 4 | `code-reviewer` | 軽量レビュー |
+| 4 | `code-reviewer` + `security-reviewer` | 最終レビュー |
 
 意図: 原因不明の不具合は systematic-debugger で先に切り分けてから developer に渡す。
-security-reviewer は省略（必要なら後から追加）。
+修正後のコードに新たな脆弱性が生まれる可能性があるため、最終レビューは code-reviewer と security-reviewer の並列起動で両面を確認する。
 
 ### feature（直列・dev-workflow フルパス）
 
@@ -90,6 +90,7 @@ security-reviewer は省略（必要なら後から追加）。
 
 意図: 動作を変えないため、各リファクタを worktree で並列化できる。
 PO（Parallel Orchestra）の `c3 po run` で時間短縮を狙う。
+最終レビューは `code-reviewer` のみ（リファクタは動作変更を伴わないため新たな攻撃面が生まれにくく、security-reviewer は省略可）。
 
 ### security-audit（並列・レビュアー 2 体）
 
@@ -99,7 +100,7 @@ PO（Parallel Orchestra）の `c3 po run` で時間短縮を狙う。
 | `code-reviewer` | 並列起動 |
 
 意図: 既存コードへの監査のため、レビュアー 2 体を同時に当てる。
-検出指摘の対応は別途 dev-workflow フェーズ C → D へ送る。
+検出指摘の対応は `/start` の security-audit フェーズ F/G/H（修正計画 → TDD 実装 → 最終レビュー）で行う。
 
 ### docs（直列・軽量）
 
@@ -145,7 +146,8 @@ AskUserQuestion ツール:
 - **feature**:
   - `args` に `from_start=true` が含まれているとき: 種別を返却するのみ（制御を /start に返す。再帰呼び出しを避ける）
   - `args` 指定なし/`from_start=false` のとき: `.claude/skills/start/SKILL.md` を Read して `/start` フローに合流する
-- **bug-fix / docs**: 編成順に Agent ツールでエージェントを順次起動する
+- **bug-fix**: `systematic-debugger` → `developer` → `tester` の順に Agent ツールで順次起動し、完了後に `code-reviewer` と `security-reviewer` を 1 メッセージ内で並列起動する
+- **docs**: Agent ツールで `doc-writer` を起動する
 - **refactor**: planner で `po_plan_version` 付き plan-report を生成 → `.claude/skills/wave-execution/SKILL.md` を Read して PO 並列実行に合流する
 - **security-audit**: code-reviewer と security-reviewer を **1 メッセージ内で並列起動**（複数 Agent ツール呼び出し）