thth 2.7.0__tar.gz → 2.9.0__tar.gz

{thth-2.7.0 → thth-2.9.0}/PKG-INFO

@@ -1,6 +1,6 @@
 Metadata-Version: 2.5
 Name: thth
-Version: 2.7.0
+Version: 2.9.0
 Summary: 承認済みの投稿だけを投げる門（Threads・Bluesky・Mastodon）。人が承認し、記録は利用者の git に残る。
 Project-URL: Homepage, https://thth.me
 Project-URL: Source, https://github.com/aokings/thth
@@ -33,7 +33,7 @@ watchtower（`~/Developer/watchtower`）の隣に同じ流儀で並べる。watc
 
 ## 版
 
-このソースの版は **2.7.0**。現在の設計は [自分の泉](docs/設計_自分の泉_2026-09-16.md)、導入は [自分の Meta アプリで動かす](docs/導入_自分のMetaアプリで動かす.md)、文書の索引は [docs/README.md](docs/README.md)。
+このソースの版は **2.9.0**。現在の設計は [自分の泉](docs/設計_自分の泉_2026-09-16.md)、導入は [自分の Meta アプリで動かす](docs/導入_自分のMetaアプリで動かす.md)、文書の索引は [docs/README.md](docs/README.md)。
 
 版の正本は `thth/VERSION`（`server.json` はテストで一致を強制）。開発中の `main` には未配布の変更も含まれます。インストール済みの版は `thth --version`、VM の版と revision は `thth board` で確認してください。
 
@@ -59,6 +59,12 @@ timer（systemd・`thth systemd` で生成）は10分ごとに実行し、投稿
 
 **トピックの棚**（`thth topics`）: 観測者ごとに並ぶ・打ち消し `retract-note`・`history`。
 
+### v2.8.0: Bluesky／Mastodon のタグ
+
+台帳の `hashtags: true` では本文のタグと `topic` を使えます。`topic: 茶` は公開本文の末尾に `#茶` を付け、同じタグが既にあれば重ねません。`hashtags: false` ではタグを追加せず、`topic` が効かないことを警告します。`max_hashtags` は公開本文のタグの上限（省略時 3、0 以上の整数）です。承認の指紋はタグを含む公開本文を使うため、以前の本文で承認した原稿は `approval_stale` になり、再確認・再承認が必要です。
+
+`where`／`topics --search` の JSON は `by_tag` にタグ検索・観測の結果を分けます。ローカルの期間比較は `thth analytics-report <account> --compare-previous --by tag --json`。API で確認できたタグだけを使い、未観測はタグなしと混ぜません。媒体をまたぐ合算はしません。[利用手順](docs/使い方_プロジェクトのセッション向け_2026-09-09.md)・[2.8.0 リリースノート](docs/リリースノート_2.8.0_2026-09-19.md)。
+
 ### v2.7.0 の変更
 
 - 指標採集に720時間（30日）を追加し、対象窓を刻みから38日と計算。正常時は指標6回、返信は従来の5回です。返信の採集窓は独立して維持します。
@@ -108,7 +114,7 @@ timer（systemd・`thth systemd` で生成）は10分ごとに実行し、投稿
 - **英語の文書**: [README.en.md](README.en.md)・[docs/usage.en.md](docs/usage.en.md)・[llms.txt](llms.txt)。
 - **skill**: `skills/thth/SKILL.md`（wheel にも入る）。
 
-- **動くもの**（`thth --help` の全 40 サブコマンド）: `lint`・`preview`・`approve`・`account`・`revoke`・`posts`・`replies`・`measured`・`threads`・`after`・`analytics-report`・`study-report`・`handoff-report`・`serve-reports`・`topics`・`forms`・`queue`・`schedule`・`throw`・`run`・`systemd`・`board`・`collect`・`pull`・`auth`・`refresh`・`maintain`・`send`・`doctor`・`app`・`token`・`ask`・`mentions`・`profile`・`thread`・`where`・`who`・`retract`・`location`・`notifications`。
+- **動くもの**（`thth --help` の全 41 サブコマンド）: `lint`・`preview`・`approve`・`account`・`revoke`・`posts`・`replies`・`measured`・`threads`・`after`・`analytics-report`・`study-report`・`handoff-report`・`serve-reports`・`topics`・`forms`・`queue`・`schedule`・`throw`・`run`・`systemd`・`board`・`collect`・`pull`・`auth`・`refresh`・`maintain`・`send`・`doctor`・`app`・`token`・`ask`・`mentions`・`profile`・`thread`・`where`・`who`・`retract`・`location`・`notifications`・`admin`。
 - **最初の本番投稿の記録**: 2026-09-09、@aoking に疎通確認を 1 本（`17916074118445631`）。
 - **未着手**: X・Facebook ページ・Instagram の各アダプタ。トピック検索の権限（tester には降りない）。泉のサーバ（v2-5）。
 - **権限の制約**: tester に降りる scope は 5 つ。削除はできない。
@@ -128,3 +134,11 @@ mcp-name: io.github.aokings/thth
 [形式と使い方](docs/分析レポート_v1.md)。
 
 `handoff-report` / MCP `operations_handoff` はローカル運用状態・通知未処理を鮮度の制約付きで返します。[形式と使い方](docs/運用引継ぎレポート_v1.md)。
+
+## 管理者の読み口（2.9.0）
+
+`thth admin inventory|account|log|tokens|timers|release|diff` は秘密値を出さない読み取り専用レポートです。開始時は `thth admin diff --since-last-read`、変化した account は `thth admin account <name>`、週1回 `thth admin tokens`。`--json` で構造化結果を取得できます。既読 cursor の保存は `admin diff --since-last-read --mark-read --by <名前>` の明示時だけです。VM の `admin timers` は観測を `state/_admin/timers.json` に保存します。`doctor <name>` と admin の明示的な `--probe` は秘密を除いた診断記録を `state/<name>/doctor.json` に保存します。HTTP／MCP は時刻付きの記録を読むだけで、観測・保存を実行しません。
+
+`account add`（`--force` の上書きも）・`auth`・`token set`・`token revoke` には `--by <名前>` が必須です。既存の作成来歴は上書きしません。`token revoke` はローカルcredential削除でありリモート側の認可取消ではありません。選定した管理変更は既定で管理者へ通知し、台帳の `notify_admin_on_change: false` で停止できます。
+
+認証付きMCPの6道具とHTTPのadmin scopeは [管理者skill](skills/thth-admin/SKILL.md) を参照してください。管理レポートから承認・投稿・設定変更は行いません。ログ追記後のfsync失敗は変更を保持して `durability_unconfirmed`、部分追記は `outcome_uncertain` と報告します。再試行前に台帳とログを確認してください。

{thth-2.7.0 → thth-2.9.0}/README.md

@@ -9,7 +9,7 @@ watchtower（`~/Developer/watchtower`）の隣に同じ流儀で並べる。watc
 
 ## 版
 
-このソースの版は **2.7.0**。現在の設計は [自分の泉](docs/設計_自分の泉_2026-09-16.md)、導入は [自分の Meta アプリで動かす](docs/導入_自分のMetaアプリで動かす.md)、文書の索引は [docs/README.md](docs/README.md)。
+このソースの版は **2.9.0**。現在の設計は [自分の泉](docs/設計_自分の泉_2026-09-16.md)、導入は [自分の Meta アプリで動かす](docs/導入_自分のMetaアプリで動かす.md)、文書の索引は [docs/README.md](docs/README.md)。
 
 版の正本は `thth/VERSION`（`server.json` はテストで一致を強制）。開発中の `main` には未配布の変更も含まれます。インストール済みの版は `thth --version`、VM の版と revision は `thth board` で確認してください。
 
@@ -35,6 +35,12 @@ timer（systemd・`thth systemd` で生成）は10分ごとに実行し、投稿
 
 **トピックの棚**（`thth topics`）: 観測者ごとに並ぶ・打ち消し `retract-note`・`history`。
 
+### v2.8.0: Bluesky／Mastodon のタグ
+
+台帳の `hashtags: true` では本文のタグと `topic` を使えます。`topic: 茶` は公開本文の末尾に `#茶` を付け、同じタグが既にあれば重ねません。`hashtags: false` ではタグを追加せず、`topic` が効かないことを警告します。`max_hashtags` は公開本文のタグの上限（省略時 3、0 以上の整数）です。承認の指紋はタグを含む公開本文を使うため、以前の本文で承認した原稿は `approval_stale` になり、再確認・再承認が必要です。
+
+`where`／`topics --search` の JSON は `by_tag` にタグ検索・観測の結果を分けます。ローカルの期間比較は `thth analytics-report <account> --compare-previous --by tag --json`。API で確認できたタグだけを使い、未観測はタグなしと混ぜません。媒体をまたぐ合算はしません。[利用手順](docs/使い方_プロジェクトのセッション向け_2026-09-09.md)・[2.8.0 リリースノート](docs/リリースノート_2.8.0_2026-09-19.md)。
+
 ### v2.7.0 の変更
 
 - 指標採集に720時間（30日）を追加し、対象窓を刻みから38日と計算。正常時は指標6回、返信は従来の5回です。返信の採集窓は独立して維持します。
@@ -84,7 +90,7 @@ timer（systemd・`thth systemd` で生成）は10分ごとに実行し、投稿
 - **英語の文書**: [README.en.md](README.en.md)・[docs/usage.en.md](docs/usage.en.md)・[llms.txt](llms.txt)。
 - **skill**: `skills/thth/SKILL.md`（wheel にも入る）。
 
-- **動くもの**（`thth --help` の全 40 サブコマンド）: `lint`・`preview`・`approve`・`account`・`revoke`・`posts`・`replies`・`measured`・`threads`・`after`・`analytics-report`・`study-report`・`handoff-report`・`serve-reports`・`topics`・`forms`・`queue`・`schedule`・`throw`・`run`・`systemd`・`board`・`collect`・`pull`・`auth`・`refresh`・`maintain`・`send`・`doctor`・`app`・`token`・`ask`・`mentions`・`profile`・`thread`・`where`・`who`・`retract`・`location`・`notifications`。
+- **動くもの**（`thth --help` の全 41 サブコマンド）: `lint`・`preview`・`approve`・`account`・`revoke`・`posts`・`replies`・`measured`・`threads`・`after`・`analytics-report`・`study-report`・`handoff-report`・`serve-reports`・`topics`・`forms`・`queue`・`schedule`・`throw`・`run`・`systemd`・`board`・`collect`・`pull`・`auth`・`refresh`・`maintain`・`send`・`doctor`・`app`・`token`・`ask`・`mentions`・`profile`・`thread`・`where`・`who`・`retract`・`location`・`notifications`・`admin`。
 - **最初の本番投稿の記録**: 2026-09-09、@aoking に疎通確認を 1 本（`17916074118445631`）。
 - **未着手**: X・Facebook ページ・Instagram の各アダプタ。トピック検索の権限（tester には降りない）。泉のサーバ（v2-5）。
 - **権限の制約**: tester に降りる scope は 5 つ。削除はできない。
@@ -104,3 +110,11 @@ mcp-name: io.github.aokings/thth
 [形式と使い方](docs/分析レポート_v1.md)。
 
 `handoff-report` / MCP `operations_handoff` はローカル運用状態・通知未処理を鮮度の制約付きで返します。[形式と使い方](docs/運用引継ぎレポート_v1.md)。
+
+## 管理者の読み口（2.9.0）
+
+`thth admin inventory|account|log|tokens|timers|release|diff` は秘密値を出さない読み取り専用レポートです。開始時は `thth admin diff --since-last-read`、変化した account は `thth admin account <name>`、週1回 `thth admin tokens`。`--json` で構造化結果を取得できます。既読 cursor の保存は `admin diff --since-last-read --mark-read --by <名前>` の明示時だけです。VM の `admin timers` は観測を `state/_admin/timers.json` に保存します。`doctor <name>` と admin の明示的な `--probe` は秘密を除いた診断記録を `state/<name>/doctor.json` に保存します。HTTP／MCP は時刻付きの記録を読むだけで、観測・保存を実行しません。
+
+`account add`（`--force` の上書きも）・`auth`・`token set`・`token revoke` には `--by <名前>` が必須です。既存の作成来歴は上書きしません。`token revoke` はローカルcredential削除でありリモート側の認可取消ではありません。選定した管理変更は既定で管理者へ通知し、台帳の `notify_admin_on_change: false` で停止できます。
+
+認証付きMCPの6道具とHTTPのadmin scopeは [管理者skill](skills/thth-admin/SKILL.md) を参照してください。管理レポートから承認・投稿・設定変更は行いません。ログ追記後のfsync失敗は変更を保持して `durability_unconfirmed`、部分追記は `outcome_uncertain` と報告します。再試行前に台帳とログを確認してください。

{thth-2.7.0 → thth-2.9.0}/accounts.example/bluesky.json

@@ -14,6 +14,7 @@
   "tick_minutes": 10,
   "collect_days": 14,
   "hashtags": false,
+  "max_hashtags": 3,
   "stale_days": 7,
   "env": "~/.config/thth/demo-bluesky.env",
   "token": "~/.config/thth/demo-bluesky.token",

{thth-2.7.0 → thth-2.9.0}/accounts.example/mastodon.json

@@ -14,6 +14,7 @@
   "tick_minutes": 10,
   "collect_days": 14,
   "hashtags": false,
+  "max_hashtags": 3,
   "stale_days": 7,
   "env": "~/.config/thth/demo-mastodon.env",
   "token": "~/.config/thth/demo-mastodon.token",

{thth-2.7.0 → thth-2.9.0}/mcp/server.py

@@ -160,7 +160,7 @@ TOOLS = [
         "inputSchema": {
             "type": "object",
             "properties": {
-                "by": {"type": "string", "enum": ["kind", "hour_band", "topic"]},
+                "by": {"type": "string", "enum": ["kind", "hour_band", "topic", "tag"]},
                 "compare_previous": {"type": "boolean", "description": "直前の同じ日数との比較（既定false）"},
                 "account": {"type": "string"},
                 "project": {"type": "string"},
@@ -390,7 +390,7 @@ def validate_arguments(name: str, arguments) -> dict:
     **型が合っていること**（知らない鍵も断る——綴りを間違えたまま既定値で
     動いたことにしない）。判断はしない（中身の意味は CLI の仕事）。
     """
-    schema = _schema_for(name)
+    schema = next((tool["inputSchema"] for tool in ADMIN_TOOLS if tool["name"] == name), None) or _schema_for(name)
     if schema is None:
         return {}                     # 知らない道具は `call_tool()` が断る
     if arguments is None:
@@ -400,8 +400,8 @@ def validate_arguments(name: str, arguments) -> dict:
             f"{name}: arguments は object で渡してください"
             f"（受け取った: {type(arguments).__name__}）")
     if name == "analytics_report" and "by" in arguments:
-        if arguments["by"] not in ("kind", "hour_band", "topic") or arguments.get("compare_previous") is not True:
-            raise ToolInputError("analytics_report: by は compare_previous=true と kind/hour_band/topic が必要です")
+        if arguments["by"] not in ("kind", "hour_band", "topic", "tag") or arguments.get("compare_previous") is not True:
+            raise ToolInputError("analytics_report: by は compare_previous=true と kind/hour_band/topic/tag が必要です")
     if name == "operations_handoff" and "since_last_read" in arguments and type(arguments["since_last_read"]) is not bool:
         raise ToolInputError("operations_handoff: since_last_read は boolean です")
     props = schema.get("properties") or {}
@@ -495,9 +495,57 @@ def _topic_stdin(arguments: dict, *, with_proposal: bool) -> tuple:
     return args, json.dumps(payload, ensure_ascii=False)
 
 
+ADMIN_TOOLS = [
+    {"name": "thth_admin_" + name, "description": "Read-only administrator " + name,
+     "inputSchema": {"type": "object", "properties":
+         ({"account": {"type": "string"}, "limit": {"type": "integer"}} if name == "account" else
+          {"account": {"type": "string"}, "since": {"type": "string"}, "event": {"type": "string"}} if name == "log" else
+          {"since_last_read": {"type": "boolean"}} if name == "diff" else {}),
+         "required": ["account"] if name == "account" else [], "additionalProperties": False}}
+    for name in ("inventory", "account", "log", "tokens", "release", "diff")]
+
+
+def admin_context():
+    """Authenticate the startup environment, rechecked on list and every call."""
+    import hashlib
+    import hmac
+    from datetime import datetime, timezone
+    from pathlib import Path
+    path = os.environ.get("THTH_REPORT_CREDENTIALS")
+    token = os.environ.get("THTH_REPORT_TOKEN")
+    if not path or not token:
+        return None
+    if APP_DIR not in sys.path:
+        sys.path.insert(0, APP_DIR)
+    from thth.report_http import load_credentials
+    from thth.report_isolation import validate_environment
+    try:
+        root, credentials = load_credentials(Path(path))
+        digest = hashlib.sha256(token.encode()).hexdigest()
+        for expected, expiry, revoked, context in credentials:
+            if hmac.compare_digest(digest, expected) and not revoked and datetime.now(timezone.utc) < expiry and context.scope == "admin":
+                validate_environment(root, context.allowed_accounts, allow_unreadable=True)
+                return context
+    except (OSError, ValueError, TypeError):
+        pass
+    return None
+
+
 def call_tool(name: str, arguments: dict | None) -> dict:
     """CLI を呼んで結果を返すだけ。判断（条件分岐・整形）をここに書かない。"""
     arguments = arguments or {}
+    if isinstance(name, str) and name.startswith("thth_admin_"):
+        context = admin_context()
+        if context is None:
+            return {"content": [{"type": "text", "text": "unauthorized"}], "isError": True}
+        from thth.report_service import execute_report, ReportServiceError
+        try:
+            request = {"operation": name[len("thth_"):], **arguments}
+            result = execute_report(context, request)
+            return {"content": [{"type": "text", "text": json.dumps(result, ensure_ascii=False)}]}
+        except (ValueError, TypeError, ReportServiceError) as error:
+            reason = "invalid_options" if str(error) == "invalid_options" else "invalid_request"
+            return {"content": [{"type": "text", "text": reason}], "isError": True}
     if name == "thth_lint":
         proc = run_cli(["lint", arguments["file"], "--json"])
         text = proc.stdout
@@ -709,7 +757,7 @@ def _handle_request(req: dict):
     if method == "notifications/initialized":
         return None
     if method == "tools/list":
-        return {"jsonrpc": "2.0", "id": req_id, "result": {"tools": TOOLS}}
+        return {"jsonrpc": "2.0", "id": req_id, "result": {"tools": TOOLS + (ADMIN_TOOLS if admin_context() is not None else [])}}
     if method == "tools/call":
         params = req.get("params") or {}
         if not isinstance(params, dict):

thth-2.9.0/skills/thth-admin/SKILL.md

@@ -0,0 +1,14 @@
+---
+name: thth-admin
+description: Read authenticated THTH administrator inventory, changes and token status; hand findings to a person.
+---
+
+開始時は `thth admin diff --since-last-read --json` を読み、変化があった account を `thth admin account <name> --json` で確認する。週1回 `thth admin tokens --json` を確認する。
+
+読んだ結果から承認・投稿・設定変更をしない。必要な対処は根拠・欠測理由・観測時刻とともに人に渡す。記録が無い null は正常・停止・期限なしの証拠ではない。API probe は人が明示的に必要とした場合の CLI `--probe` のみ。
+
+CLI は SSH のOSユーザー権限で実行する。読む位置の更新が明示的に依頼された場合だけ `thth admin diff --since-last-read --mark-read --by <名前>`。HTTP/MCPはcursorを書けない。
+
+MCPの6道具は `thth_admin_inventory`, `thth_admin_account`, `thth_admin_log`, `thth_admin_tokens`, `thth_admin_release`, `thth_admin_diff`。MCPプロセスへ `THTH_REPORT_CREDENTIALS`（owner-private service credential JSONのパス）と `THTH_REPORT_TOKEN`（対応するbearer credential）を秘密として渡す。scope adminの有効期限・取消・SHA256照合と全accountのroot分離検査が通るときだけ一覧に表示される。値を会話・ログ・引数に出さない。
+
+資格情報例の構造: schema_version=1, root=絶対パス, credentials=[{sha256, expires_at, revoked:false, accounts:{}, scope:"admin"}]。既存のscope未指定はuserのまま。管理者HTTPのtimerは保存済み観測だけでありlive稼働保証ではない。

{thth-2.7.0 → thth-2.9.0}/tests/test_accounts_dir.py

@@ -298,7 +298,7 @@ def 媒体ごとの必須(media: str) -> list:
 @pytest.mark.parametrize("media", ["threads", "bluesky", "mastodon"])
 def test_addは雛形から外へ1本書く(置き場, media):
     r = run_thth(["account", "add", f"demo-{media}", "--media", media,
-                  "--project", "demo", *媒体ごとの必須(media)])
+                  "--project", "demo", *媒体ごとの必須(media), "--by", "test-operator"])
     assert r.returncode == 0, r.stdout + r.stderr
 
     path = os.path.join(置き場["外"], f"demo-{media}.json")
@@ -318,7 +318,7 @@ def test_addが作るものは必ずproduction_false(置き場, media):
     """**道具が作ったものが、いきなり本物を投げる形で生まれてはいけない**
     （設計 §4.2「`production: true` を自分で書かない限り dry-run」）。"""
     r = run_thth(["account", "add", f"demo-{media}", "--media", media,
-                  "--project", "demo", *媒体ごとの必須(media)])
+                  "--project", "demo", *媒体ごとの必須(media), "--by", "test-operator"])
     assert r.returncode == 0, r.stdout + r.stderr
     with open(os.path.join(置き場["外"], f"demo-{media}.json"), encoding="utf-8") as f:
         data = json.load(f)
@@ -336,7 +336,7 @@ def test_addが作った台帳は_productionを付けて打っても_rehearsal
     もう一方の関門は開けた状態で見る。
     """
     assert run_thth(["account", "add", "demo-threads", "--media", "threads",
-                     "--project", "demo"]).returncode == 0
+                     "--project", "demo", "--by", "test-operator"]).returncode == 0
     r = run_thth(["throw", "demo-threads", "--now", "--production"])
     assert r.stdout.splitlines()[0] == "mode: rehearsal", r.stdout + r.stderr
 
@@ -344,7 +344,7 @@ def test_addが作った台帳は_productionを付けて打っても_rehearsal
 def test_addは既にあるものを上書きしない(置き場):
     台帳を置く(置き場["外"], "demo-threads", handle="先にあったほう")
     r = run_thth(["account", "add", "demo-threads", "--media", "threads",
-                  "--project", "demo"])
+                  "--project", "demo", "--by", "test-operator"])
     assert r.returncode == 1, r.stdout + r.stderr
     assert "上書きしません" in r.stderr
     with open(os.path.join(置き場["外"], "demo-threads.json"), encoding="utf-8") as f:
@@ -364,7 +364,7 @@ def test_addは互換のときは書く前にloudに断る_順番を間違えさ
     台帳を置く(置き場["repo の中"], "repo2-threads")
 
     r = run_thth(["account", "add", "demo-threads", "--media", "threads",
-                  "--project", "demo"])
+                  "--project", "demo", "--by", "test-operator"])
     assert r.returncode == 1, r.stdout + r.stderr
     assert "thth account migrate" in r.stderr
     assert "以後読まれません" in r.stderr
@@ -381,7 +381,7 @@ def test_addは互換のときでもrepoの中に書かない(置き場):
     """**読みが互換 (c) に落ちていても、書く先は外**（`--force` で進んだとき）。"""
     台帳を置く(置き場["repo の中"], "repo-threads")
     r = run_thth(["account", "add", "demo-threads", "--media", "threads",
-                  "--project", "demo", "--force"])
+                  "--project", "demo", "--force", "--by", "test-operator"])
     assert r.returncode == 0, r.stdout + r.stderr
     assert os.path.exists(os.path.join(置き場["外"], "demo-threads.json"))
     assert not os.path.exists(os.path.join(置き場["repo の中"], "demo-threads.json"))
@@ -396,7 +396,7 @@ def test_addのhandleの既定はprojectであってアカウント名ではな
     **既定が残るのは Threads だけ**（監査 2・C10）——下の 2 本を見よ。
     """
     assert run_thth(["account", "add", "nigamilab-threads", "--media", "threads",
-                     "--project", "nigamilab"]).returncode == 0
+                     "--project", "nigamilab", "--by", "test-operator"]).returncode == 0
     with open(os.path.join(置き場["外"], "nigamilab-threads.json"), encoding="utf-8") as f:
         assert json.load(f)["handle"] == "nigamilab"
 
@@ -408,7 +408,7 @@ def test_addのhandleの既定はprojectであってアカウント名ではな
 def test_addのredirect_uriが台帳に入る(置き場):
     """(a) `--redirect-uri` で渡した値がそのまま台帳に入り、**ダミーは残らない**。"""
     r = run_thth(["account", "add", "demo-threads", "--media", "threads",
-                  "--project", "demo", "--redirect-uri", "https://thth.me/callback/"])
+                  "--project", "demo", "--redirect-uri", "https://thth.me/callback/", "--by", "test-operator"])
     assert r.returncode == 0, r.stdout + r.stderr
     with open(os.path.join(置き場["外"], "demo-threads.json"), encoding="utf-8") as f:
         data = json.load(f)
@@ -428,7 +428,7 @@ def test_addはredirect_uriを省いたら次の一手で1行言う(置き場):
     （**`add` と `auth` の間に、どこにも書かれていない手作業**）。
     """
     r = run_thth(["account", "add", "demo-threads", "--media", "threads",
-                  "--project", "demo"])
+                  "--project", "demo", "--by", "test-operator"])
     assert r.returncode == 0, r.stdout + r.stderr
     with open(os.path.join(置き場["外"], "demo-threads.json"), encoding="utf-8") as f:
         assert json.load(f)["redirect_uri"] == "https://example.invalid/"
@@ -442,7 +442,7 @@ def test_addのredirect_uriはthreads以外では黙って捨てない(置き場
     """`redirect_uri` を読むのは Threads の `thth auth` だけ。**黙って捨てない**。"""
     r = run_thth(["account", "add", "demo-bluesky", "--media", "bluesky",
                   "--project", "demo", "--handle", "demo2.bsky.social",
-                  "--redirect-uri", "https://thth.me/callback/"])
+                  "--redirect-uri", "https://thth.me/callback/", "--by", "test-operator"])
     assert r.returncode == 2, r.stdout + r.stderr
     assert "--redirect-uri は threads" in r.stderr, r.stderr
     assert not os.path.exists(os.path.join(置き場["外"], "demo-bluesky.json"))
@@ -456,7 +456,7 @@ def test_addはblueskyのhandleを必須にする(置き場):
     **認可を保存しない**。黙って外れた値を書くより、ここで 1 回聞くほうが安い。
     """
     r = run_thth(["account", "add", "demo-bluesky", "--media", "bluesky",
-                  "--project", "demo"])
+                  "--project", "demo", "--by", "test-operator"])
     assert r.returncode == 2, r.stdout + r.stderr
     assert "--handle が要ります" in r.stderr, r.stderr
     assert "name.bsky.social" in r.stderr, r.stderr   # **例を添える**
@@ -467,13 +467,13 @@ def test_addはblueskyのhandleを必須にする(置き場):
 def test_addはmastodonのhandleとinstanceを必須にする(置き場):
     """(e) Mastodon は利用者名＋インスタンス。**どちらも道具には推測できない。**"""
     handle無し = run_thth(["account", "add", "demo-mastodon", "--media", "mastodon",
-                           "--project", "demo", "--instance", "https://mastodon.social"])
+                           "--project", "demo", "--instance", "https://mastodon.social", "--by", "test-operator"])
     assert handle無し.returncode == 2, handle無し.stdout + handle無し.stderr
     assert "--handle が要ります" in handle無し.stderr, handle無し.stderr
     assert "--instance https://mastodon.social" in handle無し.stderr, handle無し.stderr
 
     instance無し = run_thth(["account", "add", "demo-mastodon", "--media", "mastodon",
-                             "--project", "demo", "--handle", "user"])
+                             "--project", "demo", "--handle", "user", "--by", "test-operator"])
     assert instance無し.returncode == 2, instance無し.stdout + instance無し.stderr
     assert "--instance が要ります" in instance無し.stderr, instance無し.stderr
     assert "--handle user" in instance無し.stderr, instance無し.stderr
@@ -486,7 +486,7 @@ def test_addはthreadsのhandleを今までどおり既定で埋める(置き場
     """(f) **Threads は従来どおり。** `--handle` を必須にしたのは他の 2 媒体だけ
     ——Threads の handle は利用者名そのもので、`--project` の値がだいたい当たる。"""
     r = run_thth(["account", "add", "nigamilab-threads", "--media", "threads",
-                  "--project", "nigamilab"])
+                  "--project", "nigamilab", "--by", "test-operator"])
     assert r.returncode == 0, r.stdout + r.stderr
     with open(os.path.join(置き場["外"], "nigamilab-threads.json"), encoding="utf-8") as f:
         assert json.load(f)["handle"] == "nigamilab"
@@ -496,13 +496,13 @@ def test_addのinstanceは媒体で綴りが変わる(置き場):
     """Mastodon は `instance`、Bluesky は `service`（既存の台帳の綴り）。"""
     assert run_thth(["account", "add", "demo-mastodon", "--media", "mastodon",
                      "--project", "demo", "--handle", "demo2", "--instance",
-                     "https://example.social"]).returncode == 0
+                     "https://example.social", "--by", "test-operator"]).returncode == 0
     with open(os.path.join(置き場["外"], "demo-mastodon.json"), encoding="utf-8") as f:
         assert json.load(f)["instance"] == "https://example.social"
 
     assert run_thth(["account", "add", "demo-bluesky", "--media", "bluesky",
                      "--project", "demo", "--handle", "demo2.bsky.social",
-                     "--instance", "https://pds.example"]).returncode == 0
+                     "--instance", "https://pds.example", "--by", "test-operator"]).returncode == 0
     with open(os.path.join(置き場["外"], "demo-bluesky.json"), encoding="utf-8") as f:
         assert json.load(f)["service"] == "https://pds.example"
 
@@ -520,7 +520,7 @@ def test_addは置き場の外に書けない_名前を検査する(置き場, t
     気づけない。`thth posts` が post_id を検査するのと同じ守り方で断る。
     """
     外 = 置き場["外"]
-    r = run_thth(["account", "add", name, "--media", "threads", "--project", "demo"])
+    r = run_thth(["account", "add", name, "--media", "threads", "--project", "demo", "--by", "test-operator"])
     assert r.returncode == 2, r.stdout + r.stderr
     assert "使えない字" in r.stderr, r.stderr
 
@@ -536,23 +536,23 @@ def test_addは普通の名前を断らない(置き場):
     """検査が厳しすぎて実在の綴りを弾いていないこと（`.`・`-`・`_` は通る）。"""
     for name in ("nigamilab-threads", "asmon_kanto-threads", "a.b-mastodon"):
         r = run_thth(["account", "add", name, "--media", "threads",
-                      "--project", "demo"])
+                      "--project", "demo", "--by", "test-operator"])
         assert r.returncode == 0, f"{name}: {r.stdout}{r.stderr}"
         assert os.path.exists(os.path.join(置き場["外"], f"{name}.json"))
 
 
 def test_addは足りない指定を黙って埋めない(置き場):
     知らない媒体 = run_thth(["account", "add", "demo-x", "--media", "mixi",
-                             "--project", "demo"])
+                             "--project", "demo", "--by", "test-operator"])
     assert 知らない媒体.returncode == 2
     assert "invalid choice" in 知らない媒体.stderr
 
-    project無し = run_thth(["account", "add", "demo-threads", "--media", "threads"])
+    project無し = run_thth(["account", "add", "demo-threads", "--media", "threads", "--by", "test-operator"])
     assert project無し.returncode == 2, project無し.stdout + project無し.stderr
     assert "--project" in project無し.stderr
     assert not os.path.exists(os.path.join(置き場["外"], "demo-threads.json"))
 
-    media無し = run_thth(["account", "add", "demo-threads", "--project", "demo"])
+    media無し = run_thth(["account", "add", "demo-threads", "--project", "demo", "--by", "test-operator"])
     assert media無し.returncode == 2, media無し.stdout + media無し.stderr
     assert "--media" in media無し.stderr
 
@@ -656,7 +656,7 @@ def test_置き場がファイルならaddは言葉で断る(置き場):
         f.write("これはディレクトリではない\n")
 
     r = run_thth(["account", "add", "demo-threads", "--media", "threads",
-                  "--project", "demo"])
+                  "--project", "demo", "--by", "test-operator"])
     assert "Traceback" not in r.stderr, r.stderr
     assert r.returncode == 2, r.stdout + r.stderr
     assert "台帳を書けませんでした" in r.stderr, r.stderr

thth-2.9.0/tests/test_admin_http_mcp.py

@@ -0,0 +1,60 @@
+import hashlib
+import json
+from datetime import datetime,timedelta,timezone
+import pytest
+from thth import accounts, report_http, admin_report
+from thth.report_service import ReportContext,ReportServiceError,execute_report
+from tests.test_mcp import _load_server_module
+
+@pytest.fixture
+def credentials(tmp_path,monkeypatch):
+    root=tmp_path/'tenant';root.mkdir(mode=0o700);(root/'accounts').mkdir()
+    monkeypatch.setenv('THTH_ROOT',str(root));monkeypatch.setenv('THTH_ACCOUNTS_DIR',str(root/'accounts'))
+    for name in ('first','second'):
+        cfg={k:None for k in accounts.REQUIRED_FIELDS}
+        cfg.update(account=name,project=name,media='threads',handle=name,repo_dir=str(root/'repos/_none'),
+                   token=str(root/'secret'/name),env=str(root/'secret'/('env-'+name)),queue_dir='docs/sns/queue',replies_dir='data/sns/replies')
+        (root/'accounts'/(name+'.json')).write_text(json.dumps(cfg))
+    token='a'*43
+    value=dict(schema_version=1,root=str(root),credentials=[dict(sha256=hashlib.sha256(token.encode()).hexdigest(),
+               expires_at=(datetime.now(timezone.utc)+timedelta(hours=1)).isoformat(),revoked=False,accounts={},scope='admin')])
+    path=tmp_path/'credential.json';path.write_text(json.dumps(value));path.chmod(0o600)
+    return path,token,value
+
+def test_user_admin_negative_contract():
+    user=ReportContext({'first':'first'})
+    with pytest.raises(ReportServiceError,match='unsupported_operation'):execute_report(user,dict(operation='admin_inventory'))
+    admin=ReportContext({'first':'first'},scope='admin')
+    for operation in ('admin_inventory','admin_diff','admin_account'):
+        with pytest.raises(ReportServiceError,match='invalid_request'):execute_report(admin,dict(operation=operation,mark_read=True))
+
+def test_admin_all_registry_and_mcp_auth_rechecked(credentials,monkeypatch):
+    path,token,value=credentials
+    root,creds=report_http.load_credentials(path)
+    assert set(creds[0][3].allowed_accounts)=={'first','second'}
+    server=_load_server_module()
+    assert server.admin_context() is None
+    assert server.call_tool('thth_admin_inventory',{})['content'][0]['text']=='unauthorized'
+    monkeypatch.setenv('THTH_REPORT_CREDENTIALS',str(path));monkeypatch.setenv('THTH_REPORT_TOKEN',token)
+    assert server.admin_context().scope=='admin'
+    assert len(server.ADMIN_TOOLS)==6
+    result=server.call_tool('thth_admin_inventory',{})
+    assert set(json.loads(result['content'][0]['text'])['by_account'])=={'first','second'}
+    assert server.call_tool('thth_admin_diff',{'mark_read':True})['isError']
+    value['credentials'][0]['revoked']=True;path.write_text(json.dumps(value))
+    assert server.admin_context() is None
+    assert server.call_tool('thth_admin_inventory',{})['content'][0]['text']=='unauthorized'
+
+def test_admin_preflight_checks_unlisted_account(credentials):
+    path,token,value=credentials
+    root=path.parent/'tenant';cfgpath=root/'accounts/second.json';cfg=json.loads(cfgpath.read_text());cfg['token']='/outside/secret';cfgpath.write_text(json.dumps(cfg))
+    with pytest.raises(ValueError):report_http.PrivateReportServer(path,0)
+
+def test_admin_shared_state_symlink_is_rejected(credentials):
+    path,token,value=credentials
+    root=path.parent/'tenant';outside=path.parent/'external';outside.mkdir()
+    (root/'state').mkdir();(root/'state/_admin').symlink_to(outside)
+    (outside/'timers.json').write_text(json.dumps(dict(by_account={'first':dict(observed_at=datetime.now(timezone.utc).isoformat(),units=[dict(unit='FAKE_EXTERNAL_SECRET')])})))
+    with pytest.raises(ValueError):report_http.PrivateReportServer(path,0)
+    report=admin_report.answer('timers',via='http')
+    assert 'FAKE_EXTERNAL_SECRET' not in json.dumps(report)

thth-2.9.0/tests/test_admin_log.py

@@ -0,0 +1,121 @@
+import json
+import os
+from pathlib import Path
+from types import SimpleNamespace
+import pytest
+from thth import account_cli, accounts, admin_log, oauth
+
+@pytest.fixture
+def root(tmp_path, monkeypatch):
+    monkeypatch.setenv('THTH_ROOT', str(tmp_path))
+    monkeypatch.setenv('THTH_ACCOUNTS_DIR', str(tmp_path / 'accounts'))
+    return tmp_path
+
+def args(**kw):
+    value = dict(name='test-threads', by='tester', media='threads', project='test', handle='tester',
+                 instance=None, repo_dir=None, redirect_uri=None, force=False, json=True)
+    value.update(kw)
+    return SimpleNamespace(**value)
+
+def test_actor_required_before_any_write(root):
+    assert account_cli.cmd_add(args(by=None)) == 2
+    assert not (root / 'accounts').exists()
+    for fun in (oauth.run_auth, oauth.run_auth_bluesky, oauth.run_token_set):
+        assert fun('missing', log=lambda _: None) == 2
+
+def test_creation_and_force_preserve_provenance(root):
+    assert account_cli.cmd_add(args()) == 0
+    path = root / 'accounts/test-threads.json'
+    old = json.loads(path.read_text())
+    assert old['provenance']['created_by'] == 'tester'
+    assert old['provenance']['created_via'] == 'cli'
+    assert account_cli.cmd_add(args(force=True, by='second', handle='changed')) == 0
+    current = json.loads(path.read_text())
+    assert current['provenance'] == old['provenance']
+    assert current['handle'] == 'changed'
+    rows, broken = admin_log.read()
+    assert [r['event'] for r in rows] == ['account_added', 'account_updated']
+    assert rows[-1]['diff']['handle'] == ['tester', 'changed']
+    assert not broken
+    before = path.read_bytes()
+    assert account_cli.cmd_add(args(force=True, by=None)) == 2
+    assert path.read_bytes() == before
+
+def test_log_append_mode_secret_and_broken(root):
+    cfg = {'media': 'threads'}
+    diff = admin_log.difference({'token':'FAKE_OLD_TOKEN','env':'FAKE_OLD_SECRET','notification_email':'a@example.test'},
+                               {'token':'FAKE_NEW_TOKEN','env':'FAKE_NEW_SECRET','notification_email':'b@example.test'})
+    admin_log.append('token_set', 'demo', cfg, by='tester', diff=diff)
+    path = root / 'state/_admin/accounts.ndjson'
+    first = path.read_bytes()
+    admin_log.append('production_enabled', 'demo', cfg, by='tester', diff={'production':[False,True]})
+    assert path.read_bytes().startswith(first)
+    assert path.stat().st_mode & 0o777 == 0o600
+    assert 'FAKE_' not in path.read_text() and '@' not in path.read_text()
+    assert json.loads(first)['diff']['token'] == ['present','present']
+    with path.open('a') as f: f.write('broken\n[]\n')
+    rows, broken = admin_log.read(event='token_set')
+    assert len(rows) == 1 and broken == 2
+
+def test_log_symlink_refused(root):
+    target = root / 'outside'; target.write_text('unchanged')
+    (root / 'state/_admin').mkdir(parents=True)
+    (root / 'state/_admin/accounts.ndjson').symlink_to(target)
+    with pytest.raises(OSError):
+        admin_log.append('token_set', 'demo', {'media':'threads'}, by='tester')
+    assert target.read_text() == 'unchanged'
+
+def test_revoke_logs_no_secret(root):
+    assert account_cli.cmd_add(args()) == 0
+    path = root / 'accounts/test-threads.json'
+    cfg = json.loads(path.read_text()); token = root / 'fake.token'
+    cfg['token'] = str(token); path.write_text(json.dumps(cfg))
+    token.write_text('{"access_token":"FAKE_PRIVATE_TOKEN"}')
+    assert oauth.run_token_revoke('test-threads', by=None) == 2
+    assert token.exists()
+    assert oauth.run_token_revoke('test-threads', by='tester') == 0
+    assert not token.exists()
+    rows, _ = admin_log.read(event='token_revoked')
+    assert rows[0]['diff']['token'] == ['present','absent']
+
+@pytest.mark.parametrize('bad', ['permissions','symlink','fifo'])
+def test_invalid_log_blocks_mutation(root, bad):
+    assert account_cli.cmd_add(args()) == 0
+    path = root/'accounts/test-threads.json'; old = path.read_bytes()
+    log=root/'state/_admin/accounts.ndjson'
+    if bad=='permissions': log.chmod(0o644)
+    else:
+        log.unlink()
+        if bad=='symlink': log.symlink_to(root/'outside')
+        else: os.mkfifo(log)
+    assert account_cli.cmd_add(args(force=True,by='second',handle='changed'))==2
+    assert path.read_bytes()==old
+
+def test_log_rejects_malformed_diff_and_scrubs_other_columns(root):
+    admin_log.append('token_set','demo',{'media':'threads'},by='tester')
+    path=root/'state/_admin/accounts.ndjson'; row=json.loads(path.read_text())
+    row['diff']={'token':'FAKE_RAW_TOKEN'}
+    with path.open('a') as f:f.write(json.dumps(row)+'\n')
+    rows,broken=admin_log.read()
+    assert broken==1 and len(rows)==1 and 'FAKE_RAW_TOKEN' not in json.dumps(rows)
+
+def test_late_log_failure_restores_original(root, monkeypatch):
+    assert account_cli.cmd_add(args()) == 0
+    path=root/'accounts/test-threads.json'; before=path.read_bytes()
+    monkeypatch.setattr(admin_log.os,'write',lambda *a: (_ for _ in ()).throw(OSError('disk full')))
+    assert account_cli.cmd_add(args(force=True,by='second',handle='changed'))==2
+    assert path.read_bytes()==before
+
+def test_fsync_failure_keeps_record_and_change_consistent(root, monkeypatch, capsys):
+    assert account_cli.cmd_add(args())==0
+    monkeypatch.setattr(admin_log.os,'fsync',lambda *a: (_ for _ in ()).throw(OSError('fsync failed')))
+    assert account_cli.cmd_add(args(force=True,by='second',handle='changed'))==2
+    path=root/'accounts/test-threads.json'
+    assert json.loads(path.read_text())['handle']=='changed'
+    rows,broken=admin_log.read()
+    assert rows[-1]['diff']['handle']==['tester','changed'] and broken==0
+    assert 'durability_unconfirmed' in capsys.readouterr().err
+
+def test_bluesky_jwt_diff_is_presence_only():
+    diff=admin_log.difference({'accessJwt':'FAKE_BSKY_ACCESS_JWT','refreshJwt':'FAKE_BSKY_REFRESH_JWT'}, {})
+    assert diff=={'accessJwt':['present','absent'],'refreshJwt':['present','absent']}