バイパスモード運用ルール ひな形安全柵の立て方・慣らし方・育て方

#!/usr/bin/env bash
# 破壊的コマンドの安全柵（Claude Code の PreToolUse フック）
#
# 設計方針:
#  1. 外部依存を最小化 — jq を使わない。Git for Windows の Git Bash に jq が同梱されないため。
#                        使うのは bash 組み込み / awk / grep / sed / tr のみ。
#  2. フェイルクローズ — 必要な道具が無い、解析できない、想定外の入力、のいずれでも
#                        「黙って許可」にしない。判断できないときは拒否する。
#  3. 位置に依存しない — コマンドを単語に分解し、危険なオプションの「組み合わせ」で判定する。
#                        フラグの順序・分離・ロングオプション・引数の後置に強い。
#  4. set -e を使わない — 途中の非ゼロ終了で拒否JSONを出す前に落ちる事故を防ぐ。
#  5. 実行されない本文は見ない — ヒアドキュメントの本文は「データ」であって実行されない。
#                        cat / tee / python3 等へ渡す本文まで走査すると、危険語を含む
#                        ファイルやメモを書くだけで作業が止まる（2026-08-25 に4件実測）。
#                        本文が bash / sh / zsh 等に渡る形（実行される）は従来どおり走査する。
#
# 入力: stdin に PreToolUse の JSON
# 出力: 拒否時のみ stdout に decision JSON（常に exit 0）
#
# テスト: bash tools/test_hook.sh （変更したら必ず流すこと）

set -uo pipefail

# --- 拒否JSONの出力（外部コマンド不要。printf は bash 組み込み） ---
json_escape() {
  local s="$1"
  s="${s//\\/\\\\}"
  s="${s//\"/\\\"}"
  printf '%s' "$s"
}

deny() {
  printf '{"hookSpecificOutput":{"hookEventName":"PreToolUse","permissionDecision":"deny","permissionDecisionReason":"%s"}}\n' \
    "$(json_escape "$1")"
  exit 0
}

# --- 中身が空白だけかを判定する ---
# ${var//[空白]/} は使わない。macOS 標準の bash 3.2 では入力が数KBを超えると急激に遅くなり
# （5KBで6秒・20KBで321秒を実測・2026-08-25）、フックのタイムアウトを超えて
# 安全柵そのものが素通りする。パターンマッチなら大きさに関係なく一定時間で終わる。
blank() { case "$1" in *[![:space:]]*) return 1 ;; esac; return 0; }

# --- 標準入力を読む（cat に依存しない） ---
input=""
while IFS= read -r _line || [ -n "$_line" ]; do
  input="${input}${_line}"$'\n'
done
blank "$input" && exit 0

# --- 必要な道具の存在確認（無ければ判定不能なので拒否する＝フェイルクローズ） ---
for _t in awk grep sed tr; do
  if ! command -v "$_t" >/dev/null 2>&1; then
    deny "安全柵が動作に必要な「${_t}」を見つけられないため、念のためブロックしました。Windowsの方は Git for Windows が入っているかご確認ください。解決しない場合は配布元にご連絡ください"
  fi
done

# --- JSONエスケープを戻す ---
# 順序が重要。先に \\ を退避しないと、Windowsパス C:\\tools\\rm.exe の \t が
# タブとして誤変換され、コマンド名が壊れて検出漏れになる。
# 改行は __CCNL__ という目印に置き換える。後段の awk が「行」を復元して
# ヒアドキュメントの範囲を判定し、最後に ; へ畳む。空白に潰すと前後の行が1つの
# コマンドとして繋がり、誤検知と検出漏れの両方が起きる。
unescape() {
  sed -e 's/\\\\/__BSLASH__/g' \
      -e 's/\\n/__CCNL__/g' -e 's/\\r/__CCNL__/g' \
      -e 's/\\u000[aAdD]/__CCNL__/g' \
      -e 's/\\t/ /g' \
      -e 's/\\"/"/g' \
      -e 's|\\/|/|g' \
      -e 's/__BSLASH__/\\/g'
}

# --- stdin JSON から .tool_input.command を取り出す ---
extract_command() {
  awk '
    found { next }
    {
      idx = index($0, "\"command\"")
      if (idx == 0) next
      rest = substr($0, idx + 9)
      sub(/^[ \t]*:[ \t]*/, "", rest)
      if (substr(rest, 1, 1) != "\"") next
      rest = substr(rest, 2)
      out = ""
      i = 1; n = length(rest)
      while (i <= n) {
        c = substr(rest, i, 1)
        if (c == "\\") { out = out c substr(rest, i + 1, 1); i += 2; continue }
        if (c == "\"") break
        out = out c
        i++
      }
      print out
      found = 1
    }
    END { if (!found) exit 3 }
  ' 2>/dev/null
}

# ============================================================
# ヒアドキュメント本文の除去
# ============================================================
# 目的: 実行されない本文（cat > file <<EOF の中身など）を走査対象から外す。
#       「文章に書いた危険語」で作業が止まるのを根本から止めるため。
#
# 落とす条件は2つとも満たすときだけ（どちらか欠けたら落とさない＝フェイルクローズ）:
#   ア. その行のコマンドが全て「本文を実行しない受け手」（cat/tee/python3/node/git 等）
#   イ. 終端記号が見つかっている（見つからない＝解釈できていないので落とさない）
# bash / sh / zsh / ssh / 未知のスクリプトへ渡る本文は、従来どおり走査対象に残す。
strip_heredoc() {
  awk '
    function bname(t) {
      gsub(/\\/, "/", t)
      sub(/^.*\//, "", t)
      sub(/\.exe$/, "", t)
      return tolower(t)
    }

    # セグメントの先頭語（環境変数代入・修飾子・リダイレクト記号は読み飛ばす）
    function seg_head(seg,   nt, T, k, tok, b) {
      nt = split(seg, T, /[ \t]+/)
      for (k = 1; k <= nt; k++) {
        tok = T[k]
        if (tok == "") continue
        if (tok ~ /^[A-Za-z_][A-Za-z0-9_]*=/) continue
        if (tok ~ /^[0-9]*[<>]/) continue
        if (tok ~ /^-/) continue
        b = bname(tok)
        if (b == "" || (b in MODIFIER)) continue
        return b
      }
      return ""
    }

    # 行のコマンドが全て「本文を実行しない受け手」なら 1
    function data_only(line,   i, n, c, q, cnt, s, head, ok) {
      split("", SEGST, " "); split("", SEGEN, " ")
      cnt = 1; SEGST[1] = 1
      i = 1; n = length(line); q = ""
      while (i <= n) {
        c = substr(line, i, 1)
        if (q != "") {
          if (c == "\\" && q == DQ) { i += 2; continue }
          if (c == q) q = ""
          i++; continue
        }
        if (c == SQ || c == DQ) { q = c; i++; continue }
        if (index(";&|()", c) > 0) { SEGEN[cnt] = i - 1; cnt++; SEGST[cnt] = i + 1; i++; continue }
        i++
      }
      SEGEN[cnt] = n
      ok = 0
      for (s = 1; s <= cnt; s++) {
        if (SEGEN[s] < SEGST[s]) continue
        head = seg_head(substr(line, SEGST[s], SEGEN[s] - SEGST[s] + 1))
        if (head == "") continue
        if (!(head in SINK)) return 0
        ok = 1
      }
      return ok
    }

    # 行に含まれるヒアドキュメント開始を順に拾う。<<< （ヒアストリング）は本文を持たないので対象外。
    # 引用符の中の << は演算子ではないので見ない。
    function scan_ops(line,   i, n, c, q, j, k, dash, delim, qd, cnt) {
      split("", OPS, " ")
      cnt = 0; i = 1; n = length(line); q = ""
      while (i <= n) {
        c = substr(line, i, 1)
        if (q != "") {
          if (c == "\\" && q == DQ) { i += 2; continue }
          if (c == q) q = ""
          i++; continue
        }
        if (c == SQ || c == DQ) { q = c; i++; continue }
        if (c == "\\") { i += 2; continue }
        if (substr(line, i, 2) == "<<") {
          if (substr(line, i, 3) == "<<<") { i += 3; continue }
          j = i + 2; dash = 0
          if (substr(line, j, 1) == "-") { dash = 1; j++ }
          while (substr(line, j, 1) == " " || substr(line, j, 1) == "\t") j++
          qd = substr(line, j, 1)
          if (qd == SQ || qd == DQ) {
            j++; k = j
            while (k <= n && substr(line, k, 1) != qd) k++
            delim = substr(line, j, k - j)
            j = k + 1
          } else {
            k = j
            while (k <= n && index(" \t;&|<>()" DQ SQ, substr(line, k, 1)) == 0) k++
            delim = substr(line, j, k - j)
            gsub(/\\/, "", delim)
            j = k
          }
          # 算術左シフト $((1 << 3)) 等を誤ってヒアドキュメントと見ないよう、
          # 終端記号として妥当な形のときだけ採用する
          if (delim ~ /^[A-Za-z_][A-Za-z0-9_]*$/) { cnt++; OPS[cnt] = dash US delim }
          i = j; continue
        }
        i++
      }
      return cnt
    }

    BEGIN {
      SQ = sprintf("%c", 39)
      DQ = sprintf("%c", 34)
      US = sprintf("%c", 31)
      NL = 0
      # 本文を「データ」として受け取る側。ここに載っているものだけ本文を落とす。
      # シェル（bash/sh/zsh/ksh…）・ssh・docker・xargs・未知のスクリプトは意図的に載せない。
      nn = split("cat tee diff comm sort uniq wc head tail cut paste column tr rev fold expand " \
                 "base64 md5 shasum sha1sum sha256sum grep egrep fgrep rg ag sed awk gawk mawk nawk " \
                 "jq yq less more python python2 python3 node deno ruby perl php git " \
                 "mail mailx sendmail msmtp ffmpeg pandoc sqlite3 psql mysql patch pbcopy", A, " ")
      for (ii = 1; ii <= nn; ii++) SINK[A[ii]] = 1
      mm = split("command builtin nohup time env exec", B, " ")
      for (ii = 1; ii <= mm; ii++) MODIFIER[B[ii]] = 1
    }

    {
      cn = split($0, T, "__CCNL__")
      for (ti = 1; ti <= cn; ti++) { NL++; LN[NL] = T[ti] }
    }

    END {
      no = 0; i = 1
      while (i <= NL) {
        line = LN[i]
        no++; OUT[no] = line
        i++
        nops = scan_ops(line)
        if (nops == 0) continue
        keep = data_only(line) ? 0 : 1
        for (k = 1; k <= nops; k++) {
          split(OPS[k], P, US)
          dash = (P[1] + 0); delim = P[2]
          bn = 0; found = 0; j = i
          while (j <= NL) {
            t = LN[j]
            # <<- はタブ字下げを無視する形。JSONエスケープ復元でタブは空白になっているので、
            # 空白・タブのどちらの字下げでも終端と認める
            if (dash) sub(/^[ \t]+/, "", t)
            if (t == delim) { found = 1; j++; break }
            bn++; BODY[bn] = LN[j]
            j++
          }
          if (!(found && !keep)) {
            for (m = 1; m <= bn; m++) { no++; OUT[no] = BODY[m] }
          }
          i = j
        }
      }
      for (k = 1; k <= no; k++) printf "%s%s", (k == 1 ? "" : " ; "), OUT[k]
      printf "\n"
    }
  ' 2>/dev/null
}

raw="$(printf '%s' "$input" | extract_command | unescape)"
parse_rc=$?
cmd="$(printf '%s' "$raw" | strip_heredoc)"
# 本文除去そのものが失敗したら（awk の実装差など）、除去前の全文で判定する＝フェイルクローズ。
# ここで空のまま進むと、安全柵が黙って素通りする側に倒れる
blank "$cmd" && ! blank "$raw" && cmd="$raw"

if [ $parse_rc -ne 0 ] || blank "$cmd"; then
  # 解析できなかった場合は素通りさせず、生の入力を走査対象にする。
  # JSONの記号を空白に潰して単語境界を復元しないと、"command":"sudo ...
  # のように引用符が直前に来る形で各ルールの境界判定が外れる。
  raw="$(printf '%s' "$input" | unescape | tr '":,{}[]' '       ')"
  cmd="$(printf '%s' "$raw" | strip_heredoc)"
  blank "$cmd" && ! blank "$raw" && cmd="$raw"
  blank "$cmd" && exit 0
fi

lc="$(printf '%s' "$cmd" | tr '[:upper:]' '[:lower:]')"

has()  { printf '%s' "$lc"  | grep -Eq "$1"; }
hasC() { printf '%s' "$cmd" | grep -Eq "$1"; }

# ============================================================
# 単語分解による判定（位置に依存しない中核ロジック）
# ============================================================
# 原文（大文字小文字を保持）を渡す。git branch -D は大文字のDが安全か危険かを分けるため。
tokenscan() {
  printf '%s' "$cmd" | awk '
    function is_long(t)        { return substr(t, 1, 2) == "--" }
    function is_short(t)       { return substr(t, 1, 1) == "-" && !is_long(t) }
    function short_has(t, ch)  { return is_short(t) && index(tolower(substr(t, 2)), ch) > 0 }
    function base(t) {
      gsub(/\\/, "/", t)
      sub(/^.*\//, "", t)
      sub(/\.exe$/, "", t)
      return tolower(t)
    }
    {
      line = $0
      gsub(/[;&|()<>`]/, " __SEP__ ", line)
      n = split(line, t, /[ \t]+/)
      i = 1
      while (i <= n) {
        tk = t[i]
        if (tk == "" || tk == "__SEP__") { i++; continue }
        # 環境変数代入・単なる修飾子は読み飛ばして、次を本体コマンドとして扱う
        if (tk ~ /^[A-Za-z_][A-Za-z0-9_]*=/) { i++; continue }
        b = base(tk)
        if (b == "command" || b == "builtin" || b == "nohup" || b == "time" || b == "env") { i++; continue }

        # ---- rm: 再帰 + 強制 が揃ったら危険 ----
        if (b == "rm") {
          rec = 0; frc = 0; i++
          while (i <= n && t[i] != "__SEP__") {
            a = t[i]
            if (substr(a, 1, 1) == "-") {
              if (a == "--recursive" || a == "--dir" || short_has(a, "r")) rec = 1
              if (a == "--force" || short_has(a, "f")) frc = 1
              if (rec && frc) { print "RM"; exit }
            }
            i++
          }
          continue
        }

        # ---- Windows: rd / rmdir /s, del /s ----
        if (b == "rd" || b == "rmdir" || b == "del" || b == "erase") {
          sflag = 0; i++
          while (i <= n && t[i] != "__SEP__") {
            if (tolower(t[i]) == "/s") sflag = 1
            if (sflag) { print "WINDEL"; exit }
            i++
          }
          continue
        }

        # ---- git: サブコマンドごとに、区切りまでの全引数を見る ----
        if (b == "git") {
          i++
          while (i <= n && t[i] != "__SEP__" && substr(t[i], 1, 1) == "-") {
            if (t[i] == "-C" || t[i] == "-c") i += 2; else i++
          }
          sc = (i <= n && t[i] != "__SEP__") ? tolower(t[i]) : ""
          args = ""; j = i + 1
          while (j <= n && t[j] != "__SEP__") { args = args " " t[j]; j++ }
          args = args " "
          largs = tolower(args)
          if (sc == "push") {
            if (largs ~ / --force / && largs !~ /--force-with-lease/) { print "GITPUSH"; exit }
            if (largs ~ / -[a-z]*f[a-z]* /)                          { print "GITPUSH"; exit }
            if (args  ~ / \+[^ ]+:/ )                                { print "GITPUSH"; exit }
          }
          if (sc == "reset" && largs ~ / --hard /)                   { print "GITRESET"; exit }
          if (sc == "clean") {
            if (largs ~ / --force / || largs ~ / -[a-z]*f[a-z]* /)   { print "GITCLEAN"; exit }
          }
          if (sc == "branch") {
            if (args ~ / -[a-zA-Z]*D[a-zA-Z]* /)                     { print "GITBRANCH"; exit }
            if (largs ~ / --delete / && largs ~ / --force /)         { print "GITBRANCH"; exit }
          }
          if (sc == "commit" && (largs ~ /--no-verify/ || largs ~ /--no-gpg-sign/)) { print "GITCOMMIT"; exit }
          continue
        }
        i++
      }
    }
  ' 2>/dev/null
}

TOK="$(tokenscan)"

# 環境に trash があれば、復元可能な代替として案内に含める
if command -v trash >/dev/null 2>&1; then
  RM_ALT="代替: 新しい作業フォルダは mktemp -d / 既存物の削除は trash <パス>（復元可能） / zipのキャッシュ除去は -x の除外指定"
else
  RM_ALT="代替: 新しい作業フォルダは mktemp -d、既存ファイルは1つずつ確認しながら削除。Windowsではエクスプローラーからゴミ箱へ移動してください"
fi

case "$TOK" in
  RM)
    deny "フォルダの再帰的な強制削除はブロックしました（安全柵）。同じコマンドの再送はしないでください。${RM_ALT}" ;;
  WINDEL)
    deny "フォルダの再帰削除（rd /s、del /s）はブロックしました（安全柵）。エクスプローラーからゴミ箱へ移動してください" ;;
  GITPUSH)
    deny "git push --force はブロックしました（安全柵）。共有先の作業履歴が失われます。--force-with-lease を使ってください" ;;
  GITRESET)
    deny "git reset --hard はブロックしました（安全柵）。未コミットの変更が消えます" ;;
  GITCLEAN)
    deny "git clean -f 系はブロックしました（安全柵）。追跡外のファイルが消えます" ;;
  GITBRANCH)
    deny "git branch -D（強制削除）はブロックしました（安全柵）。統合済みのみ削除する -d を使ってください" ;;
  GITCOMMIT)
    deny "git commit --no-verify / --no-gpg-sign はブロックしました（安全柵）。チェック機構はスキップしないでください" ;;
esac

# ============================================================
# 文字列パターンによる判定（単語分解に馴染まないもの）
# ============================================================

# PowerShell の再帰強制削除
if has 'remove-item[^;|&]*-recurse' && has 'remove-item[^;|&]*-force'; then
  deny "Remove-Item -Recurse -Force はブロックしました（安全柵）"
fi
# 管理者権限昇格
if has '(^|[[:space:]]|;|&|\||\()(sudo|doas|pkexec)([[:space:]]|$)'; then
  deny "管理者権限での実行（sudo）はブロックしました（安全柵）。必要な場合は内容を確認したうえでご自身で実行してください"
fi
# ディスク破壊
if has '(^|[[:space:]]|;|&|\|)(dd|mkfs(\.[a-z0-9]+)?)[[:space:]]'; then
  deny "dd / mkfs はブロックしました（安全柵）。ディスクを破壊する可能性があります"
fi
if has '(^|[[:space:]]|;|&|\|)(format|diskpart|format-volume|clear-disk)([[:space:]]|$)' \
  || has 'cipher[[:space:]]+/w'; then
  deny "ディスクの初期化・消去コマンドはブロックしました（安全柵）"
fi
# システム停止
if has '(^|[[:space:]]|;|&|\|)(shutdown|reboot|halt|poweroff|stop-computer|restart-computer)([[:space:]]|$)'; then
  deny "システムの停止・再起動はブロックしました（安全柵）"
fi
# ネット経由スクリプトの即時実行
if has '(curl|wget)[[:space:]][^;|&]*\|[[:space:]]*(sudo[[:space:]]+)?(sh|bash|zsh|ksh)([[:space:]]|$)'; then
  deny "ダウンロードしたスクリプトをそのままシェルに流す実行はブロックしました（安全柵）。中身を確認してから実行してください"
fi
if has '(irm|invoke-restmethod|iwr|invoke-webrequest)[[:space:]][^;|&]*\|[[:space:]]*(iex|invoke-expression)'; then
  deny "ネットから取得したスクリプトの即時実行（irm | iex）はブロックしました（安全柵）"
fi
# 公開操作（取り消せない）
if has '(^|[[:space:]]|;|&|\|)(npm|pnpm|yarn)[[:space:]]+publish([[:space:]]|$)'; then
  deny "npm/pnpm/yarn publish はブロックしました（安全柵）。公開は取り消せません"
fi
# 権限の全開放
if has 'chmod[[:space:]]+-[a-z]*r[a-z]*[[:space:]]+777'; then
  deny "chmod -R 777 はブロックしました（安全柵）"
fi
# docker 破壊系
if has 'docker[[:space:]]+(system[[:space:]]+prune|volume[[:space:]]+rm|volume[[:space:]]+prune)'; then
  deny "docker の破壊的な prune / volume rm はブロックしました（安全柵）"
fi
# fork bomb
if hasC ':\(\)[[:space:]]*\{[^}]*\|[[:space:]]*:[[:space:]]*&'; then
  deny "fork bomb を検出したためブロックしました（安全柵）"
fi
# 生ディスク書き込み
if has '>[[:space:]]*/dev/(disk|sd|nvme|hd)'; then
  deny "生ディスクへの書き込みはブロックしました（安全柵）"
fi

exit 0