バイパスモード運用ルール ひな形安全柵の立て方・慣らし方・育て方

#!/usr/bin/env bash
# 破壊的コマンドの安全柵（Claude Code の PreToolUse フック）
#
# 設計方針:
#  1. 外部依存を最小化 — jq を使わない。Git for Windows の Git Bash に jq が同梱されないため。
#                        使うのは bash 組み込み / awk / grep / sed / tr のみ。
#  2. フェイルクローズ — 必要な道具が無い、解析できない、想定外の入力、のいずれでも
#                        「黙って許可」にしない。判断できないときは拒否する。
#  3. 位置に依存しない — コマンドを単語に分解し、危険なオプションの「組み合わせ」で判定する。
#                        フラグの順序・分離・ロングオプション・引数の後置に強い。
#  4. set -e を使わない — 途中の非ゼロ終了で拒否JSONを出す前に落ちる事故を防ぐ。
#
# 入力: stdin に PreToolUse の JSON
# 出力: 拒否時のみ stdout に decision JSON（常に exit 0）
#
# テスト: bash tools/test_hook.sh （変更したら必ず流すこと）

set -uo pipefail

# --- 拒否JSONの出力（外部コマンド不要。printf は bash 組み込み） ---
json_escape() {
  local s="$1"
  s="${s//\\/\\\\}"
  s="${s//\"/\\\"}"
  printf '%s' "$s"
}

deny() {
  printf '{"hookSpecificOutput":{"hookEventName":"PreToolUse","permissionDecision":"deny","permissionDecisionReason":"%s"}}\n' \
    "$(json_escape "$1")"
  exit 0
}

# --- 標準入力を読む（cat に依存しない） ---
input=""
while IFS= read -r _line || [ -n "$_line" ]; do
  input="${input}${_line}"$'\n'
done
[ -n "${input//[$'\n\t ']/}" ] || exit 0

# --- 必要な道具の存在確認（無ければ判定不能なので拒否する＝フェイルクローズ） ---
for _t in awk grep sed tr; do
  if ! command -v "$_t" >/dev/null 2>&1; then
    deny "安全柵が動作に必要な「${_t}」を見つけられないため、念のためブロックしました。Windowsの方は Git for Windows が入っているかご確認ください。解決しない場合は配布元にご連絡ください"
  fi
done

# --- JSONエスケープを戻す ---
# 順序が重要。先に \\ を退避しないと、Windowsパス C:\\tools\\rm.exe の \t が
# タブとして誤変換され、コマンド名が壊れて検出漏れになる。
# 改行・復帰はコマンド区切り( ; )に変換する。空白にすると前後の行が1つの
# コマンドとして繋がり、誤検知と検出漏れの両方が起きる。
unescape() {
  sed -e 's/\\\\/__BSLASH__/g' \
      -e 's/\\n/ ; /g' -e 's/\\r/ ; /g' \
      -e 's/\\u000[aAdD]/ ; /g' \
      -e 's/\\t/ /g' \
      -e 's/\\"/"/g' \
      -e 's|\\/|/|g' \
      -e 's/__BSLASH__/\\/g'
}

# --- stdin JSON から .tool_input.command を取り出す ---
extract_command() {
  awk '
    found { next }
    {
      idx = index($0, "\"command\"")
      if (idx == 0) next
      rest = substr($0, idx + 9)
      sub(/^[ \t]*:[ \t]*/, "", rest)
      if (substr(rest, 1, 1) != "\"") next
      rest = substr(rest, 2)
      out = ""
      i = 1; n = length(rest)
      while (i <= n) {
        c = substr(rest, i, 1)
        if (c == "\\") { out = out c substr(rest, i + 1, 1); i += 2; continue }
        if (c == "\"") break
        out = out c
        i++
      }
      print out
      found = 1
    }
    END { if (!found) exit 3 }
  ' 2>/dev/null
}

cmd="$(printf '%s' "$input" | extract_command | unescape)"
parse_rc=$?

if [ $parse_rc -ne 0 ] || [ -z "${cmd//[$'\n\t ']/}" ]; then
  # 解析できなかった場合は素通りさせず、生の入力を走査対象にする。
  # JSONの記号を空白に潰して単語境界を復元しないと、"command":"sudo ...
  # のように引用符が直前に来る形で各ルールの境界判定が外れる。
  cmd="$(printf '%s' "$input" | unescape | tr '":,{}[]' '       ')"
  [ -n "${cmd//[$'\n\t ']/}" ] || exit 0
fi

lc="$(printf '%s' "$cmd" | tr '[:upper:]' '[:lower:]')"

has()  { printf '%s' "$lc"  | grep -Eq "$1"; }
hasC() { printf '%s' "$cmd" | grep -Eq "$1"; }

# ============================================================
# 単語分解による判定（位置に依存しない中核ロジック）
# ============================================================
# 原文（大文字小文字を保持）を渡す。git branch -D は大文字のDが安全か危険かを分けるため。
tokenscan() {
  printf '%s' "$cmd" | awk '
    function is_long(t)        { return substr(t, 1, 2) == "--" }
    function is_short(t)       { return substr(t, 1, 1) == "-" && !is_long(t) }
    function short_has(t, ch)  { return is_short(t) && index(tolower(substr(t, 2)), ch) > 0 }
    function base(t) {
      gsub(/\\/, "/", t)
      sub(/^.*\//, "", t)
      sub(/\.exe$/, "", t)
      return tolower(t)
    }
    {
      line = $0
      gsub(/[;&|()<>`]/, " __SEP__ ", line)
      n = split(line, t, /[ \t]+/)
      i = 1
      while (i <= n) {
        tk = t[i]
        if (tk == "" || tk == "__SEP__") { i++; continue }
        # 環境変数代入・単なる修飾子は読み飛ばして、次を本体コマンドとして扱う
        if (tk ~ /^[A-Za-z_][A-Za-z0-9_]*=/) { i++; continue }
        b = base(tk)
        if (b == "command" || b == "builtin" || b == "nohup" || b == "time" || b == "env") { i++; continue }

        # ---- rm: 再帰 + 強制 が揃ったら危険 ----
        if (b == "rm") {
          rec = 0; frc = 0; i++
          while (i <= n && t[i] != "__SEP__") {
            a = t[i]
            if (substr(a, 1, 1) == "-") {
              if (a == "--recursive" || a == "--dir" || short_has(a, "r")) rec = 1
              if (a == "--force" || short_has(a, "f")) frc = 1
              if (rec && frc) { print "RM"; exit }
            }
            i++
          }
          continue
        }

        # ---- Windows: rd / rmdir /s, del /s ----
        if (b == "rd" || b == "rmdir" || b == "del" || b == "erase") {
          sflag = 0; i++
          while (i <= n && t[i] != "__SEP__") {
            if (tolower(t[i]) == "/s") sflag = 1
            if (sflag) { print "WINDEL"; exit }
            i++
          }
          continue
        }

        # ---- git: サブコマンドごとに、区切りまでの全引数を見る ----
        if (b == "git") {
          i++
          while (i <= n && t[i] != "__SEP__" && substr(t[i], 1, 1) == "-") {
            if (t[i] == "-C" || t[i] == "-c") i += 2; else i++
          }
          sc = (i <= n && t[i] != "__SEP__") ? tolower(t[i]) : ""
          args = ""; j = i + 1
          while (j <= n && t[j] != "__SEP__") { args = args " " t[j]; j++ }
          args = args " "
          largs = tolower(args)
          if (sc == "push") {
            if (largs ~ / --force / && largs !~ /--force-with-lease/) { print "GITPUSH"; exit }
            if (largs ~ / -[a-z]*f[a-z]* /)                          { print "GITPUSH"; exit }
            if (args  ~ / \+[^ ]+:/ )                                { print "GITPUSH"; exit }
          }
          if (sc == "reset" && largs ~ / --hard /)                   { print "GITRESET"; exit }
          if (sc == "clean") {
            if (largs ~ / --force / || largs ~ / -[a-z]*f[a-z]* /)   { print "GITCLEAN"; exit }
          }
          if (sc == "branch") {
            if (args ~ / -[a-zA-Z]*D[a-zA-Z]* /)                     { print "GITBRANCH"; exit }
            if (largs ~ / --delete / && largs ~ / --force /)         { print "GITBRANCH"; exit }
          }
          if (sc == "commit" && (largs ~ /--no-verify/ || largs ~ /--no-gpg-sign/)) { print "GITCOMMIT"; exit }
          continue
        }
        i++
      }
    }
  ' 2>/dev/null
}

TOK="$(tokenscan)"

# 環境に trash があれば、復元可能な代替として案内に含める
if command -v trash >/dev/null 2>&1; then
  RM_ALT="代替: 新しい作業フォルダは mktemp -d / 既存物の削除は trash <パス>（復元可能） / zipのキャッシュ除去は -x の除外指定"
else
  RM_ALT="代替: 新しい作業フォルダは mktemp -d、既存ファイルは1つずつ確認しながら削除。Windowsではエクスプローラーからゴミ箱へ移動してください"
fi

case "$TOK" in
  RM)
    deny "フォルダの再帰的な強制削除はブロックしました（安全柵）。同じコマンドの再送はしないでください。${RM_ALT}" ;;
  WINDEL)
    deny "フォルダの再帰削除（rd /s、del /s）はブロックしました（安全柵）。エクスプローラーからゴミ箱へ移動してください" ;;
  GITPUSH)
    deny "git push --force はブロックしました（安全柵）。共有先の作業履歴が失われます。--force-with-lease を使ってください" ;;
  GITRESET)
    deny "git reset --hard はブロックしました（安全柵）。未コミットの変更が消えます" ;;
  GITCLEAN)
    deny "git clean -f 系はブロックしました（安全柵）。追跡外のファイルが消えます" ;;
  GITBRANCH)
    deny "git branch -D（強制削除）はブロックしました（安全柵）。統合済みのみ削除する -d を使ってください" ;;
  GITCOMMIT)
    deny "git commit --no-verify / --no-gpg-sign はブロックしました（安全柵）。チェック機構はスキップしないでください" ;;
esac

# ============================================================
# 文字列パターンによる判定（単語分解に馴染まないもの）
# ============================================================

# PowerShell の再帰強制削除
if has 'remove-item[^;|&]*-recurse' && has 'remove-item[^;|&]*-force'; then
  deny "Remove-Item -Recurse -Force はブロックしました（安全柵）"
fi
# 管理者権限昇格
if has '(^|[[:space:]]|;|&|\||\()(sudo|doas|pkexec)([[:space:]]|$)'; then
  deny "管理者権限での実行（sudo）はブロックしました（安全柵）。必要な場合は内容を確認したうえでご自身で実行してください"
fi
# ディスク破壊
if has '(^|[[:space:]]|;|&|\|)(dd|mkfs(\.[a-z0-9]+)?)[[:space:]]'; then
  deny "dd / mkfs はブロックしました（安全柵）。ディスクを破壊する可能性があります"
fi
if has '(^|[[:space:]]|;|&|\|)(format|diskpart|format-volume|clear-disk)([[:space:]]|$)' \
  || has 'cipher[[:space:]]+/w'; then
  deny "ディスクの初期化・消去コマンドはブロックしました（安全柵）"
fi
# システム停止
if has '(^|[[:space:]]|;|&|\|)(shutdown|reboot|halt|poweroff|stop-computer|restart-computer)([[:space:]]|$)'; then
  deny "システムの停止・再起動はブロックしました（安全柵）"
fi
# ネット経由スクリプトの即時実行
if has '(curl|wget)[[:space:]][^;|&]*\|[[:space:]]*(sudo[[:space:]]+)?(sh|bash|zsh|ksh)([[:space:]]|$)'; then
  deny "ダウンロードしたスクリプトをそのままシェルに流す実行はブロックしました（安全柵）。中身を確認してから実行してください"
fi
if has '(irm|invoke-restmethod|iwr|invoke-webrequest)[[:space:]][^;|&]*\|[[:space:]]*(iex|invoke-expression)'; then
  deny "ネットから取得したスクリプトの即時実行（irm | iex）はブロックしました（安全柵）"
fi
# 公開操作（取り消せない）
if has '(^|[[:space:]]|;|&|\|)(npm|pnpm|yarn)[[:space:]]+publish([[:space:]]|$)'; then
  deny "npm/pnpm/yarn publish はブロックしました（安全柵）。公開は取り消せません"
fi
# 権限の全開放
if has 'chmod[[:space:]]+-[a-z]*r[a-z]*[[:space:]]+777'; then
  deny "chmod -R 777 はブロックしました（安全柵）"
fi
# docker 破壊系
if has 'docker[[:space:]]+(system[[:space:]]+prune|volume[[:space:]]+rm|volume[[:space:]]+prune)'; then
  deny "docker の破壊的な prune / volume rm はブロックしました（安全柵）"
fi
# fork bomb
if hasC ':\(\)[[:space:]]*\{[^}]*\|[[:space:]]*:[[:space:]]*&'; then
  deny "fork bomb を検出したためブロックしました（安全柵）"
fi
# 生ディスク書き込み
if has '>[[:space:]]*/dev/(disk|sd|nvme|hd)'; then
  deny "生ディスクへの書き込みはブロックしました（安全柵）"
fi

exit 0