[fix] restrict フックが /sync-template の一時ディレクトリ操作を自らブロックする問題を修正

Fork: 0

hasegawa / programming-template

Browse code [fix] restrict フックが /sync-template の一時ディレクトリ操作を自らブロックする問題を修正 /sync-template・/set-mode は mktemp -d に clone したテンプレートを Read / cp / rm -rf するが，restrict_repo_access.py がリポ外として deny していた（変数未展開時だけ偶然通る綱渡り状態）． - システム一時ディレクトリを許可ゾーンとする is_temp_path() を追加 - Read/Glob/Grep: temp 配下は許可．Write/Edit は temp でもブロック維持 - Bash 破壊的コマンド: 対象が temp 配下なら許可（clone の cp・後片付けの rm -rf） - POSIX 形式 /tmp は posixpath.normpath で判定（Windows では realpath 解決不可のため）．.. を潰してから前方一致するので /tmp/../etc の脱出は不可 - sync-template の注意事項に「フックの temp 例外に依存」を明記 Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> chore/commands-to-skills docs/commit-reference-safety docs/dev-commands-doc feature/team-mode-template
1 parent 891996c commit 8cfe56a8c727c1d541d275db043555ec2c5ea7dd rintoHasegawa authored 7 days ago

Browse code

/sync-template・/set-mode は mktemp -d に clone したテンプレートを Read / cp / rm -rf するが，restrict_repo_access.py がリポ外として deny していた（変数未展開時だけ偶然通る綱渡り状態）．

- システム一時ディレクトリを許可ゾーンとする is_temp_path() を追加
  - Read/Glob/Grep: temp 配下は許可．Write/Edit は temp でもブロック維持
  - Bash 破壊的コマンド: 対象が temp 配下なら許可（clone の cp・後片付けの rm -rf）
  - POSIX 形式 /tmp は posixpath.normpath で判定（Windows では realpath 解決不可のため）．.. を潰してから前方一致するので /tmp/../etc の脱出は不可
- sync-template の注意事項に「フックの temp 例外に依存」を明記

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

chore/commands-to-skills docs/commit-reference-safety docs/dev-commands-doc feature/team-mode-template

1 parent 891996c commit 8cfe56a8c727c1d541d275db043555ec2c5ea7dd

rintoHasegawa authored 7 days ago

Patch

Unified Split

Showing 2 changed files

Ignore Space Show notes View .claude/commands/sync-template.md

Ignore Space Show notes View .claude/hooks/restrict_repo_access.py

Show line notes below