[fix] restrict フックが /sync-template の一時ディレクトリ操作を自らブロックする問題を修正
...
/sync-template・/set-mode は mktemp -d に clone したテンプレートを Read / cp / rm -rf するが，restrict_repo_access.py がリポ外として deny していた（変数未展開時だけ偶然通る綱渡り状態）．
- システム一時ディレクトリを許可ゾーンとする is_temp_path() を追加
- Read/Glob/Grep: temp 配下は許可．Write/Edit は temp でもブロック維持
- Bash 破壊的コマンド: 対象が temp 配下なら許可（clone の cp・後片付けの rm -rf）
- POSIX 形式 /tmp は posixpath.normpath で判定（Windows では realpath 解決不可のため）．.. を潰してから前方一致するので /tmp/../etc の脱出は不可
- sync-template の注意事項に「フックの temp 例外に依存」を明記
Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
rintoHasegawa
committed
7 days ago
