From 6502cf24bf891dd7d74a99498ceb6be9b42b313a Mon Sep 17 00:00:00 2001 From: Aniruddha Adak Date: Thu, 17 Sep 2026 02:33:20 +0530 Subject: [PATCH 01/16] fix(llm): forward max_tokens to Ollama num_predict --- src/llm/providers/ollama.py | 7 ++++- tests/test_provider_tools.py | 54 ++++++++++++++++++++++++++++++++++++ 2 files changed, 60 insertions(+), 1 deletion(-) diff --git a/src/llm/providers/ollama.py b/src/llm/providers/ollama.py index 2f83338d0..257d17900 100644 --- a/src/llm/providers/ollama.py +++ b/src/llm/providers/ollama.py @@ -70,8 +70,13 @@ class OllamaProvider(LLMProvider): "messages": [msg.to_dict() for msg in input.messages], "stream": False, } + options: dict[str, Any] = {} if input.temperature != 1.0: - payload["options"] = {"temperature": input.temperature} + options["temperature"] = input.temperature + if input.max_tokens is not None: + options["num_predict"] = input.max_tokens + if options: + payload["options"] = options data = json.dumps(payload).encode("utf-8") req = urllib.request.Request(url, data=data, headers={"Content-Type": "application/json"}) diff --git a/tests/test_provider_tools.py b/tests/test_provider_tools.py index 4c9c76f92..ba4c09415 100644 --- a/tests/test_provider_tools.py +++ b/tests/test_provider_tools.py @@ -1,3 +1,6 @@ +import json +import urllib.request +from io import BytesIO from types import SimpleNamespace import pytest @@ -5,6 +8,7 @@ import pytest from llm.core.types import LLMInput, Message, Role, ToolDefinition from llm.providers.claude import ClaudeProvider from llm.providers.constants import EMPTY_FILTERED_RESPONSE_ERROR +from llm.providers.ollama import OllamaProvider from llm.providers.openai import OpenAIProvider @@ -114,6 +118,56 @@ def test_openai_provider_allows_missing_usage(): assert output.usage is None +@pytest.mark.parametrize( + ("max_tokens", "temperature", "expected_options"), + [ + (128, 1.0, {"num_predict": 128}), + (128, 0.2, {"temperature": 0.2, "num_predict": 128}), + (128, 0.0, {"temperature": 0.0, "num_predict": 128}), + (0, 1.0, {"num_predict": 0}), + (None, 1.0, {}), + (None, 0.2, {"temperature": 0.2}), + ], +) +def test_ollama_provider_serializes_generation_options( + monkeypatch, max_tokens, temperature, expected_options +): + requests = [] + + def fake_urlopen(request, timeout): + requests.append((request, timeout)) + return BytesIO(b'{"message": {"content": "ok"}, "done_reason": "stop"}') + + monkeypatch.setattr(urllib.request, "urlopen", fake_urlopen) + provider = OllamaProvider(base_url="http://localhost:11434", default_model="llama3.2") + + output = provider.generate( + LLMInput( + messages=[Message(role=Role.USER, content="hi")], + max_tokens=max_tokens, + temperature=temperature, + ) + ) + + assert len(requests) == 1 + request, timeout = requests[0] + expected_payload = { + "model": "llama3.2", + "messages": [{"role": "user", "content": "hi"}], + "stream": False, + } + if expected_options: + expected_payload["options"] = expected_options + assert json.loads(request.data) == expected_payload + assert request.full_url == "http://localhost:11434/api/chat" + assert request.get_method() == "POST" + assert request.get_header("Content-type") == "application/json" + assert timeout == 60 + assert output.content == "ok" + assert output.model == "llama3.2" + assert output.stop_reason == "stop" + + def test_claude_provider_serializes_tools_for_messages_api(): provider = ClaudeProvider(api_key="test") client = _AnthropicClient() From 1d143e3098773a6e32977b7f80c4731475adcbd6 Mon Sep 17 00:00:00 2001 From: kenima-arc Date: Fri, 18 Sep 2026 00:38:32 +0900 Subject: [PATCH 02/16] docs(ja-JP): refresh Japanese README to match the English README Full retranslation of README.md (structure preserved 1:1): 2.2 install flows, Codex and Kimi support, platform tables, security, and troubleshooting. Relative links rewritten for docs/ja-JP/ and in-page anchors mapped to the Japanese headings. Co-Authored-By: Claude Fable 5.1 --- docs/ja-JP/README.md | 2520 +++++++++++++++++++++++++++++++----------- 1 file changed, 1867 insertions(+), 653 deletions(-) diff --git a/docs/ja-JP/README.md b/docs/ja-JP/README.md index e01e9c11b..ec59cf67a 100644 --- a/docs/ja-JP/README.md +++ b/docs/ja-JP/README.md @@ -1,439 +1,288 @@ -**言語:** [English](../../README.md) | [Português (Brasil)](../pt-BR/README.md) | [简体中文](../../README.zh-CN.md) | [繁體中文](../zh-TW/README.md) | [日本語](README.md) | [한국어](../ko-KR/README.md) | [Türkçe](../tr/README.md) | [Русский](../ru/README.md) | [Tiếng Việt](../vi-VN/README.md) | [ไทย](../th/README.md) | [Deutsch](../de-DE/README.md) | [Українська](../uk-UA/README.md) +

+ ECC - エージェントハーネスのオペレーティングシステム +

-# Everything Claude Code +

+ + + + GitHub Trending Repository of the Day + + + + + + Star History Global Rank + + +

-[![Stars](https://img.shields.io/github/stars/affaan-m/everything-claude-code?style=flat)](https://github.com/affaan-m/everything-claude-code/stargazers) -[![Forks](https://img.shields.io/github/forks/affaan-m/everything-claude-code?style=flat)](https://github.com/affaan-m/everything-claude-code/network/members) -[![Contributors](https://img.shields.io/github/contributors/affaan-m/everything-claude-code?style=flat)](https://github.com/affaan-m/everything-claude-code/graphs/contributors) -[![License](https://img.shields.io/badge/license-MIT-blue.svg)](LICENSE) -![Shell](https://img.shields.io/badge/-Shell-4EAA25?logo=gnu-bash&logoColor=white) -![TypeScript](https://img.shields.io/badge/-TypeScript-3178C6?logo=typescript&logoColor=white) -![Python](https://img.shields.io/badge/-Python-3776AB?logo=python&logoColor=white) -![Go](https://img.shields.io/badge/-Go-00ADD8?logo=go&logoColor=white) -![Java](https://img.shields.io/badge/-Java-ED8B00?logo=openjdk&logoColor=white) -![Markdown](https://img.shields.io/badge/-Markdown-000000?logo=markdown&logoColor=white) +

+ Language: + English | + Português (Brasil) | + 简体中文 | + 繁體中文 | + 日本語 | + 한국어 | + Türkçe | + Русский | + Tiếng Việt | + ไทย | + Deutsch | + Español | + Українська +

-> **140K+ stars** | **21K+ forks** | **170+ contributors** | **12+ language ecosystems** +

+ Discord + Website + GitHub App + MIT ライセンス +

---- +

+ Stars + Forks + Contributors + GitHub App インストール数 +

+ +

+ ecc-universal npm ダウンロード数 + ecc-agentshield npm ダウンロード数 +

+ +

+ Shell + TypeScript + Python + Go + Java + Perl + Markdown +

+ +> [!WARNING] +> **公式ソースからのみインストールしてください。** ECC は検証済みのチャネルからのみインストールしてください。GitHub リポジトリ [github.com/affaan-m/ECC](https://github.com/affaan-m/ECC)、npm パッケージ [`ecc-universal`](https://www.npmjs.com/package/ecc-universal) と [`ecc-agentshield`](https://www.npmjs.com/package/ecc-agentshield)、[GitHub App](https://github.com/apps/ecc-tools)、plugin スラッグ `ecc@ecc`、そしてプロジェクト公式サイト [ecc.tools](https://ecc.tools) です。第三者による再アップロードや非公式ミラーはプロジェクトが保守・レビューしておらず、マルウェアを含む可能性があります。 + +## Claude Code でインストール + +[ガイド付きセットアップ](#ecc-のインストール)または[ネイティブ plugin コマンド](#claude-code-の詳細)を使用してください。どちらも同じ `ecc@ecc` plugin をインストールします。どちらか一方を選び、その上にフルの手動 Claude インストールを重ねないでください。
-**言語 / Language / 語言 / Dil / Язык / Ngôn ngữ** - -[**English**](../../README.md) | [Português (Brasil)](../pt-BR/README.md) | [简体中文](../../README.zh-CN.md) | [繁體中文](../zh-TW/README.md) | [日本語](README.md) | [한국어](../ko-KR/README.md) | [Türkçe](../tr/README.md) | [Русский](../ru/README.md) | [Tiếng Việt](../vi-VN/README.md) | [ไทย](../th/README.md) | [Deutsch](../de-DE/README.md) | [Українська](../uk-UA/README.md) -
- ---- - -**Anthropicハッカソン優勝者による完全なClaude Code設定集。** - -10ヶ月以上の集中的な日常使用により、実際のプロダクト構築の過程で進化した、本番環境対応のエージェント、スキル、フック、コマンド、ルール、MCP設定。 - ---- - -## ガイド - -このリポジトリには、原始コードのみが含まれています。ガイドがすべてを説明しています。 - - +
- - + - - - -
- -The Shorthand Guide to Everything Claude Code - + + + ECC Tools
+ ECC Pro + GitHub App +
+ 無料でインストール · プライベートリポジトリは $19/シート/月から 		- -The Longform Guide to Everything Claude Code - + + +
+ ECC をスポンサーする +
+ オープンソースプロジェクトを支援する +		 + + Discord
+ コミュニティ +
+ Discord · Q&A · Show and Tell
簡潔ガイド
セットアップ、基礎、哲学。まずこれを読んでください。		長文ガイド
トークン最適化、メモリ永続化、評価、並列化。
-| トピック | 学べる内容 | -|-------|-------------------| -| トークン最適化 | モデル選択、システムプロンプト削減、バックグラウンドプロセス | -| メモリ永続化 | セッション間でコンテキストを自動保存/読み込みするフック | -| 継続的学習 | セッションからパターンを自動抽出して再利用可能なスキルに変換 | -| 検証ループ | チェックポイントと継続的評価、スコアラータイプ、pass@k メトリクス | -| 並列化 | Git ワークツリー、カスケード方法、スケーリング時期 | -| サブエージェント オーケストレーション | コンテキスト問題、反復検索パターン | + ---- +**OSS は今後も無料です。** このリポジトリは永久に MIT ライセンスです。ECC Pro はプライベートリポジトリ向けのホスト型 GitHub App です。スポンサーと Pro 購読者がこの活動を支えています。だからこそ、たった一人のメンテナーが 7 つのハーネスに対して毎週リリースを続けられるのです。 -## 新機能 +
-### v1.4.1 — バグ修正（2026年2月） +パートナー & スポンサー -- **instinctインポート時のコンテンツ喪失を修正** — `/instinct-import`実行時に`parse_instinct_file()`がfrontmatter後のすべてのコンテンツ（Action、Evidence、Examplesセクション）を暗黙的に削除していた問題を修正。コミュニティ貢献者@ericcai0814により解決されました（[#148](https://github.com/affaan-m/everything-claude-code/issues/148), [#161](https://github.com/affaan-m/everything-claude-code/pull/161)） +

+ CodeRabbit    + Greptile    + Atlas Cloud    + Moonshot AI - Kimi    + Itô Markets +

-### v1.4.0 — マルチ言語ルール、インストールウィザード & PM2（2026年2月） +コミュニティスポンサー: Mike Morgan · @jasonwu513 · @1anter · @massimotodaro · @meadmccabe -- **インタラクティブインストールウィザード** — 新しい`configure-ecc`スキルがマージ/上書き検出付きガイドセットアップを提供 -- **PM2 & マルチエージェントオーケストレーション** — 複雑なマルチサービスワークフロー管理用の6つの新コマンド（`/pm2`, `/multi-plan`, `/multi-execute`, `/multi-backend`, `/multi-frontend`, `/multi-workflow`） -- **マルチ言語ルールアーキテクチャ** — ルールをフラットファイルから`common/` + `typescript/` + `python/` + `golang/`ディレクトリに再構成。必要な言語のみインストール可能 -- **中国語（zh-CN）翻訳** — すべてのエージェント、コマンド、スキル、ルールの完全翻訳（80+ファイル） -- **GitHub Sponsorsサポート** — GitHub Sponsors経由でプロジェクトをスポンサー可能 -- **強化されたCONTRIBUTING.md** — 各貢献タイプ向けの詳細なPRテンプレート +スポンサーになる · スポンサーティア · スポンサーシッププログラム -### v1.3.0 — OpenCodeプラグイン対応（2026年2月） +
-- **フルOpenCode統合** — 20+イベントタイプを通じてOpenCodeのプラグインシステムでフック対応の12エージェント、24コマンド、16スキル -- **3つのネイティブカスタムツール** — run-tests、check-coverage、security-audit -- **LLMドキュメンテーション** — 包括的なOpenCodeドキュメント用の`llms.txt` +

インストールへジャンプ ↓

-### v1.2.0 — 統合コマンド & スキル（2026年2月） +# ECC -- **Python/Djangoサポート** — Djangoパターン、セキュリティ、TDD、検証スキル -- **Java Spring Bootスキル** — Spring Boot用パターン、セキュリティ、TDD、検証 -- **セッション管理** — セッション履歴用の`/sessions`コマンド -- **継続的学習 v2** — 信頼度スコアリング、インポート/エクスポート、進化を伴うinstinctベースの学習 +あなたのエージェントはコードを書けますが、ECC はそこに協調的なエンジニアリングシステムとツールボックスを与えます。構築の前に計画し、テストで変更を検証し、新しいコンテキストから自分の作業をレビューし、重要なことを記憶し、繰り返し成功したことを再利用可能な skills とワークフローに変えていきます。 -完全なチェンジログは[Releases](https://github.com/affaan-m/everything-claude-code/releases)を参照してください。 +```text +plan -> test -> implement -> review -> verify -> remember -> improve +``` ---- +このプロセスをプロンプトのたびに組み立て直すのではなく、一度インストールしてエージェントの働き方の一部にします。 -## クイックスタート +> コンテキストウィンドウを最適化し、それ以外はすべて永続化する。 -2分以内に起動できます： +ECC は MIT ライセンスのオープンソースです。現時点では Claude Code で最もよく機能し、サポート対象の Codex 同期パスを備え、Cursor、OpenCode、Gemini、Zed、GitHub Copilot、Antigravity、Qwen、その他のハーネス向けには機能が限定されたアダプターを提供しています。機能の同等性を前提にする前に、[サポート状況マトリクス](#プラットフォームサポート)を確認してください。 -### ステップ 1：プラグインをインストール +68 の agents、292 の skills、95 のレガシー command シムに加えて、hooks、rules、メモリ、継続的学習、AgentShield セキュリティスキャンを利用できます。agents は計画、レビュー、ビルド修復、セキュリティ、アーキテクチャ、ドメイン作業に特化しています。 + +| 含まれるもの | 数 | 得られるもの | +| ---------------- | ----------: | ------------------------------------------------------------------------------------ | +| Agents | 68 agents | 計画、レビュー、ビルド修復、セキュリティ、アーキテクチャ、ドメイン作業 | +| Skills | 292 skills | TDD、リサーチ、セキュリティ、ドキュメント、フロントエンド、データ、ML、運用など | +| Commands | 95 commands | ECC が skills ファーストの構成へ移行する間の便利なエントリーポイント | +| Hooks とメモリ | ランタイム | 強制、セッションサマリー、継続的学習、instincts、コンテキスト制御 | +| Rules | 選択式 | 言語やプロジェクトごとに選ぶ、常時ロードされる標準 | +| AgentShield | 同梱 | プロンプト、hooks、MCP 設定、パーミッション、シークレット、agent ファイルのスキャン | + +

+ + + + ECC のスター履歴: 2026年1月18日から2月7日までの最初の 40,000 スター + + +

+ +## ECC のインストール + +> [!IMPORTANT] +> ECC 2.2 には Claude Code、Codex、Kimi Code 向けのガイド付きパッケージセットアップが含まれています。 +> ユニバーサルパッケージには Node.js 18 以降が必要です。Claude plugin のセットアップには、 +> さらに Git と Claude Code 2.1 以降が `PATH` 上にあることが必要です。 + +### 推奨: ユニバーサルガイド付きセットアップ + +Claude Code plugin のセットアップ、更新、スコープ変更、hook プロファイルの変更には次を使います。 ```bash -# マーケットプレイスを追加 -/plugin marketplace add https://github.com/affaan-m/ECC +npx ecc-universal@2.2.1 setup +``` -# プラグインをインストール +npm がバージョンまたはキャッシュのエラーを報告した場合は、再試行する前にレジストリのバージョンを確認してください。 + +```bash +npm view ecc-universal version +``` + +ECC 2.2 は、モダンなパッケージランナーでも同じガイド付きセットアップをサポートしています。 + +| パッケージランナー | ガイド付きセットアップコマンド | +|---|---| +| npm / npx | `npx ecc-universal@2.2.1 setup` | +| pnpm | `pnpm dlx ecc-universal@2.2.1 setup` | +| Yarn 2+ | `yarn dlx ecc-universal@2.2.1 setup` | +| Bun | `bunx ecc-universal@2.2.1 setup` | + +これらの例では、このリポジトリのリリースバージョンに対応する[公開済みの ECC 2.2.1 リリース](https://www.npmjs.com/package/ecc-universal/v/2.2.1)を指定しています。バージョンのピン留めはセキュリティ監査でも整合性チェックでもありません。パッケージのコードを実行する前にリリースのソースとレジストリの整合性を確認し、未リリースの変更にはレビュー済みのチェックアウトを使用してください。 + +Yarn Classic 1 には `yarn dlx` がありません。`npx` を使うか、パッケージをグローバルにインストールするか、一時的なワンショット実行のために Yarn をアップグレードしてください。 + +ウィザードは変更を加える前に公式マーケットプレイスとすべてのネイティブ Claude インストールスコープを棚卸しし、その後、選択したスコープに `ecc@ecc` をインストール、更新、または安全に移動します。ECC を更新したいとき、スコープを変えたいとき、hook プロファイルを変えたいときは、いつでも同じコマンドを再実行してください。このセットアップウィザードが現在設定するのは Claude Code plugin です。Codex や Kimi Code には、下記のマルチハーネスウィザードを使用してください。 + +複数のコーディングエージェントを一つのレビュー済みフローで設定するには、マルチハーネスウィザードを使用します。 + +```bash +npx ecc-universal@2.2.1 install --guided +``` + +Claude Code、Codex、Kimi Code の任意の組み合わせを選択でき、各インストールチャネルと配置先を表示し、最初の書き込み前にすべての選択をプリフライトし、最後に一度だけ確認を求めます。 + +| ハーネス | ガイド付きインストールの動作 | +|---|---| +| Claude Code | `user`、`project`、`local` のいずれか一つのスコープと ECC hook プロファイルを持つネイティブ `ecc@ecc` plugin | +| Codex | ネイティブ Codex マーケットプレイス/plugin ライフサイクル。hook のレビューと信頼は Codex 側が管理 | +| Kimi Code | `./.kimi-code` 配下の管理されたプロジェクトファイル。ECC hooks、モデル/プロバイダー設定、認証は設定されません | + +自動化のためには、プロバイダー固有の選択をすべて明示してください。 + +```bash +npx ecc-universal@2.2.1 install --guided \ + --harness claude --harness codex --harness kimi \ + --claude-scope local --claude-hooks standard \ + --profile core --yes +``` + +ネイティブのガイド付き Codex パスと管理された Kimi パスを、書き込みなしで先に検証するには次を実行します。 + +```bash +npx ecc-universal@2.2.1 install --guided --harness codex --dry-run +npx ecc-universal@2.2.1 install --profile core --target kimi --dry-run +``` + +2.2 エイリアスを通じて、追加のパッケージ名コマンドも利用できます。 + +```bash +npx ecc-universal@2.2.1 consult "security reviews" --target claude +npx ecc-universal@2.2.1 install --profile minimal --target claude --with capability:machine-learning +npx ecc-universal@2.2.1 doctor --target kimi +``` + +`npx ecc-install --profile minimal --target claude` は使用しないでください。`ecc-install` は `ecc-universal` 内のバイナリ名であり、個別に公開された npm パッケージではありません。 + +ECC は `cursor`、`antigravity`、`gemini`、`opencode`、`codebuddy`、`joycode`、`qwen`、`zed`、`hermes`、`openclaw` 向けの高度な管理アダプターも提供しています。これらのターゲットは、各アダプターがガイド付きの衝突、更新、修復、アンインストールのライフサイクルマトリクスを通過するまで、ドキュメント化された `ecc install --target ...` パスを引き続き使用します。どちらのウィザードも、検出されたすべてのハーネスに黙ってインストールすることはありません。 + +### パスは一つだけ選ぶ（ハーネスごと） + +ECC は Claude Code、Codex、その他のハーネスで同時に使用できます。ハーネスごとに一つのインストール方法を選んでください。 + +- **推奨デフォルト:** 上記のガイド付き Claude plugin セットアップを実行する +- **Claude Code でもサポート:** [ネイティブ plugin コマンド](#claude-code-の詳細)を使用する +- **リリース 2.2 で利用可能:** Claude Code、Codex、Kimi Code 向けのガイド付きパッケージセットアップ +- **動作します:** Claude Code plugin + Codex ネイティブ plugin +- **動作します:** Claude Code plugin + レガシー Codex 同期フロー +- **避けてください:** Claude Code plugin + フル Claude 手動インストール +- **避けてください:** Codex 同期 + Codex マーケットプレイス plugin + +**インストール方法を重ねないでください。** 同じハーネスに ECC を二度インストールすると、skills、commands、hooks、設定が重複することがあります。複数のハーネスにそれぞれ一度ずつインストールする分には問題ありません。 + +すでに複数のインストールを重ねてしまい、重複しているように見える場合は、[ECC のリセット / アンインストール](#ecc-のリセット--アンインストール)に直接進んでください。 + +**インストールで困っていますか？** 短い[インストールまたはランタイムの問題フォーム](https://github.com/affaan-m/ECC/issues/new?template=install-problem.yml)を開くか、`ecc feedback` を実行してください。ECC が診断情報を自動でアップロードすることはありません。 + +### Claude Code の詳細 + +代わりに、Claude Code 内で Claude Code のネイティブ plugin コマンドを実行することもできます。 + +```text +/plugin marketplace add https://github.com/affaan-m/ECC /plugin install ecc@ecc ``` -### ステップ2：ルールをインストール（必須） +ネイティブパスは ECC の skills、agents、commands、および plugin 管理の hooks をインストールします。この方法を選んだ場合は、そこで止めてください。Claude Code にフルの手動インストールを追加で実行しないでください。 -> WARNING: **重要:** Claude Codeプラグインは`rules`を自動配布できません。手動でインストールしてください： +これらの組み込みコマンドは Claude Code が所有しており、マーケットプレイス、plugin、または競合するスコープがすでに存在する場合のエラーも同様です。ECC はそのパーサーに介入できません。いずれかのネイティブコマンドが既存のインストールやスコープの競合を報告した場合は、2.2 のガイド付きセットアップを使用するか、競合している Claude plugin スコープを解決してから再試行してください。その上に手動インストールを重ねないでください。 + +ECC のインストール後は、`/ecc:configure-ecc` が名前空間付きの Claude 内再設定 skill になります。これは同じ安全なセットアップフローに委譲しますが、plugin のインストール後にのみ利用可能で、初回インストール時に Claude Code 組み込みの `/plugin` コマンドを置き換えることはできません。 + +Claude Code plugins は `rules` を配布できないため、本当に必要な rule パックだけを追加してください。 ```bash -# まずリポジトリをクローン -git clone https://github.com/affaan-m/everything-claude-code.git - -# 共通ルールをインストール（必須） -cp -r everything-claude-code/rules/common ~/.claude/rules/common - -# 言語固有ルールをインストール（スタックを選択） -cp -r everything-claude-code/rules/typescript ~/.claude/rules/typescript -cp -r everything-claude-code/rules/python ~/.claude/rules/python -cp -r everything-claude-code/rules/golang ~/.claude/rules/golang +git clone https://github.com/affaan-m/ECC.git +cd ECC +mkdir -p ~/.claude/rules/ecc +cp -R rules/common ~/.claude/rules/ecc/ +cp -R rules/typescript ~/.claude/rules/ecc/ # 使用しているスタックに置き換えてください ``` -### ステップ3：使用開始 +`rules/common` と、実際に使用している言語またはフレームワークのパックを一つ入れるところから始めてください。plugin をインストールした場合は、その後で `./install.sh --profile full` を実行しないでください。 -```bash -# コマンドを試す（プラグインはネームスペース形式） -/ecc:plan "ユーザー認証を追加" +
+settings.json 派ですか？マーケットプレイスを宣言的に追加する -# 手動インストール（オプション2）は短縮形式： -# /plan "ユーザー認証を追加" - -# 利用可能なコマンドを確認 -/plugin list ecc@ecc -``` - -**完了です！** これで13のエージェント、43のスキル、31のコマンドにアクセスできます。 - ---- - -## クロスプラットフォーム対応 - -このプラグインは **Windows、macOS、Linux** を完全にサポートしています。すべてのフックとスクリプトが Node.js で書き直され、最大の互換性を実現しています。 - -### パッケージマネージャー検出 - -プラグインは、以下の優先順位で、お好みのパッケージマネージャー（npm、pnpm、yarn、bun）を自動検出します： - -1. **環境変数**: `CLAUDE_PACKAGE_MANAGER` -2. **プロジェクト設定**: `.claude/package-manager.json` -3. **package.json**: `packageManager` フィールド -4. **ロックファイル**: package-lock.json、yarn.lock、pnpm-lock.yaml、bun.lockb から検出 -5. **グローバル設定**: `~/.claude/package-manager.json` -6. **フォールバック**: 最初に利用可能なパッケージマネージャー - -お好みのパッケージマネージャーを設定するには： - -```bash -# 環境変数経由 -export CLAUDE_PACKAGE_MANAGER=pnpm - -# グローバル設定経由 -node scripts/setup-package-manager.js --global pnpm - -# プロジェクト設定経由 -node scripts/setup-package-manager.js --project bun - -# 現在の設定を検出 -node scripts/setup-package-manager.js --detect -``` - -または Claude Code で `/setup-pm` コマンドを使用。 - ---- - -## 含まれるもの - -このリポジトリは**Claude Codeプラグイン**です - 直接インストールするか、コンポーネントを手動でコピーできます。 - -``` -everything-claude-code/ -|-- .claude-plugin/ # プラグインとマーケットプレイスマニフェスト -| |-- plugin.json # プラグインメタデータとコンポーネントパス -| |-- marketplace.json # /plugin marketplace add 用のマーケットプレイスカタログ -| -|-- agents/ # 委任用の専門サブエージェント -| |-- planner.md # 機能実装計画 -| |-- architect.md # システム設計決定 -| |-- tdd-guide.md # テスト駆動開発 -| |-- code-reviewer.md # 品質とセキュリティレビュー -| |-- security-reviewer.md # 脆弱性分析 -| |-- build-error-resolver.md -| |-- e2e-runner.md # Playwright E2E テスト -| |-- refactor-cleaner.md # デッドコード削除 -| |-- doc-updater.md # ドキュメント同期 -| |-- go-reviewer.md # Go コードレビュー -| |-- go-build-resolver.md # Go ビルドエラー解決 -| |-- python-reviewer.md # Python コードレビュー（新規） -| |-- database-reviewer.md # データベース/Supabase レビュー（新規） -| -|-- skills/ # ワークフロー定義と領域知識 -| |-- coding-standards/ # 言語ベストプラクティス -| |-- backend-patterns/ # API、データベース、キャッシュパターン -| |-- frontend-patterns/ # React、Next.js パターン -| |-- continuous-learning/ # セッションからパターンを自動抽出（長文ガイド） -| |-- continuous-learning-v2/ # 信頼度スコア付き直感ベース学習 -| |-- iterative-retrieval/ # サブエージェント用の段階的コンテキスト精製 -| |-- strategic-compact/ # 手動圧縮提案（長文ガイド） -| |-- tdd-workflow/ # TDD 方法論 -| |-- security-review/ # セキュリティチェックリスト -| |-- eval-harness/ # 検証ループ評価（長文ガイド） -| |-- verification-loop/ # 継続的検証（長文ガイド） -| |-- golang-patterns/ # Go イディオムとベストプラクティス -| |-- golang-testing/ # Go テストパターン、TDD、ベンチマーク -| |-- cpp-testing/ # C++ テスト GoogleTest、CMake/CTest（新規） -| |-- django-patterns/ # Django パターン、モデル、ビュー（新規） -| |-- django-security/ # Django セキュリティベストプラクティス（新規） -| |-- django-tdd/ # Django TDD ワークフロー（新規） -| |-- django-verification/ # Django 検証ループ（新規） -| |-- python-patterns/ # Python イディオムとベストプラクティス（新規） -| |-- python-testing/ # pytest を使った Python テスト（新規） -| |-- quarkus-patterns/ # Quarkus アーキテクチャ、Camel、CDI、Panache パターン（新規） -| |-- quarkus-security/ # Quarkus セキュリティ: JWT/OIDC、RBAC、バリデーション（新規） -| |-- quarkus-tdd/ # Quarkus TDD: JUnit 5、Mockito、REST Assured（新規） -| |-- quarkus-verification/ # Quarkus 検証: ビルド、テスト、ネイティブコンパイル（新規） -| |-- springboot-patterns/ # Java Spring Boot パターン（新規） -| |-- springboot-security/ # Spring Boot セキュリティ（新規） -| |-- springboot-tdd/ # Spring Boot TDD（新規） -| |-- springboot-verification/ # Spring Boot 検証（新規） -| |-- configure-ecc/ # インタラクティブインストールウィザード（新規） -| |-- security-scan/ # AgentShield セキュリティ監査統合（新規） -| -|-- commands/ # スラッシュコマンド用クイック実行 -| |-- tdd.md # /tdd - テスト駆動開発 -| |-- plan.md # /plan - 実装計画 -| |-- e2e.md # /e2e - E2E テスト生成 -| |-- code-review.md # /code-review - 品質レビュー -| |-- build-fix.md # /build-fix - ビルドエラー修正 -| |-- refactor-clean.md # /refactor-clean - デッドコード削除 -| |-- learn.md # /learn - セッション中のパターン抽出（長文ガイド） -| |-- checkpoint.md # /checkpoint - 検証状態を保存（長文ガイド） -| |-- verify.md # /verify - 検証ループを実行（長文ガイド） -| |-- setup-pm.md # /setup-pm - パッケージマネージャーを設定 -| |-- go-review.md # /go-review - Go コードレビュー（新規） -| |-- go-test.md # /go-test - Go TDD ワークフロー（新規） -| |-- go-build.md # /go-build - Go ビルドエラーを修正（新規） -| |-- skill-create.md # /skill-create - Git 履歴からスキルを生成（新規） -| |-- instinct-status.md # /instinct-status - 学習した直感を表示（新規） -| |-- instinct-import.md # /instinct-import - 直感をインポート（新規） -| |-- instinct-export.md # /instinct-export - 直感をエクスポート（新規） -| |-- evolve.md # /evolve - 直感をスキルにクラスタリング -| |-- pm2.md # /pm2 - PM2 サービスライフサイクル管理（新規） -| |-- multi-plan.md # /multi-plan - マルチエージェント タスク分解（新規） -| |-- multi-execute.md # /multi-execute - オーケストレーション マルチエージェント ワークフロー（新規） -| |-- multi-backend.md # /multi-backend - バックエンド マルチサービス オーケストレーション（新規） -| |-- multi-frontend.md # /multi-frontend - フロントエンド マルチサービス オーケストレーション（新規） -| |-- multi-workflow.md # /multi-workflow - 一般的なマルチサービス ワークフロー（新規） -| -|-- rules/ # 常に従うべきガイドライン（~/.claude/rules/ にコピー） -| |-- README.md # 構造概要とインストールガイド -| |-- common/ # 言語非依存の原則 -| | |-- coding-style.md # イミュータビリティ、ファイル組織 -| | |-- git-workflow.md # コミットフォーマット、PR プロセス -| | |-- testing.md # TDD、80% カバレッジ要件 -| | |-- performance.md # モデル選択、コンテキスト管理 -| | |-- patterns.md # デザインパターン、スケルトンプロジェクト -| | |-- hooks.md # フック アーキテクチャ、TodoWrite -| | |-- agents.md # サブエージェントへの委任時機 -| | |-- security.md # 必須セキュリティチェック -| |-- typescript/ # TypeScript/JavaScript 固有 -| |-- python/ # Python 固有 -| |-- golang/ # Go 固有 -| -|-- hooks/ # トリガーベースの自動化 -| |-- hooks.json # すべてのフック設定（PreToolUse、PostToolUse、Stop など） -| |-- memory-persistence/ # セッションライフサイクルフック（長文ガイド） -| |-- strategic-compact/ # 圧縮提案（長文ガイド） -| -|-- scripts/ # クロスプラットフォーム Node.js スクリプト（新規） -| |-- lib/ # 共有ユーティリティ -| | |-- utils.js # クロスプラットフォーム ファイル/パス/システムユーティリティ -| | |-- package-manager.js # パッケージマネージャー検出と選択 -| |-- hooks/ # フック実装 -| | |-- session-start.js # セッション開始時にコンテキストを読み込む -| | |-- session-end.js # セッション終了時に状態を保存 -| | |-- pre-compact.js # 圧縮前の状態保存 -| | |-- suggest-compact.js # 戦略的圧縮提案 -| | |-- evaluate-session.js # セッションからパターンを抽出 -| |-- setup-package-manager.js # インタラクティブ PM セットアップ -| -|-- tests/ # テストスイート（新規） -| |-- lib/ # ライブラリテスト -| |-- hooks/ # フックテスト -| |-- run-all.js # すべてのテストを実行 -| -|-- contexts/ # 動的システムプロンプト注入コンテキスト（長文ガイド） -| |-- dev.md # 開発モード コンテキスト -| |-- review.md # コードレビューモード コンテキスト -| |-- research.md # リサーチ/探索モード コンテキスト -| -|-- examples/ # 設定例とセッション -| |-- CLAUDE.md # プロジェクトレベル設定例 -| |-- user-CLAUDE.md # ユーザーレベル設定例 -| -|-- mcp-configs/ # MCP サーバー設定 -| |-- mcp-servers.json # GitHub、Supabase、Vercel、Railway など -| -|-- marketplace.json # 自己ホストマーケットプレイス設定（/plugin marketplace add 用） -``` - ---- - -## エコシステムツール - -### スキル作成ツール - -リポジトリから Claude Code スキルを生成する 2 つの方法： - -#### オプション A：ローカル分析（ビルトイン） - -外部サービスなしで、ローカル分析に `/skill-create` コマンドを使用： - -```bash -/skill-create # 現在のリポジトリを分析 -/skill-create --instincts # 継続的学習用の直感も生成 -``` - -これはローカルで Git 履歴を分析し、SKILL.md ファイルを生成します。 - -#### オプション B：GitHub アプリ（高度な機能） - -高度な機能用（10k+ コミット、自動 PR、チーム共有）： - -[GitHub アプリをインストール](https://github.com/apps/skill-creator) | [ecc.tools](https://ecc.tools) - -```bash -# 任意の Issue にコメント： -/skill-creator analyze - -# またはデフォルトブランチへのプッシュで自動トリガー -``` - -両オプションで生成されるもの： -- **SKILL.mdファイル** - Claude Codeですぐに使えるスキル -- **instinctコレクション** - continuous-learning-v2用 -- **パターン抽出** - コミット履歴からの学習 - -### AgentShield — セキュリティ監査ツール - -Claude Code 設定の脆弱性、誤設定、インジェクションリスクをスキャンします。 - -```bash -# クイックスキャン（インストール不要） -npx ecc-agentshield scan - -# 安全な問題を自動修正 -npx ecc-agentshield scan --fix - -# Opus 4.6 による深い分析 -npx ecc-agentshield scan --opus --stream - -# ゼロから安全な設定を生成 -npx ecc-agentshield init -``` - -CLAUDE.md、settings.json、MCP サーバー、フック、エージェント定義をチェックします。セキュリティグレード（A-F）と実行可能な結果を生成します。 - -Claude Codeで`/security-scan`を実行、または[GitHub Action](https://github.com/affaan-m/agentshield)でCIに追加できます。 - -[GitHub](https://github.com/affaan-m/agentshield) | [npm](https://www.npmjs.com/package/ecc-agentshield) - -### 継続的学習 v2 - -instinctベースの学習システムがパターンを自動学習： - -```bash -/instinct-status # 信頼度付きで学習したinstinctを表示 -/instinct-import # 他者のinstinctをインポート -/instinct-export # instinctをエクスポートして共有 -/evolve # 関連するinstinctをスキルにクラスタリング -``` - -完全なドキュメントは`skills/continuous-learning-v2/`を参照してください。 - ---- - -## 要件 - -### Claude Code CLI バージョン - -**最小バージョン: v2.1.0 以上** - -このプラグインは Claude Code CLI v2.1.0+ が必要です。プラグインシステムがフックを処理する方法が変更されたためです。 - -バージョンを確認： -```bash -claude --version -``` - -### 重要: フック自動読み込み動作 - -> WARNING: **貢献者向け:** `.claude-plugin/plugin.json`に`"hooks"`フィールドを追加しないでください。これは回帰テストで強制されます。 - -Claude Code v2.1+は、インストール済みプラグインの`hooks/hooks.json`（規約）を自動読み込みします。`plugin.json`で明示的に宣言するとエラーが発生します： - -``` -Duplicate hook file detected: ./hooks/hooks.json is already resolved to a loaded file -``` - -**背景:** これは本リポジトリで複数の修正/リバート循環を引き起こしました（[#29](https://github.com/affaan-m/everything-claude-code/issues/29), [#52](https://github.com/affaan-m/everything-claude-code/issues/52), [#103](https://github.com/affaan-m/everything-claude-code/issues/103)）。Claude Codeバージョン間で動作が変わったため混乱がありました。今後を防ぐため回帰テストがあります。 - ---- - -## インストール - -### オプション1：プラグインとしてインストール（推奨） - -このリポジトリを使用する最も簡単な方法 - Claude Codeプラグインとしてインストール： - -```bash -# このリポジトリをマーケットプレイスとして追加 -/plugin marketplace add https://github.com/affaan-m/ECC - -# プラグインをインストール -/plugin install ecc@ecc -``` - -または、`~/.claude/settings.json` に直接追加： +`~/.claude/settings.json` に直接追加します。 ```json { @@ -441,7 +290,7 @@ Duplicate hook file detected: ./hooks/hooks.json is already resolved to a loaded "ecc": { "source": { "source": "github", - "repo": "affaan-m/everything-claude-code" + "repo": "affaan-m/ECC" } } }, @@ -451,102 +300,785 @@ Duplicate hook file detected: ./hooks/hooks.json is already resolved to a loaded } ``` -これで、すべてのコマンド、エージェント、スキル、フックにすぐにアクセスできます。 +これにより、上記の二つの `/plugin` コマンドと同じ結果が得られます。 +
-> **注:** Claude Codeプラグインシステムは`rules`をプラグイン経由で配布できません（[アップストリーム制限](https://code.claude.com/docs/en/plugins-reference)）。ルールは手動でインストールする必要があります： -> -> ```bash -> # まずリポジトリをクローン -> git clone https://github.com/affaan-m/everything-claude-code.git -> -> # オプション A：ユーザーレベルルール（すべてのプロジェクトに適用） -> mkdir -p ~/.claude/rules -> cp -r everything-claude-code/rules/common ~/.claude/rules/common -> cp -r everything-claude-code/rules/typescript ~/.claude/rules/typescript # スタックを選択 -> cp -r everything-claude-code/rules/python ~/.claude/rules/python -> cp -r everything-claude-code/rules/golang ~/.claude/rules/golang -> -> # オプション B：プロジェクトレベルルール（現在のプロジェクトのみ） -> mkdir -p .claude/rules -> cp -r everything-claude-code/rules/common .claude/rules/common -> cp -r everything-claude-code/rules/typescript .claude/rules/typescript # スタックを選択 -> ``` +
+命名と移行に関する注記（ecc@ecc、affaan-m/ECC、ecc-universal） ---- +ECC には三つの公開識別子があり、これらは互いに置き換えられません。 -### オプション2：手動インストール +- GitHub ソースリポジトリ: `affaan-m/ECC` +- Claude マーケットプレイス/plugin 識別子: `ecc@ecc` +- npm パッケージ: `ecc-universal` -インストール内容を手動で制御したい場合： +これは意図的なものです。Anthropic のマーケットプレイス/plugin インストールは正規の plugin 識別子をキーとするため、ECC は厳格な Desktop/API バリデーターに対してツール名とスラッシュコマンドの名前空間を十分に短く保つために `ecc@ecc` を使用しています。古い投稿には以前の長いマーケットプレイス識別子が残っている場合がありますが、それはレガシーエイリアスとしてのみ扱ってください。一方、npm パッケージは `ecc-universal` のままなので、npm インストールとマーケットプレイスインストールは意図的に異なる名前を使用しています。 + +npm リリースはコミットごとではなくバージョンタグごとに切られるため、`ecc-universal` は `main` へのすべてのプッシュではなく、リリース（2.1、2.2、...）を追跡します。最新の開発版が必要な場合は git からインストールしてください。 + +ローカルの Claude セットアップが消去またはリセットされた場合でも、何かを買い直す必要があるわけではありません。まず `node scripts/ecc.js list-installed` から始め、次に `node scripts/ecc.js doctor` と `node scripts/ecc.js repair` を実行してから再インストールしてください。通常はこれで、セットアップを組み直すことなく ECC 管理のファイルが復元されます。 +
+ +### Codex App と CLI + +現在の Codex リリースでは、ECC をネイティブのリポジトリマーケットプレイス plugin としてインストールできます。マーケットプレイスエントリはリポジトリルートを使用するため、Codex のキャッシュはマニフェストとともに、参照されるすべての skills、MCP 設定、hook ランタイム、スクリプト、アセットを受け取ります。 ```bash -# リポジトリをクローン -git clone https://github.com/affaan-m/everything-claude-code.git - -# エージェントを Claude 設定にコピー -cp everything-claude-code/agents/*.md ~/.claude/agents/ - -# ルール（共通 + 言語固有）をコピー -cp -r everything-claude-code/rules/common ~/.claude/rules/common -cp -r everything-claude-code/rules/typescript ~/.claude/rules/typescript # スタックを選択 -cp -r everything-claude-code/rules/python ~/.claude/rules/python -cp -r everything-claude-code/rules/golang ~/.claude/rules/golang - -# コマンドをコピー -cp everything-claude-code/commands/*.md ~/.claude/commands/ - -# スキルをコピー -cp -r everything-claude-code/skills/* ~/.claude/skills/ +codex plugin marketplace add affaan-m/ECC +codex plugin add ecc@ecc +codex plugin list --json +node scripts/codex/check-plugin-cache.js ``` -#### settings.json にフックを追加 +どちらの add コマンドも冪等です。後で更新するには、`codex plugin marketplace upgrade ecc` に続けて `codex plugin add ecc@ecc` を実行します。Codex はアクティブな `CODEX_HOME` に一つの有効化された plugin 状態を保存し、Claude の `user`、`project`、`local` スコープは提供しません。そのネイティブ hooks は明示的な信頼の決定を必要とし、Claude の四つの ECC hook プロファイルは使用しません。Codex 内では、ガイド付きのプロバイダー対応フローとして `$configure-ecc` を呼び出してください。 -手動インストール時のみ、`hooks/hooks.json` のフックを `~/.claude/settings.json` にコピーします。 +従来の `scripts/sync-ecc-to-codex.sh` パスは、`~/.codex` にコピーおよびマージされた設定を意図的に必要とするユーザー向けの非推奨互換オプションであり、ネイティブ plugin には不要です。新しい同期の実行では所有権マニフェストを書き出すため、クリーンアップ時に変更されたユーザーファイルを保護できます。まず Codex を一度実行して `~/.codex/config.toml` が存在する状態にしてから、次を実行します。 -`/plugin install` で ECC を導入した場合は、これらのフックを `settings.json` にコピーしないでください。Claude Code v2.1+ はプラグインの `hooks/hooks.json` を自動読み込みするため、二重登録すると重複実行や `${CLAUDE_PLUGIN_ROOT}` の解決失敗が発生します。 +```bash +git clone https://github.com/affaan-m/ECC.git +cd ECC +npm install +bash scripts/sync-ecc-to-codex.sh +``` -#### MCP を設定 +Codex の会話やネイティブ plugin キャッシュに触れずに、そのレガシーレイヤーを確認または削除するには次を実行します。 -`mcp-configs/mcp-servers.json` から必要な MCP サーバーを `~/.claude.json` にコピーします。 +```bash +node scripts/ecc.js uninstall --legacy-codex-sync --dry-run +node scripts/ecc.js uninstall --legacy-codex-sync +``` -**重要:** `YOUR_*_HERE`プレースホルダーを実際のAPIキーに置き換えてください。 +マニフェスト以前のインストールは保守的に扱われます。ECC はマークされた `AGENTS.md` ブロックを削除しますが、所有を証明できないコピー済みファイルは保持し、レビュー用に報告します。 ---- +プロジェクトローカルのセットアップとして、ECC リポジトリを Codex で直接開くこともできます。Codex はグローバル同期なしで、ルートの `AGENTS.md` と `.codex/` 内の信頼済みプロジェクト設定を読み取ります。同期フローの上にネイティブマーケットプレイス plugin を追加しないでください。 -## 主要概念 +リポジトリのナビゲーション、サーフェスの所有権、PR 差分パケットのガイダンスについては、[Codex ECC Navigation Map](../CODEX-NAVIGATION-GUIDE.md) を参照してください。ネイティブライフサイクルの詳細は [.codex plugin notes](../../.codex-plugin/README.md) を参照してください。 -### エージェント +### その他のエージェントとエディター -サブエージェントは限定的な範囲のタスクを処理します。例： +
+Cursor、OpenCode、Gemini、Zed、Antigravity、Qwen、Hermes、OpenClaw、Kimi、CodeBuddy、JoyCode、Copilot + +ECC を一度クローンし、使用しているハーネスに合ったターゲットを選択します。 + +```bash +git clone https://github.com/affaan-m/ECC.git +cd ECC +``` + +| ハーネス | インストールまたはセットアップ | 備考 | +|---|---|---| +| Cursor | `./install.sh --profile minimal --target cursor` | プロジェクトローカルの `.cursor/` アダプター | +| OpenCode | `npm install && npm run build:opencode && ./install.sh --profile full --target opencode --enable-hooks` | フルインストールの前に plugin ペイロードをビルド | +| Gemini CLI | `./install.sh --profile minimal --target gemini` | プロジェクトローカルの `.gemini/` 設定 | +| Zed | `./install.sh --profile minimal --target zed` | プロジェクトローカルの `.zed/` アダプター | +| Antigravity | `./install.sh --profile minimal --target antigravity` | [Antigravity ガイド](../ANTIGRAVITY-GUIDE.md)を参照 | +| Qwen CLI | `./install.sh --profile minimal --target qwen` | [Qwen ガイド](../QWEN-GUIDE.md)を参照 | +| Hermes | `./install.sh --profile minimal --target hermes` | [Hermes セットアップガイド](../HERMES-SETUP.md)を参照 | +| OpenClaw | `./install.sh --profile minimal --target openclaw` | 管理されたホームディレクトリインストール | +| Kimi Code CLI | `./install.sh --profile minimal --target kimi` | プロジェクトローカルの `.kimi-code/` インストール · [Kimi Code を入手](https://www.kimi.com/code?aff=ecc) | +| CodeBuddy | `./install.sh --profile minimal --target codebuddy` | プロジェクトローカルの `.codebuddy/` インストール | +| JoyCode | `./install.sh --profile minimal --target joycode` | プロジェクトローカルの `.joycode/` インストール | + +GitHub Copilot のサポートはすでにこのリポジトリに含まれています。`.github/copilot-instructions.md` が指示レイヤーを提供し、`.github/prompts/` には再利用可能な `/plan`、`/tdd`、`/security-review`、`/build-fix`、`/refactor` のプロンプトが含まれ、`.vscode/settings.json` が `chat.promptFiles` を有効にします。 + +ネイティブの ECC ターゲットがないハーネスには、[手動適用ガイド](../MANUAL-ADAPTATION-GUIDE.md)を使用してください。hooks やネイティブの skill 検出が利用できるふりをせずに、少数の ECC skills とワークフロー指示をチャット型ツールに持ち込む方法を説明しています。 + +Cursor は agent 定義を `.cursor/agents/ecc-*.md` 配下にインストールします。Cursor ネイティブのロード動作は Cursor のビルドによって異なる場合があります。ECC はルートの `AGENTS.md` を `.cursor/` にインストールしません。このアダプターは Cursor のコンテキストをネイティブの rules と agent サーフェスに限定します。 + +ハーネスごとの詳細な注記（機能の同等性、hook アダプター、制限事項）は、下記の[プラットフォームサポート](#プラットフォームサポート)にあります。 +
+ +## 高度なインストールオプション + +
+hook ランタイムなしの低コンテキストインストール + +### 低コンテキスト / hooks なしパス + +ランタイム hooks なしで ECC の rules、agents、commands、プラットフォーム設定、コアワークフローを使いたい場合はこちらを使用します。 + +```bash +npx ecc-universal@2.2.1 install --profile minimal --target claude +``` + +ソースチェックアウトからの同等のコマンドは次のとおりです。 + +```bash +./install.sh --profile minimal --target claude +``` + +Windows: + +```powershell +.\install.ps1 --profile minimal --target claude +``` + +このプロファイルは意図的に `hooks-runtime` を除外しています。 + +Claude の手動インストールでは、Claude Code が検出できるように各 skill を `~/.claude/skills//`（`claude-project` の場合は `.claude/skills//`）の直下に配置します。古い ECC 手動インストールをアップグレードする場合、インストーラーは ECC のインストール状態に記録されたネストされた `skills/ecc/` ファイルのみを移行します。フラットな skill ディレクトリがユーザー所有の場合、ECC はそれを保持して競合の警告を表示し、ユーザーファイルを上書きする代わりに、古い管理コピーを安全なアンインストールのために追跡し続けます。 + +hooks を無効にした通常の core プロファイルの場合: + +```bash +./install.sh --profile core --without baseline:hooks --target claude +./install.sh --profile core --no-hooks --target claude +``` + +hook ランタイムが必要になった場合にのみ、後から追加します。 + +```bash +./install.sh --target claude --modules hooks-runtime --enable-hooks +``` + +プロファイルまたはモジュールによって hook ランタイムが実体化されるインストールでは、 +明示的な決定が必要です。`--enable-hooks` も `--no-hooks` も指定されていない場合、 +インストーラーは hooks でできることを表示し、何も書き込まずに停止します。ガイド付き +インストーラー（`ecc install --guided`）はこの選択を対話的に尋ねます。 +
+ +
+必要なコンポーネントだけを選ぶ + +### まず適切なコンポーネントを見つける + +同梱のアドバイザーに、あなたの作業に合うコンポーネントを尋ねてください。 + +```bash +node scripts/ecc.js consult "security reviews" --target claude +``` + +一致するコンポーネント、関連するプロファイル、プレビュー/インストールコマンドが返されます。正確なファイル計画を確認したい場合は、インストール前にプレビューコマンドを使用してください。 + +明示的に skills や capability を指定してインストールすることもできます。 + +```bash +./install.sh --target claude --skills tdd-workflow,security-review +node scripts/ecc.js install --profile minimal --target claude --with capability:machine-learning +``` + +コンポーネントごとの手動コピーも可能です。各コンポーネントは完全に独立しています。 + +```bash +# agents のみ +cp agents/*.md ~/.claude/agents/ + +# rules ディレクトリ（common + 言語固有） +mkdir -p ~/.claude/rules/ecc +cp -r rules/common ~/.claude/rules/ecc/ +cp -r rules/typescript ~/.claude/rules/ecc/ # 使用しているスタックを選択 + +# コア/汎用 skills のみ（Claude Code は ~/.claude/skills の直下から skills をロードします。 +# 手動インストールを ~/.claude/skills/ecc/ 配下にネストしないでください） +mkdir -p ~/.claude/skills +cp -r .agents/skills/* ~/.claude/skills/ +cp -r skills/search-first ~/.claude/skills/ + +# オプション: 移行期間中に維持されるスラッシュコマンド互換 +mkdir -p ~/.claude/commands +cp commands/*.md ~/.claude/commands/ +``` + +廃止されたシムは `legacy-command-shims/` にあります。`/tdd` などの古い名前がまだ必要な場合にのみ、そこから個別のファイルをコピーしてください。 +
+ +
+グローバル rules の代わりにプロジェクトローカル rules を使う + +ECC の標準をすべての Claude Code セッションではなく一つのリポジトリにだけ適用したい場合は、プロジェクトローカル rules を使用します。 + +```bash +cd your-project +mkdir -p .claude/rules/ecc +cp -R /path/to/ECC/rules/common .claude/rules/ecc/ +cp -R /path/to/ECC/rules/typescript .claude/rules/ecc/ +``` + +rules は常時ロードされるコンテキストなので、`common` と実際に使用しているスタックのパック一つから始めてください。rules を手動でコピーする際は、相対参照が機能し続け、ファイル名が衝突しないように、中のファイルではなく言語ディレクトリ全体（たとえば `rules/common` や `rules/golang`）をコピーしてください。 +
+ +
+完全手動の Claude インストール + +plugin パスを意図的にスキップする場合にのみ使用してください。 + +```bash +git clone https://github.com/affaan-m/ECC.git +cd ECC +./install.sh --profile full +``` + +Windows: + +```powershell +git clone https://github.com/affaan-m/ECC.git +cd ECC +.\install.ps1 --profile full +``` + +このパスを選んだ場合は、そこで止めてください。`/plugin install` を追加で実行しないでください。 + +厳選した手動インストールの場合、Claude は `~/.claude/skills/` の直下の子として skills を検出します。`~/.claude/skills/ecc/` 配下にネストしないでください。 + +#### hooks のインストール + +リポジトリの生の `hooks/hooks.json` を `~/.claude/settings.json` や `~/.claude/hooks/hooks.json` にコピーしないでください。そのファイルは plugin/リポジトリ向けのものです。hook コマンドのパスが正しく書き換えられるよう、インストーラーを使用してください。 + +```bash +bash ./install.sh --target claude --modules hooks-runtime --enable-hooks +``` + +これにより hook スクリプトが `~/.claude/` 配下にインストールされ、解決済みの +hook エントリが `~/.claude/settings.json` に登録されます。既存のユーザー設定と hooks は +保持されます。ECC 所有のエントリは安定した ID で追跡されるため、冪等な更新と +安全なアンインストールが可能です。 + +`/plugin install` で ECC をインストールした場合は、それらの hooks を `settings.json` にコピーしないでください。Claude Code v2.1+ はすでに plugin の `hooks/hooks.json` を自動ロードしており、`settings.json` に重複させると二重実行やクロスプラットフォームの hook 競合が発生します。 + +Windows では、Claude の設定ルートは `%USERPROFILE%\.claude` です。hook ランタイムは次のようにインストールしてください。 + +```powershell +pwsh -File .\install.ps1 --target claude --modules hooks-runtime --enable-hooks +``` + +#### MCP の設定 + +Claude plugin インストールは、ECC に同梱された MCP サーバー定義を意図的に自動有効化しません。これにより、厳格なサードパーティゲートウェイでの plugin MCP ツール名の長すぎる問題を回避しつつ、手動での MCP セットアップは引き続き可能です。 + +稼働中の Claude Code サーバー変更には、Claude Code の `/mcp` コマンドまたは CLI 管理の MCP セットアップを使用してください。Claude Code はそれらの選択を `~/.claude.json` に永続化します。リポジトリローカルの MCP アクセスには、`mcp-configs/mcp-servers.json` から必要な MCP サーバー定義をプロジェクトスコープの `.mcp.json` にコピーしてください。 + +ECC が同梱するデフォルトコネクターはちょうど一つ（`chrome-devtools`）だけです。それ以外はすべて CLI/REST API をラップする skill か、オプトインのカタログエントリです。このルールと、以前の六つのデフォルトを廃止した 2026年6月の監査は [docs/MCP-CONNECTOR-POLICY.md](../MCP-CONNECTOR-POLICY.md) にあります。 + +ECC 同梱の MCP を自分でも別途実行している場合は、次を設定してください。 + +```bash +export ECC_DISABLED_MCPS="chrome-devtools" +``` + +ECC 管理のインストールおよび Codex 同期フローは、重複を再追加する代わりに、それらの同梱サーバーをスキップまたは削除します。`ECC_DISABLED_MCPS` は ECC のインストール/同期フィルターであり、稼働中の Claude Code のトグルではありません。 + +**重要:** `YOUR_*_HERE` プレースホルダーを実際の API キーに置き換えてください。 +
+ +
+マルチモデル commands には追加のセットアップが必要 + +`multi-*` commands は、基本の plugin/rules インストールには**含まれていません**。 + +`/multi-plan`、`/multi-execute`、`/multi-backend`、`/multi-frontend`、`/multi-workflow` を使用するには、`ccg-workflow` ランタイムもインストールする必要があります。[上流の CCG インストールガイド](https://github.com/fengshao1227/ccg-workflow#readme)を使って正確なリリースを選択・レビューし、そのインストール済みランタイムを初期化してください。ECC は CCG を同梱しておらず、互換性があり監査済みの CCG リリースを保証するものでもありません。このガイドは、特定されていないレジストリバージョンをブートストラップしません。 + +このランタイムは、これらの commands が期待する外部依存関係を提供します。たとえば次のものです。 + +- `~/.claude/bin/codeagent-wrapper` +- `~/.claude/.ccg/prompts/*` + +`ccg-workflow` がない場合、これらの `multi-*` commands は正しく動作しません。 +
+ +
+リセット、修復、またはアンインストール + +### ECC のリセット / アンインストール + +ユニバーサルパッケージからインストールした場合は、インストール時に使用したのと同じ +プロジェクトディレクトリから次のコマンドを実行してください。 + +```bash +npx ecc-universal@2.2.1 list-installed +npx ecc-universal@2.2.1 doctor +npx ecc-universal@2.2.1 repair +npx ecc-universal@2.2.1 uninstall --dry-run +npx ecc-universal@2.2.1 uninstall +``` + +ソースチェックアウトからの場合は、再インストールの前に管理状態を確認してください。 + +```bash +node scripts/ecc.js list-installed +node scripts/ecc.js doctor +node scripts/ecc.js repair +node scripts/ecc.js uninstall --dry-run +``` + +ソースチェックアウトから直接アンインストールするには次を実行します。 + +```bash +node scripts/uninstall.js --dry-run +node scripts/uninstall.js +``` + +ECC をやめる場合、アンインストールコマンドは任意の[20秒フィードバックフォーム](https://github.com/affaan-m/ECC/issues/new?template=quick-feedback.yml)を表示します。これは公開の GitHub issue であり、アンインストールを妨げることはなく、ECC が診断情報をアップロードすることもありません。問題報告、フィードバック、機能要望の窓口を確認するには、いつでも `ecc feedback` を実行できます。 + +plugin ユーザーは Claude Code から plugin を削除し、その後、手動でコピーして不要になった rule フォルダーだけを削除してください。ECC はインストール状態に記録されたファイルのみを削除します。ハーネスディレクトリ内の無関係なファイルを自分のものとして扱うことはありません。 + +複数の方法を重ねてしまった場合は、次の順序でクリーンアップしてください。 + +1. Claude Code plugin のインストールを削除します。 +2. 管理対象の install-state を含むプロジェクトディレクトリから ECC のアンインストールコマンドを実行します。 +3. 手動でコピーした、もう不要な rules フォルダーを削除します。 +4. 単一の経路を使って一度だけ再インストールします。 +
+ +## ECC を使い始める + +カタログ全体ではなく、必要なワークフローから始めましょう。 + +| やりたいこと | ここから始める | +|---|---| +| 機能を構築する | `/ecc:plan "describe the feature"`、その後 `tdd-workflow` | +| バグを修正する | 失敗するテストで再現してから `tdd-workflow` を使用 | +| 新しいコードをレビューする | `/code-review` で新しいコンテキストからのレビュー | +| ビルドを修復する | `/build-fix` | +| コードベースをクリーンアップする | `/refactor-clean` | +| コンテキストの圧迫を確認する | `/context-budget` | +| 長いセッションを終える | `/save-session` または `/learn-eval` | +| 後で再開する | `/resume-session` | +| agent 設定を監査する | レビュー済みのスキャナーで `/security-scan`、またはインストール済みの `agentshield scan --path .` | + +
+Plugin コマンドと手動コマンド + +Claude Code の plugin コマンドはネームスペース付きの形式を使います： + +```text +/ecc:plan "Add authentication" +``` + +手動インストールでは、より短い互換形式が使える場合があります： + +```text +/plan "Add authentication" +``` + +Skills が主要なワークフローの入口です。コマンドは便利なエントリーポイントおよび互換シムとして残っています。インストール済みの内容は次のコマンドで確認できます： + +```bash +/plugin list ecc@ecc +``` +
+ +
+どの agent を使えばよいですか？ + +Skills が正規のワークフローの入口です。メンテナンスされているスラッシュエントリーは、コマンドファーストのワークフロー向けに引き続き利用できます。 + +| やりたいこと | 使う入口 | 使用される agent | +|--------------|-----------------|------------| +| 新機能を計画する | `/ecc:plan "Add auth"` | planner | +| システムアーキテクチャを設計する | `/ecc:plan` + architect agent | architect | +| テストファーストでコードを書く | `tdd-workflow` skill | tdd-guide | +| 書いたばかりのコードをレビューする | `/code-review` | code-reviewer | +| 失敗するビルドを修正する | `/build-fix` | build-error-resolver | +| エンドツーエンドテストを実行する | `e2e-testing` skill | e2e-runner | +| セキュリティ脆弱性を見つける | `/security-scan` | security-reviewer | +| デッドコードを削除する | `/refactor-clean` | refactor-cleaner | +| ドキュメントを更新する | `/update-docs` | doc-updater | +| Go コードをレビューする | `/go-review` | go-reviewer | +| Python コードをレビューする | `/python-review` | python-reviewer | +| F# コードをレビューする | *（`fsharp-reviewer` を直接呼び出す）* | fsharp-reviewer | +| TypeScript/JavaScript コードをレビューする | *（`typescript-reviewer` を直接呼び出す）* | typescript-reviewer | +| HarmonyOS アプリを開発する | *（`harmonyos-app-resolver` を直接呼び出す）* | harmonyos-app-resolver | +| データベースクエリを監査する | *（自動委譲）* | database-reviewer | +| 本番 ML の変更をレビューする | `mle-workflow` skill + `mle-reviewer` agent | mle-reviewer | + +
+ +
+よくあるワークフロー + +以下のスラッシュ形式は、メンテナンスされているコマンド群に残っているものを示しています。`/tdd` や `/eval` のような廃止された短縮名シムは、明示的なオプトイン専用として `legacy-command-shims/` にあります。 + +**新機能を始める：** +``` +/ecc:plan "Add user authentication with OAuth" + -> planner creates implementation blueprint +tdd-workflow skill -> tdd-guide enforces write-tests-first +/code-review -> code-reviewer checks your work +``` + +**バグを修正する：** +``` +tdd-workflow skill -> tdd-guide: write a failing test that reproduces it + -> implement the fix, verify test passes +/code-review -> code-reviewer: catch regressions +``` + +**本番環境に向けた準備：** +``` +/security-scan -> security-reviewer: OWASP Top 10 audit +e2e-testing skill -> e2e-runner: critical user flow tests +/test-coverage -> verify 80%+ coverage +``` +
+ +## セルフホストモデルとカスタムエンドポイント + +ECC は各ハーネスの通常の設定を通じて動作するため、ECC のワークフローを変更することなく、公式プロバイダー、互換性のあるカスタム API エンドポイントやモデルゲートウェイ、あるいはセルフホストモデルを利用できます。 + +Claude Code について、ECC は Anthropic ホストのトランスポート設定をハードコードしていません。最小限のゲートウェイの例： + +```bash +export ANTHROPIC_BASE_URL=https://your-gateway.example.com +export ANTHROPIC_AUTH_TOKEN=your-token +claude +``` + +ゲートウェイがモデル名を再マッピングする場合は、ECC ではなく Claude Code 側で設定してください。`claude` CLI がすでに動作している状態であれば、ECC の hooks、skills、コマンド、rules はモデルプロバイダーに依存しません。Anthropic の [LLM ゲートウェイドキュメント](https://docs.anthropic.com/en/docs/claude-code/llm-gateway) と [モデル設定ドキュメント](https://docs.anthropic.com/en/docs/claude-code/model-config) を参照してください。 + +そのゲートウェイの背後で任意のオープンソースモデルを実行またはセルフホストするには、別途コンピュートとサービングのセットアップが必要です。GPU 容量が必要な場合、[Itô](https://compute.itomarkets.com) は ECC の推奨コンピュートスポンサーですが、どの GPU プロバイダーでも動作します。このスポンサーシップのリンクは受動的なものです。RFQ の発行、容量の予約、コンピュートのプロビジョニング、サービングの設定は行いません。これとは別に、`ecc ito find` は明示的に設定された正規の Itô CLI を呼び出し、認証済みのライブ RFQ を送信しますが、容量の予約は行いません。Itô によるマネージド推論はまだ提供されていません。 + +### ECC + Itô コンピュートで Kimi をセルフホストする + +Kimi Code ハーネスとモデルサービングレイヤーは別物です。ECC は agent ハーネスを設定します。API エンドポイントを用意する（[Kimi API キーを取得](https://platform.kimi.ai?aff=ecc)）か、自身の GPU 容量でオープンウェイトの Kimi モデルをセルフホストするのはユーザー側です。このアダプターは Kimi Code 0.31.x（`@moonshot-ai/kimi-code`）で検証済みです： + + + + + + + +
+ + Itô Markets
+ 1. GPU 容量を確保する +
+ Itô または任意の GPU プロバイダーを利用します。 +		 + + Moonshot AI - Kimi
+ 2. Kimi をサーブする +
+ 選択したチェックポイントを互換エンドポイント経由で公開します。 +		 + + ECC Tools
+ 3. ECC で Kimi Code を実行する +
+ プロジェクトの指示と skills をインストールし、Kimi Code を起動します。 +
+ +Kimi Code の公式プロバイダーガイドに従ってエンドポイントを設定し、ECC をインストールします： + +```bash +bash ./install.sh --target kimi --profile minimal +node scripts/ecc.js doctor --target kimi +kimi +``` + +Kimi Code はインストールされた `.kimi-code/AGENTS.md` の指示と `.kimi-code/skills/` のワークフローをネイティブに検出します。プロジェクトレベルの `.agents/skills/` も公式の検出場所です。ECC はプロジェクトの MCP エントリーを `.kimi-code/mcp.json` に安全にマージし、ユーザーレベルの `~/.kimi-code/config.toml` は変更しません。Kimi Code はネイティブ hooks をサポートしていますが、ECC の現在のマネージドプロジェクトアダプターはそれらを設定しないため、このインストーラーは Kimi の hook プロファイルを提供しません。インストーラーのドライランと回帰テストスイートにより、マネージドな Kimi への書き込みがすべてプロジェクトローカルの `.kimi-code/` ルート内に収まることが検証されています。 + +### Itô コンピュート CLI ブリッジ + +`ecc ito` は別途インストールされた正規の Itô クライアントに委譲します。ECC は 2 つ目の API クライアントを保守しません。`ecc ito login [--no-browser]` はデバイス認可を実行し、デフォルトで Itô の検証ページを開き、デバイストークンを macOS Keychain に保存します。`--no-browser` はページの引き渡しを抑制します。ECC 自体はブラウザ自動化を行いません。`ecc ito auth` は検証専用で、`--no-browser` を拒否します。利用可能な操作は `ecc ito login`、`ecc ito auth`、`ecc ito find`、`ecc ito status`、および別途ゲートされた `ecc ito evals` です。対応する MCP ツールは引き続き `ito_auth`、`ito_find`、`ito_status` です。`ito_auth` は既存の認証情報を検証し、ノード資格の確認は CLI 専用です。 + +`ito-compute-cli` パッケージは現在未公開です。Itô ランタイムリポジトリ（デスクの堅牢化が進むまで非公開。デザインパートナーにはアクセス権が提供されます）の `cli/ito-compute-cli` からローカルでビルドし、`npm ci` と `npm run check` を実行してから、`ECC_ITO_CLI_EXECUTABLE` にそのビルドの `dist/bin/ito.js` の絶対パスを設定してください。login は `ITO_API_KEY` を決して継承しません。auth、find、status は設定されていれば `ITO_API_KEY` を直接転送し、`ITO_AUTH_MODE=legacy` は不要です。`ecc ito logout` は現在のデバイス認証情報を失効させ、リモートでの失効が確認できない場合はローカルコピーを保持します。デバイストークンはデフォルトで macOS Keychain を使用します。明示的なファイルフォールバックでは、所有者のみがアクセスできるディレクトリ/ファイルのパーミッションを維持する必要があります。ECC はこの認証情報を持つクライアントを `PATH` 経由で検出しません。RFQ の権限と MCP セットアップの契約の全容については [`ito-compute` skill](../../skills/ito-compute/SKILL.md) を参照してください。 + +`find` は認証済みのライブ RFQ を送信します。容量の予約は行いません。`evals` には `ITO_ENABLE_SIXTYTWO_LIVE=1` と `--live-sixtytwo` の両方、別途インストールされた `sixtytwo-cli==0.3.33`、明示的なノードリスト、および既存の絶対パスの設定ディレクトリが必要です。レンタル、起動、復旧、修復、購入はできません。ECC は見積もりロック、購入、ワークロード、推論のいずれの経路も公開せず、クライアントの欠如やライブ呼び出しの失敗をローカルの結果で置き換えることも決してありません。 + +## 新機能 + +現在のリリース：**2.2.1**（2026-08-31）。2.2 系のハイライト： + +- Claude Code、Codex、Kimi Code にわたるガイド付きのマニフェスト駆動セットアップ。install-state の所有権管理、doctor、repair、uninstall を備えています。 +- ネイティブの Antigravity インストール、薄い Pi アダプター、そして Linux、macOS、Windows でテストされたパック済みアーティファクトのリリースゲート。 +- Plan Canvas によるブラウザレビュー、統合メモリボールト（`ecc memory`）、Itô コンピュート skill ファミリー。 + +完全な履歴：[CHANGELOG.md](../../CHANGELOG.md)。リリースごとのノートとエビデンスは [docs/releases/](../releases/) にあります。 + +### v2.0.0: Agent Harness Operating System（2026年6月） + +2.0 系の安定版への昇格：コントロールペーン基盤、worktree ライフサイクルサービス、`orch-*` オーケストレーターファミリー、Discord コミュニティ。ノート：[docs/releases/2.0.0/release-notes.md](../releases/2.0.0/release-notes.md)。 + +## 中身 + +```text +ECC/ +|-- agents/ # 委譲用の 68 の専門サブエージェント +|-- skills/ # オンデマンドで読み込まれる 292 の再利用可能なワークフロー +|-- commands/ # メンテナンスされている 94 のスラッシュコマンドシム +|-- rules/ # オプトインの共通標準と言語別標準 +|-- hooks/ # ランタイムの自動化と強制 +|-- scripts/ # インストール、修復、同期、オーケストレーション、チェック +|-- .claude-plugin/ # Claude Code マーケットプレイスマニフェスト +|-- .codex/ # Codex リファレンス設定と agent ロール +|-- .opencode/ # OpenCode plugin、コマンド、指示 +|-- .cursor/ # Cursor rules と hook アダプター +|-- docs/ # 公開されたセットアップ、アーキテクチャ、運用ガイド +``` + +ルートが信頼できる唯一の情報源です。プラットフォームアダプターは、別のコピーを保守するのではなく、これらの同じワークフローをパッケージ化またはマッピングします。 + +
+注釈付きコンポーネントカタログ + +``` +ECC/ +|-- .claude-plugin/ # Plugin とマーケットプレイスのマニフェスト +| |-- plugin.json # Plugin メタデータとコンポーネントパス +| |-- marketplace.json # /plugin marketplace add 用のマーケットプレイスカタログ +| +|-- agents/ # 委譲用の 67 の専門サブエージェント +| |-- planner.md # 機能実装の計画 +| |-- architect.md # システム設計の意思決定 +| |-- tdd-guide.md # テスト駆動開発 +| |-- code-reviewer.md # 品質とセキュリティのレビュー +| |-- security-reviewer.md # 脆弱性分析 +| |-- build-error-resolver.md +| |-- e2e-runner.md # Playwright E2E テスト +| |-- refactor-cleaner.md # デッドコードのクリーンアップ +| |-- doc-updater.md # ドキュメントの同期 +| |-- docs-lookup.md # ドキュメント/API の検索 +| |-- chief-of-staff.md # コミュニケーションのトリアージと下書き +| |-- loop-operator.md # 自律ループの実行 +| |-- harness-optimizer.md # ハーネス設定のチューニング +| |-- cpp-reviewer.md # C++ コードレビュー +| |-- cpp-build-resolver.md # C++ ビルドエラーの解決 +| |-- fsharp-reviewer.md # F# 関数型コードレビュー +| |-- go-reviewer.md # Go コードレビュー +| |-- go-build-resolver.md # Go ビルドエラーの解決 +| |-- python-reviewer.md # Python コードレビュー +| |-- database-reviewer.md # データベース/Supabase レビュー +| |-- typescript-reviewer.md # TypeScript/JavaScript コードレビュー +| |-- java-reviewer.md # Java/Spring Boot コードレビュー +| |-- java-build-resolver.md # Java/Maven/Gradle ビルドエラー +| |-- kotlin-reviewer.md # Kotlin/Android/KMP コードレビュー +| |-- kotlin-build-resolver.md # Kotlin/Gradle ビルドエラー +| |-- harmonyos-app-resolver.md # HarmonyOS/ArkTS アプリ開発 +| |-- rust-reviewer.md # Rust コードレビュー +| |-- rust-build-resolver.md # Rust ビルドエラーの解決 +| |-- pytorch-build-resolver.md # PyTorch/CUDA トレーニングエラー +| |-- mle-reviewer.md # 本番 ML パイプライン、評価、サービング、監視のレビュー +| +|-- skills/ # ワークフロー定義とドメイン知識 +| |-- coding-standards/ # 言語別ベストプラクティス +| |-- clickhouse-io/ # ClickHouse 分析、クエリ、データエンジニアリング +| |-- backend-patterns/ # API、データベース、キャッシュのパターン +| |-- frontend-patterns/ # React、Next.js のパターン +| |-- frontend-slides/ # HTML スライドデッキと PPTX から Web へのプレゼンテーションワークフロー +| |-- article-writing/ # 汎用的な AI 口調を避け、指定された文体で書く長文ライティング +| |-- content-engine/ # マルチプラットフォームのソーシャルコンテンツと再利用ワークフロー +| |-- market-research/ # 出典を明記した市場、競合、投資家のリサーチ +| |-- investor-materials/ # ピッチデッキ、ワンページャー、メモ、財務モデル +| |-- investor-outreach/ # パーソナライズされた資金調達アウトリーチとフォローアップ +| |-- continuous-learning/ # レガシー v1 の Stop hook によるパターン抽出 +| |-- continuous-learning-v2/ # 信頼度スコアリング付きの instinct ベース学習 +| |-- iterative-retrieval/ # サブエージェント向けの段階的なコンテキスト精緻化 +| |-- strategic-compact/ # 手動コンパクション提案（長文ガイド） +| |-- tdd-workflow/ # TDD 方法論 +| |-- security-review/ # セキュリティチェックリスト +| |-- eval-harness/ # 検証ループ評価（長文ガイド） +| |-- verification-loop/ # 継続的検証（長文ガイド） +| |-- videodb/ # 動画と音声：取り込み、検索、編集、生成、ストリーミング +| |-- golang-patterns/ # Go のイディオムとベストプラクティス +| |-- golang-testing/ # Go のテストパターン、TDD、ベンチマーク +| |-- cpp-coding-standards/ # C++ Core Guidelines に基づく C++ コーディング標準 +| |-- cpp-testing/ # GoogleTest、CMake/CTest による C++ テスト +| |-- django-patterns/ # Django のパターン、モデル、ビュー +| |-- django-security/ # Django セキュリティベストプラクティス +| |-- django-tdd/ # Django TDD ワークフロー +| |-- django-verification/ # Django 検証ループ +| |-- laravel-patterns/ # Laravel アーキテクチャパターン +| |-- laravel-security/ # Laravel セキュリティベストプラクティス +| |-- laravel-tdd/ # Laravel TDD ワークフロー +| |-- laravel-verification/ # Laravel 検証ループ +| |-- python-patterns/ # Python のイディオムとベストプラクティス +| |-- python-testing/ # pytest による Python テスト +| |-- quarkus-patterns/ # Java Quarkus パターン +| |-- quarkus-security/ # Quarkus セキュリティ +| |-- quarkus-tdd/ # Quarkus TDD +| |-- quarkus-verification/ # Quarkus 検証 +| |-- rails-patterns/ # Rails アーキテクチャパターン +| |-- springboot-patterns/ # Java Spring Boot パターン +| |-- springboot-security/ # Spring Boot セキュリティ +| |-- springboot-tdd/ # Spring Boot TDD +| |-- springboot-verification/ # Spring Boot 検証 +| |-- configure-ecc/ # インタラクティブインストールウィザード +| |-- security-scan/ # AgentShield セキュリティ監査ツールの統合 +| |-- java-coding-standards/ # Java コーディング標準 +| |-- jpa-patterns/ # JPA/Hibernate パターン +| |-- postgres-patterns/ # PostgreSQL 最適化パターン +| |-- nutrient-document-processing/ # Nutrient API によるドキュメント処理 +| |-- database-migrations/ # マイグレーションパターン（Prisma、Drizzle、Django、Go） +| |-- api-design/ # REST API 設計、ページネーション、エラーレスポンス +| |-- deployment-patterns/ # CI/CD、Docker、ヘルスチェック、ロールバック +| |-- docker-patterns/ # Docker Compose、ネットワーキング、ボリューム、コンテナセキュリティ +| |-- e2e-testing/ # Playwright E2E パターンと Page Object Model +| |-- content-hash-cache-pattern/ # ファイル処理向けの SHA-256 コンテンツハッシュキャッシュ +| |-- cost-aware-llm-pipeline/ # LLM コスト最適化、モデルルーティング、予算追跡 +| |-- regex-vs-llm-structured-text/ # 判断フレームワーク：テキスト解析における正規表現 vs LLM +| |-- swift-actor-persistence/ # actor によるスレッドセーフな Swift データ永続化 +| |-- swift-protocol-di-testing/ # テスト可能な Swift コードのためのプロトコルベース DI +| |-- search-first/ # コーディング前にリサーチするワークフロー +| |-- skill-stocktake/ # skills とコマンドの品質監査 +| |-- liquid-glass-design/ # iOS 26 Liquid Glass デザインシステム +| |-- foundation-models-on-device/ # FoundationModels による Apple オンデバイス LLM +| |-- swift-concurrency-6-2/ # Swift 6.2 Approachable Concurrency +| |-- mle-workflow/ # 本番 ML のデータ契約、評価、デプロイ、監視 +| |-- perl-patterns/ # モダン Perl 5.36+ のイディオムとベストプラクティス +| |-- perl-security/ # Perl セキュリティパターン、taint モード、安全な I/O +| |-- perl-testing/ # Test2::V0、prove、Devel::Cover による Perl TDD +| |-- autonomous-loops/ # 自律ループパターン：逐次パイプライン、PR ループ、DAG オーケストレーション +| |-- plankton-code-quality/ # Plankton hooks による書き込み時のコード品質強制 +| |-- codehealth-mcp/ # オプションの CodeScene Code Health MCP skill（オプトイン） +| |-- docs/examples/project-guidelines-template.md # プロジェクト固有 skills のテンプレート +| +|-- commands/ # メンテナンスされているスラッシュエントリーの互換層。skills/ を優先 +| |-- plan.md # /plan - 実装計画 +| |-- code-review.md # /code-review - 品質レビュー +| |-- build-fix.md # /build-fix - ビルドエラーの修正 +| |-- refactor-clean.md # /refactor-clean - デッドコードの削除 +| |-- quality-gate.md # /quality-gate - 検証ゲート +| |-- learn.md # /learn - セッション途中でのパターン抽出（長文ガイド） +| |-- learn-eval.md # /learn-eval - パターンの抽出、評価、保存 +| |-- checkpoint.md # /checkpoint - 検証状態の保存（長文ガイド） +| |-- setup-pm.md # /setup-pm - パッケージマネージャーの設定 +| |-- go-review.md # /go-review - Go コードレビュー +| |-- go-test.md # /go-test - Go TDD ワークフロー +| |-- go-build.md # /go-build - Go ビルドエラーの修正 +| |-- skill-create.md # /skill-create - git 履歴から skills を生成 +| |-- instinct-status.md # /instinct-status - 学習した instincts の表示 +| |-- instinct-import.md # /instinct-import - instincts のインポート +| |-- instinct-export.md # /instinct-export - instincts のエクスポート +| |-- evolve.md # /evolve - instincts をクラスタリングして skills に変換 +| |-- prune.md # /prune - 期限切れの保留中 instincts を削除 +| |-- pm2.md # /pm2 - PM2 サービスライフサイクル管理 +| |-- multi-plan.md # /multi-plan - マルチエージェントのタスク分解 +| |-- multi-execute.md # /multi-execute - オーケストレーションされたマルチエージェントワークフロー +| |-- multi-backend.md # /multi-backend - バックエンドのマルチサービスオーケストレーション +| |-- multi-frontend.md # /multi-frontend - フロントエンドのマルチサービスオーケストレーション +| |-- multi-workflow.md # /multi-workflow - 汎用マルチサービスワークフロー +| |-- sessions.md # /sessions - セッション履歴管理 +| |-- test-coverage.md # /test-coverage - テストカバレッジ分析 +| |-- update-docs.md # /update-docs - ドキュメントの更新 +| |-- update-codemaps.md # /update-codemaps - codemaps の更新 +| |-- python-review.md # /python-review - Python コードレビュー +|-- legacy-command-shims/ # /tdd や /eval などの廃止シムのオプトインアーカイブ +| |-- tdd.md # /tdd - tdd-workflow skill を推奨 +| |-- e2e.md # /e2e - e2e-testing skill を推奨 +| |-- eval.md # /eval - eval-harness skill を推奨 +| |-- verify.md # /verify - verification-loop skill を推奨 +| |-- orchestrate.md # /orchestrate - dmux-workflows または multi-workflow を推奨 +| +|-- rules/ # 常に従うガイドライン（~/.claude/rules/ecc/ にコピー） +| |-- README.md # 構成の概要とインストールガイド +| |-- common/ # 言語非依存の原則 +| | |-- coding-style.md # 不変性、ファイル構成 +| | |-- git-workflow.md # コミット形式、PR プロセス +| | |-- testing.md # TDD、80% カバレッジ要件 +| | |-- performance.md # モデル選択、コンテキスト管理 +| | |-- patterns.md # デザインパターン、スケルトンプロジェクト +| | |-- hooks.md # Hook アーキテクチャ、TodoWrite +| | |-- agents.md # サブエージェントへ委譲するタイミング +| | |-- security.md # 必須セキュリティチェック +| |-- typescript/ # TypeScript/JavaScript 固有 +| |-- python/ # Python 固有 +| |-- golang/ # Go 固有 +| |-- swift/ # Swift 固有 +| |-- php/ # PHP 固有 +| |-- arkts/ # HarmonyOS / ArkTS 固有 +| +|-- hooks/ # トリガーベースの自動化 +| |-- README.md # Hook のドキュメント、レシピ、カスタマイズガイド +| |-- hooks.json # すべての hooks 設定（PreToolUse、PostToolUse、Stop など） +| |-- memory-persistence/ # セッションライフサイクル hooks（長文ガイド） +| |-- strategic-compact/ # コンパクション提案（長文ガイド） +| +|-- scripts/ # クロスプラットフォームの Node.js スクリプト +| |-- lib/ # 共有ユーティリティ +| | |-- utils.js # クロスプラットフォームのファイル/パス/システムユーティリティ +| | |-- package-manager.js # パッケージマネージャーの検出と選択 +| |-- hooks/ # Hook の実装 +| | |-- session-start.js # セッション開始時にコンテキストを読み込む +| | |-- session-end.js # セッション終了時に状態を保存する +| | |-- pre-compact.js # コンパクション前の状態保存 +| | |-- suggest-compact.js # 戦略的コンパクション提案 +| | |-- evaluate-session.js # セッションからパターンを抽出 +| |-- setup-package-manager.js # インタラクティブなパッケージマネージャー設定 +| +|-- tests/ # テストスイート +| |-- lib/ # ライブラリテスト +| |-- hooks/ # Hook テスト +| |-- run-all.js # すべてのテストを実行 +| +|-- contexts/ # 動的システムプロンプト注入コンテキスト（長文ガイド） +| |-- dev.md # 開発モードコンテキスト +| |-- review.md # コードレビューモードコンテキスト +| |-- research.md # リサーチ/探索モードコンテキスト +| +|-- examples/ # 設定とセッションの例 +| |-- CLAUDE.md # プロジェクトレベル設定の例 +| |-- user-CLAUDE.md # ユーザーレベル設定の例 +| |-- saas-nextjs-CLAUDE.md # 実際の SaaS（Next.js + Supabase + Stripe） +| |-- go-microservice-CLAUDE.md # 実際の Go マイクロサービス（gRPC + PostgreSQL） +| |-- django-api-CLAUDE.md # 実際の Django REST API（DRF + Celery） +| |-- laravel-api-CLAUDE.md # 実際の Laravel API（PostgreSQL + Redis） +| |-- rust-api-CLAUDE.md # 実際の Rust API（Axum + SQLx + PostgreSQL） +| +|-- mcp-configs/ # MCP サーバー設定 +| |-- mcp-servers.json # GitHub、Supabase、Vercel、Railway など +| +|-- ecc_dashboard.py # デスクトップ GUI ダッシュボード（Tkinter） +| +|-- marketplace.json # セルフホストマーケットプレイス設定（/plugin marketplace add 用） +``` +
+ +
+ダッシュボード GUI + +デスクトップダッシュボードを起動して、ECC のコンポーネントを視覚的に探索できます： + +```bash +npm run dashboard +# または +python3 ./ecc_dashboard.py +``` + +**機能：** +- タブ形式のインターフェース：Agents、Skills、Commands、Rules、Settings +- ダーク/ライトテーマの切り替え +- フォントのカスタマイズ（ファミリーとサイズ） +- ヘッダーとタスクバーのプロジェクトロゴ +- すべてのコンポーネントを横断した検索とフィルター +
+ +## 主要な概念 + +
+Agents、skills、hooks、rules の解説 + +### Agents + +サブエージェントは、限定されたスコープで委譲されたタスクを処理します。例： ```markdown --- name: code-reviewer -description: コードの品質、セキュリティ、保守性をレビュー -tools: ["Read", "Grep", "Glob", "Bash"] +description: Reviews code for quality, security, and maintainability +tools: Read, Grep, Glob, Bash model: opus --- -あなたは経験豊富なコードレビュアーです... - +You are a senior code reviewer... ``` -### スキル +### Skills -スキルはコマンドまたはエージェントによって呼び出されるワークフロー定義： +Skills が主要なワークフローの入口です。直接呼び出すことも、自動的に提案されることも、agents から再利用されることもできます。ECC は移行期間中もメンテナンスされている `commands/` を引き続き同梱しており、廃止された短縮名シムは明示的なオプトイン専用として `legacy-command-shims/` に置かれています。新しいワークフローの開発は、まず `skills/` に置くべきです。 ```markdown -# TDD ワークフロー +# TDD Workflow -1. インターフェースを最初に定義 -2. テストを失敗させる (RED) -3. 最小限のコードを実装 (GREEN) -4. リファクタリング (IMPROVE) -5. 80%+ のカバレッジを確認 +1. Define interfaces first +2. Write failing tests (RED) +3. Implement minimal code (GREEN) +4. Refactor (IMPROVE) +5. Verify 80%+ coverage ``` -### フック +### Hooks -フックはツールイベントでトリガーされます。例 - console.log についての警告： +Hooks はツールイベントで発火します。例：console.log について警告する： ```json { @@ -558,25 +1090,851 @@ model: opus } ``` -### ルール +### Rules -ルールは常に従うべきガイドラインで、`common/`（言語非依存）+ 言語固有ディレクトリに組織化： +Rules は常に従うべきガイドラインで、`common/`（言語非依存）+ 言語固有のディレクトリに整理されています： ``` rules/ common/ # 普遍的な原則（常にインストール） - typescript/ # TS/JS 固有パターンとツール - python/ # Python 固有パターンとツール - golang/ # Go 固有パターンとツール + typescript/ # TS/JS 固有のパターンとツール + python/ # Python 固有のパターンとツール + golang/ # Go 固有のパターンとツール + swift/ # Swift 固有のパターンとツール + php/ # PHP 固有のパターンとツール + arkts/ # HarmonyOS / ArkTS のパターンと制約 ``` -インストールと構造の詳細は[`rules/README.md`](rules/README.md)を参照してください。 +インストール方法と構成の詳細は [`rules/README.md`](../../rules/README.md) を参照してください。 +
+## ガイド + +このリポジトリは生のコードです。ガイドがすべてを説明しています。 + + + + + + + +
+ +ECC 簡潔ガイド
+簡潔ガイド + +
セットアップ、基礎、初日からの使い方。まずこれを読んでください。（スレッド） +		 + +ECC 長文ガイド
+長文ガイド + +
コンテキストの経済性、メモリ、評価、並列エージェント。（スレッド） +		 + +ECC セキュリティガイド
+セキュリティガイド + +
プロンプトインジェクション、hooks、MCP、AgentShield。（スレッド） +
+ +| トピック | 学べる内容 | +|-------|-------------------| +| トークン最適化 | モデル選択、システムプロンプトの削減、バックグラウンドプロセス | +| メモリ永続化 | セッション間でコンテキストを自動的に保存/読み込みする hooks | +| 継続的学習 | セッションからパターンを自動抽出して再利用可能な skills に変換 | +| 検証ループ | チェックポイント評価と継続的評価、グレーダーの種類、pass@k メトリクス | +| 並列化 | Git worktree、カスケード方式、インスタンスをスケールすべきタイミング | +| サブエージェントのオーケストレーション | コンテキスト問題、反復検索パターン | + +[コマンド クイックリファレンス](./COMMANDS-QUICK-REF.md) | [手動適用ガイド](../MANUAL-ADAPTATION-GUIDE.md) | [トラブルシューティング FAQ](../../TROUBLESHOOTING.md) | [ロードマップ](../ROADMAP.md) + +## なぜ ECC を選ぶのか + +| 仕組みがない場合 | ECC がある場合 | +| ------------------------------------------------------- | --------------------------------------------------------------------- | +| 計画はチャット履歴の中に消えていく | 計画は実装開始前に編集可能な成果物になる | +| 「TDD を使ってください」はモデルが忘れるかもしれない指示 | TDD は証拠付きのゲート化された RED -> GREEN -> REFACTOR ワークフローになる | +| 同じコンテキストがコードを書き、レビューもする | 新しいコンテキストのレビュアーがリグレッションと盲点を探す | +| メモリとは巨大なトランスクリプトを保存すること | セッションは要約、instincts、再利用可能な skills に蒸留される | +| 品質チェックはリマインダー頼み | hooks がプロンプトの外側で決定論的なチェックを強制できる | +| エージェント設定はデフォルトで信頼される | AgentShield がハーネス自体を攻撃対象領域としてスキャンする | + +### TDD：テスト駆動開発 + +```text +/ecc:plan "Add usage-based billing alerts" + -> confirm or edit the plan + -> activate tdd-workflow + -> capture RED evidence before implementation + -> implement until GREEN + -> review from fresh context + -> fix findings with regression tests + -> verify build, lint, types, and tests +``` + +成果物は単なるコードではありません。計画、失敗するテスト、成功するテスト、レビューでの指摘、最終検証という証拠の軌跡です。 + +### Skills がコンテキストを集中させる + +rules、skills、agents、hooks はそれぞれ異なる問題を解決します。これらの役割を分離しておくことで、ECC はリポジトリ全体をすべてのセッションに流し込むことなく能力を追加できます。 + +| 概念 | 何をするか | コンテキストでの振る舞い | +|---|---|---| +| Skills | TDD、セキュリティレビュー、ディープリサーチなどの再利用可能なワークフロー | タスクが必要とするときに読み込まれる | +| Agents | 独自のコンテキストとツール権限を持つスコープ限定のワーカー | 計画、実装、レビューを分離する | +| Rules | 永続的なプロジェクト標準や言語標準 | 常に読み込まれるため、選択的にインストールする | +| Hooks | ハーネスのイベントでトリガーされるスクリプト | モデルのコンテキスト外で実行される | +| Instincts | 実際のセッションから学習された信頼度スコア付きのパターン | 関連するときに呼び出される | + +### ハーネス間でコンテキストを共有する + +ECC の Memory Vault は、Claude、Codex、Hermes、OpenClaw、Kimi、その他のハーネスに対して、永続的なコンテキストと引き継ぎのための単一のローカルで検査可能な Markdown 形式を提供します。プロジェクトおよびチームのメモリは `.ecc/memory/` に、ユーザーのメモリは `~/.ecc/memory/` に置かれます。 + +skill のみ、minimal、manual、Claude plugin のインストールでは、Memory Vault ランタイムは `PATH` に配置されません。CLI やオプションの MCP サーバーを使う前に、npm ランタイムを別途インストールしてください： + +```bash +npm install -g ecc-universal@2.2.1 +ecc memory init --scope project +ecc memory search "authentication migration" --target-harness codex +ecc memory doctor +``` + +メモリは未レビューのコンテキストであり、実行可能なポリシーではありません。重要な主張は権威ある情報源と照合して検証し、受け入れた知識は管理されたプロジェクトドキュメントに昇格させてください。オプションの `ecc-memory-mcp` サーバーは、デフォルトでは自身を有効化することなく、同じ範囲に限定された save、search、read、doctor の機能を公開します。 + +[Unified Memory ワークフローを開く →](../../skills/unified-memory/SKILL.md) + +
+Memory Vault の詳細：スコープ、引き継ぎ、信頼境界 + +Memory Vault は、ベンダーのトランスクリプトをコピーしたりエージェント間でコンテキストをメールしたりする代わりに、移植可能な `ecc.memory.v1` Markdown ドキュメントを保存します。プロジェクトメモリはフェイルクローズドの `.gitignore` で保護されています。チームスコープは、人間が検査しバージョン管理された共有にのみ使用してください。チームメモリはコミットされた後も未レビューのコンテキストのままです。 + +上記のランタイムをインストールしたら、CLI とオプションの MCP エントリポイントが利用可能であることを確認してください： + +```bash +ecc memory --help +command -v ecc-memory-mcp +``` + +```bash +# プロジェクトの vault を初期化する。 +ecc memory init --scope project + +# 引き継ぎ本文を通常のファイルに書き、次のハーネスを指定する。 +ecc memory handoff \ + --from hermes \ + --target codex \ + --title "Continue authentication migration" \ + --body-file ./handoff.md + +# 別のハーネスから呼び出す。 +ecc memory search "authentication migration" --target-harness codex +ecc memory read + +# チームメモリを共有する前に vault を検証する。 +ecc memory doctor +``` + +メモリ本文は `--stdin` または `--body-file` 経由でのみ受け付けられ、コマンドライン引数の値としては受け付けられません。最初のリリースでは、すべての vault エントリは未レビューかつ作成のみです。人間のレビューは、メモリの信頼度を変えるのではなく、受け入れた知識を管理されたプロジェクトドキュメントに昇格させます。通常の検索による呼び出しは、アクティブなプロジェクトメモリとチームメモリを返します。ID を直接指定した読み取りでは、非アクティブなエントリを検査できます。ユーザースコープの呼び出しは明示的に要求する必要があります。エージェントは重要な主張を権威ある情報源と照合して検証しなければならず、呼び出した本文を実行可能な指示やポリシーとして扱ってはなりません。 + +オプトインの MCP アクセスには、[`mcp-configs/mcp-servers.json`](../../mcp-configs/mcp-servers.json) の `ecc-memory-vault` エントリを必要な各ハーネスに追加し、`ecc-memory-mcp` を実行してください。サーバーが公開するのは `memory_save`、`memory_search`、`memory_read`、`memory_doctor` のみです。各サーバーは小文字の `ECC_MEMORY_HARNESS` アイデンティティを指定して起動する必要があります。このアイデンティティはサーバーに束縛されており、ツール呼び出し側から指定することはできません。ユーザースコープにはさらに、オペレーターが管理する `ECC_MEMORY_ALLOW_USER_SCOPE=1` のオプトインが必要です。ワークフローと信頼境界については [`skills/unified-memory/SKILL.md`](../../skills/unified-memory/SKILL.md) を、機能契約については [`docs/design/ecc-memory-vault.md`](../design/ecc-memory-vault.md) を参照してください。 +
+ +## プラットフォームサポート + +ECC のコアとなる Node.js CLI とマネージドインストーラーは **Windows、macOS、Linux** で動作しますが、オプション機能は完全に同等ではありません。一部の継続的学習、GAN、オーケストレーションのパスは依然として Bash または Python を必要とし、ハーネスごとに公開されている hook、agent、skill の API も異なります。 + +| プラットフォーム | ステータス | 現在の制限 | +|---|---|---| +| Linux | コアをサポート | オプション機能には Bash、Python、またはプロバイダー固有のツールが必要な場合があります。 | +| macOS | コアをサポート | スタンドアロンの GAN シェルパスはシステムの Bash 3.2 と互換性がなく、現在スコア解析の不具合があります（[#2674](https://github.com/affaan-m/ECC/issues/2674)）。 | +| Windows + WSL | コアをサポート | WSL は Linux のパスに従います。Windows ホスト側の統合はハーネスによって異なります。 | +| Windows ネイティブ | 制限付きでサポート | 継続的学習 v2 のオブザーバーデーモンと memory-vault の書き込みには、ネイティブ Windows での未解決の不具合があります（[#2489](https://github.com/affaan-m/ECC/issues/2489)、[#2626](https://github.com/affaan-m/ECC/issues/2626)）。シェルに依存するオプション機能には Git Bash/WSL が必要か、利用できません。 | + +以下の `stable`、`beta`、`experimental`、`instruction-only` は、マーケティング上の等級ではなく、機能の状態を示すものとして扱ってください。 + +| ハーネス | ステータス | 推奨される配布方法 | 重要な制限 | +|---|---|---|---| +| Claude Code | Stable（主要） | Plugin または選択的インストーラー | plugin はインストール済みカタログをモデルに通知します。コンテキストの占有量が重要な場合は、選択的/manual profile を使用してください。シェルに依存するオプションの skills はすべての OS に移植可能ではありません。 | +| Codex | ネイティブ plugin をサポート | Codex マーケットプレイス plugin またはリポジトリ設定 | ネイティブ hooks には明示的な信頼の決定が必要で、Claude の hook profile は使用しません。レガシーの sync は互換性維持のみです。 | +| Cursor | Beta プロジェクトアダプター | `.cursor/` への選択的インストーラー | agent の検出は Cursor のビルドによって異なり、ECC のインストーラーパスはまだ同一の hook セットを公開していません（[#2419](https://github.com/affaan-m/ECC/issues/2419)）。 | +| OpenCode | Beta ビルド済み plugin | plugin をビルドしてから選択的インストーラー | ECC はカタログのサブセットを同梱しています。OpenCode でプロバイダーを接続しモデルを選択してください（[#2617](https://github.com/affaan-m/ECC/issues/2617)）。 | +| GitHub Copilot | Instruction-only | チェックインされた instructions とプロンプトファイル | ECC の hooks、ランタイム agents、委譲、ネイティブの skill 検出はありません。 | +| Gemini、Zed、Antigravity、Qwen、Hermes、OpenClaw、Kimi、CodeBuddy、JoyCode | Experimental/最小限のアダプター | ハーネス固有の選択的ターゲット | ファイル配置と instructions の移植性はテスト済みです。Claude との完全な機能同等性は主張していません。 | + +
+パッケージマネージャーの検出 + +plugin は、以下の優先順位でお好みのパッケージマネージャー（npm、pnpm、yarn、bun）を自動検出します： + +1. **環境変数**：`CLAUDE_PACKAGE_MANAGER` +2. **プロジェクト設定**：`.claude/package-manager.json` +3. **package.json**：`packageManager` フィールド +4. **ロックファイル**：package-lock.json、yarn.lock、pnpm-lock.yaml、bun.lockb からの検出 +5. **グローバル設定**：`~/.claude/package-manager.json` +6. **フォールバック**：最初に利用可能なパッケージマネージャー + +お好みのパッケージマネージャーを設定するには： + +```bash +# 環境変数で設定 +export CLAUDE_PACKAGE_MANAGER=pnpm + +# グローバル設定で設定 +node scripts/setup-package-manager.js --global pnpm + +# プロジェクト設定で設定 +node scripts/setup-package-manager.js --project bun + +# 現在の設定を検出 +node scripts/setup-package-manager.js --detect +``` + +または `/setup-pm` コマンドを使用してください。 +
+ +
+Hook ランタイム制御（環境変数） + +ランタイムフラグを使って厳格さを調整したり、特定の hooks を一時的に無効化したりできます： + +```bash +# Hook の厳格さ profile（デフォルト：standard） +export ECC_HOOK_PROFILE=standard + +# 無効化する hook ID をカンマ区切りで指定 +export ECC_DISABLED_HOOKS="pre:bash:tmux-reminder,post:edit:typecheck" + +# SessionStart の追加コンテキストの上限（デフォルト：8000 文字） +export ECC_SESSION_START_MAX_CHARS=4000 + +# 低コンテキスト/ローカルモデル環境向けに SessionStart の追加コンテキストを完全に無効化 +export ECC_SESSION_START_CONTEXT=off + +# セッション一時ファイルの保持期間（日数、デフォルト：30）。 +# 0、off、false、disabled、never、none のいずれかを設定するとすべてのセッションを保持（削除を無効化）。 +export ECC_SESSION_RETENTION_DAYS=14 + +# SessionStart がコンテキストに注入する学習済み instincts の上限（デフォルト：6） +export ECC_MAX_INJECTED_INSTINCTS=6 + +# instinct が注入されるために必要な最小信頼度、0-1（デフォルト：0.7） +export ECC_INSTINCT_CONFIDENCE_THRESHOLD=0.7 + +# SessionStart は注入する instincts を信頼度 + プロジェクト/スタックとの関連性で +# ランク付けする（デフォルト：on）。プロジェクトスコープの instincts、および +# domain/trigger が検出されたスタック（言語、フレームワーク、加えて terraform/dbt マーカー）に +# 一致する instincts は、無関係な高信頼度のものより上に表示されるよう +# 小さなランキングブーストを受ける。off/false/0/no を設定すると信頼度のみでランク付けする。 +export ECC_INSTINCT_RELEVANCE_RANKING=on + +# コンテキスト/スコープ/ループの警告は維持しつつ、API 従量課金のコスト見積もりを抑制 +export ECC_CONTEXT_MONITOR_COST_WARNINGS=off +``` + +Windows PowerShell： + +```powershell +[Environment]::SetEnvironmentVariable('ECC_CONTEXT_MONITOR_COST_WARNINGS', 'off', 'User') +[Environment]::SetEnvironmentVariable('ECC_SESSION_RETENTION_DAYS', '14', 'User') +``` +
+ +
+Agent データホーム（マルチハーネスの分離） + +メモリ永続化 hooks（セッション要約、学習済み skills、セッションエイリアス、メトリクス）は、単一の agent データルートの下にデータを保存します。デフォルトではそのルートは `~/.claude` です。同じマシンで Claude Code と Cursor の両方で ECC を使用する場合、2つの環境が互いのセッションファイルを上書きしないように、Cursor 用に別のルートを設定してください： + +```bash +# Cursor 専用の境界（Claude Code はデフォルトの ~/.claude を維持） +export ECC_AGENT_DATA_HOME="$HOME/.cursor/ecc" +``` + +このルートの下で解決されるパスには以下が含まれます： + +- `$ECC_AGENT_DATA_HOME/session-data/`：セッション要約 +- `$ECC_AGENT_DATA_HOME/skills/learned/`：evaluate-session による学習済み skills +- `$ECC_AGENT_DATA_HOME/session-aliases.json`：セッションエイリアス +- `$ECC_AGENT_DATA_HOME/metrics/`：コストとアクティビティのメトリクス + +[affaan-m/ECC#2065](https://github.com/affaan-m/ECC/issues/2065) を参照してください。 +
+ +
+ツール横断の機能マップとハーネスごとの注記 + +### ツール横断の機能マップ + +| 機能 | Claude Code | Codex | Cursor | OpenCode | GitHub Copilot | +|---|---|---|---|---|---| +| Instructions | ネイティブ | ネイティブ `AGENTS.md` | プロジェクト rules | Plugin の instructions | ネイティブ instruction ファイル | +| Skills | ネイティブのインストール済みセット | ネイティブ plugin セット | ビルド依存/プロジェクトセット | ビルド済みサブセット | プロンプト/instruction からの参照のみ | +| Agents/委譲 | ネイティブ agents | Codex マルチエージェントロール。Claude の agent ファイルはロールとしてインストールされない | ビルド依存のプロジェクト agents | Plugin の agents | 非対応 | +| ECC hooks | ネイティブ plugin hooks | 明示的な信頼を伴うネイティブのレビュー済みサブセット | Cursor hook アダプター。インストールパスの差異は残る | Plugin イベント | 非対応 | +| MCP 設定 | 利用可能、明示的な有効化が必要 | ネイティブ plugin マニフェスト。レガシー sync は TOML をマージ可能 | 明示的なプロジェクト/ユーザー設定 | プロバイダー/plugin 設定 | ECC からは提供されない | +| Claude Code との同等性 | 主要リファレンス | 部分的 | 部分的 | 部分的 | 同等性の対象外 | + +**主要なアーキテクチャ上の決定：** +- ルートの **AGENTS.md** はツール横断の汎用ファイルです（Claude Code、Cursor、Codex、OpenCode が読み込みます。GitHub Copilot は代わりに `.github/copilot-instructions.md` を使用します） +- **DRY アダプターパターン**により、Cursor は Claude Code の hook スクリプトを重複なく再利用できます +- **Skills 形式**（YAML frontmatter 付きの SKILL.md）は Claude Code、Codex、OpenCode で共通に機能します +- Codex のより限定的なネイティブ hook セットは、`AGENTS.md`、オプションの `model_instructions_file` オーバーライド、サンドボックス権限によって補完されます + +
+Cursor IDE サポートの詳細 + +ECC は、Cursor のプロジェクトレイアウトに合わせて調整された hooks、rules、agents、skills、コマンド、MCP 設定による Cursor IDE サポートを提供します。 + +```bash +# macOS/Linux +./install.sh --target cursor typescript +./install.sh --target cursor python golang swift php +``` + +```powershell +# Windows PowerShell +.\install.ps1 --target cursor typescript +.\install.ps1 --target cursor python golang swift php +``` + +#### Cursor 向けに含まれるもの + +| コンポーネント | 数 | 詳細 | +|-----------|-------|---------| +| Hook イベント | 15 | sessionStart、beforeShellExecution、afterFileEdit、beforeMCPExecution、beforeSubmitPrompt、その他 10 個 | +| Hook スクリプト | 16 | 共有アダプター経由で `scripts/hooks/` に委譲する薄い Node.js スクリプト | +| Rules | 34 | 共通 9 個（alwaysApply）+ 言語固有 25 個（TypeScript、Python、Go、Swift、PHP） | +| Agents | 48 | インストール時に `.cursor/agents/ecc-*.md` として配置。ユーザーやマーケットプレイスの agents との衝突を避けるためプレフィックス付き | +| Skills | 共有 + 同梱 | 翻訳された追加分は `.cursor/skills/` に配置 | +| コマンド | 共有 | インストール時は `.cursor/commands/` | +| MCP 設定 | 共有 | インストール時は `.cursor/mcp.json` | + +#### Cursor の読み込みに関する注記 + +ECC はルートの `AGENTS.md` を `.cursor/` にインストールしません。Cursor はネストされた `AGENTS.md` ファイルをディレクトリのコンテキストとして扱うため、ECC のリポジトリのアイデンティティをホストプロジェクトにコピーすると、そのプロジェクトを汚染してしまいます。 + +Cursor ネイティブの読み込み動作は Cursor のビルドによって異なる場合があります。ECC は agents を `.cursor/agents/ecc-*.md` としてインストールします。お使いの Cursor ビルドがプロジェクト agents を公開していない場合でも、これらのファイルは隠れたグローバルプロンプトコンテキストとしてではなく、明示的なリファレンス定義として機能します。 + +#### メモリとデータの分離（Cursor + Claude Code） + +ECC のメモリ hooks は Claude Code と同じ `scripts/hooks/*.js` を再利用します。Cursor では、ECC はメモリを**自動的に `~/.claude` の外に**保つよう試みます： + +1. **Cursor の `sessionStart` hook**（`--target cursor` で `.cursor/hooks.json` にインストール）が、composer セッション全体に `ECC_AGENT_DATA_HOME` を注入します。 +2. **Hook ランタイムのデフォルト**：`CURSOR_VERSION` または `CURSOR_PROJECT_DIR` が存在する場合、環境変数が未設定なら hooks はデフォルトで `~/.cursor/ecc` を使用します。 +3. **プロジェクト設定**：`.cursor/ecc-agent-data.json` がパス（`agentDataHome`）を文書化し、上書きします。 +4. **常時有効な rule**：`.cursor/rules/ecc-agent-data-home.mdc` が、メモリの保存場所を agent に思い出させます。 + +明示的に上書きすることも引き続き可能です： + +```bash +export ECC_AGENT_DATA_HOME="$HOME/.cursor/ecc" +``` + +意図的に Claude Code とメモリを**共有**するには、シェルまたは `.cursor/ecc-agent-data.json` で `ECC_AGENT_DATA_HOME=~/.claude` を設定してください。 + +継続的学習 v2 の instincts は、引き続き `CLV2_HOMUNCULUS_DIR`（デフォルト `~/.local/share/ecc-homunculus`）の下に別途保存されます。 + +#### Hook アーキテクチャ（DRY アダプターパターン） + +Cursor は **Claude Code より多くの hook イベント**を持っています（20 対 8）。`.cursor/hooks/adapter.js` モジュールが Cursor の stdin JSON を Claude Code の形式に変換するため、既存の `scripts/hooks/*.js` を重複なく再利用できます。 + +``` +Cursor stdin JSON -> adapter.js -> transforms -> scripts/hooks/*.js + (shared with Claude Code) +``` + +主要な hooks： +- **beforeShellExecution**：tmux 外での開発サーバー起動をブロック（exit 2）、git push のレビュー +- **afterFileEdit**：自動フォーマット + TypeScript チェック + console.log の警告 +- **beforeSubmitPrompt**：プロンプト内のシークレット（sk-、ghp_、AKIA パターン）を検出 +- **beforeTabFileRead**：Tab による .env、.key、.pem ファイルの読み取りをブロック（exit 2） +- **beforeMCPExecution / afterMCPExecution**：MCP の監査ログ + +#### Rules の形式 + +Cursor の rules は `description`、`globs`、`alwaysApply` を持つ YAML frontmatter を使用します： + +```yaml --- +description: "TypeScript coding style extending common rules" +globs: ["**/*.ts", "**/*.tsx", "**/*.js", "**/*.jsx"] +alwaysApply: false +--- +``` +
-## テストを実行 +
+Codex macOS アプリ + CLI サポートの詳細 -プラグインには包括的なテストスイートが含まれています： +ECC は、macOS アプリと CLI 向けに、サポート対象のネイティブ Codex マーケットプレイス plugin とリポジトリローカルの設定を提供します。ネイティブ plugin には共有 skills、MCP 設定、レビュー済みの hook サブセットが含まれ、Codex は hook の信頼をユーザーの明示的な管理下に置きます。従来の sync パスは互換性維持のみとして残っています。リポジトリのナビゲーション、各領域の所有権、PR diff パケットのガイダンスについては、[`docs/CODEX-NAVIGATION-GUIDE.md`](../CODEX-NAVIGATION-GUIDE.md) から始めてください。 + +```bash +# 現在推奨されるインストール：リポジトリのマーケットプレイスから ECC のネイティブ plugin を追加 +codex plugin marketplace add affaan-m/ECC +codex plugin add ecc@ecc +codex plugin list --json + +# またはリポジトリ内で Codex CLI を実行：AGENTS.md と .codex/ が自動検出される +codex +``` + +意図的に必要な場合は、レガシーのコピー式設定による互換性も引き続き利用できます： + +```bash +# 互換性維持のみのマネージド sync を ~/.codex に実行 +npm install && bash scripts/sync-ecc-to-codex.sh + +# またはリファレンス設定のみを手動でコピー +cp .codex/config.toml ~/.codex/config.toml +``` + +sync スクリプトは、**追加のみ**の戦略を使って ECC の MCP サーバーを既存の `~/.codex/config.toml` に安全にマージします。既存のサーバーを削除したり変更したりすることは決してありません。変更をプレビューするには `--dry-run` を、ECC サーバーを最新の推奨設定に強制的に更新するには `--update-mcp` を付けて実行してください。 + +Context7 については、ECC は正規の Codex セクション名 `[mcp_servers.context7]` を使用しつつ、引き続き `@upstash/context7-mcp` パッケージを起動します。すでにレガシーの `[mcp_servers.context7-mcp]` エントリがある場合、`--update-mcp` がそれを正規のセクション名に移行します。 + +Codex macOS アプリ： +- このリポジトリをワークスペースとして開きます。 +- ルートの `AGENTS.md` は自動検出されます。 +- `.codex/config.toml` と `.codex/agents/*.toml` はプロジェクトローカルに保つのが最適です。 +- リファレンスの `.codex/config.toml` は意図的に `model` や `model_provider` を固定していないため、上書きしない限り Codex は自身の現在のデフォルトを使用します。 +- オプション：グローバルなデフォルトとして `.codex/config.toml` を `~/.codex/config.toml` にコピーできます。`.codex/agents/` もコピーしない限り、マルチエージェントのロールファイルはプロジェクトローカルに保ってください。 + +#### リポジトリとレガシー設定レイヤーに含まれるもの + +| コンポーネント | 数 | 詳細 | +|-----------|-------|---------| +| 設定 | 1 | `.codex/config.toml`：トップレベルの approvals/sandbox/web_search、MCP サーバー、通知、profiles | +| AGENTS.md | 2 | ルート（汎用）+ `.codex/AGENTS.md`（Codex 固有の補足） | +| Skills | 32 | `.agents/skills/`：skill ごとに SKILL.md + agents/openai.yaml | +| MCP サーバー | 6 | GitHub、Context7、Exa、Memory、Playwright、Sequential Thinking（`--update-mcp` sync で Supabase を加えると 7） | +| Profiles | 2 | `strict`（読み取り専用サンドボックス）と `yolo`（完全自動承認） | +| Agent ロール | 3 | `.codex/agents/`：explorer、reviewer、docs-researcher | + +`.agents/skills/` にある skills は Codex によって自動的に読み込まれます。`claude-api`、`frontend-design`、`skill-creator` などの Anthropic 公式の skills は、意図的にここには再同梱していません。公式版が必要な場合は [`anthropics/skills`](https://github.com/anthropics/skills) からインストールしてください。 + +#### 主要な制限 + +Codex は **Claude 形式の hook 実行との同等性を提供しません**。ネイティブの ECC plugin には `/hooks` での明示的な信頼を必要とするレビュー済み hook サブセットが含まれ、`AGENTS.md`、オプションの `model_instructions_file` オーバーライド、サンドボックス/承認設定が残りの instruction とポリシーのレイヤーを提供します。 + +#### マルチエージェントサポート + +現在の Codex ビルドは安定したマルチエージェントワークフローをサポートしています。 + +- `.codex/config.toml` で `features.multi_agent = true` を有効化します +- `[agents.]` の下でロールを定義します +- 各ロールを `.codex/agents/` 配下のファイルに向けます +- CLI で `/agent` を使って子エージェントを確認・操作します + +ECC は 3 つのサンプルロール設定を同梱しています： + +| ロール | 目的 | +|------|---------| +| `explorer` | 編集前の読み取り専用のコードベース証拠収集 | +| `reviewer` | 正確性、セキュリティ、不足テストのレビュー | +| `docs_researcher` | リリース/ドキュメント変更前のドキュメントと API の検証 | + +
+ +
+Zed サポート + +ECC は、プロジェクトローカルの設定、フラット化された rules、agents、コマンド、skills のための保守的な `.zed` アダプターを通じて Zed プロジェクトをサポートします。 + +```bash +./install.sh --profile minimal --target zed +``` + +```powershell +.\install.ps1 --profile minimal --target zed +``` + +このアダプターは ECC が管理するファイルを `.zed/` の下に書き込み、BYOK/OpenRouter の認証情報をリポジトリの外に保ちます。Zed のアカウントや API キーは、Zed 自身の設定 UI またはローカルのユーザー設定から設定してください。 +
+ +
+OpenCode サポートの詳細 + +ECC は、instructions、カタログのサブセット、コマンド、カスタムツール、hook イベントを備えた beta 版の OpenCode plugin 統合を提供します。Claude Code との機能同等性は提供しません。リファレンス設定は、プロバイダー固有のモデルを固定するのではなく、ユーザーの OpenCode でのモデル選択を継承します。 + +```bash +# リポジトリのルートで、レビュー済みの OpenCode インストールを実行 +opencode +``` + +インストールには[公式の OpenCode の手順](https://opencode.ai/docs/)を使用し、正確なリリースを選択して、実行前に検証してください。上流の npm パッケージは `opencode` ではなく `opencode-ai` です。ECC は監査済みの OpenCode ランタイムバージョンを保証するものではありません。 + +設定は `.opencode/opencode.json` から自動的に検出されます。 + +#### plugins による hook サポート + +OpenCode の plugin システムには 20 種類以上のイベントタイプがあります： + +| Claude Code Hook | OpenCode Plugin イベント | +|-----------------|----------------------| +| PreToolUse | `tool.execute.before` | +| PostToolUse | `tool.execute.after` | +| Stop | `session.idle` | +| SessionStart | `session.created` | +| SessionEnd | `session.deleted` | + +**追加の OpenCode イベント**：`file.edited`、`file.watcher.updated`、`message.updated`、`lsp.client.diagnostics`、`tui.toast.show` など。 + +#### Plugin のインストール + +**オプション 1：直接使用** +```bash +cd ECC +opencode +``` + +**オプション 2：npm パッケージとしてインストール** +```bash +npm install ecc-universal@2.2.1 +``` + +次に `opencode.json` に追加します： +```json +{ + "plugin": ["ecc-universal"] +} +``` + +この npm plugin エントリは、ECC が公開している OpenCode plugin モジュール（hooks/イベントと plugin ツール）を有効化します。ECC の完全なコマンド/agent/instruction カタログをプロジェクト設定に自動的に追加することは**ありません**。 + +完全な ECC OpenCode セットアップには、次のいずれかを行ってください： +- このリポジトリ内で OpenCode を実行する +- 同梱の `.opencode/` 設定アセットをプロジェクトにコピーし、`opencode.json` に `instructions`、`agent`、`command` のエントリを配線する + +#### ドキュメント + +- **移行ガイド**：`.opencode/MIGRATION.md` +- **OpenCode Plugin README**：`.opencode/README.md` +- **統合 Rules**：`.opencode/instructions/INSTRUCTIONS.md` +- **LLM ドキュメント**：`llms.txt`（LLM 向けの完全な OpenCode ドキュメント） +
+ +
+GitHub Copilot サポートの詳細 + +ECC は、Copilot Chat のネイティブな instruction とプロンプトファイルのシステムを通じて、VS Code 向けの **GitHub Copilot サポート**を提供します。追加のツールは必要ありません。 + +#### GitHub Copilot 向けに含まれるもの + +| コンポーネント | ファイル | 目的 | +|-----------|------|---------| +| コア instructions | `.github/copilot-instructions.md` | 常時読み込まれる rules：コーディングスタイル、セキュリティ、テスト、git ワークフロー | +| VS Code 設定 | `.vscode/settings.json` | コード生成、テスト生成、コミットメッセージ向けのタスク別 instruction ファイル | +| Plan プロンプト | `.github/prompts/plan.prompt.md` | 段階的な実装計画 | +| TDD プロンプト | `.github/prompts/tdd.prompt.md` | Red-Green-Improve サイクル | +| セキュリティレビュープロンプト | `.github/prompts/security-review.prompt.md` | OWASP に沿った詳細なセキュリティ分析 | +| ビルド修正プロンプト | `.github/prompts/build-fix.prompt.md` | 体系的なビルドおよび CI エラーの解決 | +| リファクタリングプロンプト | `.github/prompts/refactor.prompt.md` | デッドコードの削除と簡素化 | + +これらのファイルはすでに配置されています。このプロジェクトを含む任意のリポジトリを開けば、GitHub Copilot Chat は自動的に `.github/copilot-instructions.md` を読み込みます。コミット済みの `.vscode/settings.json` は `chat.promptFiles` を有効化しているため、VS Code は `.github/prompts/` から再利用可能なプロンプトを読み込めます。 + +Copilot Chat でワークフロープロンプトを使用するには： +1. VS Code で Copilot Chat パネルを開きます。 +2. **クリップ / 添付**アイコンをクリックして **Prompt...** を選択するか、`/` を入力してプロンプトを選択します。 +3. プロンプト（例：`plan`、`tdd`、`security-review`）を選択します。 + +#### 機能カバレッジ + +| ECC の機能 | Copilot での相当機能 | +|-------------|-------------------| +| コーディング標準 | `copilot-instructions.md` 経由で常時有効 | +| セキュリティチェックリスト | 常時有効 + `security-review` プロンプト | +| テスト / TDD | 常時有効 + `tdd` プロンプト | +| 実装計画 | `plan` プロンプト | +| コードレビュー | CodeRabbit + Greptile による外部 PR レビュー | +| ビルドエラー解決 | `build-fix` プロンプト | +| リファクタリング | `refactor` プロンプト | +| コミットメッセージ形式 | `settings.json` のタスク別 instruction | +| Hooks / 自動化 | 非対応（Copilot には hook システムがありません） | +| Agents / 委譲 | 非対応（Copilot にはサブエージェント API がありません） | + +#### 制限 + +GitHub Copilot には hook システムもサブエージェント API もないため、ECC の hook 自動化（自動フォーマット、TypeScript チェック、セッション永続化、開発サーバーガード）と agent 委譲は利用できません。それでも instruction とプロンプトのレイヤーは、ECC のコーディング哲学（標準、セキュリティ、TDD、ワークフロー）をすべての Copilot Chat セッションにもたらします。 +
+ +
+v2.0.0 での変更点 + +ECC v2.0.0 は、公開された Hermes オペレーターストーリー、281 の skills、67 の agents、94 のコマンドシム、セッションアダプター、MCP インベントリ、worktree ライフサイクルサービス、オーケストレーターワークフロー、ECC Discord コミュニティによって 2.0 系を安定化させます。 + +- [v2.0.0 リリースノート](../releases/2.0.0/release-notes.md) +- [ECC 2.0 リファレンスアーキテクチャ](../ECC-2.0-REFERENCE-ARCHITECTURE.md) +- [Hermes セットアップガイド](../HERMES-SETUP.md) +- [1.x からの移行ガイド](../MIGRATION-1X-TO-2.0.md) +
+
+ +## トークン最適化 + +トークン消費を管理しないと、エージェントの利用は高コストになりがちです。以下の設定は、品質を犠牲にすることなくコストを大幅に削減します。完全なガイド：[docs/token-optimization.md](../token-optimization.md)。 + +
+推奨設定 + +`~/.claude/settings.json` に追加してください： + +```json +{ + "model": "sonnet", + "env": { + "MAX_THINKING_TOKENS": "10000", + "CLAUDE_AUTOCOMPACT_PCT_OVERRIDE": "50", + "CLAUDE_CODE_SUBAGENT_MODEL": "haiku" + } +} +``` + +| 設定 | デフォルト | 推奨 | 効果 | +|---------|---------|-------------|--------| +| `model` | opus | **sonnet** | 約 60% のコスト削減。コーディングタスクの 80% 以上に対応 | +| `MAX_THINKING_TOKENS` | 31,999 | **10,000** | リクエストごとの隠れた思考コストを約 70% 削減 | +| `CLAUDE_AUTOCOMPACT_PCT_OVERRIDE` | 95 | **50** | より早くコンパクト化し、長いセッションでの品質が向上 | +| `ECC_CONTEXT_MONITOR_COST_WARNINGS` | on | **サブスクリプション利用者は off** | コンテキスト/スコープ/ループの警告は維持しつつ、agent 向けの API 従量課金見積もり警告を抑制 | + +深いアーキテクチャの推論が必要なときだけ Opus に切り替えてください： +``` +/model opus +``` +
+ +
+日常のワークフローコマンド + +| コマンド | 使うタイミング | +|---------|-------------| +| `/model sonnet` | ほとんどのタスクのデフォルト | +| `/model opus` | 複雑なアーキテクチャ、デバッグ、深い推論 | +| `/clear` | 無関係なタスクの間（無料、即時リセット） | +| `/compact` | タスクの論理的な区切り（調査完了、マイルストーン達成） | +| `/cost` | セッション中のトークン消費を監視 | + +サブスクリプションを利用していて、コンテキストモニターの API 従量課金見積もりが役に立たない場合は、`ECC_CONTEXT_MONITOR_COST_WARNINGS=off` を設定してください。これは agent 向けのコスト警告のみを抑制するもので、コンテキスト枯渇、スコープ、ループの警告は無効化しません。 +
+ +
+戦略的コンパクト化 + +`strategic-compact` skill は、コンテキスト 95% での自動コンパクト化に頼るのではなく、論理的な区切りで `/compact` を提案します。判断ガイドの全文は `skills/strategic-compact/SKILL.md` を参照してください。 + +**コンパクト化すべきタイミング：** +- 調査/探索の後、実装の前 +- マイルストーン完了後、次に取りかかる前 +- デバッグの後、機能開発を続ける前 +- 失敗したアプローチの後、新しいアプローチを試す前 + +**コンパクト化すべきでないタイミング：** +- 実装の途中（変数名、ファイルパス、途中の状態が失われます） +
+ +
+コンテキストウィンドウの管理 + +**重要：**すべての MCP を一度に有効化しないでください。各 MCP のツール説明は 200k のウィンドウからトークンを消費し、約 70k まで減らしてしまう可能性があります。 + +- プロジェクトごとに有効化する MCP は 10 未満に抑える +- アクティブなツールは 80 未満に抑える +- 使っていない Claude Code の MCP サーバーは `/mcp` で無効化する。これらのランタイムでの選択は `~/.claude.json` に永続化される +- `ECC_DISABLED_MCPS` は、インストール/sync フロー中に ECC が生成する MCP 設定をフィルタリングする場合にのみ使用する +- コンテキストが重くなってきたら、`/context-budget` を実行して不要な rules を削除する + +**Agent teams のコスト警告：**Agent Teams は複数のコンテキストウィンドウを生成します。各チームメイトは独立してトークンを消費します。並列化が明確な価値をもたらすタスク（複数モジュールの作業、並列レビュー）にのみ使用してください。単純な逐次タスクでは、サブエージェントの方がトークン効率に優れています。 +
+ +## 要件 + +
+Claude Code CLI のバージョン + hooks の自動読み込み動作 + +### Claude Code CLI のバージョン + +**最小バージョン：v2.1.0 以降。**plugin システムの hooks の扱いが変更されたため、この plugin には Claude Code CLI v2.1.0 以降が必要です。 + +バージョンを確認してください： +```bash +claude --version +``` + +### 重要：hooks の自動読み込み動作 + +> WARNING: **コントリビューター向け：**`.claude-plugin/plugin.json` に `"hooks"` フィールドを追加しないでください。これはリグレッションテストで強制されています。 + +Claude Code v2.1 以降は、インストールされた任意の plugin の `hooks/hooks.json` を規約により**自動的に読み込みます**。`plugin.json` で明示的に宣言すると重複検出エラーが発生します： + +``` +Duplicate hooks file detected: ./hooks/hooks.json resolves to already-loaded file +``` + +**経緯：**この問題はこのリポジトリで修正/差し戻しのサイクルを繰り返し引き起こしてきました（[#29](https://github.com/affaan-m/ECC/issues/29)、[#52](https://github.com/affaan-m/ECC/issues/52)、[#103](https://github.com/affaan-m/ECC/issues/103)）。Claude Code のバージョン間で動作が変わり、混乱を招きました。現在は再発を防ぐためのリグレッションテストがあります。 +
+ +## セキュリティ + +ECC は公式ソースからのみインストールしてください： + +- GitHub リポジトリ： +- Claude Code plugin：`ecc@ecc` +- npm パッケージ：[`ecc-universal`](https://www.npmjs.com/package/ecc-universal) と [`ecc-agentshield`](https://www.npmjs.com/package/ecc-agentshield) +- GitHub App： +- Web サイト： + +すでにインストール済みのレビュー済み AgentShield バイナリでプロジェクトをスキャンします（[ランナーの出所](#agentshield-runner-provenance)を参照）： + +```bash +agentshield scan --path . +``` + +- **脆弱性の報告。**[SECURITY.md](../../SECURITY.md) に記載の非公開プロセス（GitHub のプライベート脆弱性報告）を使用してください。セキュリティ報告のために公開 issue を開かないでください。 +- **組み込みのガードレール。**GateGuard は破壊的なシェルコマンド（`rm`、force/path 指定の `git checkout`、破壊的な `find -exec` を含む）を実行前にゲートします。サプライチェーン IOC スキャナーは CI で実行され、AgentShield はあなた自身の agent、hook、MCP、権限、シークレットの各領域を監査します（`/security-scan`）。 + +
+Hooks、MCP サーバー、コンテキスト制御 + +hooks はシェルコマンドを実行でき、MCP サーバーは認証情報を保持でき、プロジェクトの instructions はエージェントのコンテキストに入り込めます。この 3 つすべてを実行可能な設定として扱ってください。 + +plugin インストール後に、生の `hooks/hooks.json` を `~/.claude/settings.json` にコピーしないでください。最近の Claude Code バージョンは plugin の hooks を自動的に読み込むため、2 つ目のコピーがあると二重に発火する可能性があります。 + +Claude Code のランタイムでの無効化には `/mcp` を使用してください。Claude Code はその選択を `~/.claude.json` に永続化します。 + +`ECC_DISABLED_MCPS` は ECC のインストール/sync フィルターであり、Claude Code のライブなトグルではありません。 + +コンテキストが重くなってきたら、`/context-budget` を実行し、不要な rules を削除し、使っていない MCP サーバーを無効化してください。[トークン最適化ガイド](../token-optimization.md)を参照してください。 +
+ +セキュリティ関連の参考資料： + +- [セキュリティポリシー](../../SECURITY.md) +- [セキュリティガイド](../../the-security-guide.md) +- [MCP コネクターポリシー](../MCP-CONNECTOR-POLICY.md) +- [サプライチェーンインシデント対応](../security/supply-chain-incident-response.md) + +## エコシステムツール + +
+Skill Creator：git 履歴から skills を生成する + +リポジトリから skills を生成する方法は 2 つあります： + +### オプション A：ローカル分析（組み込み） + +外部サービスを使わないローカル分析には `/skill-create` コマンドを使用してください： + +```bash +/skill-create # 現在のリポジトリを分析 +/skill-create --instincts # continuous-learning-v2 向けの instincts も生成 +``` + +これは git 履歴をローカルで分析し、SKILL.md ファイルを生成します。 + +### オプション B：GitHub App（高度） + +高度な機能（10k 以上のコミット、自動 PR、チーム共有）には： + +[ECC Tools GitHub App をインストール](https://github.com/apps/ecc-tools) | [ecc.tools](https://ecc.tools) + +```bash +# 任意の issue にコメント： +/ecc-tools analyze +``` + +どちらのオプションでも以下が作成されます： +- **SKILL.md ファイル**：アクティブなハーネスですぐに使える skills +- **Instinct コレクション**：continuous-learning-v2 向け +- **パターン抽出**：コミット履歴から学習 +
+ +
+AgentShield：エージェント設定のセキュリティ監査ツール + +> Claude Code ハッカソン（Cerebral Valley x Anthropic、2026 年 2 月）で構築。1282 のテスト、98% のカバレッジ、102 の静的解析ルール。 + +エージェント設定の脆弱性、設定ミス、インジェクションリスクをスキャンします。 + + +**ランナーの出所：**これらのコマンドには、`ecc-agentshield` からインストール済みのレビュー済み AgentShield バイナリが必要です。[公式パッケージ](https://www.npmjs.com/package/ecc-agentshield)が `agentshield` CLI を文書化しています。選択したリリース、レビューしたソース、検証済みのパッケージ整合性をインストール記録に残してください。レジストリへの公開だけでは監査済みとは言えません。ECC はここで監査済みの AgentShield のピン留めを提供しません。バージョン指定のないワンショットダウンロードで代用しないでください。`/security-scan` はワークフローのガイダンスであり、同じランナーの前提条件があります。 + +```bash +# 意図したプロジェクトディレクトリのみをスキャン +agentshield scan --path . + +# 安全な問題を自動修正 +agentshield scan --path . --fix + +# 3 つの Opus 4.6 エージェントによる詳細分析 +agentshield scan --path . --opus --stream + +# 安全な設定をゼロから生成 +agentshield init +``` + +**スキャン対象：**CLAUDE.md、settings.json、MCP 設定、hooks、agent 定義、skills を 5 つのカテゴリで検査します：シークレット検出（14 パターン）、権限監査、hook インジェクション分析、MCP サーバーのリスクプロファイリング、agent 設定レビュー。 + +**`--opus` フラグ**は、レッドチーム/ブルーチーム/監査人のパイプラインで 3 つの Claude Opus 4.6 エージェントを実行します。攻撃者がエクスプロイトチェーンを見つけ、防御者が保護を評価し、監査人が両者を統合して優先順位付きのリスク評価を作成します。単なるパターンマッチングではなく、敵対的な推論です。 + +**出力形式：**ターミナル（A-F の色付き評価）、JSON（CI パイプライン）、Markdown、HTML。ビルドゲート用に、重大な検出があると終了コード 2 を返します。 + +Claude Code で実行するには `/security-scan` を使うか、[GitHub Action](https://github.com/affaan-m/agentshield) で CI に追加してください。 + +[GitHub](https://github.com/affaan-m/agentshield) | [npm](https://www.npmjs.com/package/ecc-agentshield) +
+ +
+継続的学習 v2：instincts + +instinct ベースの学習システムは、あなたのパターンを自動的に学習します： + +```bash +/instinct-status # 学習済み instincts を信頼度とともに表示 +/instinct-import # 他の人の instincts をインポート +/instinct-export # 共有用に自分の instincts をエクスポート +/evolve # 関連する instincts を skills にクラスタリング +``` + +完全なドキュメントは `skills/continuous-learning-v2/` を参照してください。`continuous-learning/` は、レガシーの v1 Stop-hook による学習済み skill フローを明示的に使いたい場合にのみ残してください。 +
+ +## トラブルシューティング + +
+ECC が二重に表示される、または hooks が二重に発火する + +よくある原因は、Claude plugin をインストールした上に `./install.sh --profile full` を実行することです。 + +1. Claude Code plugin のインストールを削除します。 +2. ECC のチェックアウトから `node scripts/ecc.js uninstall --dry-run` を実行します。 +3. 手動でコピーした不要な rule フォルダを削除します。 +4. 1 つの方法で一度だけ再インストールします。 + +hook 固有のチェックについては、[hooks README](../../hooks/README.md) を参照してください。 +
+ +
+hooks が動作しない / "Duplicate hooks file" エラー + +**`.claude-plugin/plugin.json` に `"hooks"` フィールドを追加しないでください。**Claude Code v2.1 以降は、インストールされた plugins の `hooks/hooks.json` を自動的に読み込みます。明示的に宣言すると重複検出エラーが発生します。[#29](https://github.com/affaan-m/ECC/issues/29)、[#52](https://github.com/affaan-m/ECC/issues/52)、[#103](https://github.com/affaan-m/ECC/issues/103) を参照してください。 +
+ +
+Codex マーケットプレイスからインストールできるが skills が読み込まれない + +ECC のチェックアウトからキャッシュチェックを実行してください： + +```bash +node scripts/codex/check-plugin-cache.js +``` + +未解決の親参照が報告された場合は、`codex plugin marketplace upgrade ecc` でネイティブキャッシュを更新し、`codex plugin add ecc@ecc` を再度実行して、Codex を再起動してください。`codex plugin list` への登録はマーケットプレイスのエントリを確認するものであり、キャッシュチェックはインストール済みマニフェストがその skills、MCP 設定、アセットを解決できることを検証します。`bash scripts/sync-ecc-to-codex.sh` は、レガシーのコピー式設定による互換性パスが意図的に必要な場合にのみ使用してください。 +
+ +さらなる回答：[TROUBLESHOOTING.md](../../TROUBLESHOOTING.md) はメモリ、hooks、インストール、パフォーマンス、よくあるエラーメッセージを扱っています。[docs/TROUBLESHOOTING.md](../TROUBLESHOOTING.md) は Claude Code の未解決バグに対する回避策を追跡しています。 + +## テストの実行 + +この plugin には包括的なテストスイートが含まれています： ```bash # すべてのテストを実行 @@ -588,211 +1946,67 @@ node tests/lib/package-manager.test.js node tests/hooks/hooks.test.js ``` ---- - -## 貢献 - -**貢献は大歓迎で、奨励されています。** - -このリポジトリはコミュニティリソースを目指しています。以下のようなものがあれば： -- 有用なエージェントまたはスキル -- 巧妙なフック -- より良い MCP 設定 -- 改善されたルール - -ぜひ貢献してください！ガイドについては[CONTRIBUTING.md](CONTRIBUTING.md)を参照してください。 - -### 貢献アイデア - -- 言語固有のスキル（Rust、C#、Swift、Kotlin） — Go、Python、Javaは既に含まれています -- フレームワーク固有の設定（Rails、Laravel、FastAPI） — Django、NestJS、Spring Bootは既に含まれています -- DevOpsエージェント（Kubernetes、Terraform、AWS、Docker） -- テスト戦略（異なるフレームワーク、ビジュアルリグレッション） -- 専門領域の知識（ML、データエンジニアリング、モバイル開発） - ---- - -## Cursor IDE サポート - -ecc-universal は [Cursor IDE](https://cursor.com) の事前翻訳設定を含みます。`.cursor/` ディレクトリには、Cursor フォーマット向けに適応されたルール、エージェント、スキル、コマンド、MCP 設定が含まれています。 - -### クイックスタート (Cursor) - -```bash -# パッケージをインストール -npm install ecc-universal - -# 言語をインストール -./install.sh --target cursor typescript -./install.sh --target cursor python golang -``` - -### 翻訳内容 - -| コンポーネント | Claude Code → Cursor | パリティ | -|-----------|---------------------|--------| -| Rules | YAML フロントマター追加、パスフラット化 | 完全 | -| Agents | モデル ID 展開、ツール → 読み取り専用フラグ | 完全 | -| Skills | 変更不要（同一の標準） | 同一 | -| Commands | パス参照更新、multi-* スタブ化 | 部分的 | -| MCP Config | 環境補間構文更新 | 完全 | -| Hooks | Cursor相当なし | 別の方法を参照 | - -詳細は[.cursor/README.md](.cursor/README.md)および完全な移行ガイドは[.cursor/MIGRATION.md](.cursor/MIGRATION.md)を参照してください。 - ---- - -## OpenCodeサポート - -ECCは**フルOpenCodeサポート**をプラグインとフック含めて提供。 - -### クイックスタート - -```bash -# OpenCode をインストール -npm install -g opencode - -# リポジトリルートで実行 -opencode -``` - -設定は`.opencode/opencode.json`から自動検出されます。 - -### 機能パリティ - -| 機能 | Claude Code | OpenCode | ステータス | -|---------|-------------|----------|--------| -| Agents | PASS: 14 エージェント | PASS: 12 エージェント | **Claude Code がリード** | -| Commands | PASS: 30 コマンド | PASS: 24 コマンド | **Claude Code がリード** | -| Skills | PASS: 28 スキル | PASS: 16 スキル | **Claude Code がリード** | -| Hooks | PASS: 3 フェーズ | PASS: 20+ イベント | **OpenCode が多い！** | -| Rules | PASS: 8 ルール | PASS: 8 ルール | **完全パリティ** | -| MCP Servers | PASS: 完全 | PASS: 完全 | **完全パリティ** | -| Custom Tools | PASS: フック経由 | PASS: ネイティブサポート | **OpenCode がより良い** | - -### プラグイン経由のフックサポート - -OpenCodeのプラグインシステムはClaude Codeより高度で、20+イベントタイプ： - -| Claude Code フック | OpenCode プラグインイベント | -|-----------------|----------------------| -| PreToolUse | `tool.execute.before` | -| PostToolUse | `tool.execute.after` | -| Stop | `session.idle` | -| SessionStart | `session.created` | -| SessionEnd | `session.deleted` | - -**追加OpenCodeイベント**: `file.edited`, `file.watcher.updated`, `message.updated`, `lsp.client.diagnostics`, `tui.toast.show`など。 - -### 利用可能なコマンド（24） - -| コマンド | 説明 | -|---------|-------------| -| `/plan` | 実装計画を作成 | -| `/tdd` | TDD ワークフロー実行 | -| `/code-review` | コード変更をレビュー | -| `/security` | セキュリティレビュー実行 | -| `/build-fix` | ビルドエラーを修正 | -| `/e2e` | E2E テストを生成 | -| `/refactor-clean` | デッドコードを削除 | -| `/orchestrate` | マルチエージェント ワークフロー | -| `/learn` | セッションからパターン抽出 | -| `/checkpoint` | 検証状態を保存 | -| `/verify` | 検証ループを実行 | -| `/eval` | 基準に対して評価 | -| `/update-docs` | ドキュメントを更新 | -| `/update-codemaps` | コードマップを更新 | -| `/test-coverage` | カバレッジを分析 | -| `/go-review` | Go コードレビュー | -| `/go-test` | Go TDD ワークフロー | -| `/go-build` | Go ビルドエラーを修正 | -| `/skill-create` | Git からスキル生成 | -| `/instinct-status` | 学習した直感を表示 | -| `/instinct-import` | 直感をインポート | -| `/instinct-export` | 直感をエクスポート | -| `/evolve` | 直感をスキルにクラスタリング | -| `/setup-pm` | パッケージマネージャーを設定 | - -### プラグインインストール - -**オプション1：直接使用** -```bash -cd everything-claude-code -opencode -``` - -**オプション2：npmパッケージとしてインストール** -```bash -npm install ecc-universal -``` - -その後`opencode.json`に追加： -```json -{ - "plugin": ["ecc-universal"] -} -``` - -### ドキュメンテーション - -- **移行ガイド**: `.opencode/MIGRATION.md` -- **OpenCode プラグイン README**: `.opencode/README.md` -- **統合ルール**: `.opencode/instructions/INSTRUCTIONS.md` -- **LLM ドキュメンテーション**: `llms.txt`（完全な OpenCode ドキュメント） - ---- - ## 背景 -実験的なリリース以来、Claude Codeを使用してきました。2025年9月、[@DRodriguezFX](https://x.com/DRodriguezFX)と一緒にClaude Codeで[zenith.chat](https://zenith.chat)を構築し、Anthropic x Forum Venturesハッカソンで優勝しました。 +私は実験的なロールアウトの頃から Claude Code を使ってきました。2025 年 9 月に [@DRodriguezFX](https://x.com/DRodriguezFX) とともに Anthropic x Forum Ventures ハッカソンで優勝し、[zenith.chat](https://zenith.chat) を完全にエージェント型ワークフローで構築しました。 -これらの設定は複数の本番環境アプリケーションで実戦テストされています。 +これらの設定は、複数の本番アプリケーションで実戦検証済みです。 ---- +## コミュニティとプロジェクト -## WARNING: 重要な注記 +
+スポンサーと ECC Pro -### コンテキストウィンドウ管理 +ECC が無料であり続けられるのは、スポンサーと Pro ユーザーが活動を支えてくれているからです。スポンサーのロゴはこの README の冒頭にあり、完全な一覧とティアは [SPONSORS.md](../../SPONSORS.md) にあります。 -**重要:** すべてのMCPを一度に有効にしないでください。多くのツールを有効にすると、200kのコンテキストウィンドウが70kに縮小される可能性があります。 +ECC Pro は、ホスト型 GitHub App を通じて、プライベートリポジトリの分析、PR トリガーの監査、AgentShield ベースのスキャン、自動 push および PR チェック、チームでの共有利用枠、優先サポートを追加します。 -経験則： -- 20-30のMCPを設定 -- プロジェクトごとに10未満を有効にしたままにしておく -- アクティブなツール80未満 + + + + + + + +
ECC Pro
プライベートリポジトリ向けホスト型 GitHub App		ECC をスポンサーする
OSS 活動を支援する		コミュニティ
Q&A、アイデア、Show and Tell		GitHub App
PR 監査とホスト型ワークフロー
-プロジェクト設定で`disabledMcpServers`を使用して、未使用のツールを無効にします。 +[スポンサーになる](https://github.com/sponsors/affaan-m) | [スポンサーティア](../../SPONSORS.md) | [スポンサーシッププログラム](../../SPONSORING.md) +
-### カスタマイズ +
+コントリビューション -これらの設定は私のワークフロー用です。あなたは以下を行うべきです： -1. 共感できる部分から始める -2. 技術スタックに合わせて修正 -3. 使用しない部分を削除 -4. 独自のパターンを追加 +skills、agents、rules、hooks、ドキュメント、テスト、アダプター、セキュリティ改善など、あらゆる分野でのコントリビューションを歓迎します。 ---- +- [コントリビューションガイド](../../CONTRIBUTING.md) +- [Skill 開発ガイド](../SKILL-DEVELOPMENT-GUIDE.md) +- [Skill 配置ポリシー](../SKILL-PLACEMENT-POLICY.md) +- [コマンド クイックリファレンス](./COMMANDS-QUICK-REF.md) -## Star 履歴 +要約すると： +1. リポジトリをフォークします +2. `skills/your-skill-name/SKILL.md` に skill を作成します（YAML frontmatter 付き） +3. または `agents/your-agent.md` に agent を作成します +4. 何をするものか、いつ使うのかを明確に説明した PR を送ります -[![Star History Chart](https://api.star-history.com/svg?repos=affaan-m/everything-claude-code&type=Date)](https://star-history.com/#affaan-m/everything-claude-code&Date) +**コントリビューションのアイデア：** ---- +- 言語固有の skills（Rust、C#、Kotlin、Java）：Go、Python、Perl、Swift、TypeScript、HarmonyOS/ArkTS はすでに含まれています +- フレームワーク固有の設定（Rails、FastAPI）：Django、NestJS、Spring Boot、Laravel はすでに含まれています +- DevOps agents（Kubernetes、Terraform、AWS、Docker） +- テスト戦略（さまざまなフレームワーク、ビジュアルリグレッション） +- ドメイン固有の知識（ML、データエンジニアリング、モバイル） +
## リンク -- **簡潔ガイド（まずはこれ）:** [Everything Claude Code 簡潔ガイド](https://x.com/affaanmustafa/status/2012378465664745795) -- **詳細ガイド（高度）:** [Everything Claude Code 詳細ガイド](https://x.com/affaanmustafa/status/2014040193557471352) -- **フォロー:** [@affaanmustafa](https://x.com/affaanmustafa) -- **zenith.chat:** [zenith.chat](https://zenith.chat) -- **スキル ディレクトリ:** awesome-agent-skills（コミュニティ管理のエージェントスキル ディレクトリ） - ---- +- **簡潔ガイド（まずはここから）：**[ECC 簡潔ガイド](https://x.com/affaan/status/2012378465664745795) +- **長文ガイド（上級者向け）：**[ECC 長文ガイド](https://x.com/affaan/status/2014040193557471352) +- **セキュリティガイド：**[セキュリティガイド](../../the-security-guide.md) | [スレッド](https://x.com/affaan/status/2033263813387223421) +- **フォロー：**[@affaan](https://x.com/affaan) ## ライセンス -MIT - 自由に使用、必要に応じて修正、可能であれば貢献してください。 +MIT。自由に使い、自分のワークフローに合わせて調整し、できるときには貢献を返してください。 ---- - -**このリポジトリが役に立ったら、Star を付けてください。両方のガイドを読んでください。素晴らしいものを構築してください。** +**役に立ったらこのリポジトリにスターを。ガイドを読んでください。素晴らしいものを作りましょう。** From 7cfc9b36081f36b8bef7a0cf92ea440acef75431 Mon Sep 17 00:00:00 2001 From: Frank_zhu <58329837+Frank-zhu0404@users.noreply.github.com> Date: Thu, 17 Sep 2026 17:29:26 +0000 Subject: [PATCH 03/16] fix(gateguard): ignore heredoc prose for tee and path-qualified sinks (#2886) Expand proven-passive heredoc recognition beyond bare `cat` so documentation writes via `tee`, `/bin/cat`, and `command cat` no longer trip the destructive command detector on body text, while still failing closed for shells and pipes. --- scripts/hooks/gateguard-heredoc.js | 15 +++-- tests/hooks/gateguard-fact-force.test.js | 81 ++++++++++++++++++++++++ 2 files changed, 92 insertions(+), 4 deletions(-) diff --git a/scripts/hooks/gateguard-heredoc.js b/scripts/hooks/gateguard-heredoc.js index 31e41b29b..79e2df50f 100644 --- a/scripts/hooks/gateguard-heredoc.js +++ b/scripts/hooks/gateguard-heredoc.js @@ -3,16 +3,23 @@ const { extractCommandSubstitutions } = require('../lib/shell-substitution'); /** - * Recognize the deliberately narrow passive sink supported by this parser. - * Shell operators and substitutions make the payload's destination ambiguous, - * so every other form retains the original input for fail-closed checks. + * Recognize proven-passive sinks whose heredoc payload is data, not a command + * stream. `cat` and `tee` (optionally path-qualified, or wrapped in + * `command`/`builtin`/`env`) only write stdin; they do not execute the body. + * Shell operators or substitution markers make the destination ambiguous, so + * every other form retains the original input for fail-closed checks. * * @param {string} line * @returns {boolean} */ function isProvenPassiveHeredocLine(line) { const trimmed = line.trim(); - return /^cat(?=\s|[<>])/.test(trimmed) && !/[;&|()`]/.test(trimmed); + // Fail closed on control operators / grouping / command substitutions. + if (/[;&|()`]/.test(trimmed)) return false; + // Optional wrapper + optional path prefix + cat|tee, then args or redirect. + return /^(?:(?:command|builtin|env)\s+)?(?:(?:\.\/|\/(?:[\w.+-]+\/)*)?(?:cat|tee))(?=\s|[<>])/.test( + trimmed + ); } /** diff --git a/tests/hooks/gateguard-fact-force.test.js b/tests/hooks/gateguard-fact-force.test.js index 495928691..8acde76e1 100644 --- a/tests/hooks/gateguard-fact-force.test.js +++ b/tests/hooks/gateguard-fact-force.test.js @@ -1858,6 +1858,87 @@ function runTests() { passed++; else failed++; + if ( + test('allows #2886 migration-doc heredoc repro with DROP TABLE prose', () => { + expectAllow( + [ + "cat > migration-notes.md <<'EOF'", + "This migration will DROP TABLE old_sessions once we've verified nothing reads from it anymore.", + 'EOF' + ].join('\n'), + 'issue #2886 cat heredoc repro' + ); + }) + ) + passed++; + else failed++; + + if ( + test('allows destructive SQL prose inside a tee heredoc', () => { + expectAllow( + [ + "tee migration-notes.md <<'EOF'", + 'This migration will DROP TABLE old_sessions after verification.', + 'EOF' + ].join('\n'), + 'tee heredoc SQL prose' + ); + }) + ) + passed++; + else failed++; + + if ( + test('allows destructive rm prose inside a path-qualified cat heredoc', () => { + expectAllow( + [ + "/bin/cat > notes.md <<'EOF'", + 'Cleanup steps mention rm -rf old-cache; do not run yet.', + 'EOF' + ].join('\n'), + 'path-qualified cat heredoc prose' + ); + }) + ) + passed++; + else failed++; + + if ( + test('allows destructive prose inside a command-wrapped cat heredoc', () => { + expectAllow( + [ + "command cat > notes.md <<'EOF'", + 'Notes: DELETE FROM sessions; truncate staging.', + 'EOF' + ].join('\n'), + 'command-wrapped cat heredoc prose' + ); + }) + ) + passed++; + else failed++; + + if ( + test('still denies real destructive commands (not heredoc prose)', () => { + expectDestructiveDeny('rm -rf /tmp/real-destructive-target', 'real rm -rf'); + expectDestructiveDeny('git reset --hard', 'real git reset --hard'); + expectDestructiveDeny('drop table old_sessions', 'real drop table command text'); + }) + ) + passed++; + else failed++; + + if ( + test('fails closed when tee pipes heredoc payload into a shell', () => { + expectDestructiveDeny( + ['tee notes.md < { for (const payload of [ From 6e024eb881aabb7f6bfe553d40b84c04d7c81734 Mon Sep 17 00:00:00 2001 From: "Sharad." Date: Fri, 18 Sep 2026 00:19:40 +0530 Subject: [PATCH 04/16] docs(rules): fix ECC plugin agent location and ecc: prefix --- docs/es/rules/common/agents.md | 37 ++++++++++++++++++------------- docs/ja-JP/rules/common/agents.md | 33 +++++++++++++++------------ docs/tr/rules/common/agents.md | 35 ++++++++++++++++------------- docs/zh-CN/rules/common/agents.md | 35 ++++++++++++++++------------- rules/common/agents.md | 37 ++++++++++++++++++------------- 5 files changed, 101 insertions(+), 76 deletions(-) diff --git a/docs/es/rules/common/agents.md b/docs/es/rules/common/agents.md index 29f25b19e..8c162c58f 100644 --- a/docs/es/rules/common/agents.md +++ b/docs/es/rules/common/agents.md @@ -2,29 +2,34 @@ ## Agentes Disponibles -Ubicados en `~/.claude/agents/`: +Los agentes de ECC se distribuyen con el plugin `ecc@ecc`, no en `~/.claude/agents/`. +Se invocan a través de la herramienta Agent con un `subagent_type` con ámbito de plugin: + + Agent(subagent_type: "ecc:planner", prompt: "...") | Agente | Propósito | Cuándo Usar | |--------|-----------|-------------| -| planner | Planificación de implementación | Features complejas, refactoring | -| architect | Diseño de sistemas | Decisiones arquitectónicas | -| tdd-guide | Desarrollo guiado por pruebas | Nuevas features, corrección de bugs | -| code-reviewer | Revisión de código | Después de escribir código | -| security-reviewer | Análisis de seguridad | Antes de los commits | -| build-error-resolver | Corrección de errores de build | Cuando el build falla | -| e2e-runner | Testing E2E | Flujos de usuario críticos | -| refactor-cleaner | Limpieza de código muerto | Mantenimiento de código | -| doc-updater | Documentación | Actualización de docs | -| rust-reviewer | Revisión de código Rust | Proyectos Rust | -| harmonyos-app-resolver | Desarrollo de apps HarmonyOS | Proyectos HarmonyOS/ArkTS | +| ecc:planner | Planificación de implementación | Features complejas, refactoring | +| ecc:architect | Diseño de sistemas | Decisiones arquitectónicas | +| ecc:tdd-guide | Desarrollo guiado por pruebas | Nuevas features, corrección de bugs | +| ecc:code-reviewer | Revisión de código | Después de escribir código | +| ecc:security-reviewer | Análisis de seguridad | Antes de los commits | +| ecc:build-error-resolver | Corrección de errores de build | Cuando el build falla | +| ecc:e2e-runner | Testing E2E | Flujos de usuario críticos | +| ecc:refactor-cleaner | Limpieza de código muerto | Mantenimiento de código | +| ecc:doc-updater | Documentación | Actualización de docs | +| ecc:rust-reviewer | Revisión de código Rust | Proyectos Rust | +| ecc:harmonyos-app-resolver | Desarrollo de apps HarmonyOS | Proyectos HarmonyOS/ArkTS | + +Para el roster completo de 68 agentes, ver `/ecc:ecc-guide`. ## Uso Inmediato de Agentes Sin necesidad de prompt del usuario: -1. Solicitudes de features complejas - Usar el agente **planner** -2. Código recién escrito/modificado - Usar el agente **code-reviewer** -3. Corrección de bug o nueva feature - Usar el agente **tdd-guide** -4. Decisión arquitectónica - Usar el agente **architect** +1. Solicitudes de features complejas - Usar el agente **ecc:planner** +2. Código recién escrito/modificado - Usar el agente **ecc:code-reviewer** +3. Corrección de bug o nueva feature - Usar el agente **ecc:tdd-guide** +4. Decisión arquitectónica - Usar el agente **ecc:architect** ## Ejecución Paralela de Tareas diff --git a/docs/ja-JP/rules/common/agents.md b/docs/ja-JP/rules/common/agents.md index 92137264a..7b8082cf7 100644 --- a/docs/ja-JP/rules/common/agents.md +++ b/docs/ja-JP/rules/common/agents.md @@ -2,27 +2,32 @@ ## 利用可能な Agent -`~/.claude/agents/` に配置: +ECC の Agent は `ecc@ecc` プラグインに同梱されており、`~/.claude/agents/` には配置されません。 +Agent ツールではプラグインスコープの `subagent_type` で呼び出します: + + Agent(subagent_type: "ecc:planner", prompt: "...") | Agent | 目的 | 使用タイミング | |-------|---------|-------------| -| planner | 実装計画 | 複雑な機能、リファクタリング | -| architect | システム設計 | アーキテクチャの意思決定 | -| tdd-guide | テスト駆動開発 | 新機能、バグ修正 | -| code-reviewer | コードレビュー | コード記述後 | -| security-reviewer | セキュリティ分析 | コミット前 | -| build-error-resolver | ビルドエラー修正 | ビルド失敗時 | -| e2e-runner | E2Eテスト | 重要なユーザーフロー | -| refactor-cleaner | デッドコードクリーンアップ | コードメンテナンス | -| doc-updater | ドキュメント | ドキュメント更新 | +| ecc:planner | 実装計画 | 複雑な機能、リファクタリング | +| ecc:architect | システム設計 | アーキテクチャの意思決定 | +| ecc:tdd-guide | テスト駆動開発 | 新機能、バグ修正 | +| ecc:code-reviewer | コードレビュー | コード記述後 | +| ecc:security-reviewer | セキュリティ分析 | コミット前 | +| ecc:build-error-resolver | ビルドエラー修正 | ビルド失敗時 | +| ecc:e2e-runner | E2Eテスト | 重要なユーザーフロー | +| ecc:refactor-cleaner | デッドコードクリーンアップ | コードメンテナンス | +| ecc:doc-updater | ドキュメント | ドキュメント更新 | + +全 68 Agent の一覧は `/ecc:ecc-guide` を参照。 ## Agent の即座の使用 ユーザープロンプト不要: -1. 複雑な機能リクエスト - **planner** agent を使用 -2. コード作成/変更直後 - **code-reviewer** agent を使用 -3. バグ修正または新機能 - **tdd-guide** agent を使用 -4. アーキテクチャの意思決定 - **architect** agent を使用 +1. 複雑な機能リクエスト - **ecc:planner** agent を使用 +2. コード作成/変更直後 - **ecc:code-reviewer** agent を使用 +3. バグ修正または新機能 - **ecc:tdd-guide** agent を使用 +4. アーキテクチャの意思決定 - **ecc:architect** agent を使用 ## 並列タスク実行 diff --git a/docs/tr/rules/common/agents.md b/docs/tr/rules/common/agents.md index b40d5897b..b96f3a13a 100644 --- a/docs/tr/rules/common/agents.md +++ b/docs/tr/rules/common/agents.md @@ -2,28 +2,33 @@ ## Mevcut Agent'lar -`~/.claude/agents/` dizininde bulunur: +ECC agent'ları `ecc@ecc` eklentisiyle birlikte gelir, `~/.claude/agents/` dizininde bulunmaz. +Agent aracıyla eklenti kapsamlı bir `subagent_type` ile çağrılır: + + Agent(subagent_type: "ecc:planner", prompt: "...") | Agent | Amaç | Ne Zaman Kullanılır | |-------|---------|-------------| -| planner | Uygulama planlaması | Karmaşık özellikler, refactoring | -| architect | Sistem tasarımı | Mimari kararlar | -| tdd-guide | Test odaklı geliştirme | Yeni özellikler, hata düzeltmeleri | -| code-reviewer | Kod incelemesi | Kod yazdıktan sonra | -| security-reviewer | Güvenlik analizi | Commit'lerden önce | -| build-error-resolver | Build hatalarını düzeltme | Build başarısız olduğunda | -| e2e-runner | E2E testleri | Kritik kullanıcı akışları | -| refactor-cleaner | Ölü kod temizliği | Kod bakımı | -| doc-updater | Dokümantasyon | Dokümanları güncelleme | -| rust-reviewer | Rust kod incelemesi | Rust projeleri | +| ecc:planner | Uygulama planlaması | Karmaşık özellikler, refactoring | +| ecc:architect | Sistem tasarımı | Mimari kararlar | +| ecc:tdd-guide | Test odaklı geliştirme | Yeni özellikler, hata düzeltmeleri | +| ecc:code-reviewer | Kod incelemesi | Kod yazdıktan sonra | +| ecc:security-reviewer | Güvenlik analizi | Commit'lerden önce | +| ecc:build-error-resolver | Build hatalarını düzeltme | Build başarısız olduğunda | +| ecc:e2e-runner | E2E testleri | Kritik kullanıcı akışları | +| ecc:refactor-cleaner | Ölü kod temizliği | Kod bakımı | +| ecc:doc-updater | Dokümantasyon | Dokümanları güncelleme | +| ecc:rust-reviewer | Rust kod incelemesi | Rust projeleri | + +68 agent'ın tam listesi için `/ecc:ecc-guide` bölümüne bakın. ## Anlık Agent Kullanımı Kullanıcı istemi gerekmez: -1. Karmaşık özellik istekleri - **planner** agent kullan -2. Kod yeni yazıldı/değiştirildi - **code-reviewer** agent kullan -3. Hata düzeltmesi veya yeni özellik - **tdd-guide** agent kullan -4. Mimari karar - **architect** agent kullan +1. Karmaşık özellik istekleri - **ecc:planner** agent kullan +2. Kod yeni yazıldı/değiştirildi - **ecc:code-reviewer** agent kullan +3. Hata düzeltmesi veya yeni özellik - **ecc:tdd-guide** agent kullan +4. Mimari karar - **ecc:architect** agent kullan ## Paralel Görev Yürütme diff --git a/docs/zh-CN/rules/common/agents.md b/docs/zh-CN/rules/common/agents.md index de32b0b56..da79b41d6 100644 --- a/docs/zh-CN/rules/common/agents.md +++ b/docs/zh-CN/rules/common/agents.md @@ -2,29 +2,34 @@ ## 可用智能体 -位于 `~/.claude/agents/` 中： +ECC 智能体随 `ecc@ecc` 插件一起分发，不在 `~/.claude/agents/` 目录中。 +它们通过 Agent 工具以插件作用域的 `subagent_type` 调用： + + Agent(subagent_type: "ecc:planner", prompt: "...") | 代理 | 用途 | 使用时机 | |-------|---------|-------------| -| planner | 实现规划 | 复杂功能、重构 | -| architect | 系统设计 | 架构决策 | -| tdd-guide | 测试驱动开发 | 新功能、错误修复 | -| code-reviewer | 代码审查 | 编写代码后 | -| security-reviewer | 安全分析 | 提交前 | -| build-error-resolver | 修复构建错误 | 构建失败时 | -| e2e-runner | 端到端测试 | 关键用户流程 | -| refactor-cleaner | 清理死代码 | 代码维护 | -| doc-updater | 文档 | 更新文档 | -| rust-reviewer | Rust 代码审查 | Rust 项目 | +| ecc:planner | 实现规划 | 复杂功能、重构 | +| ecc:architect | 系统设计 | 架构决策 | +| ecc:tdd-guide | 测试驱动开发 | 新功能、错误修复 | +| ecc:code-reviewer | 代码审查 | 编写代码后 | +| ecc:security-reviewer | 安全分析 | 提交前 | +| ecc:build-error-resolver | 修复构建错误 | 构建失败时 | +| ecc:e2e-runner | 端到端测试 | 关键用户流程 | +| ecc:refactor-cleaner | 清理死代码 | 代码维护 | +| ecc:doc-updater | 文档 | 更新文档 | +| ecc:rust-reviewer | Rust 代码审查 | Rust 项目 | + +完整 68 个智能体的清单参见 `/ecc:ecc-guide`。 ## 即时智能体使用 无需用户提示： -1. 复杂的功能请求 - 使用 **planner** 智能体 -2. 刚编写/修改的代码 - 使用 **code-reviewer** 智能体 -3. 错误修复或新功能 - 使用 **tdd-guide** 智能体 -4. 架构决策 - 使用 **architect** 智能体 +1. 复杂的功能请求 - 使用 **ecc:planner** 智能体 +2. 刚编写/修改的代码 - 使用 **ecc:code-reviewer** 智能体 +3. 错误修复或新功能 - 使用 **ecc:tdd-guide** 智能体 +4. 架构决策 - 使用 **ecc:architect** 智能体 ## 并行任务执行 diff --git a/rules/common/agents.md b/rules/common/agents.md index 4d1dfb4cb..cb36573c6 100644 --- a/rules/common/agents.md +++ b/rules/common/agents.md @@ -2,29 +2,34 @@ ## Available Agents -Located in `~/.claude/agents/`: +ECC agents ship with the `ecc@ecc` plugin, not in `~/.claude/agents/`. +They are invoked through the Agent tool with a plugin-scoped `subagent_type`: + + Agent(subagent_type: "ecc:planner", prompt: "...") | Agent | Purpose | When to Use | |-------|---------|-------------| -| planner | Implementation planning | Complex features, refactoring | -| architect | System design | Architectural decisions | -| tdd-guide | Test-driven development | New features, bug fixes | -| code-reviewer | Code review | After writing code | -| security-reviewer | Security analysis | Before commits | -| build-error-resolver | Fix build errors | When build fails | -| e2e-runner | E2E testing | Critical user flows | -| refactor-cleaner | Dead code cleanup | Code maintenance | -| doc-updater | Documentation | Updating docs | -| rust-reviewer | Rust code review | Rust projects | -| harmonyos-app-resolver | HarmonyOS app development | HarmonyOS/ArkTS projects | +| ecc:planner | Implementation planning | Complex features, refactoring | +| ecc:architect | System design | Architectural decisions | +| ecc:tdd-guide | Test-driven development | New features, bug fixes | +| ecc:code-reviewer | Code review | After writing code | +| ecc:security-reviewer | Security analysis | Before commits | +| ecc:build-error-resolver | Fix build errors | When build fails | +| ecc:e2e-runner | E2E testing | Critical user flows | +| ecc:refactor-cleaner | Dead code cleanup | Code maintenance | +| ecc:doc-updater | Documentation | Updating docs | +| ecc:rust-reviewer | Rust code review | Rust projects | +| ecc:harmonyos-app-resolver | HarmonyOS app development | HarmonyOS/ArkTS projects | + +For the full roster of 68 agents, see `/ecc:ecc-guide`. ## Immediate Agent Usage No user prompt needed: -1. Complex feature requests - Use **planner** agent -2. Code just written/modified - Use **code-reviewer** agent -3. Bug fix or new feature - Use **tdd-guide** agent -4. Architectural decision - Use **architect** agent +1. Complex feature requests - Use **ecc:planner** agent +2. Code just written/modified - Use **ecc:code-reviewer** agent +3. Bug fix or new feature - Use **ecc:tdd-guide** agent +4. Architectural decision - Use **ecc:architect** agent ## Parallel Task Execution From fc6fe5e5df759f02a1aa1644a2786e10731e0037 Mon Sep 17 00:00:00 2001 From: Juan Garibay Date: Thu, 17 Sep 2026 15:06:49 -0400 Subject: [PATCH 05/16] fix(hooks): pre-push skipped every Python project that uses a virtualenv The Python block gates on `command -v pytest`, so it only runs when pytest is on PATH. Installing a project's tools into a virtualenv is the norm rather than the exception, so in practice the hook printed [ECC pre-push] Python project detected but pytest is not installed. Skipping. while standing in a directory with `.venv/bin/pytest` in it, and pushed. The failure mode is worse than not having the hook. A skip line reads like a pass: the push succeeds, the output looks healthy, and nothing indicates the gate declined to gate. A repository can sit behind it for months believing its tests run on every push. Found on a project with 893 tests, none of which the hook had ever executed. `resolve_pytest` now looks, in order, at `ECC_PYTEST_CMD`, `$VIRTUAL_ENV`, `.venv`, `venv`, `env`, `uv run` when a `uv.lock` is present, `poetry run` when a `poetry.lock` is, and finally PATH. Each candidate is confirmed by importing pytest rather than by the path existing, so a half-built venv falls through to the next one instead of failing the push. Two deliberate choices: The log line names the command it resolved -- `Running: .venv/bin/python -m pytest -q` -- so which interpreter ran is visible in the push output rather than inferred. When nothing resolves, the message says where it looked and names `ECC_PYTEST_CMD`, instead of asserting pytest is not installed when it may well be. `uv run` passes `--no-sync` so the hook cannot mutate the developer's environment on its way to running the tests. Behaviour change worth flagging for the release note: on any Python project with a working virtualenv this hook now actually runs the suite, and will block a push whose tests fail. That is the intent, but it is new behaviour for every such repository, and `ECC_SKIP_PREPUSH=1` remains the escape. Verified on two real repositories: a uv/venv Python project (resolves `.venv/bin/python -m pytest`, 893 tests, exits 0; exits 1 when the suite fails) and a Node project (unchanged, still runs lint/typecheck/test/build). --- scripts/codex-git-hooks/pre-push | 53 +++++++++++++++++++++++++++++--- 1 file changed, 49 insertions(+), 4 deletions(-) diff --git a/scripts/codex-git-hooks/pre-push b/scripts/codex-git-hooks/pre-push index 2ee23c7f4..472c2f194 100755 --- a/scripts/codex-git-hooks/pre-push +++ b/scripts/codex-git-hooks/pre-push @@ -117,16 +117,61 @@ if [[ -f "go.mod" ]] && command -v go >/dev/null 2>&1; then go test ./... || fail "go test failed" fi -if [[ -f "pyproject.toml" || -f "requirements.txt" ]]; then +# Resolve how this project runs pytest. +# +# Looking only for `pytest` on PATH meant the hook skipped every project that keeps +# its tools in a virtualenv -- which is most of them -- and reported "pytest is not +# installed" while sitting next to a .venv with pytest in it. A gate that silently +# declines to gate is worse than no gate, because the skip line reads like a pass. +# +# Echoes the command it will run, so the reason for a skip is always visible. +resolve_pytest() { + if [[ -n "${ECC_PYTEST_CMD:-}" ]]; then + echo "$ECC_PYTEST_CMD" + return 0 + fi + local venv + for venv in "${VIRTUAL_ENV:-}" .venv venv env; do + if [[ -n "$venv" && -x "$venv/bin/python" ]]; then + if "$venv/bin/python" -c "import pytest" >/dev/null 2>&1; then + echo "$venv/bin/python -m pytest" + return 0 + fi + fi + done + if [[ -f "uv.lock" ]] && command -v uv >/dev/null 2>&1; then + if uv run --no-sync python -c "import pytest" >/dev/null 2>&1; then + echo "uv run --no-sync pytest" + return 0 + fi + fi + if [[ -f "poetry.lock" ]] && command -v poetry >/dev/null 2>&1; then + if poetry run python -c "import pytest" >/dev/null 2>&1; then + echo "poetry run pytest" + return 0 + fi + fi if command -v pytest >/dev/null 2>&1; then + echo "pytest" + return 0 + fi + return 1 +} + +if [[ -f "pyproject.toml" || -f "requirements.txt" ]]; then + if pytest_cmd="$(resolve_pytest)"; then ran_any_check=1 - log "Python project detected. Running: pytest -q" - pytest -q || fail "pytest failed" + log "Python project detected. Running: $pytest_cmd -q" + # Unquoted on purpose: the resolver returns a command with arguments. + # shellcheck disable=SC2086 + $pytest_cmd -q || fail "pytest failed" else - log "Python project detected but pytest is not installed. Skipping." + log "Python project detected but no pytest found (checked \$VIRTUAL_ENV, .venv," + log " venv, env, uv, poetry, PATH). Set ECC_PYTEST_CMD to point at it." fi fi + if [[ "$ran_any_check" -eq 0 ]]; then log "No supported checks found in this repository. Skipping." else From 5cbe78c22b4e35e64fcd9ed40a9e6493400d8a80 Mon Sep 17 00:00:00 2001 From: Juan Garibay Date: Thu, 17 Sep 2026 15:57:09 -0400 Subject: [PATCH 06/16] fix(hooks): keep venv paths intact and check every pytest candidate Two holes in the resolver this branch added, both found in review. A virtualenv path may contain spaces. `resolve_pytest` returned one string and the caller expanded it unquoted, so `/home/me/my env/bin/python -m pytest` split into `/home/me/my` and `env/bin/python`. The probe that accepted the candidate was correctly quoted, so the hook reported the venv as usable and then failed to run anything in it -- rejecting the push for a reason with nothing to do with the code being pushed. It now builds an argv array and runs `"${PYTEST_CMD[@]}"`. The resolver's contract is that every candidate is confirmed to be pytest, and two of them were not. `ECC_PYTEST_CMD` was returned unchecked, so `ECC_PYTEST_CMD=true` made the hook run `true -q`, exit 0 and report a Python project verified by nothing. The PATH branch used `command -v pytest`, which proves only that a file of that name exists. Both now go through `is_pytest`, which runs `--version` and requires the output to name pytest -- `--version` alone is not evidence, since `true --version` also exits 0. A bad `ECC_PYTEST_CMD` fails the push rather than falling through to the next candidate. An operator who set it asked for that command, and silently running a different one hides the misconfiguration -- which is the same silent-gate failure this branch exists to remove, one level along. Three regression tests cover the three paths: a venv whose directory name contains a space, an override that is not pytest, and an override that is. --- scripts/codex-git-hooks/pre-push | 52 +++++++++++++---- tests/scripts/codex-hooks.test.js | 92 +++++++++++++++++++++++++++++++ 2 files changed, 132 insertions(+), 12 deletions(-) diff --git a/scripts/codex-git-hooks/pre-push b/scripts/codex-git-hooks/pre-push index 472c2f194..806d616cd 100755 --- a/scripts/codex-git-hooks/pre-push +++ b/scripts/codex-git-hooks/pre-push @@ -117,54 +117,82 @@ if [[ -f "go.mod" ]] && command -v go >/dev/null 2>&1; then go test ./... || fail "go test failed" fi -# Resolve how this project runs pytest. +# Resolve how this project runs pytest, into PYTEST_CMD as an argv array. # # Looking only for `pytest` on PATH meant the hook skipped every project that keeps # its tools in a virtualenv -- which is most of them -- and reported "pytest is not # installed" while sitting next to a .venv with pytest in it. A gate that silently # declines to gate is worse than no gate, because the skip line reads like a pass. # +# An array rather than one string, because a virtualenv path may contain spaces: +# a scalar command splits `/home/me/my env/bin/python` into two paths that do not +# exist, and the hook then rejects the push for a reason that has nothing to do +# with the code being pushed. +# # Echoes the command it will run, so the reason for a skip is always visible. +PYTEST_CMD=() + +# Does this command actually run pytest? Accepting `--version` is not evidence -- +# plenty of programs take it and exit 0 -- so the output has to name pytest. The +# version is captured rather than piped: under `set -o pipefail` a `| grep -q` can +# report the SIGPIPE of the program it just matched. +is_pytest() { + local version + version="$("$@" --version 2>&1)" || return 1 + grep -qiE 'pytest[[:space:]]+(version[[:space:]]+)?[0-9]' <<<"$version" +} + resolve_pytest() { if [[ -n "${ECC_PYTEST_CMD:-}" ]]; then - echo "$ECC_PYTEST_CMD" + # Word-split, so the override names a command on PATH or an interpreter whose + # path has no spaces; a venv with spaces in its name is found by the loop below. + read -r -a PYTEST_CMD <<<"$ECC_PYTEST_CMD" || true + # Checked like every other candidate, and fatally rather than by falling + # through: an operator who set this asked for that command, and quietly running + # a different one would hide the misconfiguration. `ECC_PYTEST_CMD=true` would + # otherwise run `true -q`, pass, and report a Python project verified by + # nothing -- the same silent gate this resolver exists to remove. + if [[ ${#PYTEST_CMD[@]} -eq 0 ]] || ! is_pytest "${PYTEST_CMD[@]}"; then + fail "ECC_PYTEST_CMD is set to '$ECC_PYTEST_CMD', which does not run pytest" + fi return 0 fi local venv for venv in "${VIRTUAL_ENV:-}" .venv venv env; do if [[ -n "$venv" && -x "$venv/bin/python" ]]; then if "$venv/bin/python" -c "import pytest" >/dev/null 2>&1; then - echo "$venv/bin/python -m pytest" + PYTEST_CMD=("$venv/bin/python" -m pytest) return 0 fi fi done if [[ -f "uv.lock" ]] && command -v uv >/dev/null 2>&1; then if uv run --no-sync python -c "import pytest" >/dev/null 2>&1; then - echo "uv run --no-sync pytest" + PYTEST_CMD=(uv run --no-sync pytest) return 0 fi fi if [[ -f "poetry.lock" ]] && command -v poetry >/dev/null 2>&1; then if poetry run python -c "import pytest" >/dev/null 2>&1; then - echo "poetry run pytest" + PYTEST_CMD=(poetry run pytest) return 0 fi fi - if command -v pytest >/dev/null 2>&1; then - echo "pytest" + # `command -v` proves only that a file of that name exists on PATH, which is why + # this candidate is confirmed too before it is accepted. + if command -v pytest >/dev/null 2>&1 && is_pytest pytest; then + PYTEST_CMD=(pytest) return 0 fi + PYTEST_CMD=() return 1 } if [[ -f "pyproject.toml" || -f "requirements.txt" ]]; then - if pytest_cmd="$(resolve_pytest)"; then + if resolve_pytest; then ran_any_check=1 - log "Python project detected. Running: $pytest_cmd -q" - # Unquoted on purpose: the resolver returns a command with arguments. - # shellcheck disable=SC2086 - $pytest_cmd -q || fail "pytest failed" + log "Python project detected. Running: ${PYTEST_CMD[*]} -q" + "${PYTEST_CMD[@]}" -q || fail "pytest failed" else log "Python project detected but no pytest found (checked \$VIRTUAL_ENV, .venv," log " venv, env, uv, poetry, PATH). Set ECC_PYTEST_CMD to point at it." diff --git a/tests/scripts/codex-hooks.test.js b/tests/scripts/codex-hooks.test.js index 0dfe1d2f9..a6f9f3fd6 100644 --- a/tests/scripts/codex-hooks.test.js +++ b/tests/scripts/codex-hooks.test.js @@ -306,6 +306,98 @@ if ( passed++; else failed++; +function writeExecutable(filePath, body) { + fs.mkdirSync(path.dirname(filePath), { recursive: true }); + fs.writeFileSync(filePath, body); + fs.chmodSync(filePath, 0o755); +} + +// The Python arm of the hook, exercised without a real interpreter: the stubs +// record the argv they were handed, which is what the virtualenv-path regression +// is actually about. +function runHermeticPythonPrePush({ + venvName = null, + pytestCmd = null, + overrideVersionLine = null, +} = {}) { + const tempDir = createTempDir('codex-pre-push-py-'); + const projectDir = path.join(tempDir, 'project'); + const callsPath = path.join(tempDir, 'calls.txt'); + fs.mkdirSync(projectDir); + fs.writeFileSync(path.join(projectDir, 'pyproject.toml'), '[project]\nname = "demo"\n'); + const initialized = spawnSync('git', ['init', '--quiet'], { cwd: projectDir }); + assert.strictEqual(initialized.status, 0, initialized.stderr?.toString()); + + const env = { + ECC_SKIP_GIT_HOOKS: '0', + ECC_SKIP_PREPUSH: '0', + MSYS_NO_PATHCONV: '1', + }; + + let venvPython = null; + if (venvName) { + venvPython = path.join(tempDir, venvName, 'bin', 'python'); + writeExecutable(venvPython, `#!/bin/sh\nprintf '%s\\n' "$0|$*" >> "${toBashPath(callsPath)}"\nexit 0\n`); + env.VIRTUAL_ENV = toBashPath(path.join(tempDir, venvName)); + } + + if (overrideVersionLine !== null) { + const stub = path.join(tempDir, 'bin', 'fake-pytest'); + writeExecutable(stub, `#!/bin/sh\nif [ "$1" = "--version" ]; then printf '%s\\n' '${overrideVersionLine}'; exit 0; fi\nprintf '%s\\n' "$0|$*" >> "${toBashPath(callsPath)}"\nexit 0\n`); + env.ECC_PYTEST_CMD = toBashPath(stub); + } else if (pytestCmd !== null) { + env.ECC_PYTEST_CMD = pytestCmd; + } + + const result = runBash(prePushHook, { + env, + cwd: projectDir, + input: Buffer.from('refs/heads/main 1111111111111111111111111111111111111111 refs/heads/main 0000000000000000000000000000000000000000\n'), + }); + const calls = fs.existsSync(callsPath) + ? fs.readFileSync(callsPath, 'utf8').trim().split(/\r?\n/).filter(Boolean) + : []; + cleanup(tempDir); + return { result, calls, venvPython }; +} + +if ( + test('pre-push runs pytest from a virtualenv whose path contains spaces', () => { + const { result, calls, venvPython } = runHermeticPythonPrePush({ venvName: 'my venv' }); + const python = toBashPath(venvPython); + assert.strictEqual(result.status, 0, `${result.stdout}\n${result.stderr}`); + assert.deepStrictEqual(calls, [ + `${python}|-c import pytest`, + `${python}|-m pytest -q`, + ], JSON.stringify({ calls, python, stdout: result.stdout, stderr: result.stderr }, null, 2)); + }) +) + passed++; +else failed++; + +if ( + test('pre-push rejects an ECC_PYTEST_CMD that does not run pytest', () => { + const { result, calls } = runHermeticPythonPrePush({ pytestCmd: 'true' }); + assert.notStrictEqual(result.status, 0, `${result.stdout}\n${result.stderr}`); + assert.match(result.stderr, /ECC_PYTEST_CMD is set to 'true', which does not run pytest/); + assert.deepStrictEqual(calls, []); + assert.doesNotMatch(result.stdout, /Verification checks passed/); + }) +) + passed++; +else failed++; + +if ( + test('pre-push runs an ECC_PYTEST_CMD override that identifies itself as pytest', () => { + const { result, calls } = runHermeticPythonPrePush({ overrideVersionLine: 'pytest 8.0.0' }); + assert.strictEqual(result.status, 0, `${result.stdout}\n${result.stderr}`); + assert.strictEqual(calls.length, 1, JSON.stringify(calls)); + assert.match(calls[0], /\|-q$/); + }) +) + passed++; +else failed++; + if ( test('check-plugin-cache fails when the installed cache is missing manifest-referenced files', () => { const homeDir = createTempDir('codex-plugin-cache-home-'); From 1f5cd2af737c0b319ced41c021663da082e40e7e Mon Sep 17 00:00:00 2001 From: Juan Garibay Date: Thu, 17 Sep 2026 16:04:41 -0400 Subject: [PATCH 07/16] test(hooks): build the pre-push python fixture env without mutation AGENTS.md makes immutability mandatory and the helper built `env` by assigning into it. Rather than reassigning a `let` through spreads, the two stub paths are now resolved before the object exists, so `env` is a single `const` built in one expression with the conditional keys spread in. Nothing to mutate and nothing to rebind. --- tests/scripts/codex-hooks.test.js | 31 ++++++++++++++++--------------- 1 file changed, 16 insertions(+), 15 deletions(-) diff --git a/tests/scripts/codex-hooks.test.js b/tests/scripts/codex-hooks.test.js index a6f9f3fd6..366f98f0c 100644 --- a/tests/scripts/codex-hooks.test.js +++ b/tests/scripts/codex-hooks.test.js @@ -328,27 +328,28 @@ function runHermeticPythonPrePush({ const initialized = spawnSync('git', ['init', '--quiet'], { cwd: projectDir }); assert.strictEqual(initialized.status, 0, initialized.stderr?.toString()); + const venvDir = venvName === null ? null : path.join(tempDir, venvName); + const venvPython = venvDir === null ? null : path.join(venvDir, 'bin', 'python'); + if (venvPython !== null) { + writeExecutable(venvPython, `#!/bin/sh\nprintf '%s\\n' "$0|$*" >> "${toBashPath(callsPath)}"\nexit 0\n`); + } + + const overrideStub = overrideVersionLine === null + ? null + : path.join(tempDir, 'bin', 'fake-pytest'); + if (overrideStub !== null) { + writeExecutable(overrideStub, `#!/bin/sh\nif [ "$1" = "--version" ]; then printf '%s\\n' '${overrideVersionLine}'; exit 0; fi\nprintf '%s\\n' "$0|$*" >> "${toBashPath(callsPath)}"\nexit 0\n`); + } + + const override = overrideStub === null ? pytestCmd : toBashPath(overrideStub); const env = { ECC_SKIP_GIT_HOOKS: '0', ECC_SKIP_PREPUSH: '0', MSYS_NO_PATHCONV: '1', + ...(venvDir === null ? {} : { VIRTUAL_ENV: toBashPath(venvDir) }), + ...(override === null ? {} : { ECC_PYTEST_CMD: override }), }; - let venvPython = null; - if (venvName) { - venvPython = path.join(tempDir, venvName, 'bin', 'python'); - writeExecutable(venvPython, `#!/bin/sh\nprintf '%s\\n' "$0|$*" >> "${toBashPath(callsPath)}"\nexit 0\n`); - env.VIRTUAL_ENV = toBashPath(path.join(tempDir, venvName)); - } - - if (overrideVersionLine !== null) { - const stub = path.join(tempDir, 'bin', 'fake-pytest'); - writeExecutable(stub, `#!/bin/sh\nif [ "$1" = "--version" ]; then printf '%s\\n' '${overrideVersionLine}'; exit 0; fi\nprintf '%s\\n' "$0|$*" >> "${toBashPath(callsPath)}"\nexit 0\n`); - env.ECC_PYTEST_CMD = toBashPath(stub); - } else if (pytestCmd !== null) { - env.ECC_PYTEST_CMD = pytestCmd; - } - const result = runBash(prePushHook, { env, cwd: projectDir, From c6195edb2f99de947338292b7ef5142407fa7ffd Mon Sep 17 00:00:00 2001 From: Juan Garibay Date: Thu, 17 Sep 2026 16:19:57 -0400 Subject: [PATCH 08/16] fix(hooks): stop probing the pytest override, and stop failing on exit 5 Three defects, found by reviewing this branch against a running pytest rather than by reading it. Exit 5 is not a failure. pytest reserves it for NO_TESTS_COLLECTED, and `|| fail "pytest failed"` collapsed it into a blocked push. The `|| fail` predates this branch, but this branch is what makes it reachable: a repository whose pyproject.toml only configures ruff or black, with pytest in its venv and no test files, used to hit the "pytest is not installed" skip and now gets gated. $VIRTUAL_ENV is the first candidate, so merely having a venv activated in the pushing shell drags any requirements.txt repository into this path, and the hook is installed globally. Reproduced with pytest 9.1.1. Exit 5 is now non-blocking but loud -- a bad rootdir, testpaths or an unimportable conftest also collects nothing, and swallowing that silently would reopen the hole this resolver exists to close. Other non-zero codes now carry the code, because 1 (tests failed) and 4 (usage error) call for different responses. The ECC_PYTEST_CMD probe ran the operator's command. Validating the override with `--version` assumed it would answer like pytest. A wrapper that sets an environment variable and execs pytest ignores the flag and runs the whole suite, so the probe executed the tests, then rejected the command for not printing a version, then blocked the push -- with the suite green. That is worse than the silent gate the probe was added to close, so the override is taken as given again: it is a deliberate setting, the hook cannot inspect it without running it, and pointing it at something that is not pytest is the operator's call. `is_pytest` still guards the PATH candidate, which this script composes itself, where `pytest --version` is harmless. An empty override still fails closed. The tests inherited the ambient environment. `runHermeticPythonPrePush` passed process.env through, so an exported ECC_PYTEST_CMD or an activated virtualenv resolved a pytest the fixture never created and the venv test failed for anyone who runs the suite that way. Both variables are now neutralised in the base env. Coverage: the gate had no test proving it blocks. Changing the run line to `|| true` left all three previous tests green. Seven now cover a spaced venv path, a red suite, exit 5, an override invoked exactly once with no probe, an empty override, and the PATH candidate in both directions. --- scripts/codex-git-hooks/pre-push | 47 +++++++++++---- tests/scripts/codex-hooks.test.js | 98 ++++++++++++++++++++++++++----- 2 files changed, 117 insertions(+), 28 deletions(-) diff --git a/scripts/codex-git-hooks/pre-push b/scripts/codex-git-hooks/pre-push index 806d616cd..726f3916d 100755 --- a/scripts/codex-git-hooks/pre-push +++ b/scripts/codex-git-hooks/pre-push @@ -136,6 +136,11 @@ PYTEST_CMD=() # plenty of programs take it and exit 0 -- so the output has to name pytest. The # version is captured rather than piped: under `set -o pipefail` a `| grep -q` can # report the SIGPIPE of the program it just matched. +# +# Only ever called on a command this script composed itself. Probing an arbitrary +# operator-supplied command is not safe: a wrapper that ignores `--version` and +# execs pytest runs the entire suite during the probe, and is then rejected for +# not having printed a version. is_pytest() { local version version="$("$@" --version 2>&1)" || return 1 @@ -144,17 +149,15 @@ is_pytest() { resolve_pytest() { if [[ -n "${ECC_PYTEST_CMD:-}" ]]; then - # Word-split, so the override names a command on PATH or an interpreter whose - # path has no spaces; a venv with spaces in its name is found by the loop below. + # Taken as given. This is a deliberate override, and the hook cannot inspect it + # without running it -- a wrapper script may ignore `--version` and run the + # suite, so probing costs a duplicate test run and then blocks the push anyway. + # Pointing this at something that is not pytest turns the gate off, and that is + # the operator's call to make, not a misconfiguration for the hook to second + # guess. Word-split, so the command names something on PATH or an interpreter + # whose path has no spaces; a venv with spaces is found by the loop below. read -r -a PYTEST_CMD <<<"$ECC_PYTEST_CMD" || true - # Checked like every other candidate, and fatally rather than by falling - # through: an operator who set this asked for that command, and quietly running - # a different one would hide the misconfiguration. `ECC_PYTEST_CMD=true` would - # otherwise run `true -q`, pass, and report a Python project verified by - # nothing -- the same silent gate this resolver exists to remove. - if [[ ${#PYTEST_CMD[@]} -eq 0 ]] || ! is_pytest "${PYTEST_CMD[@]}"; then - fail "ECC_PYTEST_CMD is set to '$ECC_PYTEST_CMD', which does not run pytest" - fi + [[ ${#PYTEST_CMD[@]} -gt 0 ]] || fail "ECC_PYTEST_CMD is set but empty" return 0 fi local venv @@ -178,8 +181,8 @@ resolve_pytest() { return 0 fi fi - # `command -v` proves only that a file of that name exists on PATH, which is why - # this candidate is confirmed too before it is accepted. + # `command -v` proves only that a file of that name exists on PATH. This one the + # script composed itself, so confirming it costs a harmless `pytest --version`. if command -v pytest >/dev/null 2>&1 && is_pytest pytest; then PYTEST_CMD=(pytest) return 0 @@ -192,7 +195,25 @@ if [[ -f "pyproject.toml" || -f "requirements.txt" ]]; then if resolve_pytest; then ran_any_check=1 log "Python project detected. Running: ${PYTEST_CMD[*]} -q" - "${PYTEST_CMD[@]}" -q || fail "pytest failed" + pytest_status=0 + "${PYTEST_CMD[@]}" -q || pytest_status=$? + case "$pytest_status" in + 0) ;; + # pytest reserves 5 for NO_TESTS_COLLECTED, which is not a red suite. A + # pyproject.toml that only configures ruff or black is still a Python project + # by this hook's test, and blocking those pushes would make the gate something + # people switch off. Never silent, though: a bad rootdir, testpaths or a + # conftest that fails to import also collects nothing, and swallowing that is + # the same skip-reads-like-a-pass hole this resolver exists to close. + 5) + log "pytest collected no tests (exit 5). Not gating this push." + log " If this repository is supposed to have tests, that is the bug:" + log " check rootdir, testpaths, and conftest.py import errors." + ;; + # The code is in the message because 1 (tests failed) and 4 (usage error) + # need different responses, and "pytest failed" alone cannot tell them apart. + *) fail "pytest failed (exit $pytest_status)" ;; + esac else log "Python project detected but no pytest found (checked \$VIRTUAL_ENV, .venv," log " venv, env, uv, poetry, PATH). Set ECC_PYTEST_CMD to point at it." diff --git a/tests/scripts/codex-hooks.test.js b/tests/scripts/codex-hooks.test.js index 366f98f0c..fd11fd691 100644 --- a/tests/scripts/codex-hooks.test.js +++ b/tests/scripts/codex-hooks.test.js @@ -317,8 +317,10 @@ function writeExecutable(filePath, body) { // is actually about. function runHermeticPythonPrePush({ venvName = null, + venvExit = 0, pytestCmd = null, - overrideVersionLine = null, + overrideStub = false, + pathPytestVersionLine = null, } = {}) { const tempDir = createTempDir('codex-pre-push-py-'); const projectDir = path.join(tempDir, 'project'); @@ -328,26 +330,48 @@ function runHermeticPythonPrePush({ const initialized = spawnSync('git', ['init', '--quiet'], { cwd: projectDir }); assert.strictEqual(initialized.status, 0, initialized.stderr?.toString()); + // Every stub records the argv it was handed. That record is the assertion: it is + // how a test tells a preserved path from a split one, and a command that was run + // once from one the hook probed first. + const record = `printf '%s\\n' "$0|$*" >> "${toBashPath(callsPath)}"`; + const venvDir = venvName === null ? null : path.join(tempDir, venvName); const venvPython = venvDir === null ? null : path.join(venvDir, 'bin', 'python'); if (venvPython !== null) { - writeExecutable(venvPython, `#!/bin/sh\nprintf '%s\\n' "$0|$*" >> "${toBashPath(callsPath)}"\nexit 0\n`); + writeExecutable(venvPython, `#!/bin/sh\n${record}\nif [ "$1" = "-c" ]; then exit 0; fi\nexit ${venvExit}\n`); } - const overrideStub = overrideVersionLine === null - ? null - : path.join(tempDir, 'bin', 'fake-pytest'); - if (overrideStub !== null) { - writeExecutable(overrideStub, `#!/bin/sh\nif [ "$1" = "--version" ]; then printf '%s\\n' '${overrideVersionLine}'; exit 0; fi\nprintf '%s\\n' "$0|$*" >> "${toBashPath(callsPath)}"\nexit 0\n`); + // Deliberately does NOT special-case --version: an operator's wrapper would not + // either, and the recorded calls are what prove the hook never probed it. + const overrideStubPath = overrideStub ? path.join(tempDir, 'bin', 'wrapper') : null; + if (overrideStubPath !== null) { + writeExecutable(overrideStubPath, `#!/bin/sh\n${record}\nexit 0\n`); } - const override = overrideStub === null ? pytestCmd : toBashPath(overrideStub); + const pathBin = pathPytestVersionLine === null ? null : path.join(tempDir, 'pathbin'); + if (pathBin !== null) { + writeExecutable( + path.join(pathBin, 'pytest'), + `#!/bin/sh\nif [ "$1" = "--version" ]; then printf '%s\\n' '${pathPytestVersionLine}'; exit 0; fi\n${record}\nexit 0\n`, + ); + } + + const override = overrideStubPath === null ? pytestCmd : toBashPath(overrideStubPath); const env = { + // The hook reads both of these from the ambient environment. Inherited, a + // developer running this suite inside an activated virtualenv, or with an + // ECC_PYTEST_CMD exported, would resolve a pytest the fixture never created, + // and these tests would pass or fail depending on whose shell ran them. + VIRTUAL_ENV: '', + ECC_PYTEST_CMD: '', ECC_SKIP_GIT_HOOKS: '0', ECC_SKIP_PREPUSH: '0', MSYS_NO_PATHCONV: '1', ...(venvDir === null ? {} : { VIRTUAL_ENV: toBashPath(venvDir) }), ...(override === null ? {} : { ECC_PYTEST_CMD: override }), + ...(pathBin === null + ? {} + : { PATH: `${toBashPath(pathBin)}${path.delimiter}${process.env.PATH}` }), }; const result = runBash(prePushHook, { @@ -359,7 +383,7 @@ function runHermeticPythonPrePush({ ? fs.readFileSync(callsPath, 'utf8').trim().split(/\r?\n/).filter(Boolean) : []; cleanup(tempDir); - return { result, calls, venvPython }; + return { result, calls, venvPython, overrideStubPath }; } if ( @@ -377,11 +401,10 @@ if ( else failed++; if ( - test('pre-push rejects an ECC_PYTEST_CMD that does not run pytest', () => { - const { result, calls } = runHermeticPythonPrePush({ pytestCmd: 'true' }); + test('pre-push blocks the push when the resolved pytest fails', () => { + const { result } = runHermeticPythonPrePush({ venvName: 'venv-red', venvExit: 1 }); assert.notStrictEqual(result.status, 0, `${result.stdout}\n${result.stderr}`); - assert.match(result.stderr, /ECC_PYTEST_CMD is set to 'true', which does not run pytest/); - assert.deepStrictEqual(calls, []); + assert.match(result.stderr, /pytest failed \(exit 1\)/); assert.doesNotMatch(result.stdout, /Verification checks passed/); }) ) @@ -389,8 +412,52 @@ if ( else failed++; if ( - test('pre-push runs an ECC_PYTEST_CMD override that identifies itself as pytest', () => { - const { result, calls } = runHermeticPythonPrePush({ overrideVersionLine: 'pytest 8.0.0' }); + test('pre-push does not block when pytest collected no tests (exit 5)', () => { + const { result } = runHermeticPythonPrePush({ venvName: 'venv-empty', venvExit: 5 }); + assert.strictEqual(result.status, 0, `${result.stdout}\n${result.stderr}`); + assert.match(result.stdout, /collected no tests \(exit 5\)/); + assert.match(result.stdout, /rootdir, testpaths, and conftest\.py/); + }) +) + passed++; +else failed++; + +if ( + test('pre-push runs an ECC_PYTEST_CMD override exactly once, without probing it', () => { + const { result, calls, overrideStubPath } = runHermeticPythonPrePush({ overrideStub: true }); + assert.strictEqual(result.status, 0, `${result.stdout}\n${result.stderr}`); + assert.deepStrictEqual(calls, [`${toBashPath(overrideStubPath)}|-q`], JSON.stringify(calls)); + }) +) + passed++; +else failed++; + +if ( + test('pre-push fails closed when ECC_PYTEST_CMD is set to whitespace', () => { + const { result } = runHermeticPythonPrePush({ pytestCmd: ' ' }); + assert.notStrictEqual(result.status, 0, `${result.stdout}\n${result.stderr}`); + assert.match(result.stderr, /ECC_PYTEST_CMD is set but empty/); + }) +) + passed++; +else failed++; + +if ( + test('pre-push rejects a PATH pytest that does not identify itself as pytest', () => { + const { result, calls } = runHermeticPythonPrePush({ + pathPytestVersionLine: 'true (GNU coreutils) 9.0', + }); + assert.strictEqual(result.status, 0, `${result.stdout}\n${result.stderr}`); + assert.match(result.stdout, /no pytest found/); + assert.deepStrictEqual(calls, []); + }) +) + passed++; +else failed++; + +if ( + test('pre-push accepts a PATH pytest that reports a pytest version', () => { + const { result, calls } = runHermeticPythonPrePush({ pathPytestVersionLine: 'pytest 8.0.0' }); assert.strictEqual(result.status, 0, `${result.stdout}\n${result.stderr}`); assert.strictEqual(calls.length, 1, JSON.stringify(calls)); assert.match(calls[0], /\|-q$/); @@ -399,6 +466,7 @@ if ( passed++; else failed++; + if ( test('check-plugin-cache fails when the installed cache is missing manifest-referenced files', () => { const homeDir = createTempDir('codex-plugin-cache-home-'); From 08b173f12f41fff38e8b5c6367b17295b30044cb Mon Sep 17 00:00:00 2001 From: Juan Garibay Date: Thu, 17 Sep 2026 16:33:37 -0400 Subject: [PATCH 09/16] fix(hooks): a blank ECC_PYTEST_CMD is an override, and say when one is in use `[[ -n "${ECC_PYTEST_CMD:-}" ]]` asked whether the variable had a value, not whether it was set, so `ECC_PYTEST_CMD=` fell through to virtualenv discovery while `ECC_PYTEST_CMD=" "` failed the push. Two spellings of the same mistake, two behaviours. Falling through is the wrong one: an override that evaluated to nothing -- a command substitution that found no pytest, say -- then silently ran a different runner than the operator named, which is exactly the substitution this resolver refuses to make anywhere else. Both now fail closed. `${ECC_PYTEST_CMD+set}` rather than `[[ -v ECC_PYTEST_CMD ]]`, because `-v` is bash 4.2 and a stock macOS /bin/bash is 3.2, where it is not a false but a syntax error. The hook runs under whatever `env bash` resolves to. The override is still not probed -- probing runs the operator's command, and a wrapper that ignores `--version` executes the whole suite and is then rejected for not printing a version. What the gate can honestly do about a stale override is refuse to be quiet about it, so a push that uses one now says so, every time, and says the hook has not checked that it is pytest. A bypass that announces itself is not the silent gate this resolver exists to prevent. The fixture env is built from nothing instead of inheriting process.env with two keys blanked. Blanking is no longer neutral: a blanked ECC_PYTEST_CMD is now an override, and every one of these tests would have taken that branch. --- scripts/codex-git-hooks/pre-push | 23 ++++++++++++-- tests/scripts/codex-hooks.test.js | 50 ++++++++++++++++++++----------- 2 files changed, 53 insertions(+), 20 deletions(-) diff --git a/scripts/codex-git-hooks/pre-push b/scripts/codex-git-hooks/pre-push index 726f3916d..82ed82194 100755 --- a/scripts/codex-git-hooks/pre-push +++ b/scripts/codex-git-hooks/pre-push @@ -148,7 +148,18 @@ is_pytest() { } resolve_pytest() { - if [[ -n "${ECC_PYTEST_CMD:-}" ]]; then + # `${VAR+set}` rather than `-n "${VAR:-}"`, so that a variable set to nothing is + # still an override: `ECC_PYTEST_CMD=` and `ECC_PYTEST_CMD=" "` now behave + # alike, where the first used to fall through to discovery and the second failed + # the push. Falling through is the wrong half of that pair -- an override that + # evaluated empty (a command substitution that found nothing, say) would silently + # run a different runner than the operator asked for, which is the substitution + # this resolver refuses to make anywhere else. + # + # Not `[[ -v ECC_PYTEST_CMD ]]`: that is bash 4.2, and a stock macOS `/bin/bash` + # is 3.2, where it is a syntax error rather than a false. This hook ships to + # whatever `env bash` finds. + if [[ -n "${ECC_PYTEST_CMD+set}" ]]; then # Taken as given. This is a deliberate override, and the hook cannot inspect it # without running it -- a wrapper script may ignore `--version` and run the # suite, so probing costs a duplicate test run and then blocks the push anyway. @@ -157,7 +168,7 @@ resolve_pytest() { # guess. Word-split, so the command names something on PATH or an interpreter # whose path has no spaces; a venv with spaces is found by the loop below. read -r -a PYTEST_CMD <<<"$ECC_PYTEST_CMD" || true - [[ ${#PYTEST_CMD[@]} -gt 0 ]] || fail "ECC_PYTEST_CMD is set but empty" + [[ ${#PYTEST_CMD[@]} -gt 0 ]] || fail "ECC_PYTEST_CMD is set but names no command" return 0 fi local venv @@ -195,6 +206,14 @@ if [[ -f "pyproject.toml" || -f "requirements.txt" ]]; then if resolve_pytest; then ran_any_check=1 log "Python project detected. Running: ${PYTEST_CMD[*]} -q" + if [[ -n "${ECC_PYTEST_CMD+set}" ]]; then + # resolve_pytest deliberately does not verify the override is pytest, because + # probing it can run the operator's suite. What this gate can honestly do + # about a stale override is refuse to be quiet about it: a bypass announced + # on every push is not the silent gate this resolver exists to prevent. + log " via ECC_PYTEST_CMD -- the hook runs what you pointed it at, and does" + log " not check that it is pytest. Unset it to gate on the real suite." + fi pytest_status=0 "${PYTEST_CMD[@]}" -q || pytest_status=$? case "$pytest_status" in diff --git a/tests/scripts/codex-hooks.test.js b/tests/scripts/codex-hooks.test.js index fd11fd691..2e3cd9648 100644 --- a/tests/scripts/codex-hooks.test.js +++ b/tests/scripts/codex-hooks.test.js @@ -357,26 +357,28 @@ function runHermeticPythonPrePush({ } const override = overrideStubPath === null ? pytestCmd : toBashPath(overrideStubPath); + // Built from nothing rather than from process.env. The hook reads VIRTUAL_ENV and + // ECC_PYTEST_CMD from the ambient environment, so a developer running this suite + // inside an activated virtualenv, or with ECC_PYTEST_CMD exported, would resolve a + // pytest the fixture never created. Omitted, not blanked: now that a variable set + // to nothing is itself an override, blanking it here would make every one of these + // tests take that branch. const env = { - // The hook reads both of these from the ambient environment. Inherited, a - // developer running this suite inside an activated virtualenv, or with an - // ECC_PYTEST_CMD exported, would resolve a pytest the fixture never created, - // and these tests would pass or fail depending on whose shell ran them. - VIRTUAL_ENV: '', - ECC_PYTEST_CMD: '', + PATH: pathBin === null + ? process.env.PATH + : `${toBashPath(pathBin)}${path.delimiter}${process.env.PATH}`, + HOME: process.env.HOME ?? '', ECC_SKIP_GIT_HOOKS: '0', ECC_SKIP_PREPUSH: '0', MSYS_NO_PATHCONV: '1', ...(venvDir === null ? {} : { VIRTUAL_ENV: toBashPath(venvDir) }), ...(override === null ? {} : { ECC_PYTEST_CMD: override }), - ...(pathBin === null - ? {} - : { PATH: `${toBashPath(pathBin)}${path.delimiter}${process.env.PATH}` }), }; const result = runBash(prePushHook, { env, cwd: projectDir, + preservePath: false, input: Buffer.from('refs/heads/main 1111111111111111111111111111111111111111 refs/heads/main 0000000000000000000000000000000000000000\n'), }); const calls = fs.existsSync(callsPath) @@ -427,20 +429,32 @@ if ( const { result, calls, overrideStubPath } = runHermeticPythonPrePush({ overrideStub: true }); assert.strictEqual(result.status, 0, `${result.stdout}\n${result.stderr}`); assert.deepStrictEqual(calls, [`${toBashPath(overrideStubPath)}|-q`], JSON.stringify(calls)); + // The override is not verified to be pytest, so it must at least be loud. + assert.match(result.stdout, /via ECC_PYTEST_CMD/); + assert.match(result.stdout, /does\n?.*not check that it is pytest/s); }) ) passed++; else failed++; -if ( - test('pre-push fails closed when ECC_PYTEST_CMD is set to whitespace', () => { - const { result } = runHermeticPythonPrePush({ pytestCmd: ' ' }); - assert.notStrictEqual(result.status, 0, `${result.stdout}\n${result.stderr}`); - assert.match(result.stderr, /ECC_PYTEST_CMD is set but empty/); - }) -) - passed++; -else failed++; +// Both blank forms, because they used to disagree: an unquoted empty value fell +// through to discovery while whitespace failed the push. A venv is present so a +// fall-through would be visible as a pass rather than as an absence. +for (const [label, blank] of [['empty', ''], ['whitespace', ' ']]) { + if ( + test(`pre-push fails closed when ECC_PYTEST_CMD is set to ${label}`, () => { + const { result, calls } = runHermeticPythonPrePush({ + venvName: 'venv-blank', + pytestCmd: blank, + }); + assert.notStrictEqual(result.status, 0, `${result.stdout}\n${result.stderr}`); + assert.match(result.stderr, /ECC_PYTEST_CMD is set but names no command/); + assert.deepStrictEqual(calls, [], JSON.stringify(calls)); + }) + ) + passed++; + else failed++; +} if ( test('pre-push rejects a PATH pytest that does not identify itself as pytest', () => { From 9cdc40e6d1aadc4f6833a59a235acf46d6212ad4 Mon Sep 17 00:00:00 2001 From: Juan Garibay Date: Thu, 17 Sep 2026 16:44:33 -0400 Subject: [PATCH 10/16] fix(hooks): do not run a virtualenv interpreter the repository ships This branch taught the hook to run `.venv/bin/python`, and that is a binary the repository can supply. On main the Python arm only ever ran `pytest` from PATH -- the developer's own -- and on a machine without one it ran nothing at all, which is exactly the machine this branch was written for. So the exposure is new, and it arrived with the fix. The hook is installed globally through core.hooksPath. Cloning a hostile repository, committing nothing, and pushing it to your own fork is enough: the pre-push hook finds the committed `.venv/bin/python`, runs it once to probe for pytest and again to run the suite. Reproduced -- the planted executable logged two invocations under the previous commit and none under this one. A virtualenv is never committed. It is platform-specific binaries and every Python project gitignores it, so `git ls-files --error-unmatch` separates the two cases exactly: a developer's own venv is untracked and still resolves, a tracked one is skipped with the reason printed. An absolute $VIRTUAL_ENV outside the worktree reads as untracked, as it should. Not addressed here, and worth a maintainer's view: `uv run` and `poetry run` resolve from the repository's own lockfile, so they carry the same shape of trust in a form this check cannot see. They are gated behind a lockfile being present, and changing their semantics is a larger decision than this fix. --- scripts/codex-git-hooks/pre-push | 14 ++++++++++++++ tests/scripts/codex-hooks.test.js | 24 ++++++++++++++++++++++-- 2 files changed, 36 insertions(+), 2 deletions(-) diff --git a/scripts/codex-git-hooks/pre-push b/scripts/codex-git-hooks/pre-push index 82ed82194..6a3d46152 100755 --- a/scripts/codex-git-hooks/pre-push +++ b/scripts/codex-git-hooks/pre-push @@ -174,6 +174,20 @@ resolve_pytest() { local venv for venv in "${VIRTUAL_ENV:-}" .venv venv env; do if [[ -n "$venv" && -x "$venv/bin/python" ]]; then + # A virtualenv is never committed -- it is platform-specific binaries, and + # every Python project gitignores it. One that IS tracked is the repository + # handing this hook an executable and asking it to run. The hook is installed + # globally, so cloning a hostile repository and pushing it to your own fork + # would be enough, and on a machine with no pytest on PATH this arm is the + # only thing that would run at all. Skipping costs nothing legitimate, + # because a developer's own venv is untracked -- and it says why rather than + # going quiet about it. + if git ls-files --error-unmatch -- "$venv/bin/python" >/dev/null 2>&1; then + log "Ignoring $venv/bin/python: it is tracked in this repository." + log " A committed virtualenv is an executable the repository controls, and" + log " this hook runs on every push in every repository." + continue + fi if "$venv/bin/python" -c "import pytest" >/dev/null 2>&1; then PYTEST_CMD=("$venv/bin/python" -m pytest) return 0 diff --git a/tests/scripts/codex-hooks.test.js b/tests/scripts/codex-hooks.test.js index 2e3cd9648..42bdbda68 100644 --- a/tests/scripts/codex-hooks.test.js +++ b/tests/scripts/codex-hooks.test.js @@ -318,6 +318,7 @@ function writeExecutable(filePath, body) { function runHermeticPythonPrePush({ venvName = null, venvExit = 0, + trackVenv = false, pytestCmd = null, overrideStub = false, pathPytestVersionLine = null, @@ -335,10 +336,18 @@ function runHermeticPythonPrePush({ // once from one the hook probed first. const record = `printf '%s\\n' "$0|$*" >> "${toBashPath(callsPath)}"`; - const venvDir = venvName === null ? null : path.join(tempDir, venvName); + // A tracked venv has to live inside the repository to be trackable at all, and is + // found by directory-name discovery rather than by VIRTUAL_ENV. + const venvDir = venvName === null ? null : path.join(trackVenv ? projectDir : tempDir, venvName); const venvPython = venvDir === null ? null : path.join(venvDir, 'bin', 'python'); if (venvPython !== null) { writeExecutable(venvPython, `#!/bin/sh\n${record}\nif [ "$1" = "-c" ]; then exit 0; fi\nexit ${venvExit}\n`); + if (trackVenv) { + // Staged, not committed: `git ls-files` reads the index, so this is enough to + // make the file repository-controlled without needing a committer identity. + const added = spawnSync('git', ['add', '-f', '--', venvPython], { cwd: projectDir }); + assert.strictEqual(added.status, 0, added.stderr?.toString()); + } } // Deliberately does NOT special-case --version: an operator's wrapper would not @@ -371,7 +380,7 @@ function runHermeticPythonPrePush({ ECC_SKIP_GIT_HOOKS: '0', ECC_SKIP_PREPUSH: '0', MSYS_NO_PATHCONV: '1', - ...(venvDir === null ? {} : { VIRTUAL_ENV: toBashPath(venvDir) }), + ...(venvDir === null || trackVenv ? {} : { VIRTUAL_ENV: toBashPath(venvDir) }), ...(override === null ? {} : { ECC_PYTEST_CMD: override }), }; @@ -402,6 +411,17 @@ if ( passed++; else failed++; +if ( + test('pre-push refuses to run a virtualenv python that the repository tracks', () => { + const { result, calls } = runHermeticPythonPrePush({ venvName: '.venv', trackVenv: true }); + assert.strictEqual(result.status, 0, `${result.stdout}\n${result.stderr}`); + assert.deepStrictEqual(calls, [], JSON.stringify(calls)); + assert.match(result.stdout, /it is tracked in this repository/); + }) +) + passed++; +else failed++; + if ( test('pre-push blocks the push when the resolved pytest fails', () => { const { result } = runHermeticPythonPrePush({ venvName: 'venv-red', venvExit: 1 }); From ca1a5ad8bc612979059b4ad88d9db5030e778de9 Mon Sep 17 00:00:00 2001 From: Juan Garibay Date: Thu, 17 Sep 2026 16:51:43 -0400 Subject: [PATCH 11/16] fix(hooks): name the remedy in the blank-override failure The hook is global and this message blocks a push, so "ECC_PYTEST_CMD is set but names no command" left the operator holding a refusal with no next step. It now says to point the variable at a runner or unset it to fall back to discovery, which is the same advice the no-pytest-found branch already gives from the other direction. --- scripts/codex-git-hooks/pre-push | 3 ++- 1 file changed, 2 insertions(+), 1 deletion(-) diff --git a/scripts/codex-git-hooks/pre-push b/scripts/codex-git-hooks/pre-push index 6a3d46152..6f04c2680 100755 --- a/scripts/codex-git-hooks/pre-push +++ b/scripts/codex-git-hooks/pre-push @@ -168,7 +168,8 @@ resolve_pytest() { # guess. Word-split, so the command names something on PATH or an interpreter # whose path has no spaces; a venv with spaces is found by the loop below. read -r -a PYTEST_CMD <<<"$ECC_PYTEST_CMD" || true - [[ ${#PYTEST_CMD[@]} -gt 0 ]] || fail "ECC_PYTEST_CMD is set but names no command" + [[ ${#PYTEST_CMD[@]} -gt 0 ]] || fail "ECC_PYTEST_CMD is set but names no command.\ + Point it at your test runner, or unset it to fall back to discovery." return 0 fi local venv From 3c317470163b62345935125aecdeb037cba88dd8 Mon Sep 17 00:00:00 2001 From: Juan Garibay Date: Thu, 17 Sep 2026 16:55:11 -0400 Subject: [PATCH 12/16] fix(hooks): resolve the venv path before asking git whether it is tracked The guard added in 9cdc40e6 was incomplete. `git ls-files` reports paths as they are indexed and does not follow symlinks, so a repository that commits `.venv` as a symlink to its own root alongside a tracked `bin/python` gets asked about `.venv/bin/python` -- a path git has never heard of -- and the answer is "untracked". The interpreter then runs. Measured on that shape: the planted executable logged two invocations against 9cdc40e6 and none against this commit. `repo_ships_interpreter` now resolves the bin directory with `cd -P`/`pwd -P`, resolves the worktree root the same way, and asks git about the resolved path relative to it. The three cases that matter all hold: a plainly committed venv is still refused, the symlink shape is now refused, and a developer's own untracked venv still resolves and runs. `cd -P`/`pwd -P` rather than `realpath` or `readlink -f`, because neither is portable to a stock macOS. --- scripts/codex-git-hooks/pre-push | 37 ++++++++++++++++++++++--------- tests/scripts/codex-hooks.test.js | 24 +++++++++++++++++++- 2 files changed, 50 insertions(+), 11 deletions(-) diff --git a/scripts/codex-git-hooks/pre-push b/scripts/codex-git-hooks/pre-push index 6f04c2680..dfeeab4fd 100755 --- a/scripts/codex-git-hooks/pre-push +++ b/scripts/codex-git-hooks/pre-push @@ -147,6 +147,31 @@ is_pytest() { grep -qiE 'pytest[[:space:]]+(version[[:space:]]+)?[0-9]' <<<"$version" } +# Does the repository itself ship this interpreter? +# +# A virtualenv is never committed -- it is platform-specific binaries, and every +# Python project gitignores it. One that IS tracked is the repository handing this +# hook an executable and asking it to run. The hook is installed globally, so +# cloning a hostile repository and pushing it to your own fork would be enough, +# and on a machine with no pytest on PATH this arm is the only thing that would +# run at all. A developer's own venv is untracked, so nothing legitimate is lost. +# +# The path is resolved through symlinks before git is asked, because `git ls-files` +# reports paths as indexed and does not follow links. A repository that commits +# `.venv` as a symlink to `.` next to a tracked `bin/python` would otherwise be +# queried for `.venv/bin/python`, a path git has never heard of, and the answer +# would be "untracked". Measured: that shape ran the planted binary twice. +repo_ships_interpreter() { + local bindir real top + bindir="$(cd -P -- "$1" 2>/dev/null && pwd -P)" || return 1 + [[ -n "$bindir" ]] || return 1 + real="$bindir/python" + top="$(git rev-parse --show-toplevel 2>/dev/null)" || return 1 + top="$(cd -P -- "$top" 2>/dev/null && pwd -P)" || return 1 + [[ -n "$top" && "$real" == "$top/"* ]] || return 1 + git ls-files --error-unmatch -- "${real#"$top"/}" >/dev/null 2>&1 +} + resolve_pytest() { # `${VAR+set}` rather than `-n "${VAR:-}"`, so that a variable set to nothing is # still an override: `ECC_PYTEST_CMD=` and `ECC_PYTEST_CMD=" "` now behave @@ -175,16 +200,8 @@ resolve_pytest() { local venv for venv in "${VIRTUAL_ENV:-}" .venv venv env; do if [[ -n "$venv" && -x "$venv/bin/python" ]]; then - # A virtualenv is never committed -- it is platform-specific binaries, and - # every Python project gitignores it. One that IS tracked is the repository - # handing this hook an executable and asking it to run. The hook is installed - # globally, so cloning a hostile repository and pushing it to your own fork - # would be enough, and on a machine with no pytest on PATH this arm is the - # only thing that would run at all. Skipping costs nothing legitimate, - # because a developer's own venv is untracked -- and it says why rather than - # going quiet about it. - if git ls-files --error-unmatch -- "$venv/bin/python" >/dev/null 2>&1; then - log "Ignoring $venv/bin/python: it is tracked in this repository." + if repo_ships_interpreter "$venv/bin"; then + log "Ignoring $venv/bin/python: the repository ships it." log " A committed virtualenv is an executable the repository controls, and" log " this hook runs on every push in every repository." continue diff --git a/tests/scripts/codex-hooks.test.js b/tests/scripts/codex-hooks.test.js index 42bdbda68..11f8d0115 100644 --- a/tests/scripts/codex-hooks.test.js +++ b/tests/scripts/codex-hooks.test.js @@ -319,6 +319,7 @@ function runHermeticPythonPrePush({ venvName = null, venvExit = 0, trackVenv = false, + trackedSymlinkVenv = false, pytestCmd = null, overrideStub = false, pathPytestVersionLine = null, @@ -350,6 +351,16 @@ function runHermeticPythonPrePush({ } } + // The shape that defeats a naive `git ls-files -- .venv/bin/python` check: the + // repository commits `.venv` as a symlink to its own root plus a tracked + // `bin/python`, so git is asked about a path it has never indexed. + if (trackedSymlinkVenv) { + writeExecutable(path.join(projectDir, 'bin', 'python'), `#!/bin/sh\n${record}\nexit 0\n`); + fs.symlinkSync('.', path.join(projectDir, '.venv')); + const added = spawnSync('git', ['add', '-f', '--', 'bin/python', '.venv'], { cwd: projectDir }); + assert.strictEqual(added.status, 0, added.stderr?.toString()); + } + // Deliberately does NOT special-case --version: an operator's wrapper would not // either, and the recorded calls are what prove the hook never probed it. const overrideStubPath = overrideStub ? path.join(tempDir, 'bin', 'wrapper') : null; @@ -416,7 +427,18 @@ if ( const { result, calls } = runHermeticPythonPrePush({ venvName: '.venv', trackVenv: true }); assert.strictEqual(result.status, 0, `${result.stdout}\n${result.stderr}`); assert.deepStrictEqual(calls, [], JSON.stringify(calls)); - assert.match(result.stdout, /it is tracked in this repository/); + assert.match(result.stdout, /the repository ships it/); + }) +) + passed++; +else failed++; + +if ( + test('pre-push refuses a tracked interpreter reached through a committed symlink', () => { + const { result, calls } = runHermeticPythonPrePush({ trackedSymlinkVenv: true }); + assert.strictEqual(result.status, 0, `${result.stdout}\n${result.stderr}`); + assert.deepStrictEqual(calls, [], JSON.stringify(calls)); + assert.match(result.stdout, /the repository ships it/); }) ) passed++; From 4869db30c45c983000d7e4beff5853af3468dd53 Mon Sep 17 00:00:00 2001 From: Juan Garibay Date: Thu, 17 Sep 2026 17:17:19 -0400 Subject: [PATCH 13/16] fix(hooks): match the index case-insensitively, and isolate the pytest probe Red-teaming the guard from 3c317470 found two more ways to get a repository's own code executed. Both are demonstrated by a planted binary that appends to a witness file, counted before and after. Case folding. git matches index pathspecs case-sensitively even where core.ignorecase is set, but APFS does not -- so a repository that commits `.venv/bin/Python` gets `$venv/bin/python` opening and running that file while the guard's lowercase query finds nothing in the index and reports it untracked. The witness logged two invocations. It applies to `venv` and `env` as well, and to any folding of the name. The query now uses a `:(icase)` pathspec; all nine directory-by-spelling combinations are refused, and an untracked venv still runs. Module shadowing. `python -c "import pytest"` puts the working directory first on sys.path, so a repository that commits a `pytest.py` in its root has that file imported, and executed, by a check whose only job is to answer whether pytest is installed. The probe is now `python -I -c "import pytest"` on the virtualenv, uv and poetry paths alike. Isolation does not hide a real pytest -- it lives in the interpreter's own site-packages, confirmed against a venv holding pytest 9.1.1. Still true, and not something this hook can fix: running the repository's declared suite runs the repository's code. `pytest` imports conftest.py, and the Node arm runs package.json scripts. That is what a pre-push verification hook is for. The line this guard draws is narrower and worth keeping -- a capability probe, and the choice of which interpreter to trust, should not be things the pushed repository gets to decide. --- scripts/codex-git-hooks/pre-push | 19 +++++++++++++++---- tests/scripts/codex-hooks.test.js | 29 ++++++++++++++++++++++++++--- 2 files changed, 41 insertions(+), 7 deletions(-) diff --git a/scripts/codex-git-hooks/pre-push b/scripts/codex-git-hooks/pre-push index dfeeab4fd..ff66512a1 100755 --- a/scripts/codex-git-hooks/pre-push +++ b/scripts/codex-git-hooks/pre-push @@ -169,9 +169,20 @@ repo_ships_interpreter() { top="$(git rev-parse --show-toplevel 2>/dev/null)" || return 1 top="$(cd -P -- "$top" 2>/dev/null && pwd -P)" || return 1 [[ -n "$top" && "$real" == "$top/"* ]] || return 1 - git ls-files --error-unmatch -- "${real#"$top"/}" >/dev/null 2>&1 + # `:(icase)` because git matches index pathspecs case-sensitively even where + # core.ignorecase is set, while the filesystem underneath does not. On macOS's + # APFS -- the platform this hook most often runs on -- a committed + # `.venv/bin/Python` is what `$venv/bin/python` opens and executes, but a + # case-sensitive query for the lowercase name finds nothing in the index and the + # guard waves it through. Measured: that spelling ran the planted binary twice. + git ls-files --error-unmatch -- ":(icase)${real#"$top"/}" >/dev/null 2>&1 } +# `-I` isolates the probe: without it Python puts the working directory first on +# sys.path, so a repository that commits a `pytest.py` in its root gets that file +# imported -- and executed -- by a check whose only job is to answer whether pytest +# exists. Measured: a committed pytest.py ran during the probe. Isolation does not +# hide a real pytest, which lives in the interpreter's own site-packages. resolve_pytest() { # `${VAR+set}` rather than `-n "${VAR:-}"`, so that a variable set to nothing is # still an override: `ECC_PYTEST_CMD=` and `ECC_PYTEST_CMD=" "` now behave @@ -206,20 +217,20 @@ resolve_pytest() { log " this hook runs on every push in every repository." continue fi - if "$venv/bin/python" -c "import pytest" >/dev/null 2>&1; then + if "$venv/bin/python" -I -c "import pytest" >/dev/null 2>&1; then PYTEST_CMD=("$venv/bin/python" -m pytest) return 0 fi fi done if [[ -f "uv.lock" ]] && command -v uv >/dev/null 2>&1; then - if uv run --no-sync python -c "import pytest" >/dev/null 2>&1; then + if uv run --no-sync python -I -c "import pytest" >/dev/null 2>&1; then PYTEST_CMD=(uv run --no-sync pytest) return 0 fi fi if [[ -f "poetry.lock" ]] && command -v poetry >/dev/null 2>&1; then - if poetry run python -c "import pytest" >/dev/null 2>&1; then + if poetry run python -I -c "import pytest" >/dev/null 2>&1; then PYTEST_CMD=(poetry run pytest) return 0 fi diff --git a/tests/scripts/codex-hooks.test.js b/tests/scripts/codex-hooks.test.js index 11f8d0115..1171de52c 100644 --- a/tests/scripts/codex-hooks.test.js +++ b/tests/scripts/codex-hooks.test.js @@ -319,6 +319,7 @@ function runHermeticPythonPrePush({ venvName = null, venvExit = 0, trackVenv = false, + trackedVenvBasename = 'python', trackedSymlinkVenv = false, pytestCmd = null, overrideStub = false, @@ -340,9 +341,11 @@ function runHermeticPythonPrePush({ // A tracked venv has to live inside the repository to be trackable at all, and is // found by directory-name discovery rather than by VIRTUAL_ENV. const venvDir = venvName === null ? null : path.join(trackVenv ? projectDir : tempDir, venvName); - const venvPython = venvDir === null ? null : path.join(venvDir, 'bin', 'python'); + const venvPython = venvDir === null + ? null + : path.join(venvDir, 'bin', trackVenv ? trackedVenvBasename : 'python'); if (venvPython !== null) { - writeExecutable(venvPython, `#!/bin/sh\n${record}\nif [ "$1" = "-c" ]; then exit 0; fi\nexit ${venvExit}\n`); + writeExecutable(venvPython, `#!/bin/sh\n${record}\ncase " $* " in *" -c "*) exit 0 ;; esac\nexit ${venvExit}\n`); if (trackVenv) { // Staged, not committed: `git ls-files` reads the index, so this is enough to // make the file repository-controlled without needing a committer identity. @@ -414,7 +417,7 @@ if ( const python = toBashPath(venvPython); assert.strictEqual(result.status, 0, `${result.stdout}\n${result.stderr}`); assert.deepStrictEqual(calls, [ - `${python}|-c import pytest`, + `${python}|-I -c import pytest`, `${python}|-m pytest -q`, ], JSON.stringify({ calls, python, stdout: result.stdout, stderr: result.stderr }, null, 2)); }) @@ -433,6 +436,26 @@ if ( passed++; else failed++; +// A case-folded spelling, because macOS resolves `$venv/bin/python` to a committed +// `Python` while git matches index pathspecs case-sensitively. Skipped where the +// filesystem is case-sensitive and the two names cannot collide. +if (fs.existsSync(__filename.toUpperCase()) || fs.existsSync(__filename.toLowerCase())) { + if ( + test('pre-push refuses a tracked interpreter committed under a folded case', () => { + const { result, calls } = runHermeticPythonPrePush({ + venvName: '.venv', + trackVenv: true, + trackedVenvBasename: 'Python', + }); + assert.strictEqual(result.status, 0, `${result.stdout}\n${result.stderr}`); + assert.deepStrictEqual(calls, [], JSON.stringify(calls)); + assert.match(result.stdout, /the repository ships it/); + }) + ) + passed++; + else failed++; +} + if ( test('pre-push refuses a tracked interpreter reached through a committed symlink', () => { const { result, calls } = runHermeticPythonPrePush({ trackedSymlinkVenv: true }); From db61d1c76ab3e39eb4b1ffc84831e9cc6d368286 Mon Sep 17 00:00:00 2001 From: Affaan Mustafa Date: Fri, 18 Sep 2026 18:37:01 -0400 Subject: [PATCH 14/16] fix(gateguard): warn that parallel-batch siblings may already be applied (#3136) A first-touch Edit/Write denial marks the file checked so the retry passes. Sibling edits to the same file in the same parallel batch are therefore judged against post-denial state and silently apply, leaving the file in a state neither version intended. Hooks see tool calls one at a time, so a batch-wide lock is not possible. Instead make the partial application explicit: the Edit, Write, MultiEdit, and condensed denials now name the file and warn that other edits from the same batch may already have been applied, and SKILL.md tells agents to send dependent edits sequentially and re-read the file after a gated batch. --- scripts/hooks/gateguard-fact-force.js | 20 ++++++ skills/gateguard/SKILL.md | 20 ++++++ tests/hooks/gateguard-fact-force.test.js | 87 ++++++++++++++++++++++++ 3 files changed, 127 insertions(+) diff --git a/scripts/hooks/gateguard-fact-force.js b/scripts/hooks/gateguard-fact-force.js index bfd2b11c6..568cf58b2 100644 --- a/scripts/hooks/gateguard-fact-force.js +++ b/scripts/hooks/gateguard-fact-force.js @@ -1101,6 +1101,21 @@ function isReadOnlyGitIntrospection(command) { // --- Gate messages --- +/** + * Batch-consistency warning (#3136). A first-touch denial marks the file + * checked so the retry passes; a parallel batch of edits to one + * not-yet-touched file therefore partially applies (first call denied, + * siblings allowed). Hooks see calls one at a time and cannot lock a + * batch, so the denial must say this out loud: name the file and tell + * the agent that siblings may already have been applied. + */ +function batchSiblingWarning(safePath) { + return ( + `If this call was sent in a parallel batch, other edits to ${safePath} from that batch ` + + 'may already have been applied. Re-read the file before building on them.' + ); +} + function editGateMsg(filePath) { const safe = sanitizePath(filePath); return [ @@ -1113,6 +1128,8 @@ function editGateMsg(filePath) { '3. If this file reads/writes data files, show field names, structure, and date format (use redacted or synthetic values, not raw production data)', "4. Quote the user's current instruction verbatim", '', + batchSiblingWarning(safe), + '', 'Present the facts, then retry the same operation.' ].join('\n'); } @@ -1129,6 +1146,8 @@ function writeGateMsg(filePath) { '3. If this file reads/writes data files, show field names, structure, and date format (use redacted or synthetic values, not raw production data)', "4. Quote the user's current instruction verbatim", '', + batchSiblingWarning(safe), + '', 'Present the facts, then retry the same operation.' ].join('\n'); } @@ -1143,6 +1162,7 @@ function condensedGateMsg(action, filePath, ordinal) { return ( `[Fact-Forcing Gate] (denial #${ordinal} this session) First ${action} of ${safe}: ` + "briefly state importers/callers, affected API, data schemas if any, and the user's verbatim instruction, then retry. " + + `${batchSiblingWarning(safe)} ` + '(Use GATEGUARD_EXEMPT_GLOBS for path-scoped exemptions; ECC_GATEGUARD=off disables this gate.)' ); } diff --git a/skills/gateguard/SKILL.md b/skills/gateguard/SKILL.md index e7ebc5cec..be96d2689 100644 --- a/skills/gateguard/SKILL.md +++ b/skills/gateguard/SKILL.md @@ -89,6 +89,26 @@ Triggers on: `rm -rf`, `git reset --hard`, `git push --force`, `drop table`, etc 2. What this specific command verifies or produces ``` +## Parallel Batches and Partial Application + +The first-touch gate evaluates each tool call independently. When several +edits to a file that has not been touched yet are sent in one parallel +batch, the first call is denied and the denial marks the file as checked, +so the sibling edits in that batch are applied. Nothing is rolled back: +the file can end up holding the sibling edits without the denied one. + +The denial message names the file and warns that batch siblings may +already have been applied. Treat it literally: + +- Send dependent edits to a not-yet-touched file sequentially, not in a + parallel batch. A definition and its first use, or an import and its + call site, must not ride in the same batch. +- After a first-touch denial, present the facts, retry the denied edit, + and re-read the file before building on anything else from the batch. + +A batch-wide lock is not possible: hooks see tool calls one at a time, so +the gate cannot know which calls arrived together. + ## Quick Start ### Option A: Use the ECC hook (zero install) diff --git a/tests/hooks/gateguard-fact-force.test.js b/tests/hooks/gateguard-fact-force.test.js index 495928691..df6e4e28c 100644 --- a/tests/hooks/gateguard-fact-force.test.js +++ b/tests/hooks/gateguard-fact-force.test.js @@ -3104,6 +3104,93 @@ function runTests() { passed++; else failed++; + // --- Batch consistency (#3136): a parallel batch of edits to one --- + // not-yet-touched file partially applies: the first denial marks the + // file checked, so sibling edits in the same batch are allowed. Hooks + // see calls one at a time and cannot lock a batch, so the contract is + // that the denial itself names the file and warns that batch siblings + // may already have been applied. + clearState(); + if ( + test('first-touch Edit denial warns about applied batch siblings (#3136)', () => { + // Two edits to the same unchecked file, sent as a parallel batch. + // Each hook invocation is its own process, exactly as in a batch. + const editA = { + tool_name: 'Edit', + tool_input: { file_path: '/src/batch-target.js', old_string: 'a', new_string: 'b' } + }; + const editB = { + tool_name: 'Edit', + tool_input: { file_path: '/src/batch-target.js', old_string: 'c', new_string: 'd' } + }; + + const first = parseOutput(runHook(editA).stdout); + assert.strictEqual(first.hookSpecificOutput.permissionDecision, 'deny', 'first edit of the batch is gated'); + const firstReason = first.hookSpecificOutput.permissionDecisionReason; + assert.ok(firstReason.includes('/src/batch-target.js'), 'denial names the exact file'); + assert.ok( + firstReason.includes('parallel batch'), + 'denial warns that batch siblings may already have been applied' + ); + assert.ok( + firstReason.includes('Re-read'), + 'denial tells the agent to re-read the file before building on siblings' + ); + + // Sibling edit in the same batch: judged against post-denial state, + // so it applies. The warning above is what makes this visible. + const second = parseOutput(runHook(editB).stdout); + if (second && second.hookSpecificOutput) { + assert.notStrictEqual(second.hookSpecificOutput.permissionDecision, 'deny', 'batch sibling is not re-gated'); + } + }) + ) + passed++; + else failed++; + + clearState(); + if ( + test('condensed Edit denial also warns about applied batch siblings (#3136)', () => { + writeState({ checked: [], last_active: Date.now(), fact_force_denials: 3 }); + const result = runHook({ tool_name: 'Edit', tool_input: { file_path: '/src/batch-condensed.js' } }); + const output = parseOutput(result.stdout); + assert.strictEqual(output.hookSpecificOutput.permissionDecision, 'deny'); + const reason = output.hookSpecificOutput.permissionDecisionReason; + assert.ok(reason.includes('parallel batch'), 'condensed denial keeps the batch-sibling warning'); + assert.ok(!reason.includes('\n'), 'condensed denial stays a single line'); + }) + ) + passed++; + else failed++; + + clearState(); + if ( + test('first-touch Write and MultiEdit denials warn about applied batch siblings (#3136)', () => { + const writeOut = parseOutput( + runHook({ tool_name: 'Write', tool_input: { file_path: '/src/batch-new.js', content: 'x' } }).stdout + ); + assert.strictEqual(writeOut.hookSpecificOutput.permissionDecision, 'deny'); + assert.ok( + writeOut.hookSpecificOutput.permissionDecisionReason.includes('parallel batch'), + 'Write denial carries the batch-sibling warning' + ); + + const multiOut = parseOutput( + runHook({ + tool_name: 'MultiEdit', + tool_input: { edits: [{ file_path: '/src/batch-multi.js', old_string: 'a', new_string: 'b' }] } + }).stdout + ); + assert.strictEqual(multiOut.hookSpecificOutput.permissionDecision, 'deny'); + assert.ok( + multiOut.hookSpecificOutput.permissionDecisionReason.includes('parallel batch'), + 'MultiEdit denial carries the batch-sibling warning' + ); + }) + ) + passed++; + else failed++; + // Cleanup only the temp directory created by this test file. try { if (fs.existsSync(stateDir)) { From da214d73b70fa9494a4ccc0784159fd29924116f Mon Sep 17 00:00:00 2001 From: Affaan Mustafa Date: Fri, 18 Sep 2026 18:37:05 -0400 Subject: [PATCH 15/16] fix: stop home installs copying .agents into ~/.claude and ~/.codex --- scripts/lib/install-targets/claude-home.js | 4 +- scripts/lib/install-targets/codex-home.js | 3 +- scripts/lib/install-targets/helpers.js | 25 ++++++++++- tests/scripts/install-apply.test.js | 48 ++++++++++++++++++++++ 4 files changed, 76 insertions(+), 4 deletions(-) diff --git a/scripts/lib/install-targets/claude-home.js b/scripts/lib/install-targets/claude-home.js index 5cc426ac9..2de35ec58 100644 --- a/scripts/lib/install-targets/claude-home.js +++ b/scripts/lib/install-targets/claude-home.js @@ -1,6 +1,7 @@ const path = require('path'); const { + HOME_INSTALL_EXCLUDED_SOURCE_PATHS, createInstallTargetAdapter, createRemappedOperation, isForeignPlatformPath, @@ -52,6 +53,7 @@ module.exports = createInstallTargetAdapter({ kind: 'home', rootSegments: ['.claude'], installStatePathSegments: ['ecc', 'install-state.json'], + excludedSourcePaths: HOME_INSTALL_EXCLUDED_SOURCE_PATHS, nativeRootRelativePath: '.claude-plugin', planOperations(input, adapter) { const modules = Array.isArray(input.modules) @@ -66,7 +68,7 @@ module.exports = createInstallTargetAdapter({ return modules.flatMap(module => { const paths = Array.isArray(module.paths) ? module.paths : []; return paths - .filter(p => !isForeignPlatformPath(p, adapter.target)) + .filter(p => !isForeignPlatformPath(p, adapter.target) && !adapter.excludesSourcePath(p)) .flatMap(sourceRelativePath => { if ( module.id === 'hooks-runtime' diff --git a/scripts/lib/install-targets/codex-home.js b/scripts/lib/install-targets/codex-home.js index ae29b41a1..aff32c4c5 100644 --- a/scripts/lib/install-targets/codex-home.js +++ b/scripts/lib/install-targets/codex-home.js @@ -1,4 +1,4 @@ -const { createInstallTargetAdapter } = require('./helpers'); +const { HOME_INSTALL_EXCLUDED_SOURCE_PATHS, createInstallTargetAdapter } = require('./helpers'); module.exports = createInstallTargetAdapter({ id: 'codex-home', @@ -7,4 +7,5 @@ module.exports = createInstallTargetAdapter({ rootSegments: ['.codex'], installStatePathSegments: ['ecc-install-state.json'], nativeRootRelativePath: '.codex', + excludedSourcePaths: HOME_INSTALL_EXCLUDED_SOURCE_PATHS, }); diff --git a/scripts/lib/install-targets/helpers.js b/scripts/lib/install-targets/helpers.js index f69d75e86..5df5ae1c4 100644 --- a/scripts/lib/install-targets/helpers.js +++ b/scripts/lib/install-targets/helpers.js @@ -24,6 +24,14 @@ const PLATFORM_SOURCE_PATH_OWNERS = Object.freeze({ '.adal': 'adal', }); +// Source paths that home installs must never copy into a harness home +// directory. `.agents` is ECC's repo-local skills/plugins staging area: +// project targets such as kimi and antigravity consume it, but neither +// Claude Code nor Codex reads a `.agents` directory under ~/.claude or +// ~/.codex, so copying it there produces unread files that doctor flags as +// drift and repair keeps restoring. +const HOME_INSTALL_EXCLUDED_SOURCE_PATHS = Object.freeze(['.agents']); + function normalizeRelativePath(relativePath) { return String(relativePath || '') .replace(/\\/g, '/') @@ -43,6 +51,14 @@ function isForeignPlatformPath(sourceRelativePath, adapterTarget) { return false; } +function isExcludedSourcePath(sourceRelativePath, excludedSourcePaths = []) { + const normalizedPath = normalizeRelativePath(sourceRelativePath); + return excludedSourcePaths.some(excluded => { + const prefix = normalizeRelativePath(excluded); + return prefix !== '' && (normalizedPath === prefix || normalizedPath.startsWith(`${prefix}/`)); + }); +} + function resolveBaseRoot(scope, input = {}) { if (scope === 'home') { return input.homeDir || os.homedir(); @@ -351,6 +367,9 @@ function createInstallTargetAdapter(config) { strategy: adapter.determineStrategy(normalizedSourcePath), }); }, + excludesSourcePath(sourceRelativePath) { + return isExcludedSourcePath(sourceRelativePath, config.excludedSourcePaths); + }, planOperations(input = {}) { if (typeof config.planOperations === 'function') { return config.planOperations(input, adapter); @@ -360,7 +379,7 @@ function createInstallTargetAdapter(config) { return input.modules.flatMap(module => { const paths = Array.isArray(module.paths) ? module.paths : []; return paths - .filter(p => !isForeignPlatformPath(p, config.target)) + .filter(p => !isForeignPlatformPath(p, config.target) && !adapter.excludesSourcePath(p)) .map(sourceRelativePath => adapter.createScaffoldOperation( module.id, sourceRelativePath, @@ -372,7 +391,7 @@ function createInstallTargetAdapter(config) { const module = input.module || {}; const paths = Array.isArray(module.paths) ? module.paths : []; return paths - .filter(p => !isForeignPlatformPath(p, config.target)) + .filter(p => !isForeignPlatformPath(p, config.target) && !adapter.excludesSourcePath(p)) .map(sourceRelativePath => adapter.createScaffoldOperation( module.id, sourceRelativePath, @@ -399,6 +418,8 @@ function createInstallTargetAdapter(config) { } module.exports = { + HOME_INSTALL_EXCLUDED_SOURCE_PATHS, + isExcludedSourcePath, buildValidationIssue, createFlatFileOperations, createFlatRuleOperations, diff --git a/tests/scripts/install-apply.test.js b/tests/scripts/install-apply.test.js index 270339cb9..c1e935dcc 100644 --- a/tests/scripts/install-apply.test.js +++ b/tests/scripts/install-apply.test.js @@ -593,6 +593,54 @@ function runTests() { } })) passed++; else failed++; + if (test('home installs do not copy the repo .agents staging directory into Claude or Codex homes', () => { + const homeDir = createTempDir('install-apply-home-'); + const projectDir = createTempDir('install-apply-project-'); + + try { + const claudeResult = run(['--profile', 'core', '--enable-hooks'], { cwd: projectDir, homeDir }); + assert.strictEqual(claudeResult.code, 0, claudeResult.stderr); + + const claudeRoot = path.join(homeDir, '.claude'); + assert.ok(fs.existsSync(path.join(claudeRoot, 'agents', 'architect.md'))); + assert.ok(fs.existsSync(path.join(claudeRoot, 'skills', 'tdd-workflow', 'SKILL.md'))); + assert.ok( + !fs.existsSync(path.join(claudeRoot, '.agents')), + 'Claude home must not receive the repo .agents staging directory' + ); + + const claudeState = readJson(path.join(claudeRoot, 'ecc', 'install-state.json')); + assert.ok( + !claudeState.operations.some(operation => ( + String(operation.sourceRelativePath || '').replace(/\\/g, '/').split('/')[0] === '.agents' + )), + 'Claude install-state must not record .agents copy operations' + ); + + const codexResult = run(['--target', 'codex', '--profile', 'core'], { cwd: projectDir, homeDir }); + assert.strictEqual(codexResult.code, 0, codexResult.stderr); + + const codexRoot = path.join(homeDir, '.codex'); + assert.ok(fs.existsSync(path.join(codexRoot, 'agents', 'architect.md'))); + assert.ok(fs.existsSync(path.join(codexRoot, 'skills', 'tdd-workflow', 'SKILL.md'))); + assert.ok( + !fs.existsSync(path.join(codexRoot, '.agents')), + 'Codex home must not receive the repo .agents staging directory' + ); + + const codexState = readJson(path.join(codexRoot, 'ecc-install-state.json')); + assert.ok( + !codexState.operations.some(operation => ( + String(operation.sourceRelativePath || '').replace(/\\/g, '/').split('/')[0] === '.agents' + )), + 'Codex install-state must not record .agents copy operations' + ); + } finally { + cleanup(homeDir); + cleanup(projectDir); + } + })) passed++; else failed++; + if (test('preserves existing top-level Claude rules and skills during managed install', () => { const homeDir = createTempDir('install-apply-home-'); const projectDir = createTempDir('install-apply-project-'); From 8cfbc26797ca94d90b866fca1878fe548e9fd6bd Mon Sep 17 00:00:00 2001 From: Affaan Mustafa Date: Fri, 18 Sep 2026 20:13:11 -0400 Subject: [PATCH 16/16] fix: reconcile pre-exclusion .agents installs on claude and codex home upgrades --- scripts/install-apply.js | 7 + scripts/lib/install/apply.js | 25 +- .../install/excluded-paths-reconciliation.js | 230 ++++++++++++++++++ tests/scripts/install-apply.test.js | 129 ++++++++++ 4 files changed, 389 insertions(+), 2 deletions(-) create mode 100644 scripts/lib/install/excluded-paths-reconciliation.js diff --git a/scripts/install-apply.js b/scripts/install-apply.js index 1435d2ff6..722f7d6b6 100755 --- a/scripts/install-apply.js +++ b/scripts/install-apply.js @@ -132,6 +132,13 @@ function printHumanPlan(plan, dryRun) { } } + if (Array.isArray(plan.reconciledExcludedPaths) && plan.reconciledExcludedPaths.length > 0) { + console.log('\nReconciled excluded paths:'); + for (const removedPath of plan.reconciledExcludedPaths) { + console.log(`- removed ${removedPath}`); + } + } + if (!dryRun) { console.log(`\nDone. Install-state written to ${plan.installStatePath}`); } diff --git a/scripts/lib/install/apply.js b/scripts/lib/install/apply.js index fbab1293b..bd0f41fd5 100644 --- a/scripts/lib/install/apply.js +++ b/scripts/lib/install/apply.js @@ -34,6 +34,10 @@ const { preserveUnwrittenFiles, } = require('./ownership-guard'); const { cleanupLegacyOpencodeInstall } = require('./opencode-legacy-migration'); +const { + completeExcludedPathsReconciliation, + prepareExcludedPathsReconciliation, +} = require('./excluded-paths-reconciliation'); const { buildInstallIndex, rewriteRelativeLinks } = require('./link-rewrite'); const { adaptAntigravityAgent } = require('./antigravity-agent'); @@ -449,9 +453,12 @@ function applyInstallPlanLocked(plan, dependencies = {}, settingsLockHeld = fals if (typeof beforeInstallStateRead === 'function') { beforeInstallStateRead({ plan }); } - const migration = prepareHookConsentMigration( + const migration = prepareExcludedPathsReconciliation( plan, - prepareUserOwnedFileGuard(plan, prepareClaudeSkillMigration(plan)) + prepareHookConsentMigration( + plan, + prepareUserOwnedFileGuard(plan, prepareClaudeSkillMigration(plan)) + ) ); const appliedPlan = { ...plan, @@ -666,17 +673,31 @@ function applyInstallPlanLocked(plan, dependencies = {}, settingsLockHeld = fals ]; } + let excludedPathsRemoved = []; + let excludedPathsWarnings = []; + try { + const excludedReconciliation = completeExcludedPathsReconciliation(migration, appliedPlan); + excludedPathsRemoved = excludedReconciliation.removedPaths; + excludedPathsWarnings = excludedReconciliation.warnings; + } catch (error) { + excludedPathsWarnings = [ + `Excluded-paths reconciliation did not finish: ${error.message}. Previously managed files under excluded source paths were preserved; remove them manually or rerun the install.`, + ]; + } + return { ...plan, statePreview: finalState, plannedOperations: [...plan.operations], operations: migration.appliedOperations, skippedOperations: migration.skippedOperations, + reconciledExcludedPaths: excludedPathsRemoved, warnings: [ ...(Array.isArray(plan.warnings) ? plan.warnings : []), ...migration.warnings, ...antigravityMigrationWarnings, ...opencodeMigrationWarnings, + ...excludedPathsWarnings, ], applied: true, }; diff --git a/scripts/lib/install/excluded-paths-reconciliation.js b/scripts/lib/install/excluded-paths-reconciliation.js new file mode 100644 index 000000000..845dfd400 --- /dev/null +++ b/scripts/lib/install/excluded-paths-reconciliation.js @@ -0,0 +1,230 @@ +'use strict'; + +const crypto = require('crypto'); +const fs = require('fs'); +const path = require('path'); + +const { readInstallState } = require('../install-state'); +const { assertWithinTrustedRoot } = require('../path-safety'); +const { getInstallTargetAdapter } = require('../install-targets/registry'); + +/** + * Upgrade reconciliation for excluded source paths (issue #3116). + * + * Adapters can declare `excludedSourcePaths` (today: `.agents` for the Claude + * and Codex home targets). The exclusion stops new copy operations from being + * planned, but a home install created before the exclusion still has the + * copied files on disk and the copy operations recorded in install-state, so + * doctor keeps reporting drift and repair keeps restoring files the target + * never reads. + * + * prepareExcludedPathsReconciliation runs before the new state is written: it + * reads the previous install-state and drops the recorded managed operations + * whose source path is now excluded. completeExcludedPathsReconciliation runs + * after a successful apply: it removes the files those operations recorded, + * but only when the recorded content digest still matches, and prunes the + * emptied directories. Files the state does not own, modified files, + * symlinks, and anything outside the target root are preserved with a + * warning. + */ + +function comparablePath(filePath) { + const resolvedPath = path.resolve(filePath); + return process.platform === 'win32' ? resolvedPath.toLowerCase() : resolvedPath; +} + +function getReconcilingAdapter(plan) { + if (!plan || typeof plan.target !== 'string') { + return null; + } + let adapter; + try { + adapter = getInstallTargetAdapter(plan.target); + } catch { + return null; + } + return adapter && typeof adapter.excludesSourcePath === 'function' ? adapter : null; +} + +function isRecordedExcludedManagedOperation(adapter, operation) { + return Boolean( + operation + && operation.ownership === 'managed' + && typeof operation.destinationPath === 'string' + && typeof operation.sourceRelativePath === 'string' + && adapter.excludesSourcePath(operation.sourceRelativePath) + ); +} + +function filterStateOperations(state, shouldDrop) { + if (!state || !Array.isArray(state.operations)) { + return state; + } + return { + ...state, + operations: state.operations.filter(operation => !shouldDrop(operation)), + }; +} + +function prepareExcludedPathsReconciliation(plan, migration) { + const adapter = getReconcilingAdapter(plan); + if (!adapter || !fs.existsSync(plan.installStatePath)) { + return { ...migration, excludedPathCandidates: [] }; + } + + const previousState = readInstallState(plan.installStatePath); + const candidates = ((previousState && previousState.operations) || []) + .filter(operation => isRecordedExcludedManagedOperation(adapter, operation)); + + if (candidates.length === 0) { + return { ...migration, excludedPathCandidates: [] }; + } + + const droppedDestinations = new Set( + candidates.map(operation => comparablePath(operation.destinationPath)) + ); + const shouldDrop = operation => Boolean( + operation + && typeof operation.destinationPath === 'string' + && droppedDestinations.has(comparablePath(operation.destinationPath)) + && typeof operation.sourceRelativePath === 'string' + && adapter.excludesSourcePath(operation.sourceRelativePath) + ); + + return { + ...migration, + bridgeState: filterStateOperations(migration.bridgeState, shouldDrop), + finalState: filterStateOperations(migration.finalState, shouldDrop), + excludedPathCandidates: candidates, + }; +} + +function pathExists(filePath) { + try { + fs.lstatSync(filePath); + return true; + } catch (error) { + if (error && error.code === 'ENOENT') { + return false; + } + throw error; + } +} + +function hashFileNoFollow(filePath) { + const flags = fs.constants.O_RDONLY | (fs.constants.O_NOFOLLOW || 0); + const descriptor = fs.openSync(filePath, flags); + try { + const before = fs.fstatSync(descriptor, { bigint: true }); + if (!before.isFile()) { + throw new Error(`Refusing to read a non-file at ${filePath}`); + } + const content = fs.readFileSync(descriptor); + const after = fs.fstatSync(descriptor, { bigint: true }); + const finalPathStat = fs.lstatSync(filePath, { bigint: true }); + const unchanged = before.dev === after.dev + && before.ino === after.ino + && before.size === after.size + && after.dev === finalPathStat.dev + && after.ino === finalPathStat.ino + && after.size === finalPathStat.size; + if (finalPathStat.isSymbolicLink() || !finalPathStat.isFile() || !unchanged) { + throw new Error(`Refusing to read a file that changed during validation: ${filePath}`); + } + return crypto.createHash('sha256').update(content).digest('hex'); + } finally { + fs.closeSync(descriptor); + } +} + +function removeEmptyParents(startPath, targetRoot) { + let currentPath = path.dirname(startPath); + while (comparablePath(currentPath) !== comparablePath(targetRoot)) { + const safePath = assertWithinTrustedRoot( + currentPath, + targetRoot, + 'reconcile excluded install paths' + ); + if (!pathExists(safePath)) { + currentPath = path.dirname(safePath); + continue; + } + const stat = fs.lstatSync(safePath); + if (!stat.isDirectory() || stat.isSymbolicLink() || fs.readdirSync(safePath).length > 0) { + return; + } + fs.rmdirSync(safePath); + currentPath = path.dirname(safePath); + } +} + +function completeExcludedPathsReconciliation(migration, plan) { + const candidates = (migration && migration.excludedPathCandidates) || []; + const removedPaths = []; + const warnings = []; + + for (const candidate of candidates) { + if (candidate.kind !== 'copy-file') { + continue; + } + + let safePath; + try { + safePath = assertWithinTrustedRoot( + candidate.destinationPath, + plan.targetRoot, + 'reconcile excluded install paths' + ); + } catch (error) { + warnings.push( + `Preserved previously managed file ${candidate.destinationPath}: ${error.message}` + ); + continue; + } + + if (!pathExists(safePath)) { + continue; + } + + const stat = fs.lstatSync(safePath); + if (stat.isSymbolicLink() || !stat.isFile()) { + warnings.push( + `Preserved previously managed file ${safePath}: it is not a regular file; remove it manually if unwanted.` + ); + continue; + } + + if (typeof candidate.contentSha256 !== 'string') { + warnings.push( + `Preserved previously managed file ${safePath}: the recorded operation has no content digest, so the file cannot be verified unchanged; remove it manually if unwanted.` + ); + continue; + } + + let currentDigest; + try { + currentDigest = hashFileNoFollow(safePath); + } catch (error) { + warnings.push(`Preserved previously managed file ${safePath}: ${error.message}`); + continue; + } + + if (currentDigest !== candidate.contentSha256.toLowerCase()) { + warnings.push( + `Preserved previously managed file ${safePath}: content changed after install; remove it manually if unwanted.` + ); + continue; + } + + fs.unlinkSync(safePath); + removedPaths.push(safePath); + removeEmptyParents(safePath, plan.targetRoot); + } + + return { removedPaths, warnings }; +} + +module.exports = { + completeExcludedPathsReconciliation, + prepareExcludedPathsReconciliation, +}; diff --git a/tests/scripts/install-apply.test.js b/tests/scripts/install-apply.test.js index c1e935dcc..576ba4389 100644 --- a/tests/scripts/install-apply.test.js +++ b/tests/scripts/install-apply.test.js @@ -7,6 +7,7 @@ const fs = require('fs'); const os = require('os'); const path = require('path'); const { execFileSync, spawnSync } = require('child_process'); +const crypto = require('crypto'); const yaml = require('js-yaml'); const { applyInstallPlan } = require('../../scripts/lib/install/apply'); @@ -641,6 +642,134 @@ function runTests() { } })) passed++; else failed++; + if (test('reconciles legacy .agents files and state operations on Claude and Codex home upgrades', () => { + const homeDir = createTempDir('install-apply-home-'); + const projectDir = createTempDir('install-apply-project-'); + const digest = content => crypto.createHash('sha256').update(content).digest('hex'); + const legacyOperation = (destinationPath, sourceRelativePath, installedContent) => ({ + kind: 'copy-file', + moduleId: 'agents-core', + sourceRelativePath, + destinationPath, + strategy: 'preserve-relative-path', + ownership: 'managed', + scaffoldOnly: false, + contentSha256: digest(installedContent), + }); + const writeFile = (filePath, content) => { + fs.mkdirSync(path.dirname(filePath), { recursive: true }); + fs.writeFileSync(filePath, content); + }; + const writeLegacyState = (statePath, target, operations) => { + writeFile(statePath, `${JSON.stringify({ + schemaVersion: 'ecc.install.v1', + installedAt: '2026-09-01T00:00:00.000Z', + target, + request: { + profile: 'core', + modules: [], + includeComponents: [], + excludeComponents: [], + legacyLanguages: [], + legacyMode: false, + hookConsent: target.target === 'claude' ? 'enabled' : null, + }, + resolution: { selectedModules: ['agents-core'], skippedModules: [] }, + source: { repoVersion: '2.2.1', repoCommit: null, manifestVersion: 1 }, + operations, + }, null, 2)}\n`); + }; + + try { + // Claude home seeded as installed before the .agents exclusion. + const claudeRoot = path.join(homeDir, '.claude'); + const claudeStatePath = path.join(claudeRoot, 'ecc', 'install-state.json'); + const claudeSkillCopy = path.join(claudeRoot, '.agents', 'skills', 'legacy-skill', 'SKILL.md'); + const claudeModifiedCopy = path.join(claudeRoot, '.agents', 'plugins', 'marketplace.json'); + const claudeUserFile = path.join(claudeRoot, '.agents', 'user-note.txt'); + writeFile(claudeSkillCopy, '# legacy skill\n'); + writeFile(claudeModifiedCopy, '{"edited": true}\n'); + writeFile(claudeUserFile, 'user notes\n'); + writeLegacyState(claudeStatePath, { + id: 'claude-home', target: 'claude', kind: 'home', + root: claudeRoot, installStatePath: claudeStatePath, + }, [ + legacyOperation(claudeSkillCopy, '.agents/skills/legacy-skill/SKILL.md', '# legacy skill\n'), + legacyOperation(claudeModifiedCopy, '.agents/plugins/marketplace.json', '{"original": true}\n'), + ]); + + const claudeResult = run(['--profile', 'core', '--enable-hooks'], { cwd: projectDir, homeDir }); + assert.strictEqual(claudeResult.code, 0, claudeResult.stderr); + + assert.ok(!fs.existsSync(claudeSkillCopy), 'Unchanged managed .agents file should be removed'); + assert.ok( + claudeResult.stdout.includes( + `- removed ${path.join(fs.realpathSync(claudeRoot), '.agents', 'skills', 'legacy-skill', 'SKILL.md')}` + ), + 'Install output should log one line per removed path' + ); + assert.strictEqual( + fs.readFileSync(claudeModifiedCopy, 'utf8'), + '{"edited": true}\n', + 'Modified managed file must be preserved' + ); + assert.strictEqual( + fs.readFileSync(claudeUserFile, 'utf8'), + 'user notes\n', + 'Files the state does not own must not be touched' + ); + assert.ok( + !fs.existsSync(path.join(claudeRoot, '.agents', 'skills')), + 'Emptied .agents subdirectories should be pruned' + ); + + const claudeState = readJson(claudeStatePath); + assert.ok( + !claudeState.operations.some(operation => ( + String(operation.sourceRelativePath || '').replace(/\\/g, '/').split('/')[0] === '.agents' + )), + 'Claude install-state must drop the excluded .agents operations' + ); + assert.ok(fs.existsSync(path.join(claudeRoot, 'agents', 'architect.md'))); + assert.ok(fs.existsSync(path.join(claudeRoot, 'skills', 'tdd-workflow', 'SKILL.md'))); + + // Codex home seeded the same way; both recorded files are unchanged. + const codexRoot = path.join(homeDir, '.codex'); + const codexStatePath = path.join(codexRoot, 'ecc-install-state.json'); + const codexSkillCopy = path.join(codexRoot, '.agents', 'skills', 'legacy-skill', 'SKILL.md'); + const codexMarketplaceCopy = path.join(codexRoot, '.agents', 'plugins', 'marketplace.json'); + writeFile(codexSkillCopy, '# legacy skill\n'); + writeFile(codexMarketplaceCopy, '{"original": true}\n'); + writeLegacyState(codexStatePath, { + id: 'codex-home', target: 'codex', kind: 'home', + root: codexRoot, installStatePath: codexStatePath, + }, [ + legacyOperation(codexSkillCopy, '.agents/skills/legacy-skill/SKILL.md', '# legacy skill\n'), + legacyOperation(codexMarketplaceCopy, '.agents/plugins/marketplace.json', '{"original": true}\n'), + ]); + + const codexResult = run(['--target', 'codex', '--profile', 'core'], { cwd: projectDir, homeDir }); + assert.strictEqual(codexResult.code, 0, codexResult.stderr); + + assert.ok( + !fs.existsSync(path.join(codexRoot, '.agents')), + 'Fully reconciled .agents directory should be pruned from the Codex home' + ); + const codexState = readJson(codexStatePath); + assert.ok( + !codexState.operations.some(operation => ( + String(operation.sourceRelativePath || '').replace(/\\/g, '/').split('/')[0] === '.agents' + )), + 'Codex install-state must drop the excluded .agents operations' + ); + assert.ok(fs.existsSync(path.join(codexRoot, 'agents', 'architect.md'))); + assert.ok(fs.existsSync(path.join(codexRoot, 'skills', 'tdd-workflow', 'SKILL.md'))); + } finally { + cleanup(homeDir); + cleanup(projectDir); + } + })) passed++; else failed++; + if (test('preserves existing top-level Claude rules and skills during managed install', () => { const homeDir = createTempDir('install-apply-home-'); const projectDir = createTempDir('install-apply-project-');