安全な日常操作を制約付きworkflowへ集約する

.codex/config.tomlと9つのcustom role定義をworkspace-writeへ揃え、通常の成果物とtemporary artifactをrepository内へ限定した。systemのtemporary directoryは自動write対象から除外し、workspace外の変更とdeleteは承認対象のままにした。

• source-control workflow helperはrepository-localなsource-control read、差分、選択pathのstageなどを制約付きsubcommandとして提供する。
• GitHub workflow helperはcurrent repositoryに限ったTask、Issue・PR read、Issue comment、draft作成、checks、read-only API、本文だけのIssue更新を扱う。
• workspace validation helperはfile一覧、bounded read、search、syntax・metadata・policy validation、安全なdry-runを一つの入口へ集約する。

.codex/hooks/pre_tool_use_command_policy.pyをPreToolUseへ接続し、review済みのliteral entrypointだけを許すdefault-deny policyを実装した。command substitution、pipe、redirect、compound command、absolute path、./ alias、env、arbitrary interpreter、script-file、unknown executableは実行前に拒否する。

workspaceのreadとsearchでは、path traversal、Git metadata、credential-like name、repository外、symlinkをcase-insensitiveに検査する。directoryやpath省略の再帰searchは、rg --files -0で候補名だけを列挙し、全candidateをcontent access前に検証してから、安全なregular fileだけを一度のcontent searchへ渡す。

• 複数targetにinvalid pathが混ざる場合は、safe targetの内容も出力せず即時失敗する。
• 認証preflightはsecretを表示せず、credential stateも変更しないread-only確認へ限定した。
• 旧い4つの単機能entrypointはwrapperやfallbackとして残さず、3つのcanonical workflowへ責務を移した。

最終確認でIssue本文を更新する安全な入口が不足していることが判明したため、issue-edit-bodyを追加した。digits-onlyの対象番号、current repository、workspace内のnon-empty regular non-symlink body fileだけを受理し、credential-like file、arbitrary repository、unknown argument、title・state・type・parent・closeの変更を拒否するbody-only interfaceにした。

ALLOWED_ENTRYPOINTS = frozenset(
    {
        "generated-output cleanup",
        "authentication preflight",
        "local Git workflow",
        "GitHub workflow",
        "post-merge cleanup",
        "workspace workflow",
        "gh",
    }
)
CONTROL_CHARS = frozenset(";&|<>()")


def classify_command(command: Any) -> tuple[bool, str]:
    if not isinstance(command, str) or not command.strip():
        return False, "Bash command must be a non-empty string."
    if "\x00" in command or "\n" in command or "\r" in command:
        return False, "Multiline and NUL-containing Bash commands are not allowed."