feat(cli-fix-push-gate): Phase B の 4 軸ゲートと判定コアの lib 化 (WP-17 2b)

[aloekun]

概要

WP-17 PR 2（Phase B 無人 fix push）の再分割 2b です。判定コアの lib 抽出 2 件と、
その最初の呼び手である cli-fix-push-gate を 同一 PR に入れます。

incident（2026-08-02）の初回分割は抽出と呼び手を分離し、先頭 PR が missing-consumer で
REJECT され、fix が lib を丸ごと削除して空洞化しました。本 PR は ADR-069 § 決定 3-1
「抽出と最初の呼び手の間で切らない」に従い、その境界を同一 PR に戻しています。

1141 行で PR size gate の warning 帯（800〜1500）です。上記の理由により、これ以上の分割は
チェーン全体のコストを増やすだけと判断しました（ADR-069 § 決定 3-3）。

コミット

1. refactor(lib-scope-guard) — ADR-054 scope 判定コアを lib へ抽出（テスト 11 件）
2. refactor(lib-autonomy-policy) — ADR-066 kill-switch 判定コアを lib へ抽出（テスト 21 件維持）
3. feat(cli-fix-push-gate) — Phase B の fix push 直前ゲート（4 軸 AND、テスト 22 件）
4. docs(wp17) — lib module doc を呼び手実在の現実に合わせる + chain 宣言の精緻化

cli-fix-push-gate の設計

ADR-052 自動実行可クラスの 4 軸を 1 回の呼び出しで AND 評価し、1 つでも欠ければ非ゼロで
終了して push を止めます（= Phase A 相当の分析コメントのみへ degrade）。

軸	根拠	入力
kill-switch	ADR-066 / ADR-052 原則 5	--config + env AUTONOMY_ENABLED
target（隔離 namespace）	ADR-052 原則 2 target 軸	--branch
内容（自動実行可クラス）	ADR-052 原則 2 内容軸 / ADR-035	--diff-summary-file
scope（injection 防御）	ADR-054	--findings-file + 同 diff

単一 exe にした理由: cli-autonomy-gate && cli-fix-push-gate の連鎖にすると、workflow で
&& を書き忘れた瞬間に kill-switch を通り越します。fail-closed 合成を呼び手のミスに
依存させないため、kill-switch も本 exe が lib-autonomy-policy 経由で内包します。

引数に既定値を設けない理由: CI で --config に master ref の写しを渡し忘れた呼び手が、
PR ブランチの config を黙って読む事故を防ぐためです（ADR-066 § 決定 3。自律 actor が
自分で kill-switch を解除できてしまう経路）。

exit コードは 0 = push 可 / 1 = 拒否 / 2 = 引数不正で、呼び手は非ゼロをすべて
「push しない」として扱います。allow / deny どちらも 4 軸すべての状態を含む 1 行を
出力します（無音 no-op 禁止、ADR-064 と同じ論理）。

lib 抽出の根拠

• lib-scope-guard（ADR-054）: 呼び手は cli-pr-monitor::stages::scope_guard（ローカル経路、
  jj diff）と cli-fix-push-gate（CI 経路、git diff）。ADR-044 層 1 の「3+ crate 重複」ではなく
  判定の同一性を根拠にしています — 2 経路が分岐した瞬間に片方だけ緩む drift が
  ADR-054 の防御を無効化するためです。
• lib-autonomy-policy（ADR-066）: 呼び手は cli-autonomy-gate と cli-fix-push-gate。
  ADR-066 § 決定 4 が「呼び手が env / config を直読みして独自に真偽を組み立てること」を
  禁じており、判定を 1 か所へ集約する必要があります。

どちらも呼び手 2 件が本 PR の diff 内に揃っており、未消費の抽象ではありません。

chain 宣言（ADR-069 初回 dogfood）

未消費なのは cli-fix-push-gate の workflow 呼び手 1 つだけです。これは後続 PR 2c の
pr-monitor.yml の fix job、step Gate fix push (deterministic, 4-axis AND) として land します。

宣言は計画書に記載し、ADR-069 § 決定 1 の 3 要件（diff 内の計画文書 / 抽出↔呼び手の
具体的ペアリング / 名前一致）を満たすよう、2c の実体と step 名・exe パス・4 引数を
照合して具体化しました。旧記載の Gate fix push は実名の前方一致にすぎなかったため
実名に修正しています。

検証

• cargo test --workspace 1945 件 pass（新規 33 件を含む）
• cargo clippy --workspace --all-targets -- -D warnings 緑
• pnpm lint:docs / pnpm lint:md 0 error
• pre-push review: security-review APPROVE / simplicity-review APPROVE
• ゲート単体 drill 7 シナリオ実測済み（4 軸それぞれの deny + 全軸 OK の allow）。
  記録は 2c で land する ADR-067 § 検証記録にあります

後続

2c: pr-monitor.yml の Phase B fix job + autonomy-config.toml の enabled = true +
ADR-067 起票（約 470 行）。2c では ADR-069 の試験運用記録に本 PR の dogfood 結果
（宣言付き先頭 PR が missing-consumer で REJECT されなかったこと）を追記します。

🤖 Generated with Claude Code

Summary by CodeRabbit

• 新機能

  • fix push 操作の自動実行可否を検証するゲートを追加しました。
  • ブランチ、変更内容、実行ポリシー、許可対象範囲を確認し、条件を満たさない場合は理由を示して拒否します。
  • 判定結果を終了コードと標準出力・エラー出力で明確に通知します。
  • 変更範囲の検証と自動実行ポリシー判定を共通化しました。

• ドキュメント

  • ハーネス改善計画の進捗と後続ワークフローの手順を更新しました。

[coderabbitai]

Important

Review skipped

Auto incremental reviews are disabled on this repository.

Please check the settings in the CodeRabbit UI or the .coderabbit.yaml file in this repository. To trigger a single review, invoke the @coderabbitai review command.

⚙️ Run configuration

Configuration used: Path: .coderabbit.yaml

Review profile: CHILL

Plan: Pro Plus

Run ID: 042168c7-8c5b-454c-b353-07c69d62e52f

You can disable this status message by setting the reviews.review_status to false in the CodeRabbit configuration file.

Use the checkbox below for a quick retry:

• 🔍 Trigger review

📝 Walkthrough

Walkthrough

自律性ポリシーと scope 判定を共有ライブラリへ分離した。新しい cli-fix-push-gate CLI が、入力読込、4 軸判定、結果出力、終了コード、テレメトリ記録を実行する。既存 CLI と Cargo・ビルド設定を更新した。

Changes

fix push ゲート基盤

Layer / File(s)	Summary
自律性ポリシーの共有化 src/lib-autonomy-policy/*, src/cli-autonomy-gate/*	Operation、GateInputs、Decision、判定関数、設定・環境値読み取り API を公開した。cli-autonomy-gate は共有ライブラリを使用する。
scope 判定の共有化 src/lib-scope-guard/*, src/cli-pr-monitor/*	パス正規化、allowlist 生成、M/A/D diff 解析、scope 違反検出を共有化した。cli-pr-monitor は共有実装へ委譲する。
fix push ゲート判定と入力処理 src/cli-fix-push-gate/Cargo.toml, src/cli-fix-push-gate/src/checks.rs, src/cli-fix-push-gate/src/inputs.rs	kill-switch、claude/ ブランチ、空 diff、自動実行可能性、allowlist を決定論的に評価する。findings JSON と diff summary を読み込む。
CLI 実行経路とビルド統合 Cargo.toml, package.json, src/cli-fix-push-gate/src/main.rs, docs/harness-improvement-plan.md	必須引数、出力 marker、終了コード、deny テレメトリ、ビルドスクリプト、ワークスペース登録、計画書の状態を更新した。

Estimated code review effort: 4 (Complex) | ~60 minutes

Sequence Diagram(s)

sequenceDiagram
  participant CLI as cli-fix-push-gate
  participant Inputs as 入力ファイル
  participant Policy as lib-autonomy-policy
  participant Scope as lib-scope-guard
  participant Telemetry as lib-telemetry
  CLI->>Inputs: findings JSON と diff summary を読み込む
  CLI->>Policy: 設定・環境値を評価する
  CLI->>Scope: diff と allowlist を解析する
  CLI->>CLI: 4 軸のゲート判定を実行する
  CLI->>Telemetry: deny 理由コードを記録する
  CLI-->>CLI: 結果を出力して終了する

Loading

Possibly related PRs

• aloekun/claude-code-hook-test#238: 既存の cli-pr-monitor 自動 push ゲートを共有ライブラリと新 CLI に置き換える変更に関連する。
• aloekun/claude-code-hook-test#265: scope guard と自動 push の信頼境界を拡張する変更に関連する。
• aloekun/claude-code-hook-test#347: 自律性ゲートの判定と入力読込ロジックを共有ライブラリへ抽出する変更に関連する。

🚥 Pre-merge checks | ✅ 5

✅ Passed checks (5 passed)

Check name	Status	Explanation
Description Check	✅ Passed	Check skipped - CodeRabbit’s high-level summary is enabled.
Title check	✅ Passed	タイトルは、Phase B の4軸ゲート追加と判定コアのライブラリ化という主要変更を明確に示しています。
Docstring Coverage	✅ Passed	Docstring coverage is 100.00% which is sufficient. The required threshold is 80.00%.
Linked Issues check	✅ Passed	Check skipped because no linked issues were found for this pull request.
Out of Scope Changes check	✅ Passed	Check skipped because no linked issues were found for this pull request.

✨ Finishing Touches

📝 Generate docstrings

• Create stacked PR
• Commit on current branch

🧪 Generate unit tests (beta)

• Create PR with unit tests
• Commit unit tests in branch feat/wp17-r2b-libs-gate

---

Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.

❤️ Share

• X
• Mastodon
• Reddit
• LinkedIn

_{Comment @coderabbitai help to get the list of available commands.}

[github-actions]

🤖 PR Monitor 分析 (GitHub Actions バックストップ)

• トリガー: issue_comment (created) / 実行 run
• CI: pending (rust ubuntu-latest / rust windows-latest ともに実行中、結果未確定)
• レビュー状況: CodeRabbit はレビュー未着 (「processing new changes」の進行中通知のみ、findings 無し)。人間レビューは未提出 (reviewDecision 空、reviews 0件、インラインコメント 0件)
• Verdict: approved (レビュー指摘が現時点で1件も無いため。ただし CI は pending であり最終判定ではない点に留意)

Applicable Findings (Critical / High / Major)

該当なし (レビュー未着のため)

Applicable Findings (Medium 以下)

該当なし

Filtered (not applicable)

該当なし

Diff 概要

• 変更ファイル数: 18、+1004/-137
• 主な変更内容:
  • src/cli-fix-push-gate/ を新規追加 (main.rs +253, checks.rs +315, inputs.rs +100) — WP-17 2b の Phase B 4軸ゲート実装
  • src/lib-autonomy-policy/ を新規追加 (lib.rs, decision.rs, sources.rs) — 判定コアの lib 化
  • src/lib-scope-guard/ を新規追加 (lib.rs +172) — scope guard ロジックの lib 化
  • src/cli-pr-monitor/src/stages/scope_guard.rs は -93/+7 で lib 委譲によるスリム化
  • src/cli-autonomy-gate/ は lib-autonomy-policy 依存への切り替え (Cargo.toml, main.rs)
  • Cargo.toml / Cargo.lock / package.json はワークスペースメンバー追加に伴う付随変更
  • docs/harness-improvement-plan.md +6/-3 (計画ドキュメント更新)
• 性質: 新規 crate 2つ (lib-autonomy-policy, lib-scope-guard) の切り出しと cli-fix-push-gate 新設によるリファクタリング + 新機能追加。破壊的な削除操作は無し。

次のアクション

• CodeRabbit のレビュー完了と CI (rust ubuntu/windows) の結果確定を待って再分析する。
• 現時点でアクション不要 (findings 無し、CI 未確定のため静観)。

[coderabbitai]

Actionable comments posted: 1

🧹 Nitpick comments (1)

src/cli-fix-push-gate/src/checks.rs (1)

127-158: 📐 Maintainability & Code Quality | 🔵 Trivial | ⚡ Quick win

evaluate と describe_axes が同じ判定を別々に計算しています。

main.rs の report() は describe_axes(facts) と evaluate(facts) を両方呼び出します。両関数はそれぞれ独立に lib_scope_guard::parse_changed_files、lib_docs_policy::is_docs_only_summary、lib_scope_guard::find_out_of_scope を実行しており、1 回の gate 呼び出しでこれらの処理が最大 2 回走ります。

処理コスト自体は小さいですが、同じ判定ロジックが 2 か所に分散しているため、将来 evaluate の分岐条件を変えたときに describe_axes の更新を忘れると、出力される 4 軸のログと実際の deny 理由が矛盾する恐れがあります。evaluate の結果 (parse 済み changed や docs_only フラグなど) を describe_axes に渡す、または両方を 1 回のパスで計算する構造に見直すことを検討してください。

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@src/cli-fix-push-gate/src/checks.rs` around lines 127 - 158, Unify the shared
decision computation used by evaluate and describe_axes so parsing changed
files, determining docs-only status, and finding out-of-scope files occur once
per gate evaluation. Update the relevant evaluate/report flow to pass or reuse
the computed results, and make describe_axes derive its four-axis output from
that shared result instead of recalculating the checks independently.

🤖 Prompt for all review comments with AI agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

Inline comments:
In `@docs/harness-improvement-plan.md`:
- Around line 182-185: 2b の chain 宣言を、2c の実際の workflow
契約値に更新してください。docs/harness-improvement-plan.md の chain 記述で、fix job、step
名、cli-fix-push-gate の実行パス、および
--branch／--config／--diff-summary-file／--findings-file の指定を
.github/workflows/pr-monitor.yml と完全に一致させ、lib-scope-guard と lib-autonomy-policy
の既存呼び手の記述は変更しないでください。

---

Nitpick comments:
In `@src/cli-fix-push-gate/src/checks.rs`:
- Around line 127-158: Unify the shared decision computation used by evaluate
and describe_axes so parsing changed files, determining docs-only status, and
finding out-of-scope files occur once per gate evaluation. Update the relevant
evaluate/report flow to pass or reuse the computed results, and make
describe_axes derive its four-axis output from that shared result instead of
recalculating the checks independently.

🪄 Autofix (Beta)

Fix all unresolved CodeRabbit comments on this PR:

• Push a commit to this branch (recommended)
• Create a new PR with the fixes

---

ℹ️ Review info

⚙️ Run configuration

Configuration used: Path: .coderabbit.yaml

Review profile: CHILL

Plan: Pro Plus

Run ID: 4fd399be-7f91-47df-8f1c-3f34c7b4d451

📥 Commits

Reviewing files that changed from the base of the PR and between 91f09aa and 013438d.

⛔ Files ignored due to path filters (1)

• Cargo.lock is excluded by !**/*.lock

📒 Files selected for processing (17)

• Cargo.toml
• docs/harness-improvement-plan.md
• package.json
• src/cli-autonomy-gate/Cargo.toml
• src/cli-autonomy-gate/src/main.rs
• src/cli-fix-push-gate/Cargo.toml
• src/cli-fix-push-gate/src/checks.rs
• src/cli-fix-push-gate/src/inputs.rs
• src/cli-fix-push-gate/src/main.rs
• src/cli-pr-monitor/Cargo.toml
• src/cli-pr-monitor/src/stages/scope_guard.rs
• src/lib-autonomy-policy/Cargo.toml
• src/lib-autonomy-policy/src/decision.rs
• src/lib-autonomy-policy/src/lib.rs
• src/lib-autonomy-policy/src/sources.rs
• src/lib-scope-guard/Cargo.toml
• src/lib-scope-guard/src/lib.rs

[coderabbitai]

🗄️ Data Integrity & Integration | 🟡 Minor | ⚡ Quick win

🧩 Analysis chain

🏁 Script executed:

#!/bin/bash
set -euo pipefail

# 期待結果: chain 宣言と workflow の step 名、パス、引数が一致する。
rg -n -C 8 \
  'Gate fix push \(deterministic, 4-axis AND\)|cli-fix-push-gate|--branch|--config|--diff-summary-file|--findings-file' \
  .github/workflows/pr-monitor.yml

Repository: aloekun/claude-code-hook-test

Length of output: 167

---

🏁 Script executed:

#!/bin/bash
set -euo pipefail

echo "== git status/stat =="
git status --short
git diff --stat

echo "== files with relevant names =="
git ls-files | rg '(^docs/harness-improvement-plan\.md$|\.github/workflows/pr-monitor\.yml$|cli-fix-push-gate|pr-monitor)' || true

echo "== docs/harness-improvement-plan.md relevant section =="
if [ -f docs/harness-improvement-plan.md ]; then
  nl -ba docs/harness-improvement-plan.md | sed -n '160,205p'
fi

echo "== workflow target if present =="
if [ -f .github/workflows/pr-monitor.yml ]; then
  nl -ba .github/workflows/pr-monitor.yml | sed -n '1,260p' | rg -n -C 8 'cli-fix-push-gate|--branch|--config|--diff-summary-file|--findings-file|Gate fix push|fix[[:space:]]*:' || true
else
  echo ".github/workflows/pr-monitor.yml not present"
fi

Repository: aloekun/claude-code-hook-test

Length of output: 2033

---

🏁 Script executed:

#!/bin/bash
set -u

echo "== docs/harness-improvement-plan.md lines 160-210 =="
awk 'NR>=160 && NR<=210 { printf "%5d  %s\n", NR, $0 }' docs/harness-improvement-plan.md || true

echo "== pr-monitor workflow matching lines =="
awk '
  /cli-fix-push-gate|--branch|--config|--diff-summary-file|--findings-file|Gate fix push|fix[[:space:]]*:/ || /Gate fix push \(deterministic/
  { s=$0; for(i=1;i<=4;i++) {if(getline line) s=s"\n"line} print NR": "s }
' .github/workflows/pr-monitor.yml || true

echo "== pr-monitor workflow context =="
awk 'NR>=1 && NR<=280 { printf "%5d  %s\n", NR, $0 }' .github/workflows/pr-monitor.yml

Repository: aloekun/claude-code-hook-test

Length of output: 39279

---

2c の workflow に一致する chain 宣言に更新してください。

.github/workflows/pr-monitor.yml には fix job、step 名 Gate fix push (deterministic, 4-axis AND)、cli-fix-push-gate の実行パス、または --branch / --config / --diff-summary-file / --findings-file がありません。ADR-069 の chain 判定が参照する契約値が workflow と一致するように、2c とこの宣言を同じ値で揃えてください。

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@docs/harness-improvement-plan.md` around lines 182 - 185, 2b の chain 宣言を、2c
の実際の workflow 契約値に更新してください。docs/harness-improvement-plan.md の chain 記述で、fix
job、step 名、cli-fix-push-gate の実行パス、および
--branch／--config／--diff-summary-file／--findings-file の指定を
.github/workflows/pr-monitor.yml と完全に一致させ、lib-scope-guard と lib-autonomy-policy
の既存呼び手の記述は変更しないでください。

[github-actions]

🤖 PR Monitor 分析 (GitHub Actions バックストップ)

• トリガー: pull_request_review (submitted) / 実行 run
• CI: 実質 green（rust (ubuntu-latest) / rust (windows-latest) / CodeRabbit review はいずれも pass。analyze は本 workflow 自身の実行中ジョブで pending）
• レビュー状況: CodeRabbit が新規レビュー (pull_request_review, state=COMMENTED) を投稿 — actionable インラインコメント 1 件 (docs/harness-improvement-plan.md) + nitpick 1 件 (checks.rs)。人間レビューは未提出 (reviewDecision 空、review 一覧は CodeRabbit の 1 件のみ)
• Verdict: user_decision (Critical/High/Major 相当の applicable finding は無く、Minor/Trivial の applicable finding のみ存在するため)

Applicable Findings (Critical / High / Major)

該当なし

Applicable Findings (Medium 以下)

#	File (Line)	Reviewer	Issue	Recommended Action
1	docs/harness-improvement-plan.md (182-185)	CodeRabbit (Minor)	2b の chain 宣言が「2c の実体で step 名・パス・引数を照合済み」と記述するが、実際の .github/workflows/pr-monitor.yml には Gate fix push (deterministic, 4-axis AND) step・cli-fix-push-gate 実行パス・--branch/--config/--diff-summary-file/--findings-file のいずれも存在しない（grep で確認済み）。ADR-069 は「diff 内の実名との一致」を要求しており、未land の 2c を既に照合済みと言い切る記述はこの ADR がまさに防ごうとした「存在しないインフラを事実として主張する」パターンに類似する	「照合済み」という表現を、2c 未land を前提とした将来宣言（ADR-069 決定1 のペアリング形式）に修正するか、既に別途 2c 実装が存在するならその出典を明記する
2	src/cli-fix-push-gate/src/checks.rs (127-158)	CodeRabbit (Trivial)	evaluate() と describe_axes() がそれぞれ独立に lib_scope_guard::parse_changed_files / lib_docs_policy::is_docs_only_summary / lib_scope_guard::find_out_of_scope を実行しており、同一の判定ロジックが 2 箇所に分散している（コード確認済み、実際に重複あり）	緊急性は低いが、将来 evaluate の分岐を変更した際に describe_axes の 4 軸ログと deny 理由が矛盾しないよう、共有の中間結果を渡す構造への統合を検討

Filtered (not applicable)

該当なし

次のアクション

• Minor の chain 宣言不一致（feat(hooks): 設定駆動型アーキテクチャに移行し配布自動化を実装 #1）はマージ前に著者が確認することを推奨。CI は通過しており blocking ではないが、ADR-069 の趣旨（未検証インフラを事実として主張しない）に照らすと記述精度を上げる価値がある
• Trivial な重複ロジック統合（fix(hooks): stop-quality のパイプデッドロックを修正 #2）は任意、次回リファクタリング時でよい
• 人間レビューが未提出のため、マージ判断は reviewDecision の確定を引き続き待つ