無人実行で auto モードの確認要求を止めずに捌く — permission-prompt-tool で deny-by-default に応える

// approver.mjs — 権限判断を1本のツールで返す stdio MCP サーバー
import { McpServer } from "@modelcontextprotocol/sdk/server/mcp.js";
import { StdioServerTransport } from "@modelcontextprotocol/sdk/server/stdio.js";
import { z } from "zod";
import { appendFileSync } from "node:fs";
 
const LEDGER = process.env.APPROVAL_LEDGER ?? "/var/log/claude/approvals.jsonl";
 
// 許可ポリシー：ツール名ごとに「入力を見て通すか」を関数で定義する
const POLICY = {
  // 読み取り系は無条件で許可
  Read: () => ({ ok: true }),
  Grep: () => ({ ok: true }),
  Glob: () => ({ ok: true }),
  // 書き込みは、決められた作業ディレクトリ配下だけ許可
  Write: (input) => within(input?.file_path, "/srv/build/"),
  Edit: (input) => within(input?.file_path, "/srv/build/"),
  // Bash は許可コマンドの前方一致だけ。rm や curl は既定で拒否
  Bash: (input) => bashAllow(input?.command ?? ""),
};
 
const BASH_ALLOW = ["git ", "node ", "npm run ", "python3 ", "ls ", "cat "];
 
function within(p, root) {
  if (typeof p !== "string" || !p.startsWith(root) || p.includes(".."))
    return { ok: false, why: `パスが作業ディレクトリ外です: ${p}` };
  return { ok: true };
}
 
function bashAllow(cmd) {
  if (/\brm\s|\bcurl\s|\bsudo\s|>\s*\/etc/.test(cmd))
    return { ok: false, why: `危険なコマンドを含みます: ${cmd.slice(0, 60)}` };
  if (BASH_ALLOW.some((p) => cmd.startsWith(p))) return { ok: true };
  return { ok: false, why: `許可リスト外のコマンドです: ${cmd.slice(0, 60)}` };
}
 
function record(entry) {
  try {
    appendFileSync(LEDGER, JSON.stringify({ ts: new Date().toISOString(), ...entry }) + "\n");
  } catch {
    // 台帳への書き込み失敗で判断そのものを止めない（fail-open は避け、判断は継続）
  }
}
 
const server = new McpServer({ name: "unattended-approver", version: "1.0.0" });
 
server.tool(
  "approve",
  "無人実行での権限判断を deny-by-default で返す",
  { tool_name: z.string(), input: z.record(z.any()).optional() },
  async ({ tool_name, input }) => {
    const rule = POLICY[tool_name];
    const verdict = rule ? rule(input ?? {}) : { ok: false, why: `未登録のツール: ${tool_name}` };
 
    const decision = verdict.ok
      ? { behavior: "allow", updatedInput: input ?? {} }
      : { behavior: "deny", message: verdict.why };
 
    record({ tool_name, allowed: verdict.ok, reason: verdict.why ?? "policy match", input });
 
    // permission-prompt-tool は JSON 文字列を text で返す契約
    return { content: [{ type: "text", text: JSON.stringify(decision) }] };
  }
);
 
await server.connect(new StdioServerTransport());

#!/usr/bin/env bash
# nightly.sh — 承認ツール経由で無人実行し、result を見て通知を分ける
set -euo pipefail
 
export APPROVAL_LEDGER="/var/log/claude/approvals.jsonl"
CONFIG='{"mcpServers":{"approver":{"command":"node","args":["/opt/claude/approver.mjs"]}}}'
OUT="$(mktemp)"
 
claude -p "content/ 以下のビルド成果物を再生成してコミットする" \
  --output-format stream-json --verbose \
  --mcp-config "$CONFIG" \
  --permission-prompt-tool "mcp__approver__approve" \
  > "$OUT" || true
 
# 最後の result イベントだけを取り出して評価する
RESULT="$(grep '"type":"result"' "$OUT" | tail -1)"
IS_ERROR="$(printf '%s' "$RESULT" | node -e 'let s="";process.stdin.on("data",d=>s+=d).on("end",()=>{try{console.log(JSON.parse(s).is_error?1:0)}catch{console.log(1)}})')"
DENIED="$(grep -c '"allowed":false' "$APPROVAL_LEDGER" || true)"
 
if [ "$IS_ERROR" = "1" ]; then
  notify "run failed: result is_error"     # ここは自分の通知（Slack/メール等）に差し替える
  exit 1
elif [ "${DENIED:-0}" -gt 0 ]; then
  notify "run finished but ${DENIED} action(s) were denied — 台帳を確認"
  exit 2                                    # 完了はしたが要確認、を専用コードで表す
fi
echo "clean run"