ho-apply-script

HO Apply Script

Hardening Override（HO）対象パスは AI が編集できない。AI は patch と「検証つき適用 スクリプト」までを用意し、実行は Human が行う（責務 4 分類の Human-owned）。

本 skill はそのスクリプトの型を定める。毎回ゼロから書くと同じバグを踏むため。

When to use

• HO 対象パス（正本: mode-classification.md の 「承認境界周辺の変更」の 12 カテゴリ）を変更する patch を Human に渡すとき
• scripts/apply-*.sh を新規に書くとき

When not to use

• 非 HO パスの変更（AI が直接編集して PR にすればよい）
• patch を作ること自体（それは patch 文書側の仕事。本 skill は適用の型）

Inputs

入力	例
patch 文書のパス	docs/working/_reports/1288-ci-layer2-and-push-lane-patch.md
marker 名	PG-PATCH-BEGIN / PG-PATCH-END
対象ファイル	.github/workflows/sync-plugin-plangate.yml
適用後に成立すべき述語	「層 2 の検査が清浄なツリーで空」「ta-71 が 27/0」

Outputs

apply（既定）/ --verify / --rollback の 3 モードを持つ POSIX sh スクリプト 1 本。 commit も push もしない。

Procedure

1. 骨格

#!/bin/sh
set -eu
REPO="${PLANGATE_APPLY_REPO:-/absolute/path/to/repo}"   # 検証用に上書き可能にする
DOC="docs/working/_reports/<name>.md"
TARGET=".github/workflows/<name>.yml"
MODE="${1:-apply}"
T="$(mktemp -d)"; trap 'rm -rf "$T"' EXIT
die() { printf 'ABORT: %s\n' "$*" >&2; exit 1; }
ok()  { printf '  ok  %s\n' "$1"; }
cd "$REPO" || die "repo に入れない: $REPO"

2. 前提の確認

br=$(git rev-parse --abbrev-ref HEAD)
[ "$br" = "main" ] || die "branch が main でない（現在: $br）"

# 未コミット変更。**対象ファイル自身は除外する**（下記の落とし穴 2）
dirty=$(git status --porcelain \
  | grep -v 'docs/working/_audit/skip-decision-log.jsonl' \
  | grep -vF -- "$TARGET" || true)
[ -z "$dirty" ] || { printf '%s\n' "$dirty" >&2; die "未コミットの変更がある"; }

[ -f "$DOC" ] || die "patch 文書が無い: $DOC（PR が未マージの可能性）"

3. 抽出（awk 方式。落とし穴 3）

awk 'BEGIN{q=sprintf("%c",96)}
     /^<!-- PG-PATCH-BEGIN -->$/{b=1;next}
     /^<!-- PG-PATCH-END -->$/{exit}
     b && substr($0,1,1)==q{f=!f;next}
     f' "$DOC" > "$T/p.patch"
[ -s "$T/p.patch" ] || die "patch 抽出が空: $DOC"
head -1 "$T/p.patch" | grep -q '^diff --git ' \
  || die "抽出結果が unified diff で始まっていない"