自己デバッグのエージェントに、本番の広告を叩かせない — AdMob 無効トラフィックを断つ三層の遮断

#!/usr/bin/env bash
# block-ad-domains.sh — エージェント検証環境で広告配信ドメインを遮断する
set -euo pipefail
 
HOSTS=/etc/hosts
MARKER="# --- agent-verify ad block ---"
 
if grep -q "$MARKER" "$HOSTS"; then
  echo "既に適用済みです"
  exit 0
fi
 
cat <<'BLOCK' | sudo tee -a "$HOSTS" >/dev/null
# --- agent-verify ad block ---
127.0.0.1 googleads.g.doubleclick.net
127.0.0.1 pagead2.googlesyndication.com
127.0.0.1 securepubads.g.doubleclick.net
127.0.0.1 tpc.googlesyndication.com
127.0.0.1 www.googleadservices.com
# --- end agent-verify ad block ---
BLOCK
 
echo "広告配信ドメインを遮断しました（同意フォーム取得は別ドメインのため影響しません）"

#!/usr/bin/env python3
"""preflight_ad_guard.py — 本番広告ビルドに対する自己デバッグ起動を拒否する。
ビルド生成物・設定ファイルに本番の AdMob ユニットIDが残っていれば exit 1。"""
import os
import re
import sys
from pathlib import Path
 
# Google 公開のテスト用アプリ/ユニットの共通プレフィックス
TEST_PUB = "ca-app-pub-3940256099942544"
# 本番ユニットの形式（テストプレフィックス以外の ca-app-pub-XXXX/YYYY）
UNIT_RE = re.compile(r"ca-app-pub-\d{16}/\d{6,}")
 
def find_prod_units(root: Path) -> list[str]:
    hits = []
    targets = [".plist", ".xml", ".json", ".js", ".ts", ".dart", ".kt", ".swift"]
    for path in root.rglob("*"):
        if path.suffix not in targets or not path.is_file():
            continue
        try:
            text = path.read_text(encoding="utf-8", errors="ignore")
        except OSError:
            continue
        for m in UNIT_RE.findall(text):
            if not m.startswith(TEST_PUB):
                hits.append(f"{path}: {m}")
    return hits
 
def main() -> int:
    if os.environ.get("AGENT_VERIFY") != "1":
        print("AGENT_VERIFY=1 が未設定です。検証は必ずこのフラグ下で行ってください。")
        return 1
    root = Path(sys.argv[1]) if len(sys.argv) > 1 else Path(".")
    hits = find_prod_units(root)
    if hits:
        print("本番の広告ユニットIDを検出しました。自己デバッグを中止します:")
        for h in hits[:20]:
            print("  -", h)
        return 1
    print("本番広告ユニットは検出されませんでした。自己デバッグを許可します。")
    return 0
 
if __name__ == "__main__":
    sys.exit(main())