@bluelamp/cli-token 1.4.0-rc.6 → 1.4.0-rc.8

package/LICENSE

@@ -0,0 +1,45 @@
+BlueLamp ソフトウェア利用許諾
+
+Copyright (c) 2024-2026 株式会社命（MIKOTO, K.K.）. All rights reserved.
+
+1. このソフトウェア（プログラム・難読化されたコード・付属の文書と画像を含みます。以下「本ソフトウェア」）の著作権その他の権利は、株式会社命（以下「当社」）に帰属します。本ソフトウェアはオープンソースではありません。
+
+2. 当社は、当社の BlueLamp 利用規約（https://bluelamp.ai/terms 。以下「利用規約」）に同意した方に限り、利用規約に従って本ソフトウェアを自分の機器に入れて使うことを許します。この許しは譲渡・再許諾できません。
+
+3. 次のことは、当社が書面で許した場合を除き、禁止します。
+   (1) 本ソフトウェアの全部または一部を複製すること（上記 2 のために必要な範囲で入れて使う場合を除きます）
+   (2) 逆コンパイル・逆アセンブル・難読化の解除その他の方法で、本ソフトウェアを解析すること
+   (3) 本ソフトウェアを改変し、またはこれを元に別のものを作ること
+   (4) 本ソフトウェアを第三者へ配布・再配布・販売・貸与・公開・再許諾すること
+
+4. 本ソフトウェアに含まれる第三者のソフトウェアには、それぞれの利用条件が適用されます。この許諾はそれらの条件を変えるものではありません。
+
+5. 本ソフトウェアは現状のまま提供します。当社の責任は利用規約の定めるところによります。
+
+6. この許諾と利用規約に定めのないことは、利用規約に従います。この許諾と利用規約が食い違うときは、利用規約を優先します。
+
+7. この許諾は、この版から適用します。この版より前に MIT ライセンスの表示を付けて配布された版については、その表示はその版に限って残ります。
+
+---
+
+BlueLamp Software License (English translation; the Japanese text above prevails)
+
+Copyright (c) 2024-2026 MIKOTO, K.K. All rights reserved.
+
+1. All rights in this software, including its programs, obfuscated code, and accompanying documents and images (the "Software"), belong to MIKOTO, K.K. ("we"). The Software is not open source.
+
+2. We permit only those who have agreed to the BlueLamp Terms of Service (https://bluelamp.ai/terms, the "Terms") to install and use the Software on their own devices in accordance with the Terms. This permission is non-transferable and non-sublicensable.
+
+3. Except with our written permission, you may not:
+   (1) copy all or any part of the Software, except as necessary to install and use it under item 2;
+   (2) analyze the Software by decompiling, disassembling, deobfuscating, or any other means;
+   (3) modify the Software or create derivative works based on it;
+   (4) distribute, redistribute, sell, lend, publish, or sublicense the Software to any third party.
+
+4. Third-party software included in the Software is subject to its own license terms, which this license does not change.
+
+5. The Software is provided "as is". Our liability is as set out in the Terms.
+
+6. Matters not covered by this license are governed by the Terms. If this license conflicts with the Terms, the Terms prevail.
+
+7. This license applies from this version onward. For versions distributed before this version with an MIT License notice, that notice remains only for those versions.

package/README.md

@@ -31,11 +31,30 @@ const maybe = tryReadCliToken();
 | 書き手の門の残る穴（1.4.0-rc.5・n=4591） | 古い版の読み手を後から入れた機体では、次の書き（札の延長・最長 1 時間）まで v2 の置き場を読めない＝その間その読み手のログインが落ちうる（記録だけ・直さない） |
 | shell（I/O あり） | `getTokenFilePath` / `readCliTokenSync` / `tryReadCliToken` / `loadPortalToken` / `savePortalToken` / `deletePortalToken` |
 | 比べて消す（1.4.0-rc.6・n=4640） | `deletePortalTokenIfMatches(token)`（無効と判定した札が今も置き場に在るときだけ消す。入れ直された・読めない・延ばしのロック中は消さない。人の明示ログアウトは今までどおり `deletePortalToken`） |
+| 断られた札の印（1.4.0-rc.7・n=4755） | `noteCliTokenResponse` / `markCliTokenRejected` / `cliTokenRejection` / `cliTokenRejectionOf` / `cliTokenFingerprint` / `parseCliTokenRejection` / `isCliTokenRejectionEffective` / `getCliTokenRejectionPath` / `CLI_TOKEN_REJECTION_TTL_MS` / `CliTokenRejectedError`（印の付いた札は `readCliTokenSync`・`tryReadCliToken`・`readFreshCliToken`・`ensureFreshCliToken` が渡さない。`loadPortalToken` は門を通らない） |
+| 置き場ごとの名義（1.4.0-rc.8・n=5011） | `resolveIdentity` / `musuhiDirFor` / `configureIdentityCwd` / `getIdentityTablePath` / `readIdentityTable` / `parseIdentityTable` / `matchIdentityRow` / `identityMusuhiDir` / `defaultMusuhiDir`（下の節） |
 | 艦隊の資格の門（1.1.0・n=2607） | `checkFleetGate` / `isAllowedForScope` / `getFleetEntitlementFilePath` / `getFleetGateLogPath` / `formatFleetGateLogLine` / `fleetGateRefusalMessage` / `parseFleetEntitlementCache` / `isFleetEntitlementFresh` |
 | 交換済み JWT の機体共有キャッシュ（1.2.0・n=2774） | `getExchangedJwt` / `evictExchangedJwt` / `exchangedJwtCacheKey` / `getExchangedJwtCacheDir` / `parseCachedExchangedJwt` / `isCachedExchangedJwtUsable` |
 | 機体の鍵・登録・札の延長（1.3.0・n=3918） | `startDeviceRegistration` / `pollDeviceRegistration` / `awaitDeviceApproval` / `saveApprovedDevice` / `loadOrCreateDeviceKey` / `readDeviceKey` / `signWithDeviceKey` / `devicePollMessage` / `tokenRefreshMessage` / `readDeviceId` / `saveDeviceId` / `ensureFreshCliToken` / `readFreshCliToken` / `needsRefresh` / `parseExpiresAt` |
 | 発火の前の CLI の更新（1.4.0・n=4082・`@bluelamp/cli-token/cli-update`） | `updateCliToMin` / `fetchMinCliVersion` / `runNpmBesideNode` / `readPackageVersion` / `describeCliUpdate` / `isOlderThan` / `selfUpdatePackage` / `selfUpdateExecArgs` / `parseSelfUpdateLine` |
 
+### 置き場ごとの名義（1.4.0-rc.8・n=5011）
+
+1 台の機体で 2 つ以上の事業を持つとき、置き場（フォルダ）ごとに札の置き場を分ける。対応表は `~/.bluelamp/identities.json` の 1 枚:
+
+```json
+{ "version": 1, "rows": [
+  { "path": "/Users/me/work/company-a", "identity": "company-a" },
+  { "path": "/Users/me/work/company-b", "identity": "company-b" }
+] }
+```
+
+- 席が立つ置き場（cwd）に一番長く一致した行の名義の札の置き場 `~/.musuhi/identities/<名義>` を `musuhiDir()` が返す。札・pin の宣言・機体の鍵・機体の id・艦隊の資格のキャッシュが全部その置き場になる
+- 表に書くのは置き場と名義の名前だけ（札もテナントも書かない）。テナントはその置き場でログインした札が決める（名義の置き場を作るのは、その置き場で `bluelamp1` を起動してログインするだけ）
+- 表が無い機体・表に当たらない置き場は今どおり既定の `~/.musuhi`。`BLUELAMP_MUSUHI_DIR` は表より強い
+- 表が壊れていたら throw（黙って既定の名義へ落ちない）。名義の名前は `[A-Za-z0-9][A-Za-z0-9._-]{0,63}`
+- cwd が作業の置き場と違うプロセスは `configureIdentityCwd(dir)` で判定の置き場を明示する（プロセスの中だけ・子へは継がない）
+
 ### 発火の前の CLI の更新（`@bluelamp/cli-token/cli-update`・1.4.0）
 
 定期便（routine・scheduler）が席を立てる前に、席が使う BlueLamp CLI を最低版（`GET {bluelamp}/cli/min-version`）へ上げる**単一実装**（箱 n=4076 → n=4082）。
@@ -79,6 +98,17 @@ CLI の札を機体に結び、短い期限（1 時間）を裏で延ばす（
 - `ensureFreshCliToken()`: 残り 15 分を切った札だけ、`~/.musuhi/token-refresh.lock`（O_EXCL・2 分より古いロックは払う）を取れた 1 手が `POST {base}/cli/token/refresh {device_id, ts, nonce, signature}`（`X-CLI-Token`＝今の札）を撃つ。署名の文は `bluelamp-token-refresh\n{device_id}\n{ts}\n{nonce}`（ts は epoch 秒・署名は base64）。他の手は最大 5 秒待って置き場を読む。throw しない。断られても置き場を消さない
 - 読み手は 401 を受けたら `readFreshCliToken()` で読み直して 1 回だけ撃ち直す（普段の要求は今までどおり札だけ・1 回ごとに署名しない）
 
+### サーバに断られた札の印（`noteCliTokenResponse`・1.4.0-rc.7）
+
+失効した札・機体の承認が要る札を持つ常駐の手が、断られても撃ち続けないための印（箱 n=4755）。
+
+- 常駐の手は応答を受けたら `noteCliTokenResponse(札, status, body)` を呼ぶ。401 の `code: device_registration_required`・`code: invalid_token`（code が無く `message: "Invalid or expired CLI token"` も同じ）なら `~/.musuhi/cli-token-rejected.json`（0600）に `{ fp, reason, at }` を書き、理由を返す。返りが null でなければ**その手の中で撃つのを止める**（撃ち直しの輪を作らない）。`superseded_by_other_device`・403・429・5xx・網の不調には印を付けない
+- `fp` は札の sha256 の先頭 16 桁。⛔ 札そのものは書かない
+- 読み手の門: 印の付いた札は `tryReadCliToken()`＝null／`readCliTokenSync()`＝`CliTokenRejectedError`（`CliTokenNotFoundError` の子＝今の catch がそのまま止まる・文は番号の承認へ誘う）／`readFreshCliToken()`＝null／`ensureFreshCliToken()`＝網に出ず `{ status: 'rejected', detail: 'marked <reason>' }`。延ばしの口が上の 401 を返したときも印が付く
+- 置き場の札が替われば（番号の承認・`--register-device`・延ばし）指紋が違うので効かない。印は 24 時間で効かなくなる（1 本だけ撃って確かめ、また断られればまた付く＝1 日 1 本）
+- ⛔ `loadPortalToken()` は門を通らない（CLI の起動時の確かめ→番号の承認を塞がない）
+- 今の印を見るのは `cliTokenRejection()`（`{ reason, at }` か null）。判定は純関数 `cliTokenRejectionOf`・`isCliTokenRejectionEffective`
+
 ## 制約
 
 - **node 標準モジュール以外に依存しない**（VSCode 拡張が webpack で bundle するため）。

package/dist/cjs/identity.js

@@ -0,0 +1,208 @@
+"use strict";
+/**
+ * 箱 n=5011: 1 台の機体で、置き場（フォルダ）ごとに BlueLamp の名義を切り替える。
+ *
+ * 機体に対応表 1 枚（`~/.bluelamp/identities.json`）を置くと、席が立つ置き場（cwd）で名義が決まる。
+ * 名義＝札の置き場（`~/.musuhi/identities/<名義>`）。テナントはその置き場の札と pin の宣言が決める
+ * （表にテナントも札も書かない＝表は置き場→名義の名前だけ）。
+ *
+ * 線:
+ * - 表が無い機体・表に当たらない置き場は今どおり（既定の `~/.musuhi`）＝会員の今の使い方を変えない
+ * - 表が壊れていたら throw（黙って既定の名義へ落ちると、それがこの仕組みが塞ぐ「混ざる」そのもの）
+ * - 一番長く一致した行を採る（入れ子の置き場は内側が勝つ）
+ * - node 標準モジュール以外に依存しない（index.ts と同じ制約）
+ */
+var __createBinding = (this && this.__createBinding) || (Object.create ? (function(o, m, k, k2) {
+    if (k2 === undefined) k2 = k;
+    var desc = Object.getOwnPropertyDescriptor(m, k);
+    if (!desc || ("get" in desc ? !m.__esModule : desc.writable || desc.configurable)) {
+      desc = { enumerable: true, get: function() { return m[k]; } };
+    }
+    Object.defineProperty(o, k2, desc);
+}) : (function(o, m, k, k2) {
+    if (k2 === undefined) k2 = k;
+    o[k2] = m[k];
+}));
+var __setModuleDefault = (this && this.__setModuleDefault) || (Object.create ? (function(o, v) {
+    Object.defineProperty(o, "default", { enumerable: true, value: v });
+}) : function(o, v) {
+    o["default"] = v;
+});
+var __importStar = (this && this.__importStar) || (function () {
+    var ownKeys = function(o) {
+        ownKeys = Object.getOwnPropertyNames || function (o) {
+            var ar = [];
+            for (var k in o) if (Object.prototype.hasOwnProperty.call(o, k)) ar[ar.length] = k;
+            return ar;
+        };
+        return ownKeys(o);
+    };
+    return function (mod) {
+        if (mod && mod.__esModule) return mod;
+        var result = {};
+        if (mod != null) for (var k = ownKeys(mod), i = 0; i < k.length; i++) if (k[i] !== "default") __createBinding(result, mod, k[i]);
+        __setModuleDefault(result, mod);
+        return result;
+    };
+})();
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.getIdentityTablePath = getIdentityTablePath;
+exports.defaultMusuhiDir = defaultMusuhiDir;
+exports.identityMusuhiDir = identityMusuhiDir;
+exports.parseIdentityTable = parseIdentityTable;
+exports.matchIdentityRow = matchIdentityRow;
+exports.readIdentityTable = readIdentityTable;
+exports.configureIdentityCwd = configureIdentityCwd;
+exports.resolveIdentity = resolveIdentity;
+exports.musuhiDirFor = musuhiDirFor;
+const fs = __importStar(require("node:fs"));
+const os = __importStar(require("node:os"));
+const path = __importStar(require("node:path"));
+/** 名義の名前に許す字（パスを作るので区切り・`..` を通さない） */
+const IDENTITY_NAME = /^[A-Za-z0-9][A-Za-z0-9._-]{0,63}$/;
+function homeDir() {
+    const home = process.platform === 'win32' ? process.env.USERPROFILE : process.env.HOME;
+    return home || os.homedir();
+}
+/** 対応表のパス。HOME の下に固定（札の置き場に依らない＝循環しない） */
+function getIdentityTablePath() {
+    return path.join(homeDir(), '.bluelamp', 'identities.json');
+}
+/** 既定の札の置き場（表を見ない） */
+function defaultMusuhiDir() {
+    return path.join(homeDir(), '.musuhi');
+}
+/** 名義の札の置き場 */
+function identityMusuhiDir(identity) {
+    return path.join(defaultMusuhiDir(), 'identities', identity);
+}
+/** 在る祖先まで realpath で解く（/var → /private/var 等のずれで一致を外さない） */
+function canonical(p) {
+    let cur = path.resolve(p);
+    const rest = [];
+    for (;;) {
+        try {
+            return path.join(fs.realpathSync.native(cur), ...rest.reverse());
+        }
+        catch {
+            const parent = path.dirname(cur);
+            if (parent === cur)
+                return path.resolve(p);
+            rest.push(path.basename(cur));
+            cur = parent;
+        }
+    }
+}
+function sameOrInside(child, parent) {
+    const rel = path.relative(parent, child);
+    return rel === '' || (!rel.startsWith('..') && !path.isAbsolute(rel));
+}
+/**
+ * 表の中身を検める（純関数）。形が違えば throw＝黙って既定へ落ちない。
+ * 形: `{"version":1,"rows":[{"path":"/絶対パス","identity":"名義"}]}`
+ */
+function parseIdentityTable(raw, tablePath = getIdentityTablePath()) {
+    let parsed;
+    try {
+        parsed = JSON.parse(raw);
+    }
+    catch (e) {
+        throw new Error(`${tablePath} is not valid JSON: ${e.message}`);
+    }
+    const obj = parsed;
+    if (!obj || typeof obj !== 'object' || obj.version !== 1 || !Array.isArray(obj.rows)) {
+        throw new Error(`${tablePath} must be {"version":1,"rows":[{"path":"<absolute path>","identity":"<name>"}]}`);
+    }
+    const seen = new Set();
+    return obj.rows.map((r, i) => {
+        const row = r;
+        const p = row?.path;
+        const id = row?.identity;
+        if (typeof p !== 'string' || !path.isAbsolute(p)) {
+            throw new Error(`${tablePath} rows[${i}].path must be an absolute path`);
+        }
+        if (typeof id !== 'string' || !IDENTITY_NAME.test(id)) {
+            throw new Error(`${tablePath} rows[${i}].identity must match ${IDENTITY_NAME.source}`);
+        }
+        const key = canonical(p);
+        if (seen.has(key))
+            throw new Error(`${tablePath} rows[${i}].path is listed twice`);
+        seen.add(key);
+        return { path: p, identity: id };
+    });
+}
+/** 一番長く一致した行（純関数・cwd と行の path は正規化済みを渡す） */
+function matchIdentityRow(rows, cwd) {
+    let best = null;
+    for (const row of rows) {
+        if (sameOrInside(cwd, row.path) && (!best || row.path.length > best.path.length))
+            best = row;
+    }
+    return best;
+}
+let cache = null;
+/** 表を読む。無ければ null。壊れていれば throw。mtime と size が同じ間は読み直さない */
+function readIdentityTable(tablePath = getIdentityTablePath()) {
+    let st;
+    try {
+        st = fs.statSync(tablePath);
+    }
+    catch (e) {
+        if (e.code === 'ENOENT') {
+            cache = null;
+            return null;
+        }
+        throw e;
+    }
+    if (cache && cache.tablePath === tablePath && cache.mtimeMs === st.mtimeMs && cache.size === st.size) {
+        return cache.rows;
+    }
+    const rows = parseIdentityTable(fs.readFileSync(tablePath, 'utf8'), tablePath).map((r) => ({
+        path: canonical(r.path),
+        identity: r.identity,
+    }));
+    cache = { tablePath, mtimeMs: st.mtimeMs, size: st.size, rows };
+    return rows;
+}
+let configuredCwd = null;
+/**
+ * 判定に使う置き場を明示する（プロセスの中だけ・子へは継がない）。
+ * cwd が置き場と一致しないプロセス（VS Code の拡張ホスト等）が、自分の作業フォルダで名義を決めるための口。
+ * null で解除（process.cwd() に戻る）。
+ */
+function configureIdentityCwd(dir) {
+    configuredCwd = dir ? path.resolve(dir) : null;
+}
+function currentCwd() {
+    if (configuredCwd)
+        return configuredCwd;
+    try {
+        return process.cwd();
+    }
+    catch {
+        return null; // cwd が消えた（ENOENT）＝表は引けない
+    }
+}
+/** この置き場の名義を決める（判定の唯一の実装）。cwd を省けば configureIdentityCwd → process.cwd() */
+function resolveIdentity(cwd) {
+    const tablePath = getIdentityTablePath();
+    const raw = cwd ?? currentCwd();
+    const at = raw ? canonical(raw) : null;
+    if (process.env.BLUELAMP_MUSUHI_DIR) {
+        return { source: 'env', identity: null, rowPath: null, cwd: at, tablePath };
+    }
+    const rows = readIdentityTable(tablePath);
+    const row = rows && at ? matchIdentityRow(rows, at) : null;
+    if (!row)
+        return { source: 'default', identity: null, rowPath: null, cwd: at, tablePath };
+    return { source: 'table', identity: row.identity, rowPath: row.path, cwd: at, tablePath };
+}
+/** 決めた名義の札の置き場 */
+function musuhiDirFor(resolved) {
+    if (resolved.source === 'env')
+        return path.resolve(process.env.BLUELAMP_MUSUHI_DIR);
+    if (resolved.source === 'table')
+        return identityMusuhiDir(resolved.identity);
+    return defaultMusuhiDir();
+}
+//# sourceMappingURL=identity.js.map

package/dist/cjs/identity.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"identity.js","sourceRoot":"","sources":["../../src/identity.ts"],"names":[],"mappings":";AAAA;;;;;;;;;;;;GAYG;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;AAoCH,oDAEC;AAGD,4CAEC;AAGD,8CAEC;AA2BD,gDA2BC;AAGD,4CAMC;AAKD,8CAoBC;AASD,oDAEC;AAYD,0CAWC;AAGD,oCAIC;AA/KD,4CAA8B;AAC9B,4CAA8B;AAC9B,gDAAkC;AAuBlC,uCAAuC;AACvC,MAAM,aAAa,GAAG,mCAAmC,CAAC;AAE1D,SAAS,OAAO;IACd,MAAM,IAAI,GAAG,OAAO,CAAC,QAAQ,KAAK,OAAO,CAAC,CAAC,CAAC,OAAO,CAAC,GAAG,CAAC,WAAW,CAAC,CAAC,CAAC,OAAO,CAAC,GAAG,CAAC,IAAI,CAAC;IACvF,OAAO,IAAI,IAAI,EAAE,CAAC,OAAO,EAAE,CAAC;AAC9B,CAAC;AAED,0CAA0C;AAC1C,SAAgB,oBAAoB;IAClC,OAAO,IAAI,CAAC,IAAI,CAAC,OAAO,EAAE,EAAE,WAAW,EAAE,iBAAiB,CAAC,CAAC;AAC9D,CAAC;AAED,sBAAsB;AACtB,SAAgB,gBAAgB;IAC9B,OAAO,IAAI,CAAC,IAAI,CAAC,OAAO,EAAE,EAAE,SAAS,CAAC,CAAC;AACzC,CAAC;AAED,eAAe;AACf,SAAgB,iBAAiB,CAAC,QAAgB;IAChD,OAAO,IAAI,CAAC,IAAI,CAAC,gBAAgB,EAAE,EAAE,YAAY,EAAE,QAAQ,CAAC,CAAC;AAC/D,CAAC;AAED,4DAA4D;AAC5D,SAAS,SAAS,CAAC,CAAS;IAC1B,IAAI,GAAG,GAAG,IAAI,CAAC,OAAO,CAAC,CAAC,CAAC,CAAC;IAC1B,MAAM,IAAI,GAAa,EAAE,CAAC;IAC1B,SAAS,CAAC;QACR,IAAI,CAAC;YACH,OAAO,IAAI,CAAC,IAAI,CAAC,EAAE,CAAC,YAAY,CAAC,MAAM,CAAC,GAAG,CAAC,EAAE,GAAG,IAAI,CAAC,OAAO,EAAE,CAAC,CAAC;QACnE,CAAC;QAAC,MAAM,CAAC;YACP,MAAM,MAAM,GAAG,IAAI,CAAC,OAAO,CAAC,GAAG,CAAC,CAAC;YACjC,IAAI,MAAM,KAAK,GAAG;gBAAE,OAAO,IAAI,CAAC,OAAO,CAAC,CAAC,CAAC,CAAC;YAC3C,IAAI,CAAC,IAAI,CAAC,IAAI,CAAC,QAAQ,CAAC,GAAG,CAAC,CAAC,CAAC;YAC9B,GAAG,GAAG,MAAM,CAAC;QACf,CAAC;IACH,CAAC;AACH,CAAC;AAED,SAAS,YAAY,CAAC,KAAa,EAAE,MAAc;IACjD,MAAM,GAAG,GAAG,IAAI,CAAC,QAAQ,CAAC,MAAM,EAAE,KAAK,CAAC,CAAC;IACzC,OAAO,GAAG,KAAK,EAAE,IAAI,CAAC,CAAC,GAAG,CAAC,UAAU,CAAC,IAAI,CAAC,IAAI,CAAC,IAAI,CAAC,UAAU,CAAC,GAAG,CAAC,CAAC,CAAC;AACxE,CAAC;AAED;;;GAGG;AACH,SAAgB,kBAAkB,CAAC,GAAW,EAAE,SAAS,GAAG,oBAAoB,EAAE;IAChF,IAAI,MAAe,CAAC;IACpB,IAAI,CAAC;QACH,MAAM,GAAG,IAAI,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC;IAC3B,CAAC;IAAC,OAAO,CAAC,EAAE,CAAC;QACX,MAAM,IAAI,KAAK,CAAC,GAAG,SAAS,uBAAwB,CAAW,CAAC,OAAO,EAAE,CAAC,CAAC;IAC7E,CAAC;IACD,MAAM,GAAG,GAAG,MAAsD,CAAC;IACnE,IAAI,CAAC,GAAG,IAAI,OAAO,GAAG,KAAK,QAAQ,IAAI,GAAG,CAAC,OAAO,KAAK,CAAC,IAAI,CAAC,KAAK,CAAC,OAAO,CAAC,GAAG,CAAC,IAAI,CAAC,EAAE,CAAC;QACrF,MAAM,IAAI,KAAK,CAAC,GAAG,SAAS,gFAAgF,CAAC,CAAC;IAChH,CAAC;IACD,MAAM,IAAI,GAAG,IAAI,GAAG,EAAU,CAAC;IAC/B,OAAO,GAAG,CAAC,IAAI,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,CAAC,EAAE,EAAE;QAC3B,MAAM,GAAG,GAAG,CAAkD,CAAC;QAC/D,MAAM,CAAC,GAAG,GAAG,EAAE,IAAI,CAAC;QACpB,MAAM,EAAE,GAAG,GAAG,EAAE,QAAQ,CAAC;QACzB,IAAI,OAAO,CAAC,KAAK,QAAQ,IAAI,CAAC,IAAI,CAAC,UAAU,CAAC,CAAC,CAAC,EAAE,CAAC;YACjD,MAAM,IAAI,KAAK,CAAC,GAAG,SAAS,SAAS,CAAC,iCAAiC,CAAC,CAAC;QAC3E,CAAC;QACD,IAAI,OAAO,EAAE,KAAK,QAAQ,IAAI,CAAC,aAAa,CAAC,IAAI,CAAC,EAAE,CAAC,EAAE,CAAC;YACtD,MAAM,IAAI,KAAK,CAAC,GAAG,SAAS,SAAS,CAAC,yBAAyB,aAAa,CAAC,MAAM,EAAE,CAAC,CAAC;QACzF,CAAC;QACD,MAAM,GAAG,GAAG,SAAS,CAAC,CAAC,CAAC,CAAC;QACzB,IAAI,IAAI,CAAC,GAAG,CAAC,GAAG,CAAC;YAAE,MAAM,IAAI,KAAK,CAAC,GAAG,SAAS,SAAS,CAAC,wBAAwB,CAAC,CAAC;QACnF,IAAI,CAAC,GAAG,CAAC,GAAG,CAAC,CAAC;QACd,OAAO,EAAE,IAAI,EAAE,CAAC,EAAE,QAAQ,EAAE,EAAE,EAAE,CAAC;IACnC,CAAC,CAAC,CAAC;AACL,CAAC;AAED,4CAA4C;AAC5C,SAAgB,gBAAgB,CAAC,IAAwB,EAAE,GAAW;IACpE,IAAI,IAAI,GAA4B,IAAI,CAAC;IACzC,KAAK,MAAM,GAAG,IAAI,IAAI,EAAE,CAAC;QACvB,IAAI,YAAY,CAAC,GAAG,EAAE,GAAG,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC,IAAI,IAAI,GAAG,CAAC,IAAI,CAAC,MAAM,GAAG,IAAI,CAAC,IAAI,CAAC,MAAM,CAAC;YAAE,IAAI,GAAG,GAAG,CAAC;IAC/F,CAAC;IACD,OAAO,IAAI,CAAC;AACd,CAAC;AAED,IAAI,KAAK,GAA0F,IAAI,CAAC;AAExG,2DAA2D;AAC3D,SAAgB,iBAAiB,CAAC,SAAS,GAAG,oBAAoB,EAAE;IAClE,IAAI,EAAY,CAAC;IACjB,IAAI,CAAC;QACH,EAAE,GAAG,EAAE,CAAC,QAAQ,CAAC,SAAS,CAAC,CAAC;IAC9B,CAAC;IAAC,OAAO,CAAC,EAAE,CAAC;QACX,IAAK,CAA2B,CAAC,IAAI,KAAK,QAAQ,EAAE,CAAC;YACnD,KAAK,GAAG,IAAI,CAAC;YACb,OAAO,IAAI,CAAC;QACd,CAAC;QACD,MAAM,CAAC,CAAC;IACV,CAAC;IACD,IAAI,KAAK,IAAI,KAAK,CAAC,SAAS,KAAK,SAAS,IAAI,KAAK,CAAC,OAAO,KAAK,EAAE,CAAC,OAAO,IAAI,KAAK,CAAC,IAAI,KAAK,EAAE,CAAC,IAAI,EAAE,CAAC;QACrG,OAAO,KAAK,CAAC,IAAI,CAAC;IACpB,CAAC;IACD,MAAM,IAAI,GAAG,kBAAkB,CAAC,EAAE,CAAC,YAAY,CAAC,SAAS,EAAE,MAAM,CAAC,EAAE,SAAS,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC;QACzF,IAAI,EAAE,SAAS,CAAC,CAAC,CAAC,IAAI,CAAC;QACvB,QAAQ,EAAE,CAAC,CAAC,QAAQ;KACrB,CAAC,CAAC,CAAC;IACJ,KAAK,GAAG,EAAE,SAAS,EAAE,OAAO,EAAE,EAAE,CAAC,OAAO,EAAE,IAAI,EAAE,EAAE,CAAC,IAAI,EAAE,IAAI,EAAE,CAAC;IAChE,OAAO,IAAI,CAAC;AACd,CAAC;AAED,IAAI,aAAa,GAAkB,IAAI,CAAC;AAExC;;;;GAIG;AACH,SAAgB,oBAAoB,CAAC,GAAkB;IACrD,aAAa,GAAG,GAAG,CAAC,CAAC,CAAC,IAAI,CAAC,OAAO,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC;AACjD,CAAC;AAED,SAAS,UAAU;IACjB,IAAI,aAAa;QAAE,OAAO,aAAa,CAAC;IACxC,IAAI,CAAC;QACH,OAAO,OAAO,CAAC,GAAG,EAAE,CAAC;IACvB,CAAC;IAAC,MAAM,CAAC;QACP,OAAO,IAAI,CAAC,CAAC,0BAA0B;IACzC,CAAC;AACH,CAAC;AAED,2EAA2E;AAC3E,SAAgB,eAAe,CAAC,GAAY;IAC1C,MAAM,SAAS,GAAG,oBAAoB,EAAE,CAAC;IACzC,MAAM,GAAG,GAAG,GAAG,IAAI,UAAU,EAAE,CAAC;IAChC,MAAM,EAAE,GAAG,GAAG,CAAC,CAAC,CAAC,SAAS,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC;IACvC,IAAI,OAAO,CAAC,GAAG,CAAC,mBAAmB,EAAE,CAAC;QACpC,OAAO,EAAE,MAAM,EAAE,KAAK,EAAE,QAAQ,EAAE,IAAI,EAAE,OAAO,EAAE,IAAI,EAAE,GAAG,EAAE,EAAE,EAAE,SAAS,EAAE,CAAC;IAC9E,CAAC;IACD,MAAM,IAAI,GAAG,iBAAiB,CAAC,SAAS,CAAC,CAAC;IAC1C,MAAM,GAAG,GAAG,IAAI,IAAI,EAAE,CAAC,CAAC,CAAC,gBAAgB,CAAC,IAAI,EAAE,EAAE,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC;IAC3D,IAAI,CAAC,GAAG;QAAE,OAAO,EAAE,MAAM,EAAE,SAAS,EAAE,QAAQ,EAAE,IAAI,EAAE,OAAO,EAAE,IAAI,EAAE,GAAG,EAAE,EAAE,EAAE,SAAS,EAAE,CAAC;IAC1F,OAAO,EAAE,MAAM,EAAE,OAAO,EAAE,QAAQ,EAAE,GAAG,CAAC,QAAQ,EAAE,OAAO,EAAE,GAAG,CAAC,IAAI,EAAE,GAAG,EAAE,EAAE,EAAE,SAAS,EAAE,CAAC;AAC5F,CAAC;AAED,kBAAkB;AAClB,SAAgB,YAAY,CAAC,QAA0B;IACrD,IAAI,QAAQ,CAAC,MAAM,KAAK,KAAK;QAAE,OAAO,IAAI,CAAC,OAAO,CAAC,OAAO,CAAC,GAAG,CAAC,mBAA6B,CAAC,CAAC;IAC9F,IAAI,QAAQ,CAAC,MAAM,KAAK,OAAO;QAAE,OAAO,iBAAiB,CAAC,QAAQ,CAAC,QAAkB,CAAC,CAAC;IACvF,OAAO,gBAAgB,EAAE,CAAC;AAC5B,CAAC"}

package/dist/cjs/index.js

@@ -46,7 +46,7 @@ var __importStar = (this && this.__importStar) || (function () {
     };
 })();
 Object.defineProperty(exports, "__esModule", { value: true });
-exports.TOKEN_REFRESH_LOCK_WAIT_MS = exports.TOKEN_REFRESH_LOCK_STALE_MS = exports.CLI_TOKEN_REFRESH_BEFORE_MS = exports.DeviceKeyError = exports.EXCHANGED_JWT_LOCK_STALE_MS = exports.EXCHANGED_JWT_LOCK_WAIT_MS = exports.EXCHANGED_JWT_REFRESH_BUFFER_MS = exports.FLEET_GATE_LOG_MAX_BYTES = exports.FLEET_ENTITLEMENT_MAX_TTL_SEC = exports.MEMBER_SCOPE_ALLOWED_REASONS = exports.V2_MIGRATE_CHECK_INTERVAL_MS = exports.CliTokenNotFoundError = exports.V2_READER_MIN = exports.versionAtLeast = exports.tokenReaderRoots = exports.scanTokenReaders = void 0;
+exports.TOKEN_REFRESH_LOCK_WAIT_MS = exports.TOKEN_REFRESH_LOCK_STALE_MS = exports.CLI_TOKEN_REFRESH_BEFORE_MS = exports.DeviceKeyError = exports.EXCHANGED_JWT_LOCK_STALE_MS = exports.EXCHANGED_JWT_LOCK_WAIT_MS = exports.EXCHANGED_JWT_REFRESH_BUFFER_MS = exports.FLEET_GATE_LOG_MAX_BYTES = exports.FLEET_ENTITLEMENT_MAX_TTL_SEC = exports.MEMBER_SCOPE_ALLOWED_REASONS = exports.V2_MIGRATE_CHECK_INTERVAL_MS = exports.CLI_TOKEN_REJECTION_TTL_MS = exports.CliTokenRejectedError = exports.CliTokenNotFoundError = exports.V2_READER_MIN = exports.versionAtLeast = exports.tokenReaderRoots = exports.scanTokenReaders = exports.resolveIdentity = exports.readIdentityTable = exports.parseIdentityTable = exports.musuhiDirFor = exports.matchIdentityRow = exports.identityMusuhiDir = exports.getIdentityTablePath = exports.defaultMusuhiDir = exports.configureIdentityCwd = void 0;
 exports.musuhiDir = musuhiDir;
 exports.assertMusuhiWritable = assertMusuhiWritable;
 exports.getTokenFilePath = getTokenFilePath;
@@ -59,6 +59,14 @@ exports.extractToken = extractToken;
 exports.validateTokenFormat = validateTokenFormat;
 exports.readCliTokenSync = readCliTokenSync;
 exports.tryReadCliToken = tryReadCliToken;
+exports.getCliTokenRejectionPath = getCliTokenRejectionPath;
+exports.cliTokenFingerprint = cliTokenFingerprint;
+exports.cliTokenRejectionOf = cliTokenRejectionOf;
+exports.parseCliTokenRejection = parseCliTokenRejection;
+exports.isCliTokenRejectionEffective = isCliTokenRejectionEffective;
+exports.markCliTokenRejected = markCliTokenRejected;
+exports.noteCliTokenResponse = noteCliTokenResponse;
+exports.cliTokenRejection = cliTokenRejection;
 exports.loadPortalToken = loadPortalToken;
 exports.savePortalToken = savePortalToken;
 exports.configureTokenReaderScan = configureTokenReaderScan;
@@ -107,6 +115,17 @@ const fs = __importStar(require("node:fs"));
 const os = __importStar(require("node:os"));
 const path = __importStar(require("node:path"));
 const token_readers_js_1 = require("./token-readers.js");
+const identity_js_1 = require("./identity.js");
+var identity_js_2 = require("./identity.js");
+Object.defineProperty(exports, "configureIdentityCwd", { enumerable: true, get: function () { return identity_js_2.configureIdentityCwd; } });
+Object.defineProperty(exports, "defaultMusuhiDir", { enumerable: true, get: function () { return identity_js_2.defaultMusuhiDir; } });
+Object.defineProperty(exports, "getIdentityTablePath", { enumerable: true, get: function () { return identity_js_2.getIdentityTablePath; } });
+Object.defineProperty(exports, "identityMusuhiDir", { enumerable: true, get: function () { return identity_js_2.identityMusuhiDir; } });
+Object.defineProperty(exports, "matchIdentityRow", { enumerable: true, get: function () { return identity_js_2.matchIdentityRow; } });
+Object.defineProperty(exports, "musuhiDirFor", { enumerable: true, get: function () { return identity_js_2.musuhiDirFor; } });
+Object.defineProperty(exports, "parseIdentityTable", { enumerable: true, get: function () { return identity_js_2.parseIdentityTable; } });
+Object.defineProperty(exports, "readIdentityTable", { enumerable: true, get: function () { return identity_js_2.readIdentityTable; } });
+Object.defineProperty(exports, "resolveIdentity", { enumerable: true, get: function () { return identity_js_2.resolveIdentity; } });
 var token_readers_js_2 = require("./token-readers.js");
 Object.defineProperty(exports, "scanTokenReaders", { enumerable: true, get: function () { return token_readers_js_2.scanTokenReaders; } });
 Object.defineProperty(exports, "tokenReaderRoots", { enumerable: true, get: function () { return token_readers_js_2.tokenReaderRoots; } });
@@ -121,16 +140,14 @@ const KEY_LENGTH = 32;
 const SECRET = 'musuhi-vscode-portal-token-key-2025';
 /**
  * 箱 n=4109: `~/.musuhi` の置き場はここ 1 本から出す（札・pin の宣言・機体の鍵・機体の id・延ばしのロック）。
- * 順＝env `BLUELAMP_MUSUHI_DIR` → env の HOME（Windows は USERPROFILE）の下 → `os.homedir()` の下。
+ * 順＝env `BLUELAMP_MUSUHI_DIR` → 箱 n=5011 の対応表（`~/.bluelamp/identities.json`）で置き場に当たった名義の
+ * `~/.musuhi/identities/<名義>` → env の HOME（Windows は USERPROFILE）の下 → `os.homedir()` の下。
  * 🔑 env を JS から読む＝jest が写しの env に HOME を入れても効く（`os.homedir()` は本物の環境を読むので、
  *    jest の中で HOME を替えても本物の ~/.musuhi に書いた・2026-10-30 13:58）。呼び出し時に解決する。
+ * 🔑 表が無い機体・表に当たらない置き場は今どおり（既定）。表が壊れていれば throw（黙って既定へ落ちない）。
  */
 function musuhiDir() {
-    const override = process.env.BLUELAMP_MUSUHI_DIR;
-    if (override)
-        return path.resolve(override);
-    const home = process.platform === 'win32' ? process.env.USERPROFILE : process.env.HOME;
-    return path.join(home || os.homedir(), '.musuhi');
+    return (0, identity_js_1.musuhiDirFor)((0, identity_js_1.resolveIdentity)());
 }
 /** 試験の走り手の中か（jest・vitest・node --test・Playwright・NODE_ENV=test） */
 function inTestRunner() {
@@ -211,6 +228,26 @@ class CliTokenNotFoundError extends Error {
     }
 }
 exports.CliTokenNotFoundError = CliTokenNotFoundError;
+/**
+ * 箱 n=4755: 置き場の札にサーバに断られた印が付いている。CliTokenNotFoundError の子＝今の catch がそのまま
+ * 「札が無い」として止まる。文は番号の承認へ誘う。
+ * 🚨 親と同じく**ブランド名と CLI コマンド名を持たせない**（白ラベル変種が同じ実体を読む）。`--register-device` は
+ *    どの変種の CLI にも在る引数なので、コマンド名を付けずに書く。
+ */
+class CliTokenRejectedError extends CliTokenNotFoundError {
+    reason;
+    rejectedAt;
+    constructor(reason, rejectedAt) {
+        super();
+        this.message =
+            `この機体の札はサーバに断られました（${reason}）。` +
+                'ご利用の CLI を起動して表示される番号を Web で承認してください（CLI に `--register-device` を付けて起動しても同じです）';
+        this.name = 'CliTokenRejectedError';
+        this.reason = reason;
+        this.rejectedAt = rejectedAt;
+    }
+}
+exports.CliTokenRejectedError = CliTokenRejectedError;
 // 入力が定数なので 1 回だけ導く（scrypt は 1 回数十 ms。札を読むたびに払わない）
 let derivedKeyCache = null;
 function derivedKey() {
@@ -301,8 +338,17 @@ function validateTokenFormat(token) {
 /**
  * トークンを読む。読めない場合は CliTokenNotFoundError を throw する。
  * 失敗の詳細はメッセージに載るが、**復号結果そのものは決して載せない**。
+ * 箱 n=4755: 置き場の札にサーバに断られた印が付いていれば CliTokenRejectedError（CliTokenNotFoundError の子）。
  */
 function readCliTokenSync() {
+    const token = readStoredTokenSync();
+    const mark = rejectionFor(token, Date.now());
+    if (mark)
+        throw new CliTokenRejectedError(mark.reason, mark.at);
+    return token;
+}
+/** 置き場の札を読む（印の門を通さない）。読めなければ CliTokenNotFoundError */
+function readStoredTokenSync() {
     const filePath = getTokenFilePath();
     if (!fs.existsSync(filePath)) {
         throw new CliTokenNotFoundError(`${filePath} not found`);
@@ -338,6 +384,110 @@ function tryReadCliToken() {
         return null;
     }
 }
+/** 印が効いている長さ。過ぎたら 1 本だけ撃って確かめる */
+exports.CLI_TOKEN_REJECTION_TTL_MS = 24 * 60 * 60_000;
+/** サーバが失効した札に返す文（code を持たない古い応答） */
+const INVALID_TOKEN_MESSAGE = 'Invalid or expired CLI token';
+/** 印の置き場。テストで HOME・BLUELAMP_MUSUHI_DIR を差し替えられるよう呼び出し時に解決する */
+function getCliTokenRejectionPath() {
+    return path.join(musuhiDir(), 'cli-token-rejected.json');
+}
+/** 札の指紋（純関数）。印に書くのはこれだけ */
+function cliTokenFingerprint(token) {
+    return (0, node_crypto_1.createHash)('sha256').update(token).digest('hex').slice(0, 16);
+}
+/**
+ * 応答が「札を捨てるべき断り」か（純関数）。401 の device_registration_required・invalid_token だけ。
+ * それ以外（superseded_by_other_device・ログインを止めた会員・403・429・5xx）は null。
+ */
+function cliTokenRejectionOf(status, body) {
+    if (status !== 401 || !body || typeof body !== 'object')
+        return null;
+    const b = body;
+    if (b.code === 'device_registration_required')
+        return 'device_registration_required';
+    if (b.code === 'invalid_token')
+        return 'invalid_token';
+    if (b.code === undefined || b.code === null) {
+        if (b.message === INVALID_TOKEN_MESSAGE)
+            return 'invalid_token';
+    }
+    return null;
+}
+/** 印の中身を検める（純関数）。形が違えば null＝印が無いのと同じ */
+function parseCliTokenRejection(raw) {
+    let v;
+    try {
+        v = JSON.parse(raw);
+    }
+    catch {
+        return null;
+    }
+    const o = v;
+    if (!o || typeof o.fp !== 'string' || !/^[0-9a-f]{16}$/.test(o.fp))
+        return null;
+    if (o.reason !== 'device_registration_required' && o.reason !== 'invalid_token')
+        return null;
+    if (typeof o.at !== 'number' || !Number.isFinite(o.at))
+        return null;
+    return { fp: o.fp, reason: o.reason, at: o.at };
+}
+/**
+ * 印がこの札に今も効いているか（純関数）。指紋が同じで、付けてから 24 時間未満のときだけ。
+ * 未来の時刻（時計の巻き戻り）は効かないと読む（1 本撃って、断られればまた付く）。
+ */
+function isCliTokenRejectionEffective(mark, token, nowMs) {
+    if (mark.fp !== cliTokenFingerprint(token))
+        return false;
+    const age = nowMs - mark.at;
+    return age >= 0 && age < exports.CLI_TOKEN_REJECTION_TTL_MS;
+}
+function readRejectionMark() {
+    try {
+        return parseCliTokenRejection(fs.readFileSync(getCliTokenRejectionPath(), 'utf8'));
+    }
+    catch {
+        return null;
+    }
+}
+function rejectionFor(token, nowMs) {
+    const mark = readRejectionMark();
+    return mark && isCliTokenRejectionEffective(mark, token, nowMs) ? mark : null;
+}
+/**
+ * 札に「サーバに断られた」印を付ける（指紋・理由・時刻だけ・0600・一時ファイル→rename）。throw しない。
+ */
+function markCliTokenRejected(token, reason, options = {}) {
+    try {
+        const mark = { fp: cliTokenFingerprint(token), reason, at: (options.now ?? Date.now)() };
+        writePrivateFileAtomic(getCliTokenRejectionPath(), JSON.stringify(mark) + '\n');
+    }
+    catch {
+        // 印が書けなくても呼び手の本線は落とさない（次の 401 でまた試す）
+    }
+}
+/**
+ * 常駐の手が応答を受けたら渡す口。断り（cliTokenRejectionOf）なら印を付けて理由を返す。それ以外は null。throw しない。
+ * 印が付いたら、その手の中で撃つのを止めること（次の周は読み手の門で止まる）。
+ */
+function noteCliTokenResponse(token, status, body, options = {}) {
+    const reason = cliTokenRejectionOf(status, body);
+    if (reason && token)
+        markCliTokenRejected(token, reason, options);
+    return reason;
+}
+/** 今の置き場の札に効いている印。無い・札が読めない＝null。throw しない */
+function cliTokenRejection(options = {}) {
+    let token;
+    try {
+        token = readStoredTokenSync();
+    }
+    catch {
+        return null;
+    }
+    const mark = rejectionFor(token, (options.now ?? Date.now)());
+    return mark ? { reason: mark.reason, at: mark.at } : null;
+}
 /**
  * 保存済みデータを構造ごと読む。ファイル無し・内容不正は null、復号失敗は throw。
  * 箱 n=4102: 置き場は引数で渡せる（既定は ~/.musuhi）。試験は一時ディレクトリを渡す＝HOME の差し替えに頼らない
@@ -660,8 +810,15 @@ exports.FLEET_ENTITLEMENT_MAX_TTL_SEC = 86_400;
 const FLEET_GATE_TIMEOUT_MS = 5_000;
 // 3 つの MCP（backend-client / yashiro-client / ledger-auth）と同じ既定＝/api/bluelamp まで含む
 const FLEET_DEFAULT_BASE = 'https://api.motohi.jp/api/bluelamp';
-/** キャッシュの置き場。テストで HOME を差し替えられるよう呼び出し時に解決する */
+/**
+ * キャッシュの置き場。テストで HOME を差し替えられるよう呼び出し時に解決する。
+ * 🔑 箱 n=5011: 答えは口座ごとの物＝表で決めた名義は名義の札の置き場に持つ（既定の名義は今どおり ~/.bluelamp）。
+ *    1 枚を共有すると、ある名義の active を別の名義が借りる。
+ */
 function getFleetEntitlementFilePath() {
+    const id = (0, identity_js_1.resolveIdentity)();
+    if (id.source === 'table')
+        return path.join((0, identity_js_1.musuhiDirFor)(id), 'fleet-entitlement.json');
     return path.join(os.homedir(), '.bluelamp', 'fleet-entitlement.json');
 }
 /** 網に出た回だけ 1 行ずつ追記するログ（門の呼び出しを数える）。テストで HOME を差し替えられるよう呼び出し時に解決する */
@@ -1178,6 +1335,9 @@ async function postRefresh(url, current, key, nowMs, fetchFn, timeoutMs) {
     }
     if (!res.ok) {
         const code = typeof body?.code === 'string' ? body.code : null;
+        // 箱 n=4755: 失効・機体の承認が要る札は印を付ける（次から延ばしも読み手も網に出ない）
+        // 印の時刻は実時間（読み手の門も実時間で測る。nowMs は期限の判定の時計）
+        noteCliTokenResponse(current.token, res.status, body);
         if (res.status === 409 && code === 'device_over_quota')
             return { status: 'device_over_quota', detail: 'http 409' };
         if (res.status >= 400 && res.status < 500)
@@ -1210,6 +1370,10 @@ async function ensureFreshCliToken(options = {}) {
     const initial = loadPortalTokenQuiet();
     if (!initial || !initial.token)
         return { status: 'no_token' };
+    // 箱 n=4755: 断られた印の付いた札は網に出ない（置き場が替わるか 24 時間経つまで）
+    const marked = rejectionFor(initial.token, Date.now());
+    if (marked)
+        return { status: 'rejected', detail: `marked ${marked.reason}` };
     if (typeof initial.expiresAt !== 'number' || !initial.deviceId) {
         maybeMigrateToV2();
         return { status: 'legacy' };