@bluelamp/secret-exec 0.2.0 → 0.3.0

package/README.md

@@ -67,3 +67,13 @@ bluelamp-secret put my-db --file ./db-url.txt --url https://db.example.com
 | 1 | 未ログイン・金庫に無い・権限なし・ポータルに届かない（子は起こさない） |
 | 2 | 引数の形が違う |
 | 127 | コマンドを起動できなかった |
+
+## `@bluelamp/secret-exec/handoff`（0.3.0〜・箱 n=2946）
+
+口座の鍵を、起こす子の `CLAUDE_CODE_OAUTH_TOKEN` にだけ渡すコマンドの**組み立て**。monster-orchestrator（配車の席）と scheduler（予約の席）が同じ式で使う。
+
+- `buildCredentialHandoff(command, vaultName, bins)` … `command` を「金庫 `vaultName` の鍵を `CLAUDE_CODE_OAUTH_TOKEN` に入れてから exec する」sh の 1 行に包む。値は `bluelamp-secret exec` が子の env に入れ、コマンド置換で受けて仮の名を unset してから exec する＝argv・ディスク・ログに出ない。取り出せなければ exit 97（子は起きない）
+- `probeCredential(vaultName, bins)` … 取り出せるかだけを `{ ok, exitCode }` で返す（何も出力しない）
+- `resolveHandoffBins(overrideEnvNames)` … node と bluelamp-secret の実体の絶対パス（launchd の貧しい PATH に依らない）。見つからなければ null
+
+⛔ 値を返す口は無い（テスト P10 が export の一覧を縛る）。外側の `env -u CLAUDE_CODE_OAUTH_TOKEN`（親の継承を切る）は呼び手が付ける。

package/dist/handoff.js

@@ -0,0 +1,125 @@
+/**
+ * 口座の鍵を、起こす子の `CLAUDE_CODE_OAUTH_TOKEN` にだけ渡す組み立て（箱 n=2946・`@bluelamp/secret-exec/handoff`）。
+ *
+ * 出所: monster-orchestrator の account-pool.ts（箱 n=2079・n=2696・n=2730）から移した。orchestrator（配車の席）と
+ *       scheduler（予約の席）が同じ式で渡す＝二つ目の実装を作らない。
+ *
+ * ■ 秘密の扱い（⛔ 1 つも破らない）
+ *   - ここに値は来ない。組み立てるのは「`bluelamp-secret exec <仮の名>=<金庫の名前> -- …` をどう撃つか」だけ。
+ *   - 値は bluelamp-secret が子の env（仮の名）に入れ、取り出す口（sh ＋ node -e）がコマンド置換で受けて
+ *     `CLAUDE_CODE_OAUTH_TOKEN` に入れ、仮の名を unset してから exec する＝argv・ディスク・ログに出ない。
+ *   - ⛔ 値を返す関数を足さない（このパッケージの約束・index.ts の冒頭）。
+ */
+import * as fs from "node:fs";
+import * as path from "node:path";
+import { spawnSync } from "node:child_process";
+/** 子の env に金庫の値を入れる仮の名（exec 前に unset する）。 */
+export const CRED_ENV_NAME = "MO_ACCOUNT_CRED";
+/** 金庫の値の形を読んで accessToken を `t` に置く本文（JSON `{accessToken}`／JSON の文字列／生の token）。 */
+const READ_TOKEN_JS = `const r=(process.env.${CRED_ENV_NAME}||"").trim();let t;` +
+    `try{const o=JSON.parse(r);t=typeof o==="string"?o:o&&typeof o==="object"?o.accessToken:undefined}catch{t=/^[^\\s{}"]+$/.test(r)?r:undefined}`;
+/**
+ * 金庫の値から accessToken を取り出して stdout に出す（`node -e` に渡す本文）。
+ * 🔐 本文に値は無い（値は env から読む）。stdout はコマンド置換（pipe）で受けるのでディスクに落ちない。
+ */
+export const EXTRACT_TOKEN_JS = READ_TOKEN_JS +
+    `if(typeof t!=="string"||t.length===0){process.stderr.write("bluelamp: 口座の資格を取り出せない\\n");process.exit(97)}` +
+    `process.stdout.write(t)`;
+/** 取り出せるかだけを終了コードで返す本文（0＝取り出せる・97＝形が違う／空）。⛔ 何も出力しない */
+export const PROBE_TOKEN_JS = READ_TOKEN_JS + `process.exit(typeof t==="string"&&t.length>0?0:97)`;
+/**
+ * 値を受けて exec する sh の本文（`$1`=node・`$2`=取り出す本文・`$3`=元の command）。
+ * 値は `$(…)` で変数に受けるだけ＝argv に出ない。仮の名は exec 前に unset。
+ */
+export const HANDOFF_SH = `T=$("$1" -e "$2") || exit 97; unset ${CRED_ENV_NAME}; ` +
+    `CLAUDE_CODE_OAUTH_TOKEN=$T; export CLAUDE_CODE_OAUTH_TOKEN; unset T; exec /bin/sh -c "$3"`;
+/** 金庫の名前に許す文字（シェルの 1 語にそのまま載るので狭く取る） */
+export const VAULT_NAME_RE = /^[A-Za-z0-9][A-Za-z0-9._-]{0,127}$/;
+/** POSIX sh の 1 語にクォートする（純関数） */
+export function shellQuote(s) {
+    return `'${s.replace(/'/g, `'\\''`)}'`;
+}
+/**
+ * `command` を「金庫 `vaultName` の鍵を `CLAUDE_CODE_OAUTH_TOKEN` に入れてから exec する」sh の 1 行に包む（純関数）。
+ * 外側の `env -u CLAUDE_CODE_OAUTH_TOKEN`（親の継承を切る多重防御）は呼び手が付ける。
+ */
+export function buildCredentialHandoff(command, vaultName, bins) {
+    if (!VAULT_NAME_RE.test(vaultName))
+        throw new Error(`金庫の名前の形が不正: ${JSON.stringify(vaultName)}`);
+    return [
+        shellQuote(bins.node),
+        shellQuote(bins.secretExec),
+        "exec",
+        `${CRED_ENV_NAME}=${vaultName}`,
+        "--",
+        "/bin/sh",
+        "-c",
+        shellQuote(HANDOFF_SH),
+        "mo-account",
+        shellQuote(bins.node),
+        shellQuote(EXTRACT_TOKEN_JS),
+        shellQuote(command),
+    ].join(" ");
+}
+/** 取り出せるかだけを確かめる argv（純関数・シェルを通さず spawn する）。 */
+export function buildCredentialProbeArgv(vaultName, bins) {
+    if (!VAULT_NAME_RE.test(vaultName))
+        throw new Error(`金庫の名前の形が不正: ${JSON.stringify(vaultName)}`);
+    return [bins.secretExec, "exec", `${CRED_ENV_NAME}=${vaultName}`, "--", bins.node, "-e", PROBE_TOKEN_JS];
+}
+/** 金庫の鍵を取り出せるか（I/O）。⛔ stdout／stderr は捨てる（値は出ないが、bluelamp-secret の案内も呼び手に返さない） */
+export function probeCredential(vaultName, bins, timeoutMs = 15_000) {
+    // bluelamp-secret（.mjs）は shebang の `env node` に依らず node で直接起こす
+    const r = spawnSync(bins.node, buildCredentialProbeArgv(vaultName, bins), { stdio: "ignore", timeout: timeoutMs });
+    return { ok: r.status === 0, exitCode: r.status };
+}
+/* ============================== bluelamp-secret の置き場 ============================== */
+export const SECRET_EXEC_NAME = "bluelamp-secret";
+/**
+ * bluelamp-secret を探す先（純関数・箱 n=2730）。順は
+ * 呼び手の上書き（env の値・先頭から）→ /opt/homebrew/bin → /usr/local/bin → PATH の各段 → node と同じ bin（npm の既定 prefix）。
+ * Mac の 2 か所を PATH より前に置く＝launchd の貧しい PATH でも、Mac で選ばれる実体は変わらない。
+ */
+export function secretExecCandidates(env, execPath, overrideEnvNames = []) {
+    const dirs = (env.PATH ?? "").split(path.delimiter).filter((d) => path.isAbsolute(d));
+    const list = [
+        // 上書きは絶対パスだけ（相対は cwd で解決され、起こした場所で別の実体を掴む・CTO H-5 指摘②）
+        ...overrideEnvNames.map((n) => env[n]).filter((p) => typeof p === "string" && path.isAbsolute(p)),
+        `/opt/homebrew/bin/${SECRET_EXEC_NAME}`,
+        `/usr/local/bin/${SECRET_EXEC_NAME}`,
+        ...dirs.map((d) => path.join(d, SECRET_EXEC_NAME)),
+        path.join(path.dirname(execPath), SECRET_EXEC_NAME),
+    ].filter((p) => typeof p === "string" && p.length > 0);
+    return [...new Set(list)];
+}
+/** `npm prefix -g`/bin の bluelamp-secret（npm の prefix を ~/.npmrc で変えた機体向け）。npm が無い・遅いときは null。 */
+function npmGlobalSecretExec() {
+    const r = spawnSync("npm", ["prefix", "-g"], { encoding: "utf8", timeout: 5_000 });
+    const prefix = r.status === 0 ? r.stdout.trim() : "";
+    return path.isAbsolute(prefix) ? path.join(prefix, "bin", SECRET_EXEC_NAME) : null;
+}
+/** node / bluelamp-secret の絶対パスを決める。見つからなければ null（呼び手が自分の言葉でエラーにする）。 */
+export function resolveHandoffBins(overrideEnvNames = [], deps) {
+    const d = {
+        env: process.env,
+        execPath: process.execPath,
+        realpath: fs.realpathSync,
+        npmGlobal: npmGlobalSecretExec,
+        ...deps,
+    };
+    const tryOne = (c) => {
+        try {
+            return { node: d.execPath, secretExec: d.realpath(c) };
+        }
+        catch {
+            return null;
+        }
+    };
+    for (const c of secretExecCandidates(d.env, d.execPath, overrideEnvNames)) {
+        const b = tryOne(c);
+        if (b)
+            return b;
+    }
+    const g = d.npmGlobal();
+    return g ? tryOne(g) : null;
+}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@bluelamp/secret-exec",
-  "version": "0.2.0",
+  "version": "0.3.0",
   "description": "金庫の値を子プロセスの環境変数にだけ入れてコマンドを実行し（exec）、標準入力から金庫へ入れる（put）。値を画面・引数・ログに出さない口",
   "keywords": [
     "bluelamp",
@@ -11,7 +11,8 @@
   "author": "BlueLamp <dev@bluelamp.app>",
   "type": "module",
   "exports": {
-    "./package.json": "./package.json"
+    "./package.json": "./package.json",
+    "./handoff": "./dist/handoff.js"
   },
   "bin": {
     "bluelamp-secret": "./bin/bluelamp-secret.mjs"