@cat-factory/app 0.86.0 → 0.87.1

package/app/components/board/nodes/BlockNode.vue

@@ -201,8 +201,32 @@ const ITEM_ICON: Record<string, string> = {
 </script>
 
 <template>
+  <!-- ===================== Redacted: repo access denied ===================== -->
+  <!-- This service frame is backed by a repo linked via another member's personal access
+       token that the signed-in user can't reach. The server scrubbed its contents; the SPA
+       shows only the internal id + a "Permission denied" placeholder (never the repo). -->
   <div
-    v-if="block"
+    v-if="block?.accessDenied"
+    class="w-56 overflow-hidden rounded-xl border border-slate-700 bg-slate-900/90 shadow-xl backdrop-blur"
+    :data-block-id="block.id"
+    data-testid="frame-access-denied"
+  >
+    <div class="flex items-center gap-2 border-b border-slate-800 px-3 py-2">
+      <span class="i-lucide-lock h-4 w-4 shrink-0 text-slate-400" />
+      <span class="truncate text-sm font-semibold text-slate-200">{{
+        t('board.frame.accessDenied.title')
+      }}</span>
+    </div>
+    <div class="px-3 py-3">
+      <p class="text-[11px] leading-snug text-slate-400">
+        {{ t('board.frame.accessDenied.hint') }}
+      </p>
+      <code class="mt-2 block truncate font-mono text-[11px] text-slate-500">{{ block.id }}</code>
+    </div>
+  </div>
+
+  <div
+    v-else-if="block"
     class="relative"
     :data-block-id="block.id"
     @pointerenter="enterFrame(block.id)"

package/app/components/github/AddServiceFromRepoModal.vue

@@ -27,6 +27,7 @@ const typeItems = useFrameRepoTypeItems()
 const ui = useUiStore()
 const github = useGitHubStore()
 const board = useBoardStore()
+const services = useServicesStore()
 const toast = useToast()
 const { freeFramePosition, focusFrame } = useFramePlacement()
 
@@ -65,9 +66,12 @@ watch(
 const needsGitHub = computed(() => github.available === true && !github.connected)
 
 // Repos already backing a board service can't be added again — UNLESS they're a
-// monorepo, which can host several services (each at its own subdirectory).
+// monorepo, which can host several services (each at its own subdirectory). Derived from
+// the account's service catalog (each service carries the repo it targets), since the repo
+// projection no longer carries a repo→block link.
 const onBoardIds = computed(
-  () => new Set(github.repos.filter((r) => r.blockId).map((r) => r.githubId)),
+  () =>
+    new Set(services.catalog.map((s) => s.repoGithubId).filter((id): id is number => id != null)),
 )
 
 // Map an available repo to a combobox item. The label carries the private/monorepo/
@@ -77,6 +81,9 @@ function toRepoItem(r: GitHubAvailableRepo) {
   const suffix = [
     r.private ? t('github.addService.repoLabel.private') : '',
     r.isMonorepo ? t('github.addService.repoLabel.monorepo') : '',
+    // Reachable only via the signed-in user's PAT (not the workspace App) — its frame is
+    // hidden from members without their own access.
+    r.personal ? t('github.addService.repoLabel.personal') : '',
     onBoard ? t('github.addService.repoLabel.onBoard') : '',
   ].join('')
   return { label: `${r.owner}/${r.name}${suffix}`, value: r.githubId, disabled: onBoard }

package/app/stores/github.ts

@@ -14,6 +14,7 @@ import type {
   ResyncRequest,
 } from '~/types/domain'
 import { useWorkspaceStore } from '~/stores/workspace'
+import { useServicesStore } from '~/stores/services'
 
 /**
  * GitHub integration state: the workspace's App installation, the projected
@@ -62,9 +63,14 @@ export const useGitHubStore = defineStore('github', () => {
     return repos.value.find((r) => r.githubId === repoGithubId)
   }
 
-  /** The repo linked to a board block (its backing service repo), if any. */
+  /**
+   * The repo backing a board service frame, if any — resolved through the account-owned
+   * Service bound to the frame (the sole repo↔frame linkage; the projection carries no
+   * repo→block column).
+   */
   function repoForBlock(blockId: string): GitHubRepo | undefined {
-    return repos.value.find((r) => r.blockId === blockId)
+    const service = useServicesStore().serviceByFrameBlock[blockId]
+    return service?.repoGithubId != null ? repoFor(service.repoGithubId) : undefined
   }
 
   function pullsForRepo(repoGithubId: number): GitHubPullRequest[] {

package/i18n/locales/en.json

@@ -281,7 +281,11 @@
       "dragTask": "Drag task",
       "dragToResize": "Drag to resize",
       "addFirstTask": "Add the first task",
-      "createInitiativeTitle": "Create initiative"
+      "createInitiativeTitle": "Create initiative",
+      "accessDenied": {
+        "title": "Permission denied",
+        "hint": "You don't have access to the repository backing this service."
+      }
     },
     "decisionBadge": {
       "decisionNeeded": "Decision needed",
@@ -1660,9 +1664,9 @@
         "environment-provider": "Custom HTTP provider",
         "environment-providerDesc": "Provision ephemeral environments through your own HTTP management API. Best when you already have bespoke preview-env tooling.",
         "compose": "Docker Compose preview env",
-        "composeDesc": "Stand the repo's own docker-compose.yml up on a local Docker daemon as the Tester's URL. Best for local Compose-based apps. Image-based stacks only; needs a Docker daemon, so local deployments only."
+        "composeDesc": "Stand the repo's own docker-compose.yml up on a local Docker daemon as the Tester's URL. Best for local Compose-based apps. Supports pre-built images or building from source; needs a Docker daemon, so local deployments only."
       },
-      "dockerComposeInfo": "Docker Compose services stand up on the runtime's local Docker: no connection needed (the run's container must support Docker-in-Docker).",
+      "dockerComposeInfo": "Docker Compose services stand up on the runtime's local Docker: no connection needed (the run's container must support Docker-in-Docker). Configure the service, port, and image source (pull pre-built or build from source) on the service's environment settings.",
       "engine": {
         "local-k3s": "Local k3s",
         "remote-kubernetes": "Remote Kubernetes"
@@ -2557,7 +2561,8 @@
       "repoLabel": {
         "private": " (private)",
         "monorepo": " · monorepo",
-        "onBoard": " · already on board"
+        "onBoard": " · already on board",
+        "personal": " · personal (your token)"
       },
       "monorepoLabel": "This is a monorepo (hosts more than one service)",
       "monorepoDescription": "Add several services from one repo, each pinned to a subdirectory.",

package/i18n/locales/es.json

@@ -251,7 +251,11 @@
       "dragTask": "Arrastrar tarea",
       "dragToResize": "Arrastra para cambiar el tamaño",
       "addFirstTask": "Añade la primera tarea",
-      "createInitiativeTitle": "Crear iniciativa"
+      "createInitiativeTitle": "Crear iniciativa",
+      "accessDenied": {
+        "title": "Permiso denegado",
+        "hint": "No tienes acceso al repositorio que respalda este servicio."
+      }
     },
     "decisionBadge": {
       "decisionNeeded": "Decisión necesaria",
@@ -2104,9 +2108,10 @@
       "testEnvBackend": {
         "label": "Dónde se ejecutan los entornos de prueba",
         "local-compose": "docker-compose en contenedor",
-        "environment-provider": "Proveedor de entornos"
+        "environment-provider": "Proveedor de entornos",
+        "composeDesc": "Levanta el docker-compose.yml del propio repositorio en un daemon de Docker local como URL del Tester. Ideal para apps locales basadas en Compose. Admite imágenes prediseñadas o compilación desde el código fuente; requiere un daemon de Docker, por lo que solo en despliegues locales."
       },
-      "dockerComposeInfo": "Los servicios de Docker Compose se levantan en el Docker local del runtime: no hace falta conexión (el contenedor de la ejecución debe admitir Docker-in-Docker).",
+      "dockerComposeInfo": "Los servicios de Docker Compose se levantan en el Docker local del runtime: no se necesita conexión (el contenedor de la ejecución debe admitir Docker-in-Docker). Configura el servicio, el puerto y el origen de la imagen (usar prediseñada o compilar desde el código fuente) en los ajustes de entorno del servicio.",
       "engine": {
         "local-k3s": "k3s local",
         "remote-kubernetes": "Kubernetes remoto"
@@ -2481,7 +2486,8 @@
       "repoLabel": {
         "private": " (privado)",
         "monorepo": " · monorepo",
-        "onBoard": " · ya en el tablero"
+        "onBoard": " · ya en el tablero",
+        "personal": " · personal (tu token)"
       },
       "monorepoLabel": "Es un monorepo (aloja más de un servicio)",
       "monorepoDescription": "Añade varios servicios desde un repositorio, cada uno fijado a un subdirectorio.",

package/i18n/locales/fr.json

@@ -251,7 +251,11 @@
       "dragTask": "Faire glisser la tâche",
       "dragToResize": "Glisser pour redimensionner",
       "addFirstTask": "Ajouter la première tâche",
-      "createInitiativeTitle": "Creer une initiative"
+      "createInitiativeTitle": "Creer une initiative",
+      "accessDenied": {
+        "title": "Autorisation refusée",
+        "hint": "Vous n'avez pas accès au dépôt sur lequel repose ce service."
+      }
     },
     "decisionBadge": {
       "decisionNeeded": "Décision requise",
@@ -2104,9 +2108,10 @@
       "testEnvBackend": {
         "label": "Où s'exécutent les environnements de test",
         "local-compose": "docker-compose dans le conteneur",
-        "environment-provider": "Fournisseur d'environnements"
+        "environment-provider": "Fournisseur d'environnements",
+        "composeDesc": "Démarre le docker-compose.yml du dépôt sur un démon Docker local comme URL du Testeur. Idéal pour les applications locales basées sur Compose. Prend en charge les images préconstruites ou la construction depuis les sources ; nécessite un démon Docker, donc uniquement pour les déploiements locaux."
       },
-      "dockerComposeInfo": "Les services Docker Compose démarrent sur le Docker local du runtime: aucune connexion requise (le conteneur de l'exécution doit prendre en charge Docker-in-Docker).",
+      "dockerComposeInfo": "Les services Docker Compose démarrent sur le Docker local du runtime : aucune connexion requise (le conteneur d’exécution doit prendre en charge Docker-in-Docker). Configurez le service, le port et la source de l’image (image préconstruite ou construction depuis les sources) dans les paramètres d’environnement du service.",
       "engine": {
         "local-k3s": "k3s local",
         "remote-kubernetes": "Kubernetes distant"
@@ -2481,7 +2486,8 @@
       "repoLabel": {
         "private": " (privé)",
         "monorepo": " · monorepo",
-        "onBoard": " · déjà sur le tableau"
+        "onBoard": " · déjà sur le tableau",
+        "personal": " · personnel (votre jeton)"
       },
       "monorepoLabel": "Ceci est un monorepo (héberge plusieurs services)",
       "monorepoDescription": "Ajoutez plusieurs services depuis un même dépôt, chacun rattaché à un sous-répertoire.",

package/i18n/locales/he.json

@@ -251,7 +251,11 @@
       "dragTask": "גרור משימה",
       "dragToResize": "גרור לשינוי גודל",
       "addFirstTask": "הוסף את המשימה הראשונה",
-      "createInitiativeTitle": "יצירת יוזמה"
+      "createInitiativeTitle": "יצירת יוזמה",
+      "accessDenied": {
+        "title": "הגישה נדחתה",
+        "hint": "אין לך גישה למאגר שעליו מבוסס שירות זה."
+      }
     },
     "decisionBadge": {
       "decisionNeeded": "נדרשת החלטה",
@@ -1612,9 +1616,10 @@
         "kubernetes": "אשכול Kubernetes",
         "kubernetesDesc": "הקצה מרחב שמות לכל PR באשכול Kubernetes שאתה מפעיל.",
         "environment-provider": "ספק HTTP מותאם",
-        "environment-providerDesc": "הקצה סביבות ארעיות דרך ממשק ניהול HTTP משלך."
+        "environment-providerDesc": "הקצה סביבות ארעיות דרך ממשק ניהול HTTP משלך.",
+        "composeDesc": "מריץ את קובץ docker-compose.yml של המאגר עצמו על דימון Docker מקומי ככתובת ה-URL של הבוחן. מתאים בעיקר לאפליקציות מקומיות מבוססות Compose. תומך בתמונות בנויות מראש או בבנייה מקוד המקור; דורש דימון Docker, ולכן פריסות מקומיות בלבד."
       },
-      "dockerComposeInfo": "שירותי Docker Compose עולים על ה-Docker המקומי של זמן הריצה: אין צורך בחיבור (הקונטיינר של הריצה חייב לתמוך ב-Docker-in-Docker).",
+      "dockerComposeInfo": "שירותי Docker Compose עולים על ה-Docker המקומי של סביבת הריצה: אין צורך בחיבור (מכולת ההרצה חייבת לתמוך ב-Docker-in-Docker). הגדר את השירות, הפורט ומקור התמונה (משיכת תמונה בנויה מראש או בנייה מקוד המקור) בהגדרות הסביבה של השירות.",
       "engine": {
         "local-k3s": "k3s מקומי",
         "remote-kubernetes": "Kubernetes מרוחק"
@@ -2492,7 +2497,8 @@
       "repoLabel": {
         "private": " (פרטי)",
         "monorepo": " · מונורפו",
-        "onBoard": " · כבר על הלוח"
+        "onBoard": " · כבר על הלוח",
+        "personal": " · אישי (הטוקן שלך)"
       },
       "monorepoLabel": "זהו מונורפו (מארח יותר משירות אחד)",
       "monorepoDescription": "הוסף כמה שירותים ממאגר אחד, כל אחד מוצמד לתת-ספרייה.",

package/i18n/locales/ja.json

@@ -251,7 +251,11 @@
       "dragTask": "タスクをドラッグ",
       "dragToResize": "ドラッグしてサイズ変更",
       "addFirstTask": "最初のタスクを追加",
-      "createInitiativeTitle": "イニシアチブを作成"
+      "createInitiativeTitle": "イニシアチブを作成",
+      "accessDenied": {
+        "title": "アクセスが拒否されました",
+        "hint": "このサービスの基盤となるリポジトリにアクセスする権限がありません。"
+      }
     },
     "decisionBadge": {
       "decisionNeeded": "判断が必要",
@@ -1614,9 +1618,9 @@
         "environment-provider": "カスタム HTTP プロバイダー",
         "environment-providerDesc": "自前の HTTP 管理 API を通じて一時的な環境をプロビジョニングします。",
         "compose": "Docker Compose プレビュー環境",
-        "composeDesc": "リポジトリ自身の docker-compose.yml をローカルの Docker デーモンで起動し、テスターの URL として使用します。ローカルの Compose ベースのアプリに最適です。イメージベースのスタックのみ対応。Docker デーモンが必要なため、ローカルデプロイメント専用です。"
+        "composeDesc": "リポジトリ自身の docker-compose.yml をローカルの Docker デーモンで起動し、テスターの URL として使用します。ローカルの Compose ベースのアプリに最適です。ビルド済みイメージまたはソースからのビルドに対応。Docker デーモンが必要なため、ローカルデプロイのみ。"
       },
-      "dockerComposeInfo": "Docker Compose サービスはランタイムのローカル Docker 上で起動します。接続は不要です（実行のコンテナが Docker-in-Docker をサポートする必要があります）。",
+      "dockerComposeInfo": "Docker Compose サービスはランタイムのローカル Docker 上で起動します。接続は不要です（実行コンテナが Docker-in-Docker をサポートしている必要があります）。サービス、ポート、イメージソース（ビルド済みを取得するかソースからビルドするか）はサービスの環境設定で構成してください。",
       "engine": {
         "local-k3s": "ローカル k3s",
         "remote-kubernetes": "リモート Kubernetes"
@@ -2494,7 +2498,8 @@
       "repoLabel": {
         "private": " (プライベート)",
         "monorepo": " · モノレポ",
-        "onBoard": " · すでにボード上"
+        "onBoard": " · すでにボード上",
+        "personal": " · 個人（自分のトークン）"
       },
       "monorepoLabel": "これはモノレポです (複数のサービスをホストしています)",
       "monorepoDescription": "1つのリポジトリから複数のサービスを追加し、それぞれをサブディレクトリに固定します。",

package/i18n/locales/pl.json

@@ -251,7 +251,11 @@
       "dragTask": "Przeciągnij zadanie",
       "dragToResize": "Przeciągnij, aby zmienić rozmiar",
       "addFirstTask": "Dodaj pierwsze zadanie",
-      "createInitiativeTitle": "Utworz inicjatywe"
+      "createInitiativeTitle": "Utworz inicjatywe",
+      "accessDenied": {
+        "title": "Brak uprawnień",
+        "hint": "Nie masz dostępu do repozytorium powiązanego z tą usługą."
+      }
     },
     "decisionBadge": {
       "decisionNeeded": "Wymagana decyzja",
@@ -2104,9 +2108,10 @@
       "testEnvBackend": {
         "label": "Gdzie działają środowiska testowe",
         "local-compose": "docker-compose w kontenerze",
-        "environment-provider": "Dostawca środowisk"
+        "environment-provider": "Dostawca środowisk",
+        "composeDesc": "Uruchamia własny plik docker-compose.yml repozytorium na lokalnym demonie Dockera jako adres URL Testera. Najlepsze dla lokalnych aplikacji opartych na Compose. Obsługuje gotowe obrazy lub budowanie ze źródeł; wymaga demona Dockera, więc tylko wdrożenia lokalne."
       },
-      "dockerComposeInfo": "Usługi Docker Compose są uruchamiane na lokalnym Dockerze środowiska uruchomieniowego: połączenie nie jest potrzebne (kontener uruchomienia musi obsługiwać Docker-in-Docker).",
+      "dockerComposeInfo": "Usługi Docker Compose uruchamiają się na lokalnym Dockerze środowiska uruchomieniowego: połączenie nie jest potrzebne (kontener uruchomienia musi obsługiwać Docker-in-Docker). Skonfiguruj usługę, port i źródło obrazu (pobranie gotowego lub budowanie ze źródeł) w ustawieniach środowiska usługi.",
       "engine": {
         "local-k3s": "Lokalny k3s",
         "remote-kubernetes": "Zdalny Kubernetes"
@@ -2481,7 +2486,8 @@
       "repoLabel": {
         "private": " (prywatne)",
         "monorepo": " · monorepo",
-        "onBoard": " · już na tablicy"
+        "onBoard": " · już na tablicy",
+        "personal": " · osobiste (Twój token)"
       },
       "monorepoLabel": "To jest monorepo (zawiera więcej niż jedną usługę)",
       "monorepoDescription": "Dodaj kilka usług z jednego repozytorium, każdą przypiętą do podkatalogu.",

package/i18n/locales/tr.json

@@ -251,7 +251,11 @@
       "dragTask": "Görevi sürükle",
       "dragToResize": "Yeniden boyutlandırmak için sürükle",
       "addFirstTask": "İlk görevi ekle",
-      "createInitiativeTitle": "Girisim olustur"
+      "createInitiativeTitle": "Girisim olustur",
+      "accessDenied": {
+        "title": "İzin reddedildi",
+        "hint": "Bu hizmetin dayandığı depoya erişiminiz yok."
+      }
     },
     "decisionBadge": {
       "decisionNeeded": "Karar gerekiyor",
@@ -1614,9 +1618,9 @@
         "environment-provider": "Özel HTTP sağlayıcısı",
         "environment-providerDesc": "Geçici ortamları kendi HTTP yönetim API'niz aracılığıyla sağlayın.",
         "compose": "Docker Compose önizleme ortamı",
-        "composeDesc": "Deponun kendi docker-compose.yml dosyasını yerel bir Docker daemon üzerinde Tester'ın URL'si olarak ayağa kaldırır. Yerel Compose tabanlı uygulamalar için idealdir. Yalnızca imaj tabanlı stack'ler; bir Docker daemon gerektirir, bu nedenle yalnızca yerel dağıtımlar içindir."
+        "composeDesc": "Deponun kendi docker-compose.yml dosyasını yerel bir Docker arka plan hizmetinde Test Edici URL’si olarak ayağa kaldırır. Yerel Compose tabanlı uygulamalar için idealdir. Önceden oluşturulmuş imgeleri veya kaynaktan derlemeyi destekler; bir Docker arka plan hizmeti gerektirir, bu nedenle yalnızca yerel dağıtımlarda çalışır."
       },
-      "dockerComposeInfo": "Docker Compose servisleri çalışma zamanının yerel Docker'ında ayağa kalkar: bağlantı gerekmez (çalıştırmanın kapsayıcısı Docker-in-Docker'ı desteklemelidir).",
+      "dockerComposeInfo": "Docker Compose hizmetleri çalışma zamanının yerel Docker’ında ayağa kalkar: bağlantı gerekmez (çalıştırmanın kapsayıcısı Docker-in-Docker’ı desteklemelidir). Hizmeti, bağlantı noktasını ve imge kaynağını (önceden oluşturulmuş imge çekme veya kaynaktan derleme) hizmetin ortam ayarlarında yapılandırın.",
       "engine": {
         "local-k3s": "Yerel k3s",
         "remote-kubernetes": "Uzak Kubernetes"
@@ -2494,7 +2498,8 @@
       "repoLabel": {
         "private": " (özel)",
         "monorepo": " · monorepo",
-        "onBoard": " · zaten panoda"
+        "onBoard": " · zaten panoda",
+        "personal": " · kişisel (kendi belirteciniz)"
       },
       "monorepoLabel": "Bu bir monorepo (birden fazla servis barındırır)",
       "monorepoDescription": "Tek depodan, her biri bir alt dizine sabitlenmiş birkaç servis ekleyin.",

package/i18n/locales/uk.json

@@ -251,7 +251,11 @@
       "dragTask": "Перетягнути завдання",
       "dragToResize": "Перетягніть, щоб змінити розмір",
       "addFirstTask": "Додати перше завдання",
-      "createInitiativeTitle": "Створити ініціативу"
+      "createInitiativeTitle": "Створити ініціативу",
+      "accessDenied": {
+        "title": "Доступ заборонено",
+        "hint": "У вас немає доступу до репозиторію, що стоїть за цією службою."
+      }
     },
     "decisionBadge": {
       "decisionNeeded": "Потрібне рішення",
@@ -2104,9 +2108,10 @@
       "testEnvBackend": {
         "label": "Де виконуються тестові середовища",
         "local-compose": "docker-compose у контейнері",
-        "environment-provider": "Провайдер середовищ"
+        "environment-provider": "Провайдер середовищ",
+        "composeDesc": "Піднімає власний docker-compose.yml репозиторію на локальному демоні Docker як URL Тестувальника. Найкраще підходить для локальних застосунків на основі Compose. Підтримує готові образи або збирання з вихідного коду; потребує демона Docker, тому лише для локальних розгортань."
       },
-      "dockerComposeInfo": "Служби Docker Compose піднімаються на локальному Docker середовища виконання: з'єднання не потрібне (контейнер запуску має підтримувати Docker-in-Docker).",
+      "dockerComposeInfo": "Служби Docker Compose піднімаються на локальному Docker середовища виконання: підключення не потрібне (контейнер запуску має підтримувати Docker-in-Docker). Налаштуйте службу, порт і джерело образу (завантаження готового чи збирання з вихідного коду) у налаштуваннях середовища служби.",
       "engine": {
         "local-k3s": "Локальний k3s",
         "remote-kubernetes": "Віддалений Kubernetes"
@@ -2481,7 +2486,8 @@
       "repoLabel": {
         "private": " (приватний)",
         "monorepo": " · монорепозиторій",
-        "onBoard": " · уже на дошці"
+        "onBoard": " · уже на дошці",
+        "personal": " · особистий (ваш токен)"
       },
       "monorepoLabel": "Це монорепозиторій (містить більше одного сервісу)",
       "monorepoDescription": "Додайте кілька сервісів з одного репозиторію, кожен прикріплений до підкаталогу.",

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@cat-factory/app",
-  "version": "0.86.0",
+  "version": "0.87.1",
   "description": "Reusable Nuxt layer for the Agent Architecture Board SPA (components, stores, composables, pages). Consume it from a thin deployment app via `extends: ['@cat-factory/app']` and point it at your backend with NUXT_PUBLIC_API_BASE. See deploy/frontend for an example.",
   "repository": {
     "type": "git",
@@ -34,7 +34,7 @@
     "valibot": "^1.4.2",
     "vue": "^3.5.39",
     "wretch": "^3.0.9",
-    "@cat-factory/contracts": "0.93.0"
+    "@cat-factory/contracts": "0.95.0"
   },
   "devDependencies": {
     "@toad-contracts/testing": "0.3.2",