@clawos-dev/clawd 0.2.456 → 0.2.458

package/dist/cli.cjs

@@ -46240,9 +46240,19 @@ function reduceSessionInner(state, input, deps) {
       resetReadyGate(next);
       const queueEffects = [];
       clearQueuedSends(next, queueEffects);
+      const eventEffects = [
+        ...pushEventToBufferInPlace(next, { kind: "error", message: input.message }, deps),
+        ...pushEventToBufferInPlace(next, { kind: "turn_end" }, deps)
+        // 丢掉 turn_end 顺带产出的 append-turn-duration：那条 effect 会往用户真实的 CC
+        // jsonl 追加一行 turn_duration（runner.ts case 'append-turn-duration'，resume 场景
+        // toolSessionId 已 stamp 时会真落盘）。它的用途是"SDK 模式 CC 不写 turn 边界、
+        // daemon 补写"，而这里 CC 根本没跑过这一轮——补边界等于往历史里插一个空 turn，
+        // 且不可回滚。proc-exit 的 interrupted 注入走同一条路但语义不同：那边 turn 真发生过。
+      ].filter((e) => e.kind !== "append-turn-duration");
       return {
         state: next,
         effects: [
+          ...eventEffects,
           {
             kind: "emit-frame",
             frame: {
@@ -46429,6 +46439,15 @@ init_stdout_splitter();
 init_permission_stdio();
 init_claude_history();
 
+// src/tools/spawn-error.ts
+function describeSpawnError(err, fallbackBin, cwd, pathEnv = process.env.PATH) {
+  const message = err instanceof Error ? err.message : String(err);
+  const e = err;
+  if (e?.code !== "ENOENT") return message;
+  const bin = typeof e.path === "string" && e.path ? e.path : fallbackBin;
+  return `\u8D77\u4E0D\u4E86 ${bin}\uFF1APATH \u91CC\u6CA1\u6709\u5B83\uFF0C\u6216\u5DE5\u4F5C\u76EE\u5F55\u4E0D\u5B58\u5728\u3002\u5DE5\u4F5C\u76EE\u5F55\uFF1A${cwd || "(\u672A\u77E5)"}\uFF5Cclawd \u770B\u5230\u7684 PATH\uFF1A${pathEnv || "(\u7A7A)"}`;
+}
+
 // src/persona/mcp-secret-render.ts
 var import_node_fs7 = __toESM(require("fs"), 1);
 var import_node_path6 = __toESM(require("path"), 1);
@@ -47009,7 +47028,10 @@ var SessionRunner = class {
       if (this.proc !== proc) return;
       const message = err.message;
       this.hooks.logger?.error("claude spawn failed", { message });
-      this.input({ kind: "proc-error", message });
+      this.input({
+        kind: "proc-error",
+        message: describeSpawnError(err, this.hooks.adapter.id, this.state.file.cwd)
+      });
     });
   }
   /**
@@ -51770,7 +51792,8 @@ function createCodexSession(ctx, sink, deps = {}) {
   proc.on("error", (err) => {
     const message = err.message;
     deps.logger?.error("codex app-server spawn failed", { message });
-    sink.onError(`codex app-server spawn failed: ${message}`);
+    const described = describeSpawnError(err, cmd, ctx.cwd);
+    sink.onError(described === message ? `codex app-server spawn failed: ${message}` : described);
   });
   proc.on("exit", (code) => finish(code));
   const ready = (async () => {
@@ -63908,7 +63931,7 @@ function computeMethodAccess(args) {
 }
 
 // src/version.ts
-var version = "0.2.456".length > 0 ? "0.2.456" : "dev";
+var version = "0.2.458".length > 0 ? "0.2.458" : "dev";
 
 // src/cli-probe/probe.ts
 var fs70 = __toESM(require("fs"), 1);

package/dist/deploy-kit/scripts/ensure-credentials.sh

@@ -19,17 +19,27 @@
 S_ACCESS_ALIAS=clawd-fc
 
 # 分层加载阿里云 AK 进 env：shared demo（OTA 每次启动覆盖）→ 本机 .local override（永不被覆盖）。
+#
+# 两种来源，**文件优先、env 兜底**：
+#   - 本机：`$KIT_DIR/.secrets/aliyun.env`（+ 可选 .local），OTA 刷新；
+#   - 云上容器：没有 `.secrets/`（`cloud-host/provision/build-image.mjs` 刻意把它剔出镜像层
+#     ——镜像要分发，凭据进层就洗不掉了），AK 由 gateway 经 **MCP server 的 per-server env**
+#     交到调用本脚本的那个进程里（M1b Step 9）。这条分支不落盘是有意的：写成文件的话
+#     agent 一个 `cat` 就看见了，而 env 只有这个子进程有。
 ensure_aliyun_env() {
   local kit="${KIT_DIR:?ensure_aliyun_env 需要调用方先设 KIT_DIR}"
-  [ -f "$kit/.secrets/aliyun.env" ] || {
-    echo "❌ 缺 $kit/.secrets/aliyun.env（clawd ship 的共享 demo 凭证，OTA 自动刷新）。参考 .secrets/aliyun.env.example 填写。" >&2
+  if [ -f "$kit/.secrets/aliyun.env" ]; then
+    set -a; . "$kit/.secrets/aliyun.env"; set +a
+    # aliyun.env.local: 本机个人 override（永远不被 OTA 覆盖，见 refreshDeployKit）。有就后 source 覆盖 env。
+    # 写成 if 而不是 `[ -f ] && { }`：后者在函数末尾会把「文件不存在」变成函数返回 1，调用方 set -e 直接中止。
+    if [ -f "$kit/.secrets/aliyun.env.local" ]; then
+      set -a; . "$kit/.secrets/aliyun.env.local"; set +a
+    fi
+  elif [ -n "${ALIBABA_CLOUD_ACCESS_KEY_ID:-}" ] && [ -n "${ALIBABA_CLOUD_ACCESS_KEY_SECRET:-}" ]; then
+    : # 云上：值已经在本进程 env 里，不落文件
+  else
+    echo "❌ 缺 $kit/.secrets/aliyun.env（clawd ship 的共享 demo 凭证，OTA 自动刷新），env 里也没有 ALIBABA_CLOUD_ACCESS_KEY_ID/_SECRET。参考 .secrets/aliyun.env.example 填写。" >&2
     return 1
-  }
-  set -a; . "$kit/.secrets/aliyun.env"; set +a
-  # aliyun.env.local: 本机个人 override（永远不被 OTA 覆盖，见 refreshDeployKit）。有就后 source 覆盖 env。
-  # 写成 if 而不是 `[ -f ] && { }`：后者在函数末尾会把「文件不存在」变成函数返回 1，调用方 set -e 直接中止。
-  if [ -f "$kit/.secrets/aliyun.env.local" ]; then
-    set -a; . "$kit/.secrets/aliyun.env.local"; set +a
   fi
   export ALIBABA_CLOUD_REGION_ID="${REGION:?config.env 缺 REGION}"
 }

package/dist/deploy-kit/scripts/ensure-credentials.spec.ts

@@ -182,11 +182,70 @@ describe('ensure_credentials', () => {
     expect(kitAccessYaml()).toContain("AccountID: '5566778899001122'")
   })
 
-  it('缺共享凭证文件时 fail-loud', () => {
+  it('缺共享凭证文件、env 里也没有 AK 时 fail-loud', () => {
     rmSync(join(box.kit, '.secrets', 'aliyun.env'))
     expect(() => runInKit('ensure_credentials')).toThrow()
     expect(existsSync(join(box.kit, '.s-home', '.s', 'access.yaml'))).toBe(false)
   })
+
+  // 云上分支（persona 上云 M1b Step 9）：容器里没有 `.secrets/`——`build-image.mjs` 刻意把它
+  // 剔出镜像层（镜像要分发，凭据进层洗不掉）。AK 由 gateway 经 **MCP server 的 per-server env**
+  // 交到调用本脚本的那个子进程里，不落文件：写成文件的话 agent 一个 `cat` 就看见了。
+  it('没有 .secrets/aliyun.env 但 env 里有 AK 时用 env（云上容器那条路）', () => {
+    rmSync(join(box.kit, '.secrets', 'aliyun.env'))
+    const out = execFileSync(
+      'bash',
+      [
+        '-c',
+        `set -euo pipefail
+KIT_DIR="${box.kit}"
+REGION=cn-hangzhou
+source "$KIT_DIR/scripts/ensure-credentials.sh"
+ensure_credentials
+printf 'ok %s\\n' "$ALIBABA_CLOUD_ACCESS_KEY_ID"`,
+      ],
+      {
+        env: {
+          ...process.env,
+          HOME: box.home,
+          PATH: `${box.bin}:${process.env.PATH}`,
+          ALIBABA_CLOUD_ACCESS_KEY_ID: 'LTAI-FROM-ENV',
+          ALIBABA_CLOUD_ACCESS_KEY_SECRET: 'secret-from-env',
+        },
+        encoding: 'utf8',
+      },
+    )
+    expect(out).toContain('ok LTAI-FROM-ENV')
+    // 走 env 分支照样把凭证落进 kit 私有 s-home（publish 用的是那份 profile），仍不碰用户全局
+    expect(kitAccessYaml()).toContain('LTAI-FROM-ENV')
+    expect(userAccessYaml()).toContain('LTAI-USER-OWN-KEY')
+  })
+
+  it('文件在就优先用文件（云上那条只是兜底，不能反过来盖掉本机 shared 凭证）', () => {
+    const out = execFileSync(
+      'bash',
+      [
+        '-c',
+        `set -euo pipefail
+KIT_DIR="${box.kit}"
+REGION=cn-hangzhou
+source "$KIT_DIR/scripts/ensure-credentials.sh"
+ensure_aliyun_env
+printf 'id=%s\\n' "$ALIBABA_CLOUD_ACCESS_KEY_ID"`,
+      ],
+      {
+        env: {
+          ...process.env,
+          HOME: box.home,
+          PATH: `${box.bin}:${process.env.PATH}`,
+          ALIBABA_CLOUD_ACCESS_KEY_ID: 'LTAI-FROM-ENV',
+          ALIBABA_CLOUD_ACCESS_KEY_SECRET: 'secret-from-env',
+        },
+        encoding: 'utf8',
+      },
+    )
+    expect(out).not.toContain('LTAI-FROM-ENV')
+  })
 })
 
 describe('publish.sh', () => {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@clawos-dev/clawd",
-  "version": "0.2.456",
+  "version": "0.2.458",
   "description": "Standalone clawd daemon — Claude Code (and future Codex) session server over WebSocket",
   "type": "module",
   "license": "MIT",