@cocorograph/hub-agent 0.6.65 → 0.6.67

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@cocorograph/hub-agent",
-  "version": "0.6.65",
+  "version": "0.6.67",
   "description": "Hub Hosted Cockpit のローカル常駐 agent。Hub と outbound WSS で接続し、ローカルの tmux/pty を中継する。",
   "type": "module",
   "license": "UNLICENSED",

package/src/chat-signals.mjs

@@ -23,7 +23,7 @@
  * プロセス)、サイドバー行 (= tmux セッション) とは cwd で対応するため。
  */
 
-// cwd → { status, context_pct, turnAt, updatedAtMs }
+// cwd → { status, context_pct, statusAt, inputPending, turnAt, updatedAtMs }
 const _byCwd = new Map()
 
 // チャット信号を「生きている」と見なす最大経過時間 (ms)。これを過ぎたら tmux
@@ -48,23 +48,32 @@ function _now() {
  *
  * @param {string} cwd セッションの作業ディレクトリ
  * @param {{ status?: string, contextPct?: number|null, inputPending?: boolean }} patch
+ * @param {number} [now] テスト用の時刻注入 (省略時は Date.now())
  */
-export function recordChatActivity(cwd, patch = {}) {
+export function recordChatActivity(cwd, patch = {}, now = _now()) {
   if (!cwd || typeof cwd !== "string") return
-  const now = _now()
   const prev = _byCwd.get(cwd) || {
     status: null,
     context_pct: null,
+    statusAt: 0,
     inputPending: false,
     turnAt: 0,
     updatedAtMs: 0,
   }
   const next = { ...prev, turnAt: now, updatedAtMs: now }
+  // statusAt: status / context_pct を「実際に SDK イベントが更新した」時刻。
+  // inputPending だけの記録 (TUI 権限ブリッジ) では更新しない。これを分けないと、
+  // TUI モードの承認カードが届くたびに「過去の SDK チャットが残した status (多くは
+  // waiting)」の鮮度だけが蘇生され、state loop が capture-pane の実 processing を
+  // 15 分間 waiting で上書きし続ける (TUI 生成中なのにステータスドット/三点リーダーが
+  // 消える事故の真因, 2026-06-12)。
   if (typeof patch.status === "string" && VALID_STATUS.has(patch.status)) {
     next.status = patch.status
+    next.statusAt = now
   }
   if (typeof patch.contextPct === "number" && Number.isFinite(patch.contextPct)) {
     next.context_pct = Math.max(0, Math.min(100, patch.contextPct))
+    next.statusAt = now
   }
   if (typeof patch.inputPending === "boolean") {
     next.inputPending = patch.inputPending
@@ -84,9 +93,26 @@ export function getChatSignal(cwd, now = _now()) {
   const sig = _byCwd.get(cwd)
   if (!sig) return null
   if (now - sig.updatedAtMs > CHAT_SIGNAL_STALE_MS) return null
+  // status / context_pct 自体の鮮度は statusAt で判定する。inputPending だけが
+  // 信号を延命している間 (= TUI モードで承認カードだけが届く状況) は、stale な
+  // SDK 由来の status / context_pct を返さず capture-pane の実値に委ねる。
+  if (now - (sig.statusAt || 0) > CHAT_SIGNAL_STALE_MS) {
+    return { ...sig, status: null, context_pct: null }
+  }
   return sig
 }
 
+/**
+ * cwd のチャット信号を破棄する。claude.tui.bind (= SDK 停止 → TUI へ載せ替え) の
+ * 時点で呼び、以降の status / context% はペイン実状態 (capture-pane) に一本化する。
+ *
+ * @param {string} cwd
+ */
+export function clearChatSignal(cwd) {
+  if (!cwd || typeof cwd !== "string") return
+  _byCwd.delete(cwd)
+}
+
 /** テスト用: ストアを空にする。 */
 export function _resetChatSignals() {
   _byCwd.clear()

package/src/main.mjs

@@ -81,7 +81,7 @@ import {
   getUsage,
   recordChatRateLimit,
 } from "./usage.mjs"
-import { getChatSignal, recordChatActivity } from "./chat-signals.mjs"
+import { clearChatSignal, getChatSignal, recordChatActivity } from "./chat-signals.mjs"
 import { hydrateProcessEnvFromShell } from "./shell-env.mjs"
 
 const logger = pino({ name: "hub-agent" })
@@ -901,8 +901,15 @@ function startStateLoop({ client, plugins, logger, intervalMs, claudeBridge }) {
         // 上書きする (Hub ホスト型 Cockpit のステータスドット/各行ドーナツ用)。
         const chat = s.cwd ? getChatSignal(s.cwd) : null
         if (chat) {
-          if (chat.status) status = chat.status
-          if (typeof chat.context_pct === "number") contextPct = chat.context_pct
+          // capture-pane が processing (= ペインに "esc to interrupt" が実在 = 本物の
+          // TUI が生成中) のときはチャット信号で上書きしない。素のシェル (SDK チャット
+          // のペイン) は processing を返せないため、SDK チャットの補完は従来どおり効く。
+          // TUI 生成中に stale な SDK status (waiting) が勝ってステータスドット/
+          // 三点リーダーが消える事故の防止 (2026-06-12)。
+          if (chat.status && status !== "processing") status = chat.status
+          if (typeof chat.context_pct === "number" && status !== "processing") {
+            contextPct = chat.context_pct
+          }
           // チャットのターン境界 (turnAt 前進) を sort 用 session-event に橋渡し。
           // tmux ペインが動かず bundle hook が発火しないため、ここで代替発火する。
           const prevTurnAt = lastTurnAtByName.get(s.session_name) || 0
@@ -1044,6 +1051,53 @@ export function handleStreamsSyncResponse(msg, ctx) {
   }
 }
 
+/**
+ * end-to-end 配達確認 (tracked pty.data) の冪等化レジストリ。
+ *
+ * browser はチャット送信 (paste / 確定 CR) に input_id を付け、agent からの
+ * pty.input.ack が来ない限り再送する (zombie WS / 切断窓 / backend group_send の
+ * 無言喪失への対策)。「実際は届いていたが ack 側が消えた」再送で同じ本文が
+ * 二重 paste されないよう、処理済み input_id を記憶して 2 回目以降は write せず
+ * ack だけ返す。Set は挿入順 iterate できるので最古から間引く。
+ */
+const SEEN_INPUT_IDS_MAX = 1_000
+const seenInputIds = new Set()
+function rememberInputId(input_id) {
+  seenInputIds.add(input_id)
+  while (seenInputIds.size > SEEN_INPUT_IDS_MAX) {
+    seenInputIds.delete(seenInputIds.values().next().value)
+  }
+}
+
+/**
+ * input_id 付き pty.data (tracked 入力) の処理。write 成功で pty.input.ack を返し、
+ * stream 不在なら pty.error を返して browser の再 attach → 再送に繋げる。
+ * テストから直接呼べるよう dispatch から切り出して export する。
+ */
+export function handleTrackedPtyData(msg, ctx) {
+  const { stream_id, input_id } = msg
+  if (seenInputIds.has(input_id)) {
+    // 再送 (ack 喪失 or 再接続 flush)。書き込み済みなので ack だけ返す。
+    ctx.logger?.info({ stream_id, input_id }, "tracked pty.data dedup (ack only)")
+    ctx.client.send({ type: "pty.input.ack", stream_id, input_id })
+    return
+  }
+  const ok = ctx.ptyBridge.write({ stream_id, data: msg.data })
+  if (ok) {
+    rememberInputId(input_id)
+    ctx.client.send({ type: "pty.input.ack", stream_id, input_id })
+  } else {
+    // stream 不在 (reap 済み等)。browser は pty.error で再 attach し、未 ack の
+    // tracked 入力は ack ウォッチドッグが再送する。
+    ctx.client.send({
+      type: "pty.error",
+      stream_id,
+      error: "stream_missing",
+      input_id,
+    })
+  }
+}
+
 async function dispatch(msg, ctx) {
   const t = msg?.type || ""
   try {
@@ -1073,6 +1127,10 @@ async function dispatch(msg, ctx) {
             stream_id,
             session_name: msg.session_name || "",
             plugin: info.plugin,
+            // end-to-end 配達確認 (input_id 付き pty.data → pty.input.ack) に対応
+            // していることを browser へ通知する capability フラグ。旧 agent には
+            // このフラグが無く、browser 側は tracked 送信を自動で無効化する。
+            supports_input_ack: true,
           })
         } catch (err) {
           ctx.client.send({
@@ -1085,6 +1143,12 @@ async function dispatch(msg, ctx) {
         return
       }
       case "pty.data":
+        // input_id 付き = tracked 入力 (チャット送信)。冪等化 + ack 返却で
+        // end-to-end 配達確認に応える。無印は従来どおり fire-and-forget。
+        if (typeof msg.input_id === "string" && msg.input_id) {
+          handleTrackedPtyData(msg, ctx)
+          return
+        }
         ctx.ptyBridge.write({ stream_id: msg.stream_id, data: msg.data })
         return
       case "pty.resize":
@@ -1601,6 +1665,11 @@ async function dispatch(msg, ctx) {
               session_id: targetId || undefined,
             })
           }
+          // SDK を止めて TUI へ載せ替えた時点で、cwd のチャット信号 (SDK 用の
+          // status/context% 補完) は役目を終える。残すと TUI 権限カードの
+          // inputPending 記録が stale status の鮮度を延命し、state loop が
+          // ペイン実状態を waiting で上書きし続ける (2026-06-12 真因修正)。
+          if (cwd) clearChatSignal(cwd)
           // 3) tmux claude を起動し直す (resume or fresh)。
           //    冪等性: 同じ session を同じキーへ既に載せ替え済みなら respawn しない
           //    (TUI ビューは remount のたびに bind を送るため、毎回 respawn すると

package/src/state.mjs

@@ -45,10 +45,65 @@ export function invalidateSessionCache(sessionName) {
   if (sessionName == null) {
     _captureCache.clear()
     _cwdCache.clear()
+    _statusGate.clear()
     return
   }
   _captureCache.delete(sessionName)
   _cwdCache.delete(sessionName)
+  _statusGate.delete(sessionName)
+}
+
+/**
+ * processing → waiting/idle の「降格」だけ独立 2 サンプルで確定するヒステリシス。
+ *
+ * capture-pane は claude TUI の再描画途中 (フッター消去〜再描画の間) を拾うことが
+ * あり、生成中なのに一瞬 waiting/idle と誤読する。この単発の誤読が frontend の
+ * ターン表示 (三点リーダー) やステータスドットを消す方向に直撃するため、降格は
+ * 「同じ非 processing 値が STATUS_DOWNGRADE_CONFIRM_MS 以上あけて 2 回読めた」
+ * ときだけ確定し、それまでは processing を維持する。
+ *   - 昇格 (→ processing) は即時 (誤読で点く分には次サンプルで自然回復し、実害が小さい)
+ *   - 確定窓は capture キャッシュ TTL (CAPTURE_TTL_MS=2.5s) より長く取り、同一
+ *     キャッシュサンプルの 2 回読みで誤確定しないようにする
+ *   - 実ターン終了の体感は frontend の hook 由来 session.event 'stop' が即時に担う
+ *     ため、ここで数秒遅れてもサイドバードットが ~5s 遅れるだけで UX 影響は無い
+ */
+const STATUS_DOWNGRADE_CONFIRM_MS = Number(
+  process.env.HUB_AGENT_STATUS_DOWNGRADE_MS ?? 3000,
+)
+/** @type {Map<string, {lastConfirmed: string|null, pending: {status: string, at: number}|null}>} */
+const _statusGate = new Map()
+
+export function debounceStatusDowngrade(sessionName, rawStatus, now = Date.now()) {
+  if (!sessionName) return rawStatus
+  const g = _statusGate.get(sessionName) || { lastConfirmed: null, pending: null }
+  // processing への昇格 / processing 以外からの遷移は即時確定。
+  if (rawStatus === "processing" || g.lastConfirmed !== "processing") {
+    g.lastConfirmed = rawStatus
+    g.pending = null
+    _statusGate.set(sessionName, g)
+    return rawStatus
+  }
+  // lastConfirmed=processing からの降格要求: 同値の 2 サンプル目 (確定窓経過後) で確定。
+  if (
+    g.pending &&
+    g.pending.status === rawStatus &&
+    now - g.pending.at >= STATUS_DOWNGRADE_CONFIRM_MS
+  ) {
+    g.lastConfirmed = rawStatus
+    g.pending = null
+    _statusGate.set(sessionName, g)
+    return rawStatus
+  }
+  if (!g.pending || g.pending.status !== rawStatus) {
+    g.pending = { status: rawStatus, at: now }
+  }
+  _statusGate.set(sessionName, g)
+  return "processing"
+}
+
+/** テスト用: 降格ヒステリシスの状態を空にする。 */
+export function _resetStatusGate() {
+  _statusGate.clear()
 }
 
 const CONTEXT_PATTERNS = [
@@ -288,7 +343,10 @@ export async function detectSessionState(sessionName, opts = {}) {
     })
     if (hookResult?.result) {
       return {
-        status: hookResult.result.status || defaultStatus,
+        status: debounceStatusDowngrade(
+          sessionName,
+          hookResult.result.status || defaultStatus,
+        ),
         context_pct: hookResult.result.context_pct ?? defaultContextPct,
         permission_mode:
           hookResult.result.permission_mode ?? defaultPermissionMode,
@@ -297,7 +355,7 @@ export async function detectSessionState(sessionName, opts = {}) {
   }
 
   return {
-    status: defaultStatus,
+    status: debounceStatusDowngrade(sessionName, defaultStatus),
     context_pct: defaultContextPct,
     permission_mode: defaultPermissionMode,
   }

package/src/ws-client.mjs

@@ -23,6 +23,19 @@ const MIN_BACKOFF_MS = 1_000
 const MAX_BACKOFF_MS = 30_000
 const BUNDLE_WATCH_DEBOUNCE_MS = 500
 
+// zombie WS (half-open TCP) 検知のしきい値。backend は heartbeat (30s) のたびに
+// ack を返すため、健全な接続なら inbound frame が最低 30s+RTT に 1 回は届く。
+// これを超えて沈黙した接続は「readyState=OPEN だが TCP は死んでいる」zombie の
+// 可能性が高い (send は kernel buffer に書けて成功扱いになるため throw しない)。
+// heartbeat 2.5 周期 = 75s を超えたら強制再接続する。browser 側 CockpitTerminal の
+// LIVENESS_TIMEOUT_MS (PR#2342) と同じパターンの agent 版。
+const LIVENESS_TIMEOUT_MS = HEARTBEAT_INTERVAL_MS * 2.5
+// heartbeat tick 間隔の実測ジャンプ検知 (Mac スリープ復帰対策)。スリープ中は
+// プロセスごと止まるため setInterval の実発火間隔が大きく開く。復帰直後の TCP は
+// ほぼ確実に死んでいる (half-open) のに send は成功扱いになるので、ジャンプを
+// 検知したら鮮度判定を待たず即座に再接続する。2 周期 (60s) 超のギャップで発火。
+const TICK_JUMP_MS = HEARTBEAT_INTERVAL_MS * 2
+
 // 接続が安定したとみなすまでの猶予。open 直後に即 backoff をリセットすると、
 // open→即 close のフラッピング時に毎回 backoff が最小 (1s) へ戻り、1〜2 秒間隔の
 // 再接続ストロボに陥る (CF/backend 側の瞬断時に hub-agent↔backend WS で観測)。
@@ -85,6 +98,11 @@ export class WsClient extends EventEmitter {
     // 接続が STABLE_CONNECTION_MS 維持できたら backoff/5xx フラグをリセットする
     // タイマー。close (_clearStableReset) でキャンセルされる。
     this.stableResetTimer = null
+    // zombie WS 検知: 最後に inbound frame (heartbeat ack / agent.relay 等の何か) を
+    // 受信した時刻。健全なら heartbeat ack で 30s ごとに必ず更新される。
+    this.lastRecvAt = 0
+    // heartbeat tick の直前実発火時刻。スリープ復帰のジャンプ検知に使う。
+    this.lastTickAt = 0
   }
 
   /** WSS 接続を開始する。`stop()` まで自動で reconnect 続行。 */
@@ -102,6 +120,9 @@ export class WsClient extends EventEmitter {
     ws.on("open", () => this._onOpen())
 
     ws.on("message", (data) => {
+      // 何かを受信した = TCP は生きている。zombie 検知の鮮度を更新する
+      // (parse 失敗でも「届いた」事実は生存の証拠なので先に記録する)。
+      this.lastRecvAt = Date.now()
       let msg
       try {
         msg = JSON.parse(data.toString("utf-8"))
@@ -151,6 +172,10 @@ export class WsClient extends EventEmitter {
     // ストロボ対策)。すぐ切れた接続では backoff がリセットされず指数バックオフが
     // 効き続けるため、1〜2 秒間隔の再接続ループに陥らない。
     this._armStableReset()
+    // open 自体が生存の証拠。直前接続の古い lastRecvAt で開幕直後に zombie 誤検知
+    // しないようリセットする。
+    this.lastRecvAt = Date.now()
+    this.lastTickAt = Date.now()
     this.logger?.info("ws open")
     // 切断中に積んだ pty.data を flush。hello より先に送ると backend で stream
     // 未登録のため unknown_stream error になる可能性があるが、hello の応答待ち
@@ -284,7 +309,35 @@ export class WsClient extends EventEmitter {
 
   _startHeartbeat() {
     this._stopHeartbeat()
+    this.lastTickAt = Date.now()
     this.heartbeatTimer = setInterval(() => {
+      const now = Date.now()
+      // スリープ復帰検知: スリープ中はプロセスごと止まり、setInterval の実発火間隔が
+      // 大きく開く。復帰直後の TCP は half-open でほぼ確実に死んでいるのに send は
+      // 成功扱いになるため、鮮度判定 (受信側) を待たず即座に再接続へ倒す。
+      const tickGap = this.lastTickAt > 0 ? now - this.lastTickAt : 0
+      this.lastTickAt = now
+      if (tickGap > TICK_JUMP_MS) {
+        this.logger?.warn(
+          { tickGapMs: tickGap },
+          "heartbeat tick jump detected (likely sleep wake), forcing reconnect",
+        )
+        this._forceReconnect()
+        return
+      }
+      // zombie WS 検知 (inbound 鮮度): backend は heartbeat のたびに ack を返すため、
+      // 健全なら lastRecvAt は 30s+RTT 以内に必ず更新される。LIVENESS_TIMEOUT_MS を
+      // 超えて何も届いていない接続は half-open とみなし強制再接続する。send の
+      // throw 判定 (下) では half-open を検知できない (kernel buffer に書けて
+      // 成功扱いになる) ことへの対策。browser 側 PR#2342 と同じパターン。
+      if (this.lastRecvAt > 0 && now - this.lastRecvAt > LIVENESS_TIMEOUT_MS) {
+        this.logger?.warn(
+          { sinceLastRecvMs: now - this.lastRecvAt },
+          "ws liveness timeout (zombie suspected), forcing reconnect",
+        )
+        this._forceReconnect()
+        return
+      }
       // heartbeat 都度 provider 経由で bundle version を最新化する。
       // fs.watch を取り逃した変更 (atomic rename / 別マウント越し等) への保険。
       this._refreshBundleVersion()