@cocorograph/hub-agent 0.7.104 → 0.8.0

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@cocorograph/hub-agent",
-  "version": "0.7.104",
+  "version": "0.8.0",
   "description": "Hub Hosted Cockpit のローカル常駐 agent。Hub と outbound WSS で接続し、ローカルの tmux/pty を中継する。",
   "type": "module",
   "license": "UNLICENSED",

package/src/claude-history.mjs

@@ -647,116 +647,3 @@ export async function listSessions({ cwd, projectsRoot, limit = 30, logger }) {
  * @param {{viewingSessionId?: string|null, newestSessionId?: string|null, lastNotifiedNewId?: string|null, lastNotifiedAt?: number|null, now?: number|null, reNotifyMs?: number}} args
  * @returns {{rotated: boolean, newSessionId?: string}}
  */
-/**
- * 回転候補 jsonl が「bound TUI セッションの本物の /clear 先」か「別アクティビティの jsonl」かを
- * head 4KB だけ読んで判定する純粋ヘルパ (2a 根治)。
- *
- * 背景: 同一 cwd-encoded dir には bound TUI 以外の jsonl が混入し得る:
- *  - Task tool subagent (`parent_uuid` / `parentUuid` 付き)
- *  - SDK headless `claude -p` (末尾近傍に `type=result`)
- *  - 並走 cockpit / 別ターミナル起動の別 TUI (cwd は一致するため弱い signal)
- *  - 既存 jsonl が touch されて mtime 最新化 (cwd が viewCwd と不一致なケースは cross-cwd 汚染)
- * これらに対して decideSessionRotation は newest≠viewing で無条件発火するため、ローテに乗ると
- * viewer が別 jsonl へ rotate-bind されて /clear 後の三点リーダー固着・誤生成中表示を起こす。
- *
- * 検出基準 (どれか 1 つでも該当したら reject = 抑止):
- *  - `parent_uuid` / `parentUuid` / `parent_session_id` / `parentSessionId` (subagent marker)
- *  - `type === 'result'` (SDK headless の完了 marker。先頭 4KB 内に現れたら頭 0KB の極短セッション)
- *  - `cwd` フィールドが `viewCwd` と完全不一致 (cross-cwd 汚染)
- *
- * 失敗安全: head 読み失敗 / parse 失敗時は accept (旧挙動 = 即時 rotate へ degrade)。
- * 「/clear が壊れる」リスクは取らないため、不確実時は安全側 (accept) に倒す。
- *
- * @param {{candidatePath?: string|null, viewCwd?: string|null, readImpl?: (p:string,n:number)=>Promise<string|null>, logger?: import('pino').Logger}} args
- * @returns {Promise<{accept: boolean, reason: string}>}
- */
-export async function validateRotationCandidate({
-  candidatePath,
-  viewCwd,
-  readImpl,
-  logger,
-} = {}) {
-  if (!candidatePath || !viewCwd) {
-    return { accept: true, reason: "missing_args" }
-  }
-  let text
-  try {
-    if (typeof readImpl === "function") {
-      text = await readImpl(candidatePath, 4096)
-    } else {
-      const handle = await open(candidatePath, "r")
-      try {
-        const buf = Buffer.allocUnsafe(4096)
-        const { bytesRead } = await handle.read(buf, 0, buf.length, 0)
-        text = buf.toString("utf-8", 0, bytesRead)
-      } finally {
-        await handle.close().catch(() => {})
-      }
-    }
-  } catch (err) {
-    logger?.warn(
-      { err: err?.message, candidatePath },
-      "rotation candidate head read failed → accept (degrade to legacy behavior)",
-    )
-    return { accept: true, reason: `read_failed:${err?.code || "unknown"}` }
-  }
-  if (!text) return { accept: true, reason: "empty_text" }
-  for (const line of text.split("\n")) {
-    if (!line) continue
-    let obj
-    try {
-      obj = JSON.parse(line)
-    } catch {
-      continue
-    }
-    if (!obj || typeof obj !== "object") continue
-    if (
-      obj.parent_uuid ||
-      obj.parentUuid ||
-      obj.parent_session_id ||
-      obj.parentSessionId
-    ) {
-      return { accept: false, reason: "subagent_marker" }
-    }
-    if (obj.type === "result") {
-      return { accept: false, reason: "headless_result_marker" }
-    }
-    if (typeof obj.cwd === "string" && obj.cwd && obj.cwd !== viewCwd) {
-      return { accept: false, reason: "cwd_mismatch" }
-    }
-  }
-  return { accept: true, reason: "passed" }
-}
-
-export function decideSessionRotation({
-  viewingSessionId,
-  newestSessionId,
-  lastNotifiedNewId,
-  lastNotifiedAt,
-  lastNotifiedCount = 0,
-  now,
-  reNotifyMs = 4000,
-  maxReNotify = 5,
-} = {}) {
-  if (!newestSessionId || !viewingSessionId) return { rotated: false }
-  if (newestSessionId === viewingSessionId) return { rotated: false }
-  if (newestSessionId === lastNotifiedNewId) {
-    // 同一 new。時刻情報が揃っていて再通知間隔を超えていれば、固着救済のため再通知する。
-    // ただし安全弁: 同一 (viewing→newest) ペアを maxReNotify 回再通知してもフロントが
-    // 採用しない場合は打ち切る (capped)。フロントが viewing を更新しない=外来 id 汚染や
-    // 別 cwd の rotated 誤採用の兆候で、これを無制限に再通知すると rotated 無限ピンポンに
-    // なる (perf監査: cockpit↔cocomiru で rotated 244件/h を実測)。
-    if (lastNotifiedCount >= maxReNotify) {
-      return { rotated: false, capped: true }
-    }
-    if (
-      typeof now === "number" &&
-      typeof lastNotifiedAt === "number" &&
-      now - lastNotifiedAt >= reNotifyMs
-    ) {
-      return { rotated: true, newSessionId: newestSessionId }
-    }
-    return { rotated: false }
-  }
-  return { rotated: true, newSessionId: newestSessionId }
-}

package/src/codex-profiles.mjs

@@ -181,6 +181,49 @@ export async function getActiveConfigDir() {
   return (await getActiveProfile()).configDir
 }
 
+/**
+ * profile_id から Codex ホーム (configDir) を解決する (self-describing read 用)。
+ *
+ * 【なぜ env でなくリクエストの id から引くのか — Read-plane 案C ①】
+ * `process.env.CODEX_HOME` はプロファイル切替 (applyActiveCodexEnv) で書き換わる揮発値。
+ * read (一覧・履歴) を並行に走らせると、切替の瞬間に in-flight の read が別アカウントの
+ * rollout dir を読む競合が起きる。read リクエスト自身が profile_id を搬送し、読む対象を
+ * リクエスト時点で固定することで根絶する。profiles.mjs の同名関数と対称。
+ *
+ * @param {string|null|undefined} profileId 未指定/空/未知 → active へフォールバック
+ * @returns {Promise<{configDir:string, profileId:string, resolved:boolean}>}
+ */
+export async function resolveConfigDir(profileId) {
+  const reg = await loadRegistry()
+  if (profileId) {
+    const hit = reg.profiles.find((p) => p.id === profileId)
+    if (hit) {
+      return { configDir: hit.configDir, profileId: hit.id, resolved: true }
+    }
+  }
+  const active =
+    reg.profiles.find((p) => p.id === reg.activeId) || makeDefaultCodexProfile()
+  return { configDir: active.configDir, profileId: active.id, resolved: false }
+}
+
+/**
+ * profile_id から rollout の保存ルート (`<configDir>/sessions`) を解決する。
+ *
+ * ⚠️ `HUB_CODEX_SESSIONS_DIR` (テスト/特殊配置用の明示 override) は usage.mjs の
+ * codexSessionsDir() と同じ優先順位で最優先する。override が効かなくなると
+ * テストが実ホームを読んでしまうため。
+ *
+ * @param {string|null|undefined} profileId
+ * @returns {Promise<{sessionsDir:string, profileId:string, resolved:boolean}>}
+ */
+export async function resolveSessionsDir(profileId) {
+  const r = await resolveConfigDir(profileId)
+  const sessionsDir = process.env.HUB_CODEX_SESSIONS_DIR
+    ? process.env.HUB_CODEX_SESSIONS_DIR
+    : path.join(r.configDir, "sessions")
+  return { sessionsDir, profileId: r.profileId, resolved: r.resolved }
+}
+
 /**
  * active プロファイルを切り替える。存在しない id はエラー。
  * env (CODEX_HOME) の反映と全 Codex セッション再起動は呼び出し側 (main.mjs) の責務。

package/src/codex-stream-bridge.mjs

@@ -44,7 +44,7 @@ import { EventEmitter } from "node:events"
 
 import { CodexAppServerClient } from "./codex-appserver-client.mjs"
 import { getOrCreateSiblingToken } from "./sibling-token.mjs"
-import { codexRolloutPresence } from "./usage.mjs"
+import { codexRolloutPresence, listCodexThreadsFromDisk } from "./usage.mjs"
 
 /**
  * sibling-inject (2026-07-04) 用: spawn する codex app-server プロセス自身の
@@ -306,6 +306,7 @@ export class CodexStreamBridge extends EventEmitter {
     deadTerminalTtlMs,
     turnStartTimeoutMs,
     rolloutPresence,
+    listThreadsFromDisk,
     historyMaxItems,
     historyMaxBytes,
   } = {}) {
@@ -326,6 +327,9 @@ export class CodexStreamBridge extends EventEmitter {
     this._turnStartTimeoutMs = turnStartTimeoutMs ?? TURN_START_TIMEOUT_MS
     // #4 失敗分類の rollout 存在チェック (tri-state。テストから注入可能)。
     this._rolloutPresence = rolloutPresence || codexRolloutPresence
+    // Phase 3 (Read-plane スライス2a): 一覧を rollout の disk 走査で作る (app-server 非 spawn)。
+    // テストから stub を注入できるよう injectable。
+    this._listThreadsFromDisk = listThreadsFromDisk || listCodexThreadsFromDisk
     // T06499: 履歴 hydrate の上限 (テストから小さい値を注入可能)。
     this._historyLimits = {
       maxItems: historyMaxItems ?? HISTORY_MAX_ITEMS,
@@ -334,6 +338,10 @@ export class CodexStreamBridge extends EventEmitter {
     /** @type {Map<string, object>} stream_id -> session record */
     this.sessions = new Map()
     this._accountRateLimitsByProfile = new Map()
+    // Phase 3 (Read-plane): listThreads の single-flight。key(`cwd::limit`) -> in-flight Promise。
+    // codex.sessions.request を直列キューから外したため、同一 cwd への同時リクエストが
+    // app-server の同時 spawn (storm) を起こさないよう 1 本に畳む。
+    this._listThreadsInFlight = new Map()
   }
 
   /**
@@ -753,45 +761,42 @@ export class CodexStreamBridge extends EventEmitter {
    * cwd 配下の Codex thread 一覧を返す (Cockpit Codex 両対応 セッションピッカー/最新
    * セッション自動選択用。claude 側 listSessions と対称)。
    *
-   * `thread/list` は特定のスレッドに紐付かない app-server のグローバル RPC (公式スキーマ
-   * `ThreadListParams`/`ThreadListResponse` で確認済み: cwd フィルタ・sortKey='recency_at'・
-   * sortDirection='desc' が使える) なので、attach() のような常駐セッションは作らず、
-   * 呼び出しごとに使い捨てクライアントで initialize → thread/list → stop する
-   * (list のためだけに長寿命プロセスを維持しない = リーク防止)。
+   * Phase 3 (Read-plane スライス2a, 2026-07-24): **app-server を spawn せず rollout の disk 走査**で
+   * 一覧を作る (`listCodexThreadsFromDisk`)。旧実装は使い捨て app-server で `thread/list` を
+   * 叩いていたが、完了基準「Codex 一覧で app-server を起動しない」に反し、Read-plane で off-queue
+   * 化しても spawn コスト自体が残っていた。一覧に要る 4 フィールド (thread_id/cwd/preview/
+   * updated_at_ms) は rollout の header + mtime から安価に取れる。返り値 shape は従来と同一。
+   *
+   * single-flight (下記 in-flight 畳み込み) は spawn storm 防止用だったが、disk 走査化後は
+   * 「同一 (cwd,limit) の同時走査の冗長 I/O 抑止」として維持する (無害・低コスト)。
    *
    * @returns {Promise<Array<{thread_id: string, cwd: string, preview: string, updated_at_ms: number}>>}
    */
-  async listThreads({ cwd, limit } = {}) {
-    const client = this._clientFactory({ cwd, codexCmd: this.codexCmd, logger: this.logger })
-    client.start()
-    try {
-      await client.request("initialize", { clientInfo: CLIENT_INFO })
-      const result = await client.request("thread/list", {
-        cwd: cwd || undefined,
-        limit: limit || undefined,
-        // ⚠️ updated_at を使う (recency_at ではない)。recency_at は「読み込み(=スレッドを
-        // 開くだけ)も含めた使用感」の並び順なので、古いスレッドを開いただけでサイドバー最上位
-        // に浮上してしまう (症状⑨=実害)。サイドバーは「会話への書き込み(=ターン境界)」で
-        // 並べたいので、最終書き込み時刻の updated_at を採用する。
-        // (Claude 側 listSessions も jsonl 内の最終メッセージ timestamp = ターン境界に揃えた)
-        sortKey: "updated_at",
-        sortDirection: "desc",
-      })
-      const threads = Array.isArray(result?.data) ? result.data : []
-      return threads.map((t) => ({
-        thread_id: t.id,
-        cwd: t.cwd || "",
-        preview: typeof t.preview === "string" ? t.preview.slice(0, 80) : "",
-        // updatedAt 優先 (無ければ recencyAt fallback) を ms へ変換。claude 側
-        // ClaudeSessionSummary.mtime (ms epoch) と同じ単位に揃え、frontend が同じ並び替え
-        // ロジックを使い回せるようにする。並び順の source of truth は上の sortKey なので、
-        // ここは表示用の mtime も updatedAt を優先させて sortKey と一貫させる。
-        updated_at_ms:
-          (typeof t.updatedAt === "number" ? t.updatedAt : t.recencyAt || 0) * 1000,
-      }))
-    } finally {
-      client.stop()
-    }
+  async listThreads({ cwd, limit, sessionsDir } = {}) {
+    // Phase 3 (Read-plane): single-flight。同一 (読み取り先, cwd, limit) への同時リクエストを
+    // 1 本の in-flight Promise に畳む。
+    //
+    // key の第 1 要素は **実際に読む sessionsDir** にする (Read-plane 案C ①)。
+    // 以前は `process.env.CODEX_HOME` を使っていたが、env は切替で書き換わる揮発値なので
+    // 「この in-flight がどのアカウントの結果か」を表せず、切替中に別プロファイルの結果を
+    // 取り違えうる。解決済みの読み取り先そのものを key にすれば同一性が構造的に保証される。
+    // sessionsDir 未指定 (旧経路) のときだけ env 由来の値へフォールバックする。
+    const readRoot = sessionsDir || process.env.CODEX_HOME || ""
+    const key = `${readRoot}::${cwd || ""}::${limit ?? ""}`
+    const existing = this._listThreadsInFlight.get(key)
+    if (existing) return existing
+    const p = this._doListThreads({ cwd, limit, sessionsDir }).finally(() => {
+      this._listThreadsInFlight.delete(key)
+    })
+    this._listThreadsInFlight.set(key, p)
+    return p
+  }
+
+  async _doListThreads({ cwd, limit, sessionsDir } = {}) {
+    // Phase 3 (Read-plane スライス2a): app-server を spawn せず rollout の disk 走査で一覧を作る。
+    // updated_at_ms は rollout ファイルの mtime (= 最終書き込み時刻 = ターン境界に相当) で、
+    // claude 側 ClaudeSessionSummary.mtime と単位・意味を揃える。並びは mtime desc。
+    return this._listThreadsFromDisk({ cwd, limit, sessionsDir, logger: this.logger })
   }
 
   /**