@cocorograph/hub-agent 0.7.105 → 0.8.1

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@cocorograph/hub-agent",
-  "version": "0.7.105",
+  "version": "0.8.1",
   "description": "Hub Hosted Cockpit のローカル常駐 agent。Hub と outbound WSS で接続し、ローカルの tmux/pty を中継する。",
   "type": "module",
   "license": "UNLICENSED",

package/src/claude-history.mjs

@@ -647,116 +647,3 @@ export async function listSessions({ cwd, projectsRoot, limit = 30, logger }) {
  * @param {{viewingSessionId?: string|null, newestSessionId?: string|null, lastNotifiedNewId?: string|null, lastNotifiedAt?: number|null, now?: number|null, reNotifyMs?: number}} args
  * @returns {{rotated: boolean, newSessionId?: string}}
  */
-/**
- * 回転候補 jsonl が「bound TUI セッションの本物の /clear 先」か「別アクティビティの jsonl」かを
- * head 4KB だけ読んで判定する純粋ヘルパ (2a 根治)。
- *
- * 背景: 同一 cwd-encoded dir には bound TUI 以外の jsonl が混入し得る:
- *  - Task tool subagent (`parent_uuid` / `parentUuid` 付き)
- *  - SDK headless `claude -p` (末尾近傍に `type=result`)
- *  - 並走 cockpit / 別ターミナル起動の別 TUI (cwd は一致するため弱い signal)
- *  - 既存 jsonl が touch されて mtime 最新化 (cwd が viewCwd と不一致なケースは cross-cwd 汚染)
- * これらに対して decideSessionRotation は newest≠viewing で無条件発火するため、ローテに乗ると
- * viewer が別 jsonl へ rotate-bind されて /clear 後の三点リーダー固着・誤生成中表示を起こす。
- *
- * 検出基準 (どれか 1 つでも該当したら reject = 抑止):
- *  - `parent_uuid` / `parentUuid` / `parent_session_id` / `parentSessionId` (subagent marker)
- *  - `type === 'result'` (SDK headless の完了 marker。先頭 4KB 内に現れたら頭 0KB の極短セッション)
- *  - `cwd` フィールドが `viewCwd` と完全不一致 (cross-cwd 汚染)
- *
- * 失敗安全: head 読み失敗 / parse 失敗時は accept (旧挙動 = 即時 rotate へ degrade)。
- * 「/clear が壊れる」リスクは取らないため、不確実時は安全側 (accept) に倒す。
- *
- * @param {{candidatePath?: string|null, viewCwd?: string|null, readImpl?: (p:string,n:number)=>Promise<string|null>, logger?: import('pino').Logger}} args
- * @returns {Promise<{accept: boolean, reason: string}>}
- */
-export async function validateRotationCandidate({
-  candidatePath,
-  viewCwd,
-  readImpl,
-  logger,
-} = {}) {
-  if (!candidatePath || !viewCwd) {
-    return { accept: true, reason: "missing_args" }
-  }
-  let text
-  try {
-    if (typeof readImpl === "function") {
-      text = await readImpl(candidatePath, 4096)
-    } else {
-      const handle = await open(candidatePath, "r")
-      try {
-        const buf = Buffer.allocUnsafe(4096)
-        const { bytesRead } = await handle.read(buf, 0, buf.length, 0)
-        text = buf.toString("utf-8", 0, bytesRead)
-      } finally {
-        await handle.close().catch(() => {})
-      }
-    }
-  } catch (err) {
-    logger?.warn(
-      { err: err?.message, candidatePath },
-      "rotation candidate head read failed → accept (degrade to legacy behavior)",
-    )
-    return { accept: true, reason: `read_failed:${err?.code || "unknown"}` }
-  }
-  if (!text) return { accept: true, reason: "empty_text" }
-  for (const line of text.split("\n")) {
-    if (!line) continue
-    let obj
-    try {
-      obj = JSON.parse(line)
-    } catch {
-      continue
-    }
-    if (!obj || typeof obj !== "object") continue
-    if (
-      obj.parent_uuid ||
-      obj.parentUuid ||
-      obj.parent_session_id ||
-      obj.parentSessionId
-    ) {
-      return { accept: false, reason: "subagent_marker" }
-    }
-    if (obj.type === "result") {
-      return { accept: false, reason: "headless_result_marker" }
-    }
-    if (typeof obj.cwd === "string" && obj.cwd && obj.cwd !== viewCwd) {
-      return { accept: false, reason: "cwd_mismatch" }
-    }
-  }
-  return { accept: true, reason: "passed" }
-}
-
-export function decideSessionRotation({
-  viewingSessionId,
-  newestSessionId,
-  lastNotifiedNewId,
-  lastNotifiedAt,
-  lastNotifiedCount = 0,
-  now,
-  reNotifyMs = 4000,
-  maxReNotify = 5,
-} = {}) {
-  if (!newestSessionId || !viewingSessionId) return { rotated: false }
-  if (newestSessionId === viewingSessionId) return { rotated: false }
-  if (newestSessionId === lastNotifiedNewId) {
-    // 同一 new。時刻情報が揃っていて再通知間隔を超えていれば、固着救済のため再通知する。
-    // ただし安全弁: 同一 (viewing→newest) ペアを maxReNotify 回再通知してもフロントが
-    // 採用しない場合は打ち切る (capped)。フロントが viewing を更新しない=外来 id 汚染や
-    // 別 cwd の rotated 誤採用の兆候で、これを無制限に再通知すると rotated 無限ピンポンに
-    // なる (perf監査: cockpit↔cocomiru で rotated 244件/h を実測)。
-    if (lastNotifiedCount >= maxReNotify) {
-      return { rotated: false, capped: true }
-    }
-    if (
-      typeof now === "number" &&
-      typeof lastNotifiedAt === "number" &&
-      now - lastNotifiedAt >= reNotifyMs
-    ) {
-      return { rotated: true, newSessionId: newestSessionId }
-    }
-    return { rotated: false }
-  }
-  return { rotated: true, newSessionId: newestSessionId }
-}

package/src/claude-stream-bridge.mjs

@@ -85,6 +85,42 @@ const CHAT_RESIDENT_ENABLED = process.env.HUB_AGENT_CHAT_RESIDENT !== "0"
 const CHAT_RESIDENT_RESUME_ENABLED =
   process.env.HUB_AGENT_CHAT_RESIDENT_RESUME !== "0"
 
+/** 受理済み input_id リングの上限 (T06603, 2026-07-25)。queue snapshot に載せて
+ *  browser の「実行完了 vs 未配達」判定に使う。1 セッションの送信待ちは実運用で
+ *  数件〜十数件なので 256 あれば「表示中の楽観チップが評価対象から溢れる」ことは無い。
+ *  溢れた場合も誤って消すのではなく「未配達 (要再送)」側に倒れるため安全側。 */
+const ACCEPTED_INPUT_ID_RING_MAX = 256
+
+/** キュー snapshot の世代 (T06603, 2026-07-25)。
+ *
+ *  版番号 (seq) は **セッションオブジェクト単位**の連番なので、同一プロセス内でも
+ *  session が作り直される (resume / 再 attach) と 1 に戻る。一方 backend の写しキャッシュと
+ *  browser は単調な版を覚えているため、seq だけで比較すると新しい snapshot が永久に
+ *  「古い」と判定されて **表示が凍り付く**。そこで seq の上位に世代を置く。
+ *
+ *  ⚠️ **この値が保証するのは「同一プロセス内」の順序だけ** (cross-review round2)。値は
+ *  壁時計 ms で、プロセス内では必ず前回より大きい値を返す (同一 ms の衝突回避 + 時計が
+ *  巻き戻っても +1 で単調) が、**プロセス再起動をまたぐ順序は保証しない** (NTP のステップ
+ *  補正・手動時刻変更・別ホスト間の時計差で逆転しうる)。
+ *
+ *  そしてその保証は **不要** である (cross-review 3 巡目で設計確定)。browser は
+ *  ① 適用する queue_state を own stream の authoritative コピーだけに限る
+ *  ② attach (claude.ready) のたびに版番号の基準点を外す
+ *  という 2 点により、版番号空間を **1 回の attach の中に閉じている**。agent が再起動すれば
+ *  browser は必ず再 attach するので (agent.status online → reattachSameSession)、
+ *  プロセスを跨いで版を比較する場面が存在しない。
+ *
+ *  ゆえにここで壁時計以上の保証を作り込もうとしないこと。プロセス間の全順序を求めると
+ *  永続採番 (DB sequence) と session 所有権リースが必要になり、表示のために分散合意に近い
+ *  機構を抱えることになる (実際に版番号方式では「時計後退で永久 reject」「非権威 producer に
+ *  よる cache 汚染」の穴が連続して見つかり、設計ごと撤回した)。 */
+let _lastQueueGeneration = 0
+function nextQueueGeneration() {
+  const now = Date.now()
+  _lastQueueGeneration = now > _lastQueueGeneration ? now : _lastQueueGeneration + 1
+  return _lastQueueGeneration
+}
+
 /** MCP control 専用 query のアイドル破棄時間 (2026-06-03)。MCP サーバーは Claude Code
  *  設定 (アカウント単位) で全セッション共有のため、チャットセッションとは独立した
  *  「control 専用 query」を 1 本だけ遅延起動して状態取得・再認証・再接続を行う。
@@ -434,6 +470,24 @@ export class ClaudeStreamSession {
     /** 改修3: 直近 browser へ通知した queue 署名 (件数 + id 列)。変化時のみ emit する。
      *  空キューの署名 ("0:") で初期化し、空→空の冗長 emit を抑止する。 */
     this._lastEmittedQueueSig = "0:"
+    /** キュー snapshot の版番号 (T06603, 2026-07-25)。emit するたびに単調増加する。
+     *  browser は「受け取った snapshot が手元より新しいときだけ適用する」ことで、
+     *  ①遅延した relay / backend キャッシュの古い snapshot による巻き戻し
+     *  ②stream group と session group の二重配送
+     *  を無害化できる。**欠落の検知には使わない** (snapshot は全状態を含むので、
+     *  落ちた版があっても次に届いた版を適用すれば正しくなる)。落ちたまま次が来ない
+     *  ケースの救済は browser 側の pull (claude.queue.request) が担う。 */
+    this._queueStateSeq = 0
+    /** この session オブジェクトの世代 (T06603)。上記 nextQueueGeneration の説明を参照。
+     *  **同一プロセス内の順序のみ**を保証する (プロセス間は backend の接続フェンスが担う)。 */
+    this._queueGeneration = nextQueueGeneration()
+    /** 配達確認の再表明用 (T06603): この session が受理 (キュー投入 or 直接配送) した
+     *  input_id の直近リング。`claude.input.ack` は一度きりのユニキャストで、WS 切断が
+     *  30s を超えると ws-client の ctrl バッファから破棄され二度と再送されない。その結果
+     *  browser は「実際には届いて実行されたのに未配達扱い」で送信待ちチップを固着させる。
+     *  snapshot にこのリングを載せることで、ack を取りこぼした browser も
+     *  「キューに無い ＋ 受理済み ＝ 実行完了」と判定でき、pull だけで自己回復できる。 */
+    this._acceptedInputIds = []
 
     /** 連携カード種別タグ (Phase 2, 2026-07-23): ask-sibling/orchestrate 等の **別セッションからの
      *  注入** を、受け手画面で「青い自分バブル」ではなく専用の連携依頼カードで表示させるため、
@@ -950,6 +1004,19 @@ export class ClaudeStreamSession {
    * `accepted:false` のときは呼び出し元 (ClaudeStreamBridge.input) が nack を組み立てる。
    */
   async sendMessage(message, opts = {}) {
+    const result = await this._sendMessageInner(message, opts)
+    // 配達確認の再表明 (T06603): 受理 (= ack を返す) の記録を **1 箇所に集約**する。
+    // 投入経路は busy キュー / resident 直行 / fresh start / per-message と 4 通りあり、
+    // 各経路に散らすと新経路追加のたびに記録漏れが起き、browser が「未配達」と誤判定して
+    // チップを固着させる。ack を返す条件 (accepted) と同じ場所で 1 回だけ記録する。
+    const inputId =
+      typeof opts?.input_id === "string" && opts.input_id ? opts.input_id : null
+    if (inputId && result?.accepted) this._recordAcceptedInput(inputId)
+    return result
+  }
+
+  /** sendMessage 本体 (受理記録は呼び出し元の sendMessage が funnel で行う)。 */
+  async _sendMessageInner(message, opts = {}) {
     if (this._closed) return { accepted: false, reason: "queue_dead" }
     const prompt = extractPromptText(message)
     if (!prompt) return { accepted: false, reason: "empty_message" }
@@ -1227,7 +1294,7 @@ export class ClaudeStreamSession {
       return
     }
     const next = this._pendingMessages.shift()
-    this._emitQueueState([next.text])
+    this._emitQueueState([next.text], { startedIds: [next.id] })
     this._runPerMessage(next.text, { ultracode: next.ultracode === true }).catch(
       (err) => {
         this.logger?.error(
@@ -1245,10 +1312,37 @@ export class ClaudeStreamSession {
     // (楽観チップの id と一致させ、確認前キャンセルを可能にする)。無ければ従来の qN。
     const id =
       typeof inputId === "string" && inputId ? inputId : `q${++this._queueSeq}`
+    // 二重投入ガード (T06603, 2026-07-25): 同一 input_id が既にキューに居るなら積まない。
+    // main.mjs の in-flight dedup (claudeInflightByInputId) で通常は到達しないが、
+    // 「in-flight レジストリから外れた直後 (settle 済み・seen 登録前) の再送」等の窓では
+    // ここが最後の砦になる。id 重複を許すと ①同じ本文が 2 回実行される
+    // ②drain 後も同 id の項目がキューに残り送信待ちチップが消えない、の二重障害になる。
+    if (this._pendingMessages.some((m) => m.id === id)) {
+      this.logger?.info(
+        { stream_id: this.stream_id, id },
+        "duplicate input_id already queued, skipped",
+      )
+      return id
+    }
     this._pendingMessages.push({ id, text: prompt, ultracode: ultracode === true })
     return id
   }
 
+  /** 配達確認の再表明 (T06603): 受理済み input_id をリングへ記録する。
+   *  snapshot の `accepted` として browser へ載せ、ack 喪失時の自己回復に使う。 */
+  _recordAcceptedInput(inputId) {
+    if (typeof inputId !== "string" || !inputId) return
+    const at = this._acceptedInputIds.indexOf(inputId)
+    if (at !== -1) this._acceptedInputIds.splice(at, 1)
+    this._acceptedInputIds.push(inputId)
+    if (this._acceptedInputIds.length > ACCEPTED_INPUT_ID_RING_MAX) {
+      this._acceptedInputIds.splice(
+        0,
+        this._acceptedInputIds.length - ACCEPTED_INPUT_ID_RING_MAX,
+      )
+    }
+  }
+
   /** キャンセル機能 (0.6.26): browser から id 指定で送信待ちメッセージを 1 件取り消す。
    *  実行開始済み (既に drain された) メッセージは pending に残っていないので no-op になる。
    *  削除に成功したら queue_state を再 emit して送信待ちチップを更新する。 */
@@ -1269,9 +1363,30 @@ export class ClaudeStreamSession {
         { stream_id: this.stream_id, id, queued: this._pendingMessages.length },
         "queued message canceled",
       )
-      this._emitQueueState()
     }
-    return removed
+    // T06603 cross-review 5 巡目: **「消えた」だけでは取消成功と実行開始済みを区別できない**。
+    // drain の started フレームが落ちていると、browser は「キューに無い ＋ 受理済み」で
+    // 実行完了と判定してチップを消すが、ユーザーから見ると「取り消せた」ようにしか見えず、
+    // しかも started 欠落で発言バブルも出ていない。ここで結末を明示する。
+    //   - pending から除去できた            → cancelled
+    //   - pending に無い ＋ 受理済み        → already_started (もう走っている)
+    //   - pending に無い ＋ 未受理          → cancelled (先着キャンセルガードを張ったので、
+    //                                       後から届く同 id の input は破棄される)
+    const outcome = removed
+      ? "cancelled"
+      : this._acceptedInputIds.includes(id)
+        ? "already_started"
+        : "cancelled"
+    // ⚠️ T06603 cross-review 6 巡目: **snapshot をここで emit しない**。
+    // 従来はここで force 再表明していたが、そのフレームは outcome 応答より先に browser へ
+    // 届く (backend は agent の到着順に relay する)。先に届いた空 snapshot が「キューに無い
+    // ＋ 受理済み = 実行完了」の判定でチップを消してしまい、後続の outcome は対象不在で
+    // no-op になる → already_started のバブル補償が発火しない。
+    // 呼び出し元が outcome を送ってから flush() を呼ぶことで、配送順を確定させる。
+    return {
+      outcome,
+      flush: () => this._emitQueueState([], { force: true }),
+    }
   }
 
   /** 改修3: pending キューの現状を browser へ通知する (送信待ちチップ表示用)。
@@ -1285,6 +1400,12 @@ export class ClaudeStreamSession {
    *   署名が前回と同一でも browser がライブ配信を取りこぼしている可能性があるため。 */
   _emitQueueState(started = [], opts = undefined) {
     const force = opts?.force === true
+    // 実行開始した項目の input_id (started と parallel。T06603 cross-review major#2)。
+    // 本文テキストだけだと、同一本文を連投したときに 2 通目のユーザー発言バブルが
+    // 「既に同じ本文のバブルがある」と誤判定されて永久に出ない。id で突合させる。
+    const startedIds = Array.isArray(opts?.startedIds)
+      ? opts.startedIds
+      : started.map(() => null)
     const count = this._pendingMessages.length
     // 署名 = 件数 + id 列。件数が同じでもキャンセルで中身が変われば通知する。
     const sig = `${count}:${this._pendingMessages.map((m) => m.id).join(",")}`
@@ -1311,19 +1432,47 @@ export class ClaudeStreamSession {
       // 昇格させるため、ここで切り詰めると本文が欠ける。チップの省略表示は CSS 側で行う。
       // items は id 付きでキャンセルボタンの対象特定に使う (0.6.26)。
       this.onEvent?.({
-        type: "queue_state",
-        pending: count,
-        messages: this._pendingMessages.map((m) => m.text),
-        items: this._pendingMessages.map((m) => ({ id: m.id, text: m.text })),
+        ...this._buildQueueSnapshot(),
         started,
         // started と parallel。連携注入なら 'peer'|'orchestrator'、通常は null。
         startedSources,
+        // started と parallel。キュー由来なら input_id、注入等で id が無ければ null。
+        startedIds,
       })
     } catch {
       /* ignore */
     }
   }
 
+  /** キュー snapshot (T06603, 2026-07-25): 現在の権威キュー状態を 1 個のオブジェクトに
+   *  まとめる。ライブ配信 (_emitQueueState) と pull 応答 (claude.queue.request) の
+   *  **両方がこの 1 関数を通る**ため、経路によって形が食い違うことがない。
+   *  版番号 (seq) はここで採番する = 「browser へ出す状態が 1 つ進んだ」の唯一の定義。 */
+  _buildQueueSnapshot() {
+    this._queueStateSeq += 1
+    return {
+      type: "queue_state",
+      // 世代 (T06603 cross-review blocker): 再起動 / resume で seq が 1 に戻っても、
+      // 受け手が「古い」と誤判定しないよう上位キーとして必ず載せる。
+      generation: this._queueGeneration,
+      seq: this._queueStateSeq,
+      pending: this._pendingMessages.length,
+      messages: this._pendingMessages.map((m) => m.text),
+      items: this._pendingMessages.map((m) => ({ id: m.id, text: m.text })),
+      // 受理済み input_id (直近リング)。browser は「キューに無い ＋ ここに有る ＝ 実行完了」
+      // と判定して楽観チップを消し、「キューに無い ＋ ここにも無い ＝ 未配達」なら
+      // 消さずに再送導線を出す (無言削除の回帰を作らないための 2 軸判定)。
+      accepted: [...this._acceptedInputIds],
+    }
+  }
+
+  /** pull 型再同期 (T06603): 現在のキュー snapshot を返す (emit はしない)。
+   *  browser の claude.queue.request に対して claude.queue.response で返す。
+   *  純粋な読み取りなので Read-plane (並行レーン) から呼んでよい。 */
+  queueSnapshot() {
+    return this._buildQueueSnapshot()
+  }
+
   /** 連携カード種別 (Phase 2, cross-review major#1): **idle 直接送信経路**用。busy→queue→drain は
    *  _emitQueueState([text]) を通るが、idle 直接実行 (resident fresh start / per-message 即時) は
    *  started を出さないため、注入の source が startedSources に載らずカード化されない。ここで
@@ -1527,7 +1676,11 @@ export class ClaudeStreamSession {
       // codex-review minor: session が close 中 (outcome==="closed") は next を配送していない。
       // started 通知 (queue_state に [next.text] を載せる) を出すと未配送メッセージが「開始済み」に
       // 見えるため抑止する。closed は終端状態なので pending へ戻さず破棄でよい (session 撤去中)。
-      if (outcome !== "closed") this._emitQueueState([next.text])
+      // T06603 (2026-07-25): ただし破棄したこと自体は通知する (started 無しの force 再表明)。
+      // 従来は shift 済みなのに emit しないため、当該項目のチップが browser に残り続けていた。
+      if (outcome !== "closed")
+        this._emitQueueState([next.text], { startedIds: [next.id] })
+      else this._emitQueueState([], { force: true })
     } catch (err) {
       this._busy = false
       this._pendingMessages.unshift(next)
@@ -1709,7 +1862,7 @@ export class ClaudeStreamSession {
           toSDKUserMessage(next.text),
           next.ultracode === true,
         )
-        this._emitQueueState([next.text])
+        this._emitQueueState([next.text], { startedIds: [next.id] })
       }
       // マスク (2026-06-23): 常駐 query 終了後 (= CLI が jsonl を掴んでいない) のこの地点で、
       // closed 済みならオンディスク jsonl をマスクする。reap 経路は close() 内で実行済み。
@@ -1868,7 +2021,12 @@ export class ClaudeStreamSession {
   close() {
     this._closed = true
     // 改修3: 未処理の pending を破棄 (セッション終了後に drain しないため)。
+    const hadPending = this._pendingMessages.length > 0
     this._pendingMessages = []
+    // T06603 (2026-07-25): 破棄したことを必ず通知する。従来は無言で捨てていたため、
+    // 「セッションが畳まれた後もチップだけが残る」表示が残留していた。破棄は状態変化なので
+    // force で貫通させる (started=[] なのでバブル昇格は起きない)。
+    if (hadPending) this._emitQueueState([], { force: true })
     // 常駐 query は input キューを閉じて generator を終わらせ query を完走させる。
     if (this._inputQueue) this._inputQueue.close()
     this.abortTurn()
@@ -2932,11 +3090,26 @@ export class ClaudeStreamBridge extends EventEmitter {
     const s = this.sessions.get(stream_id)
     if (!s) {
       this.logger?.warn({ stream_id, id }, "claude.queue.cancel but stream missing")
-      return false
+      // T06603 cross-review 4/5 巡目: **結末を必ず browser へ返す**。browser はキャンセル
+      // 要求時にチップを消さず「取消中」の印を付けて権威の確認を待つ設計なので、
+      // 無応答だと印が外れる契機が無く「取消中」のまま固着する。
+      return { outcome: "stream_missing", flush: () => {} }
     }
     return s.cancelQueued(id)
   }
 
+  /** pull 型再同期 (T06603, 2026-07-25): browser の claude.queue.request に答えるため、
+   *  現在の権威キュー snapshot を返す。stream が無ければ null (browser 側は
+   *  「まだ attach していない」として扱い、ready 後に引き直す)。 */
+  queueSnapshot({ stream_id }) {
+    const s = this.sessions.get(stream_id)
+    if (!s) {
+      this.logger?.warn({ stream_id }, "claude.queue.request but stream missing")
+      return null
+    }
+    return { session_id: s.sessionId || null, snapshot: s.queueSnapshot() }
+  }
+
   /**
    * セッション停止 (graceful)。実行中ターンは中断せず完走させ、完走後に
    * onReap で Map から撤去する。アイドルなら即時撤去。

package/src/codex-profiles.mjs

@@ -181,6 +181,49 @@ export async function getActiveConfigDir() {
   return (await getActiveProfile()).configDir
 }
 
+/**
+ * profile_id から Codex ホーム (configDir) を解決する (self-describing read 用)。
+ *
+ * 【なぜ env でなくリクエストの id から引くのか — Read-plane 案C ①】
+ * `process.env.CODEX_HOME` はプロファイル切替 (applyActiveCodexEnv) で書き換わる揮発値。
+ * read (一覧・履歴) を並行に走らせると、切替の瞬間に in-flight の read が別アカウントの
+ * rollout dir を読む競合が起きる。read リクエスト自身が profile_id を搬送し、読む対象を
+ * リクエスト時点で固定することで根絶する。profiles.mjs の同名関数と対称。
+ *
+ * @param {string|null|undefined} profileId 未指定/空/未知 → active へフォールバック
+ * @returns {Promise<{configDir:string, profileId:string, resolved:boolean}>}
+ */
+export async function resolveConfigDir(profileId) {
+  const reg = await loadRegistry()
+  if (profileId) {
+    const hit = reg.profiles.find((p) => p.id === profileId)
+    if (hit) {
+      return { configDir: hit.configDir, profileId: hit.id, resolved: true }
+    }
+  }
+  const active =
+    reg.profiles.find((p) => p.id === reg.activeId) || makeDefaultCodexProfile()
+  return { configDir: active.configDir, profileId: active.id, resolved: false }
+}
+
+/**
+ * profile_id から rollout の保存ルート (`<configDir>/sessions`) を解決する。
+ *
+ * ⚠️ `HUB_CODEX_SESSIONS_DIR` (テスト/特殊配置用の明示 override) は usage.mjs の
+ * codexSessionsDir() と同じ優先順位で最優先する。override が効かなくなると
+ * テストが実ホームを読んでしまうため。
+ *
+ * @param {string|null|undefined} profileId
+ * @returns {Promise<{sessionsDir:string, profileId:string, resolved:boolean}>}
+ */
+export async function resolveSessionsDir(profileId) {
+  const r = await resolveConfigDir(profileId)
+  const sessionsDir = process.env.HUB_CODEX_SESSIONS_DIR
+    ? process.env.HUB_CODEX_SESSIONS_DIR
+    : path.join(r.configDir, "sessions")
+  return { sessionsDir, profileId: r.profileId, resolved: r.resolved }
+}
+
 /**
  * active プロファイルを切り替える。存在しない id はエラー。
  * env (CODEX_HOME) の反映と全 Codex セッション再起動は呼び出し側 (main.mjs) の責務。

package/src/codex-stream-bridge.mjs

@@ -44,7 +44,7 @@ import { EventEmitter } from "node:events"
 
 import { CodexAppServerClient } from "./codex-appserver-client.mjs"
 import { getOrCreateSiblingToken } from "./sibling-token.mjs"
-import { codexRolloutPresence } from "./usage.mjs"
+import { codexRolloutPresence, listCodexThreadsFromDisk } from "./usage.mjs"
 
 /**
  * sibling-inject (2026-07-04) 用: spawn する codex app-server プロセス自身の
@@ -306,6 +306,7 @@ export class CodexStreamBridge extends EventEmitter {
     deadTerminalTtlMs,
     turnStartTimeoutMs,
     rolloutPresence,
+    listThreadsFromDisk,
     historyMaxItems,
     historyMaxBytes,
   } = {}) {
@@ -326,6 +327,9 @@ export class CodexStreamBridge extends EventEmitter {
     this._turnStartTimeoutMs = turnStartTimeoutMs ?? TURN_START_TIMEOUT_MS
     // #4 失敗分類の rollout 存在チェック (tri-state。テストから注入可能)。
     this._rolloutPresence = rolloutPresence || codexRolloutPresence
+    // Phase 3 (Read-plane スライス2a): 一覧を rollout の disk 走査で作る (app-server 非 spawn)。
+    // テストから stub を注入できるよう injectable。
+    this._listThreadsFromDisk = listThreadsFromDisk || listCodexThreadsFromDisk
     // T06499: 履歴 hydrate の上限 (テストから小さい値を注入可能)。
     this._historyLimits = {
       maxItems: historyMaxItems ?? HISTORY_MAX_ITEMS,
@@ -757,58 +761,42 @@ export class CodexStreamBridge extends EventEmitter {
    * cwd 配下の Codex thread 一覧を返す (Cockpit Codex 両対応 セッションピッカー/最新
    * セッション自動選択用。claude 側 listSessions と対称)。
    *
-   * `thread/list` は特定のスレッドに紐付かない app-server のグローバル RPC (公式スキーマ
-   * `ThreadListParams`/`ThreadListResponse` で確認済み: cwd フィルタ・sortKey='recency_at'・
-   * sortDirection='desc' が使える) なので、attach() のような常駐セッションは作らず、
-   * 呼び出しごとに使い捨てクライアントで initialize → thread/list → stop する
-   * (list のためだけに長寿命プロセスを維持しない = リーク防止)。
+   * Phase 3 (Read-plane スライス2a, 2026-07-24): **app-server を spawn せず rollout の disk 走査**で
+   * 一覧を作る (`listCodexThreadsFromDisk`)。旧実装は使い捨て app-server で `thread/list` を
+   * 叩いていたが、完了基準「Codex 一覧で app-server を起動しない」に反し、Read-plane で off-queue
+   * 化しても spawn コスト自体が残っていた。一覧に要る 4 フィールド (thread_id/cwd/preview/
+   * updated_at_ms) は rollout の header + mtime から安価に取れる。返り値 shape は従来と同一。
+   *
+   * single-flight (下記 in-flight 畳み込み) は spawn storm 防止用だったが、disk 走査化後は
+   * 「同一 (cwd,limit) の同時走査の冗長 I/O 抑止」として維持する (無害・低コスト)。
    *
    * @returns {Promise<Array<{thread_id: string, cwd: string, preview: string, updated_at_ms: number}>>}
    */
-  async listThreads({ cwd, limit } = {}) {
-    // Phase 3 (Read-plane): single-flight。同一 (cwd, limit) への同時リクエストを 1 本の
-    // in-flight Promise に畳み、app-server の同時 spawn (storm) を防ぐ。異なる cwd は個別に走る。
-    const key = `${cwd || ""}::${limit ?? ""}`
+  async listThreads({ cwd, limit, sessionsDir } = {}) {
+    // Phase 3 (Read-plane): single-flight。同一 (読み取り先, cwd, limit) への同時リクエストを
+    // 1 本の in-flight Promise に畳む。
+    //
+    // key の第 1 要素は **実際に読む sessionsDir** にする (Read-plane 案C ①)。
+    // 以前は `process.env.CODEX_HOME` を使っていたが、env は切替で書き換わる揮発値なので
+    // 「この in-flight がどのアカウントの結果か」を表せず、切替中に別プロファイルの結果を
+    // 取り違えうる。解決済みの読み取り先そのものを key にすれば同一性が構造的に保証される。
+    // sessionsDir 未指定 (旧経路) のときだけ env 由来の値へフォールバックする。
+    const readRoot = sessionsDir || process.env.CODEX_HOME || ""
+    const key = `${readRoot}::${cwd || ""}::${limit ?? ""}`
     const existing = this._listThreadsInFlight.get(key)
     if (existing) return existing
-    const p = this._doListThreads({ cwd, limit }).finally(() => {
+    const p = this._doListThreads({ cwd, limit, sessionsDir }).finally(() => {
       this._listThreadsInFlight.delete(key)
     })
     this._listThreadsInFlight.set(key, p)
     return p
   }
 
-  async _doListThreads({ cwd, limit } = {}) {
-    const client = this._clientFactory({ cwd, codexCmd: this.codexCmd, logger: this.logger })
-    client.start()
-    try {
-      await client.request("initialize", { clientInfo: CLIENT_INFO })
-      const result = await client.request("thread/list", {
-        cwd: cwd || undefined,
-        limit: limit || undefined,
-        // ⚠️ updated_at を使う (recency_at ではない)。recency_at は「読み込み(=スレッドを
-        // 開くだけ)も含めた使用感」の並び順なので、古いスレッドを開いただけでサイドバー最上位
-        // に浮上してしまう (症状⑨=実害)。サイドバーは「会話への書き込み(=ターン境界)」で
-        // 並べたいので、最終書き込み時刻の updated_at を採用する。
-        // (Claude 側 listSessions も jsonl 内の最終メッセージ timestamp = ターン境界に揃えた)
-        sortKey: "updated_at",
-        sortDirection: "desc",
-      })
-      const threads = Array.isArray(result?.data) ? result.data : []
-      return threads.map((t) => ({
-        thread_id: t.id,
-        cwd: t.cwd || "",
-        preview: typeof t.preview === "string" ? t.preview.slice(0, 80) : "",
-        // updatedAt 優先 (無ければ recencyAt fallback) を ms へ変換。claude 側
-        // ClaudeSessionSummary.mtime (ms epoch) と同じ単位に揃え、frontend が同じ並び替え
-        // ロジックを使い回せるようにする。並び順の source of truth は上の sortKey なので、
-        // ここは表示用の mtime も updatedAt を優先させて sortKey と一貫させる。
-        updated_at_ms:
-          (typeof t.updatedAt === "number" ? t.updatedAt : t.recencyAt || 0) * 1000,
-      }))
-    } finally {
-      client.stop()
-    }
+  async _doListThreads({ cwd, limit, sessionsDir } = {}) {
+    // Phase 3 (Read-plane スライス2a): app-server を spawn せず rollout の disk 走査で一覧を作る。
+    // updated_at_ms は rollout ファイルの mtime (= 最終書き込み時刻 = ターン境界に相当) で、
+    // claude 側 ClaudeSessionSummary.mtime と単位・意味を揃える。並びは mtime desc。
+    return this._listThreadsFromDisk({ cwd, limit, sessionsDir, logger: this.logger })
   }
 
   /**