@cocorograph/hub-agent 0.7.24 → 0.7.25

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@cocorograph/hub-agent",
-  "version": "0.7.24",
+  "version": "0.7.25",
   "description": "Hub Hosted Cockpit のローカル常駐 agent。Hub と outbound WSS で接続し、ローカルの tmux/pty を中継する。",
   "type": "module",
   "license": "UNLICENSED",

package/src/claude-history.mjs

@@ -341,6 +341,87 @@ export async function listSessions({ cwd, projectsRoot, limit = 30, logger }) {
  * @param {{viewingSessionId?: string|null, newestSessionId?: string|null, lastNotifiedNewId?: string|null, lastNotifiedAt?: number|null, now?: number|null, reNotifyMs?: number}} args
  * @returns {{rotated: boolean, newSessionId?: string}}
  */
+/**
+ * 回転候補 jsonl が「bound TUI セッションの本物の /clear 先」か「別アクティビティの jsonl」かを
+ * head 4KB だけ読んで判定する純粋ヘルパ (2a 根治)。
+ *
+ * 背景: 同一 cwd-encoded dir には bound TUI 以外の jsonl が混入し得る:
+ *  - Task tool subagent (`parent_uuid` / `parentUuid` 付き)
+ *  - SDK headless `claude -p` (末尾近傍に `type=result`)
+ *  - 並走 cockpit / 別ターミナル起動の別 TUI (cwd は一致するため弱い signal)
+ *  - 既存 jsonl が touch されて mtime 最新化 (cwd が viewCwd と不一致なケースは cross-cwd 汚染)
+ * これらに対して decideSessionRotation は newest≠viewing で無条件発火するため、ローテに乗ると
+ * viewer が別 jsonl へ rotate-bind されて /clear 後の三点リーダー固着・誤生成中表示を起こす。
+ *
+ * 検出基準 (どれか 1 つでも該当したら reject = 抑止):
+ *  - `parent_uuid` / `parentUuid` / `parent_session_id` / `parentSessionId` (subagent marker)
+ *  - `type === 'result'` (SDK headless の完了 marker。先頭 4KB 内に現れたら頭 0KB の極短セッション)
+ *  - `cwd` フィールドが `viewCwd` と完全不一致 (cross-cwd 汚染)
+ *
+ * 失敗安全: head 読み失敗 / parse 失敗時は accept (旧挙動 = 即時 rotate へ degrade)。
+ * 「/clear が壊れる」リスクは取らないため、不確実時は安全側 (accept) に倒す。
+ *
+ * @param {{candidatePath?: string|null, viewCwd?: string|null, readImpl?: (p:string,n:number)=>Promise<string|null>, logger?: import('pino').Logger}} args
+ * @returns {Promise<{accept: boolean, reason: string}>}
+ */
+export async function validateRotationCandidate({
+  candidatePath,
+  viewCwd,
+  readImpl,
+  logger,
+} = {}) {
+  if (!candidatePath || !viewCwd) {
+    return { accept: true, reason: "missing_args" }
+  }
+  let text
+  try {
+    if (typeof readImpl === "function") {
+      text = await readImpl(candidatePath, 4096)
+    } else {
+      const handle = await open(candidatePath, "r")
+      try {
+        const buf = Buffer.allocUnsafe(4096)
+        const { bytesRead } = await handle.read(buf, 0, buf.length, 0)
+        text = buf.toString("utf-8", 0, bytesRead)
+      } finally {
+        await handle.close().catch(() => {})
+      }
+    }
+  } catch (err) {
+    logger?.warn(
+      { err: err?.message, candidatePath },
+      "rotation candidate head read failed → accept (degrade to legacy behavior)",
+    )
+    return { accept: true, reason: `read_failed:${err?.code || "unknown"}` }
+  }
+  if (!text) return { accept: true, reason: "empty_text" }
+  for (const line of text.split("\n")) {
+    if (!line) continue
+    let obj
+    try {
+      obj = JSON.parse(line)
+    } catch {
+      continue
+    }
+    if (!obj || typeof obj !== "object") continue
+    if (
+      obj.parent_uuid ||
+      obj.parentUuid ||
+      obj.parent_session_id ||
+      obj.parentSessionId
+    ) {
+      return { accept: false, reason: "subagent_marker" }
+    }
+    if (obj.type === "result") {
+      return { accept: false, reason: "headless_result_marker" }
+    }
+    if (typeof obj.cwd === "string" && obj.cwd && obj.cwd !== viewCwd) {
+      return { accept: false, reason: "cwd_mismatch" }
+    }
+  }
+  return { accept: true, reason: "passed" }
+}
+
 export function decideSessionRotation({
   viewingSessionId,
   newestSessionId,

package/src/main.mjs

@@ -30,7 +30,9 @@ import { requestSelfUninstall } from "./service-install.mjs"
 import {
   decideSessionRotation,
   fetchSessionHistory,
+  jsonlPath,
   listSessions,
+  validateRotationCandidate,
 } from "./claude-history.mjs"
 import { listAgents } from "./agents.mjs"
 import { listSkills } from "./skills.mjs"
@@ -2240,6 +2242,39 @@ async function dispatch(msg, ctx) {
                 return
               }
               if (!rotated) return
+
+              // 2a 根治: rotate-bind の前に「候補が本物の /clear 先か」を head 4KB で検証する。
+              // subagent (parent_uuid 等) / SDK headless (type=result) / cwd 不一致のものは
+              // 抑止し、別アクティビティ jsonl への汚染 bind を断つ。検証 NG 時は capped と同様に
+              // tuiRotationNotified を進めて連発を防ぐ。検証失敗 (read error) は accept = 旧挙動。
+              const candidatePath = jsonlPath({
+                cwd: viewCwd,
+                session_id: newSessionId,
+                projectsRoot,
+              })
+              const { accept, reason } = await validateRotationCandidate({
+                candidatePath,
+                viewCwd,
+                logger,
+              })
+              if (!accept) {
+                ctx.tuiRotationNotified.set(key, {
+                  newId: newSessionId,
+                  ts: now,
+                  count: newSessionId === prevNewId ? prevCount + 1 : 1,
+                })
+                logger.warn(
+                  {
+                    session: viewName,
+                    cwd: viewCwd,
+                    view: viewSid,
+                    newest: newestId,
+                    reason,
+                  },
+                  "tui session rotation: suppressed (sibling activity / not a real /clear)",
+                )
+                return
+              }
               // {newId, ts, count} で保存。同一 new への再通知をスロットリング+回数キャップする。
               // newId が変われば count を 1 にリセット、同一なら加算する。
               ctx.tuiRotationNotified.set(key, {