@cocorograph/hub-agent 0.7.37 → 0.7.42

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@cocorograph/hub-agent",
-  "version": "0.7.37",
+  "version": "0.7.42",
   "description": "Hub Hosted Cockpit のローカル常駐 agent。Hub と outbound WSS で接続し、ローカルの tmux/pty を中継する。",
   "type": "module",
   "license": "UNLICENSED",

package/src/chat-signals.mjs

@@ -21,9 +21,18 @@
  *
  * cwd をキーにする理由: チャットセッションは tmux セッション名を持たず (SDK 子
  * プロセス)、サイドバー行 (= tmux セッション) とは cwd で対応するため。
+ *
+ * identity 次元 (cliKind/sessionId, S1 2026-07): 同一 cwd 上で Claude⇔Codex の
+ * エンジン切替や、プルダウンからの別セッション選択が起こりうる。従来は cwd だけを
+ * キーにしていたため、切替後も前のエンジン/セッションが残した status/context_pct を
+ * そのまま引き継いでしまい (ドーナツ/ステータスドットが前セッションの値のまま固着する
+ * 症状③④の真因)、新しい identity への切替を検知できなかった。recordChatActivity の
+ * patch に cliKind/sessionId を明示的に含めることで「この更新はどの CLI・どのセッション
+ * のものか」を宣言でき、前回記録した identity と不一致なら温存 (keep-prev) せず
+ * status/context_pct をリセットしてから組み立て直す。
  */
 
-// cwd → { status, context_pct, statusAt, inputPending, turnAt, updatedAtMs }
+// cwd → { status, context_pct, statusAt, inputPending, turnAt, updatedAtMs, cliKind, sessionId }
 const _byCwd = new Map()
 
 // チャット信号を「生きている」と見なす最大経過時間 (ms)。これを過ぎたら tmux
@@ -62,21 +71,52 @@ function _now() {
  *   "確認待ち" を別軸で表現するため)。permission 要求で true、次の assistant / result
  *   イベント (= ユーザーが応答してターンが再開/完了) で false に落とす。
  *
+ * cliKind / sessionId (S1, 2026-07): 「この更新がどの CLI・どのセッションのものか」を
+ * 明示する identity。patch に **どちらか一方でも** キーとして含まれていれば identity
+ * 更新とみなし、前回記録した identity (cliKind/sessionId) と比較する:
+ *   - 一致 (= 同一セッションの継続) → 従来通り前回値へ status/context_pct を温存 (keep-prev)。
+ *   - 不一致 (= エンジン切替 or 別セッションへの乗り換え) → 前回の status/context_pct/
+ *     inputPending を温存せずリセットしてから patch を適用する (旧セッションの値が
+ *     切替後にも残り続ける症状③④の根治)。
+ * patch に cliKind/sessionId のいずれのキーも含まれない (= 既存呼び出し元: permission
+ * ハンドラの inputPending 単独更新等) 場合は identity 判定をスキップし、後方互換のため
+ * 従来通り温存する。
+ *
  * @param {string} cwd セッションの作業ディレクトリ
- * @param {{ status?: string, contextPct?: number|null, inputPending?: boolean }} patch
+ * @param {{ status?: string, contextPct?: number|null, inputPending?: boolean, cliKind?: string|null, sessionId?: string|null }} patch
  * @param {number} [now] テスト用の時刻注入 (省略時は Date.now())
  */
 export function recordChatActivity(cwd, patch = {}, now = _now()) {
   if (!cwd || typeof cwd !== "string") return
-  const prev = _byCwd.get(cwd) || {
+  const empty = {
     status: null,
     context_pct: null,
     statusAt: 0,
     inputPending: false,
     turnAt: 0,
     updatedAtMs: 0,
+    cliKind: null,
+    sessionId: null,
   }
-  const next = { ...prev, turnAt: now, updatedAtMs: now }
+  const prev = _byCwd.get(cwd) || empty
+
+  const hasCliKind = Object.prototype.hasOwnProperty.call(patch, "cliKind")
+  const hasSessionId = Object.prototype.hasOwnProperty.call(patch, "sessionId")
+  let base = prev
+  let cliKind = prev.cliKind
+  let sessionId = prev.sessionId
+  if (hasCliKind || hasSessionId) {
+    cliKind = hasCliKind ? patch.cliKind ?? null : prev.cliKind
+    sessionId = hasSessionId ? patch.sessionId ?? null : prev.sessionId
+    const identityChanged = cliKind !== prev.cliKind || sessionId !== prev.sessionId
+    if (identityChanged) {
+      // 新しい identity: 前回の status/context_pct/inputPending は引き継がない。
+      // turnAt/updatedAtMs はこの後どちらにせよ now で上書きするため据え置きで良い。
+      base = empty
+    }
+  }
+
+  const next = { ...base, cliKind, sessionId, turnAt: now, updatedAtMs: now }
   // statusAt: status / context_pct を「実際に SDK イベントが更新した」時刻。
   // inputPending だけの記録 (TUI 権限ブリッジ) では更新しない。これを分けないと、
   // TUI モードの承認カードが届くたびに「過去の SDK チャットが残した status (多くは
@@ -129,7 +169,7 @@ export function recordChatStreamTick(cwd, now = _now()) {
  *
  * @param {string} cwd
  * @param {number} [now]
- * @returns {{ status: string|null, context_pct: number|null, inputPending?: boolean, turnAt: number, updatedAtMs: number } | null}
+ * @returns {{ status: string|null, context_pct: number|null, inputPending?: boolean, turnAt: number, updatedAtMs: number, cliKind?: string|null, sessionId?: string|null } | null}
  */
 export function getChatSignal(cwd, now = _now()) {
   if (!cwd) return null

package/src/claude-stream-bridge.mjs

@@ -31,6 +31,25 @@ import {
   createEventMasker,
   maskJsonlFileAtRest,
 } from "./tool-result-mask.mjs"
+import { getOrCreateSiblingToken } from "./sibling-token.mjs"
+
+/**
+ * sibling-inject (2026-07-04) 用: spawn する claude プロセス自身の環境変数に、
+ * この cwd の capability トークンを乗せる。ディスクには書かず、プロセス環境変数
+ * としてのみ渡す (src/sibling-token.mjs のコメント参照)。
+ * @param {string} cwd
+ * @returns {{COCKPIT_SIBLING_TOKEN: string, COCKPIT_SIBLING_CWD: string}}
+ */
+function siblingEnvFor(cwd) {
+  return {
+    ...process.env,
+    COCKPIT_SIBLING_TOKEN: getOrCreateSiblingToken(cwd),
+    COCKPIT_SIBLING_CWD: cwd,
+    // ask-sibling スキル (cockpit_orch.py) が「自分は claude/codex どちらか」を
+    // 環境変数から確実に判定できるようにする (ヒューリスティック不要)。
+    COCKPIT_SIBLING_SELF_KIND: "claude",
+  }
+}
 
 /** browser 切断後、セッションを生かしたまま再接続を待つ idle TTL (ミリ秒)。これを過ぎ、
  *  かつ走行中でなければ撤去する。端末スリープ/長期離席後の再接続も吸収できるよう 7 日に
@@ -272,6 +291,14 @@ class ClaudeStreamSession {
     this._residentQuery = null
     /** 常駐 query を起動済みか (二重起動防止)。 */
     this._residentStarted = false
+    /** A-2 (2026-07-05 配達保証): 常駐 query の generator が自然終了 (for await ループが
+     *  完走) したかを示すフラグ。_runResidentQuery の finally で _residentQuery=null に
+     *  なるより前に true を立てる。sendMessage は `await this._reconcileResidentUltracode()`
+     *  を挟むため、その await 中に generator が終了すると「_residentQuery はまだ non-null
+     *  (finally 未実行)」に見えたまま push してしまい、誰も consume しない返却済み
+     *  InputQueue にメッセージが消えることがある。このフラグで「push 直前に本当にまだ
+     *  生きているか」を再確認する。新しい query を (再)起動するたびに false へリセットする。 */
+    this._residentQueryReturned = false
 
     /** 改修3: per-message セッションで busy 中に届いた送信を退避する pending キュー。
      *  常駐 query 化 (改修2) とは別レイヤー。resume チェーンは維持したまま、現ターン
@@ -629,11 +656,16 @@ class ClaudeStreamSession {
    * ユーザーメッセージ 1 件を 1 query() として実行する。
    * 既存ターン実行中 (busy) は破棄せず pending キューへ退避し、現ターン完了時に drain する
    * (改修3)。常駐 query 対象 (新規セッション) は InputQueue へ積む (改修2)。
+   *
+   * 配達保証 (S2, 2026-07-05): 戻り値は `{ accepted: boolean, reason?: string }`。
+   * `accepted` は「キュー/常駐 query への投入が完了した (= ack を返してよい)」ことを
+   * 意味し、ターンの完走までは待たない (フル実行を待つと ack が数十秒〜数分遅れるため)。
+   * `accepted:false` のときは呼び出し元 (ClaudeStreamBridge.input) が nack を組み立てる。
    */
   async sendMessage(message, opts = {}) {
-    if (this._closed) return
+    if (this._closed) return { accepted: false, reason: "queue_dead" }
     const prompt = extractPromptText(message)
-    if (!prompt) return
+    if (!prompt) return { accepted: false, reason: "empty_message" }
 
     // ultracode ワンショット (0.6.28): このターンのみ xhigh effort + 常時 dynamic-workflow
     // オーケストレーションを有効化する。セッション既定としては持たず (トークン消費が
@@ -664,7 +696,7 @@ class ClaudeStreamSession {
           "resident busy, message queued",
         )
         this._emitQueueState()
-        return
+        return { accepted: true }
       }
       this._busy = true
       // 改修4 (A): 死亡ガード。常駐 query が未起動 or (エラー等で) 終了済み (_residentQuery=null)
@@ -678,23 +710,49 @@ class ClaudeStreamSession {
         this._startResidentQuery()
       }
       await this._reconcileResidentUltracode(ultracode)
+      // A-2 修正 (2026-07-05): 上の await 中に常駐 query の generator が自然終了している
+      // ことがある (_residentQueryReturned が finally で true になる)。その場合 this._residentQuery
+      // はまだ非 null (finally 未実行) に見えても、実体は既に誰も consume しない返却済み
+      // generator であり、そのまま push すると消失する。fresh-start と同じ手順 (InputQueue の
+      // 再生成 + 再起動) を踏んでから push することで、既存の resident 復活ガード
+      // (B6 / 異常終了時の自動再起動) に合流させる。
+      if (this._residentQueryReturned || !this._residentQuery) {
+        this._inputQueue = new InputQueue()
+        this._residentStarted = true
+        this._startResidentQuery()
+      }
+      if (this._closed) return { accepted: false, reason: "queue_dead" }
       this._inputQueue.push(toSDKUserMessage(prompt))
-      return
+      return { accepted: true }
     }
 
     // 従来 per-message: 1 メッセージ = 1 query (resume チェーン)。既存セッション (resume) 用。
     // 改修3: busy 中の送信は破棄せず pending キューへ退避し、現ターン完了時に drain する
     // (ターミナル流の「積む→待機→順次実行」)。常駐 query 化はしないので暴走リスクは増えない。
-    if (this._busy) {
+    // A-3 (2026-07-05): busy===false でも _pendingMessages が非空なら (本来は
+    // _runPerMessage の finally が同一 tick 内で busy=false→drain を行うため到達しない
+    // はずだが、将来の変更で両者の間に await が入り込んだ場合の防御) 直接実行へ
+    // バイパスさせず、必ず pending 経由の FIFO へ合流させる (resident 側の FIFO 修正
+    // (PR #212) と同じ「pending を追い越させない」という設計思想)。
+    if (this._busy || this._pendingMessages.length > 0) {
       this._enqueuePending(prompt, ultracode)
       this.logger?.info(
         { stream_id: this.stream_id, queued: this._pendingMessages.length },
         "claude busy, message queued",
       )
       this._emitQueueState()
-      return
+      return { accepted: true }
     }
-    return this._runPerMessage(prompt, { ultracode })
+    // ack はターン完走を待たず「起動できたか」で返すため、フル実行の Promise を
+    // 呼び出し元へ伝播させない (fire-and-forget)。例外は _runPerMessage 内部で
+    // 握っているため通常は reject しないが、念のため warn だけ残す。
+    this._runPerMessage(prompt, { ultracode }).catch((err) => {
+      this.logger?.error(
+        { stream_id: this.stream_id, err: err?.message },
+        "per-message run threw unexpectedly",
+      )
+    })
+    return { accepted: true }
   }
 
   /** per-message 1 ターンを実行する (resume チェーン)。busy 中に届いた送信は sendMessage
@@ -709,6 +767,7 @@ class ClaudeStreamSession {
 
     const options = {
       cwd: this.cwd,
+      env: siblingEnvFor(this.cwd),
       canUseTool: (toolName, input) => this._canUseTool(toolName, input),
       includePartialMessages: true,
       abortController: this._abortController,
@@ -1017,6 +1076,7 @@ class ClaudeStreamSession {
   async _runResidentQuery() {
     const options = {
       cwd: this.cwd,
+      env: siblingEnvFor(this.cwd),
       canUseTool: (toolName, input) => this._canUseTool(toolName, input),
       includePartialMessages: true,
     }
@@ -1028,6 +1088,10 @@ class ClaudeStreamSession {
     // 適用済み状態の追跡を false にリセットし、次ターンの reconcile が正しく差分判定できる
     // ようにする (異常終了→resume 再起動時にも確実にリセット)。
     this._ultracodeCurrent = false
+    // A-2 (2026-07-05): 新しい query を起動するたびに「まだ generator は返却されていない」
+    // 状態へリセットする (前回の finally で true になったままだと、この新しい query が
+    // 生きている間も sendMessage が誤って「返却済み」と判定してしまう)。
+    this._residentQueryReturned = false
     // 改修4: 起動時に sessionId (= resumeSessionId) があれば resume チェーンで文脈を引き継ぐ。
     // query 起動時点の値のみ有効 (起動後に確定/変化する session_id は同一 query 内で継続される)。
     if (this.sessionId) options.resume = this.sessionId
@@ -1085,6 +1149,11 @@ class ClaudeStreamSession {
         }
       }
     } finally {
+      // A-2 (2026-07-05): generator が返却された (for await ループが完走した) ことを、
+      // this._residentQuery を null にするより前に記録する。sendMessage 側の
+      // await 中にこのタイミングを跨いだ場合、push 先が誰も consume しない
+      // generator になっていたことを検知できるようにするため。
+      this._residentQueryReturned = true
       this._residentQuery = null
       this._busy = false
       denyPending("closed")
@@ -1461,23 +1530,34 @@ export class ClaudeStreamBridge extends EventEmitter {
     return { stream_id, resuming: !!resumeSessionId }
   }
 
-  /** browser → claude の user メッセージ。1 件 = 1 query (resume チェーン)。 */
-  input({ stream_id, message, ultracode }) {
+  /**
+   * browser → claude の user メッセージ。1 件 = 1 query (resume チェーン)。
+   *
+   * 配達保証 (S2, 2026-07-05): 戻り値は `{ ok: boolean, reason?: string }`
+   * (旧: boolean のみ)。呼び出し元 (main.mjs) はこれを見て `claude.input.ack` /
+   * `claude.input.nack` を browser へ送出する。`ok:true` は「ターン完走」ではなく
+   * 「キュー/常駐 query への投入が完了した」ことを意味する (ターン完走まで待つと
+   * ack が大幅に遅延するため)。ターン実行自体の結果は従来どおり onEvent 経由で届く。
+   */
+  async input({ stream_id, message, ultracode }) {
     const s = this.sessions.get(stream_id)
     if (!s) {
       this.logger?.warn({ stream_id }, "claude.input but stream missing")
-      return false
+      return { ok: false, reason: "stream_missing" }
     }
     s.touch(stream_id) // B11: この端末の最終アクティビティを更新 (死端末 GC 用)
-    // 非同期でターン実行 (完了は result イベント + onEvent 経由で browser に届く)
     // ultracode (0.6.28): このメッセージのみ ultracode ワンショットを適用するフラグ。
-    s.sendMessage(message, { ultracode: ultracode === true }).catch((err) => {
+    try {
+      const result = await s.sendMessage(message, { ultracode: ultracode === true })
+      if (result?.accepted) return { ok: true }
+      return { ok: false, reason: result?.reason || "queue_dead" }
+    } catch (err) {
       this.logger?.error(
         { stream_id, err: err?.message },
         "claude sendMessage threw unexpectedly",
       )
-    })
-    return true
+      return { ok: false, reason: "error" }
+    }
   }
 
   /** browser → claude の permission 応答。allow/deny + 加工された input を SDK に返す。 */
@@ -1678,6 +1758,50 @@ export class ClaudeStreamBridge extends EventEmitter {
     return best
   }
 
+  /**
+   * 指定 cwd でライブなセッションへメッセージを直接注入する (sibling-inject 用、
+   * 2026-07-04)。同一マシン内の別プロセス (ask-sibling スキル経由の cockpit_orch.py)
+   * が、Cockpit ブラウザの WS 接続を経由せず、hub-agent デーモンへローカル IPC
+   * (src/sibling-inject.mjs) 経由でこの cwd の生きているチャットセッションへ新規
+   * ターンを開始させる。liveSessionIdForCwd と同じ走査ロジックだが、返すのは
+   * sessionId 文字列ではなく session オブジェクト自体 (sendMessage を直接呼べるように
+   * するため)。同一 cwd に複数ライブセッションがある場合は最終アクティビティが最も
+   * 新しいものを採用する。
+   *
+   * ⚠️ このメソッド自体は認証を行わない (呼び出し元の sibling-inject.mjs が
+   * src/sibling-token.mjs の capability トークンで入力元を検証する前提)。
+   *
+   * @param {string} cwd
+   * @param {string} text
+   * @returns {boolean} 送信できたか (対象セッションが見つからなければ false)
+   */
+  sendToCwd(cwd, text) {
+    if (!cwd || !text) return false
+    let best = null
+    let bestAt = -1
+    const seen = new Set()
+    for (const session of this.sessions.values()) {
+      if (seen.has(session) || session.cwd !== cwd) continue
+      seen.add(session)
+      let at = 0
+      for (const t of session.lastActivityByStream.values()) {
+        if (t > at) at = t
+      }
+      if (at >= bestAt) {
+        bestAt = at
+        best = session
+      }
+    }
+    if (!best) return false
+    best.sendMessage({ role: "user", content: text }).catch((err) => {
+      this.logger?.error(
+        { cwd, err: err?.message },
+        "sendToCwd: sendMessage threw unexpectedly",
+      )
+    })
+    return true
+  }
+
   /**
    * `mcpServerStatus()` の結果に、needs-auth キャッシュにあるが結果へ含まれない
    * サーバーを `needs-auth` として補完する。

package/src/codex-appserver-client.mjs

@@ -20,8 +20,22 @@ import { EventEmitter } from "node:events"
 
 const DEFAULT_CODEX_CMD = "codex"
 
+// S3 Codex 堅牢化 (2026-07-05): request() の既定タイムアウト。app-server プロセスが
+// 生きたまま応答しなくなるケース (ハング/デッドロック) では、プロセス exit イベントに
+// 依存する既存の _settleAllPending() が発火せず、turn/start 等の Promise が永久に
+// pending のままになる (「attach 後バブルは出るが Codex が反応しない」報告の根本原因の
+// 一つ)。HUB_CODEX_REQUEST_TIMEOUT_MS で上書き可能。
+const DEFAULT_REQUEST_TIMEOUT_MS = 20_000
+
+function resolveRequestTimeoutMs(explicit) {
+  if (typeof explicit === "number" && explicit >= 0) return explicit
+  const raw = process.env.HUB_CODEX_REQUEST_TIMEOUT_MS
+  const parsed = raw !== undefined ? Number(raw) : NaN
+  return Number.isFinite(parsed) && parsed >= 0 ? parsed : DEFAULT_REQUEST_TIMEOUT_MS
+}
+
 export class CodexAppServerClient extends EventEmitter {
-  constructor({ cwd, codexCmd, env, logger, spawnFn } = {}) {
+  constructor({ cwd, codexCmd, env, logger, spawnFn, requestTimeoutMs } = {}) {
     super()
     this.cwd = cwd
     this.codexCmd = codexCmd || DEFAULT_CODEX_CMD
@@ -30,6 +44,9 @@ export class CodexAppServerClient extends EventEmitter {
     // テストから spawn をスタブ化できるよう注入可能にする (実 codex バイナリ不要で
     // JSON-RPC 相関ロジックだけを検証するため。既定は node:child_process の spawn)。
     this._spawnFn = spawnFn || spawn
+    // テストから短縮できるよう注入可能にする (既定は 20000ms、env でも上書き可能)。
+    // 0 を指定するとタイムアウト無効 (旧挙動、テスト以外での使用は非推奨)。
+    this._requestTimeoutMs = resolveRequestTimeoutMs(requestTimeoutMs)
     this.child = null
     this.closed = false
     this._buf = ""
@@ -136,7 +153,15 @@ export class CodexAppServerClient extends EventEmitter {
     this.logger?.warn?.({ msg }, "codex app-server: unrecognized message shape")
   }
 
-  /** クライアント発のリクエストを送り、応答 (result) を Promise で返す。 */
+  /**
+   * クライアント発のリクエストを送り、応答 (result) を Promise で返す。
+   *
+   * S3 Codex 堅牢化: `this._requestTimeoutMs` (既定 20000ms、`HUB_CODEX_REQUEST_TIMEOUT_MS`
+   * で上書き可) を過ぎても応答が来なければ reject する。app-server プロセス自体は生きて
+   * いる (exit イベントが発火しない) ハングを想定した保険であり、`_pending` からは
+   * タイムアウト時に確実に除去する (遅延応答が届いても再度 resolve/reject されないよう
+   * 二重解決を防ぎつつ、マップの肥大化 = メモリリークも防ぐ)。
+   */
   request(method, params) {
     if (this.closed || !this.child) {
       return Promise.reject(new Error("codex app-server is not running"))
@@ -144,7 +169,26 @@ export class CodexAppServerClient extends EventEmitter {
     const id = ++this._reqId
     this._write({ jsonrpc: "2.0", id, method, params })
     return new Promise((resolve, reject) => {
-      this._pending.set(id, { resolve, reject })
+      let timer = null
+      const settle = (fn) => (value) => {
+        if (timer) clearTimeout(timer)
+        this._pending.delete(id)
+        fn(value)
+      }
+      const entry = { resolve: null, reject: null }
+      entry.resolve = settle(resolve)
+      entry.reject = settle(reject)
+      if (this._requestTimeoutMs > 0) {
+        timer = setTimeout(() => {
+          entry.reject(
+            Object.assign(new Error(`codex app-server request timed out: ${method}`), {
+              reason: "timeout",
+            }),
+          )
+        }, this._requestTimeoutMs)
+        timer.unref?.()
+      }
+      this._pending.set(id, entry)
     })
   }
 

package/src/codex-stream-bridge.mjs

@@ -34,6 +34,26 @@
 import { EventEmitter } from "node:events"
 
 import { CodexAppServerClient } from "./codex-appserver-client.mjs"
+import { getOrCreateSiblingToken } from "./sibling-token.mjs"
+
+/**
+ * sibling-inject (2026-07-04) 用: spawn する codex app-server プロセス自身の
+ * 環境変数に、この cwd の capability トークンを乗せる。ディスクには書かず、
+ * プロセス環境変数としてのみ渡す (src/sibling-token.mjs のコメント参照、
+ * claude-stream-bridge.mjs の同名ヘルパーと対)。
+ * @param {string} cwd
+ * @returns {NodeJS.ProcessEnv}
+ */
+function siblingEnvFor(cwd) {
+  return {
+    ...process.env,
+    COCKPIT_SIBLING_TOKEN: getOrCreateSiblingToken(cwd),
+    COCKPIT_SIBLING_CWD: cwd,
+    // ask-sibling スキル (cockpit_orch.py) が「自分は claude/codex どちらか」を
+    // 環境変数から確実に判定できるようにする (ヒューリスティック不要)。
+    COCKPIT_SIBLING_SELF_KIND: "codex",
+  }
+}
 
 // detach 後、非 busy なセッションを生かしておく猶予。claude 側 (7 日) と違い短くする:
 // Slice 2 は in-memory reattach 非対応のため、browser の WS 再接続ごとに新 stream_id で
@@ -57,6 +77,37 @@ function flattenThreadItems(thread) {
   return items
 }
 
+/**
+ * 配達保証 (S2, 2026-07-05): `input()` が reject したエラーを `codex.input.nack` の
+ * `reason` へ分類する。
+ *
+ * S3 Codex 堅牢化 (同日マージ) 以降、`CodexAppServerClient.request()` のタイムアウトや
+ * `CodexStreamBridge.input()` の turn/steer→turn/start 自動リトライ失敗は、reject する
+ * Error に権威ある `.reason` (`'timeout'` / `'turn_mismatch_retry_failed'`) を直接
+ * 付与するようになった。付与されていればそれを最優先で採用し (main.mjs が組み立てる
+ * `codex.error.reason` と同じ値になり、frontend 側の分岐を一致させられる)、付与されて
+ * いない場合 (例: `_require()` の「セッション不在」) のみメッセージ文言からの
+ * ベストエフォート分類にフォールバックする。
+ *
+ * - stream_missing: `_require` が投げる「セッション不在」(stream_id 誤り / 既に detach 済み)
+ * - queue_dead: app-server プロセスが既に停止/終了している
+ * - timeout / turn_mismatch_retry_failed: 上記 S3 由来の err.reason をそのまま採用
+ * @param {unknown} err
+ * @returns {string}
+ */
+export function classifyCodexInputError(err) {
+  if (typeof err?.reason === "string" && err.reason) return err.reason
+  const message = String(err?.message || err || "")
+  if (/no active codex session/i.test(message)) return "stream_missing"
+  if (/not running|exited unexpectedly|client stopped/i.test(message)) {
+    return "queue_dead"
+  }
+  if (/turn/i.test(message) && /(mismatch|expected|stale|unknown)/i.test(message)) {
+    return "turn_mismatch"
+  }
+  return "error"
+}
+
 function userInputFromMessage(message) {
   const content = message?.content
   if (typeof content === "string") {
@@ -89,7 +140,12 @@ export class CodexStreamBridge extends EventEmitter {
     if (this.sessions.has(stream_id)) {
       throw new Error(`stream_id already attached: ${stream_id}`)
     }
-    const client = this._clientFactory({ cwd, codexCmd: this.codexCmd, logger: this.logger })
+    const client = this._clientFactory({
+      cwd,
+      codexCmd: this.codexCmd,
+      logger: this.logger,
+      env: siblingEnvFor(cwd),
+    })
     const session = {
       stream_id,
       cwd,
@@ -255,12 +311,41 @@ export class CodexStreamBridge extends EventEmitter {
     const session = this._require(stream_id)
     const input = userInputFromMessage(message)
     if (session.activeTurnId) {
-      await session.client.request("turn/steer", {
-        threadId: session.threadId,
-        expectedTurnId: session.activeTurnId,
-        input,
-      })
-      return
+      try {
+        await session.client.request("turn/steer", {
+          threadId: session.threadId,
+          expectedTurnId: session.activeTurnId,
+          input,
+        })
+        return
+      } catch (err) {
+        // S3 Codex 堅牢化 (2026-07-05): turn/steer が reject される最大の原因は
+        // expectedTurnId 不一致 (turn/completed 通知の取りこぼしで session.activeTurnId
+        // が古いまま残るケース) や request() タイムアウト。回復キューが無いと、以降の
+        // 入力が全て turn/steer として送られ続けて無反応になる (報告症状②の原因)。
+        // ここで activeTurnId を捨てて「busy ではない」扱いに戻し、同一メッセージを
+        // 1 回だけ turn/start として自動リトライすることで自己修復する。
+        session.activeTurnId = null
+        try {
+          const retryParams = { threadId: session.threadId, input }
+          if (model) retryParams.model = model
+          if (effort) retryParams.effort = effort
+          await session.client.request("turn/start", retryParams)
+          return
+        } catch (retryErr) {
+          // 呼び出し元 (main.mjs の codex.input dispatch) が既存の .catch() で
+          // codex.error を送出する経路に reason を乗せて届ける (bridge 側で二重に
+          // 'error' イベントを emit すると frontend へ codex.error が二重送出される
+          // ため、ここでは throw のみに留める)。
+          const reason = "turn_mismatch_retry_failed"
+          throw Object.assign(
+            new Error(
+              `turn/steer failed (${err.message}) and turn/start retry also failed: ${retryErr.message}`,
+            ),
+            { reason, cause: retryErr },
+          )
+        }
+      }
     }
     const params = { threadId: session.threadId, input }
     if (model) params.model = model
@@ -317,6 +402,35 @@ export class CodexStreamBridge extends EventEmitter {
     return null
   }
 
+  /**
+   * 指定 cwd でライブなセッションへメッセージを直接注入する (sibling-inject 用、
+   * 2026-07-04)。Claude 版 `sendToCwd` の対。同一 cwd に複数ライブセッションがある
+   * 場合は `threadIdForCwd` と同じく先に見つかったものを使う。
+   *
+   * ⚠️ このメソッド自体は認証を行わない (呼び出し元の sibling-inject.mjs が
+   * src/sibling-token.mjs の capability トークンで入力元を検証する前提)。
+   *
+   * @param {string} cwd
+   * @param {string} text
+   * @returns {boolean} 送信できたか (対象セッションが見つからなければ false)
+   */
+  sendToCwd(cwd, text) {
+    if (!cwd || !text) return false
+    for (const session of this.sessions.values()) {
+      if (session.cwd !== cwd) continue
+      this.input({ stream_id: session.stream_id, message: { role: "user", content: text } }).catch(
+        (err) => {
+          this.logger?.error(
+            { cwd, err: err?.message },
+            "sendToCwd: input threw unexpectedly",
+          )
+        },
+      )
+      return true
+    }
+    return false
+  }
+
   _maybeReapAfterIdle(session) {
     if (session.activeTurnId) return // 完走まで待つ (turn/completed で再評価される)
     this._clearDetachTimer(session)