@cocorograph/hub-agent 0.7.45 → 0.7.46

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@cocorograph/hub-agent",
-  "version": "0.7.45",
+  "version": "0.7.46",
   "description": "Hub Hosted Cockpit のローカル常駐 agent。Hub と outbound WSS で接続し、ローカルの tmux/pty を中継する。",
   "type": "module",
   "license": "UNLICENSED",

package/src/claude-credentials.mjs

@@ -1,202 +1,98 @@
 /**
- * Claude Code 認証情報 (macOS Keychain) のプロファイル別スワップ。
+ * Claude Code の OAuth 認証情報 (macOS Keychain) の在否判定。
  *
- * WHY: macOS の Claude Code は OAuth トークンを Keychain の単一エントリ
- * 「Claude Code-credentials」に保存し、サービス名は `CLAUDE_CONFIG_DIR` に
- * 依存しない。そのため config ディレクトリを切り替えても全プロファイルが
- * 同じトークンを読んでしまい、アカウントが切り替わらない (2026-06-07 実測)。
+ * 2026-07 更新 (B案 / swap 撤去): Claude Code は OAuth トークンを Keychain の
+ * `Claude Code-credentials-<sha256(CLAUDE_CONFIG_DIR)先頭8桁>` に保存し、config
+ * ディレクトリごとにネイティブに分離するようになった (Claude Code 2.1.x で実測確認)。
+ * そのため hub-agent が旧来行っていた「素の `Claude Code-credentials` を profile 切替
+ * のたびに手動退避/復元 (swap) する」処理は不要かつ有害 (Claude Code が認証に使わない
+ * 別エントリ = acct "hub-agent" を触るだけで空振りし、既定プロファイル等で再ログインを
+ * 誘発していた) になったため撤去した。ここは UI の「要ログイン」表示用に「その config
+ * ディレクトリで Claude Code がログイン済みか」を在否チェックするだけに縮小する。
+ * シークレットは復号しない (`-w` を付けない) ため Keychain の ACL プロンプトを誘発しない。
  *
- * 対策: profile.switch のタイミングで
- *   1. 正規エントリ (canonical) を切替元プロファイルのスロットへ退避
- *   2. 切替先プロファイルのスロットから canonical へ復元
- *   3. 切替先スロットが無ければ canonical を削除して needs_login を返す
- *      (削除しないと旧アカウントのトークンが残り「切り替わらない」が再発する)
+ * 旧 swap の経緯 (2026-06-07): 当時の Claude Code は全 config ディレクトリで単一の素の
+ * `Claude Code-credentials` を共有していたため、ディレクトリ切替だけではアカウントが
+ * 変わらず、Keychain を手動退避/復元する必要があった。実装は git 履歴を参照
+ * (CANONICAL_SERVICE / slotService / swapCredentials 等)。
  *
- * スロットは「Claude Code-credentials (hub-agent profile <id>)」という
- * 別サービス名の Keychain エントリ。Claude Code 本体はスロットを読まない。
- *
- * Linux 等 Keychain の無いプラットフォームでは Claude Code が
- * `<configDir>/.credentials.json` を使うため、config ディレクトリの切替だけで
- * 認証も分離される。スワップは darwin 限定で no-op を返す。
- *
- * 書き込みは `security -i` (stdin) 経由で行い、トークンが argv (ps で他
- * プロセスから観測可能) に露出しないようにする。`security -w` の読み出しは
- * データが非 printable のとき hex を返すため decode を挟む。
+ * Linux 等 Keychain の無い環境は Claude Code が `<configDir>/.credentials.json` を使い
+ * もともと config ディレクトリ単位で分離済み (profiles.mjs の hasFileCredentials を使う)。
  */
-import { execFile, spawn } from "node:child_process"
+import { promises as fs } from "node:fs"
+import { createHash } from "node:crypto"
+import { execFile } from "node:child_process"
 import { promisify } from "node:util"
 
 const execFileP = promisify(execFile)
 
-/** Claude Code 本体が読む正規エントリのサービス名 (固定)。 */
-export const CANONICAL_SERVICE = "Claude Code-credentials"
-
-/** プロファイル別退避スロットのサービス名。 */
-export function slotService(profileId) {
-  return `Claude Code-credentials (hub-agent profile ${profileId})`
-}
-
-/** Keychain スワップが必要なプラットフォームか。 */
+/** Keychain を使うプラットフォームか (認証分離が Keychain 依存なのは darwin のみ)。 */
 export function isKeychainPlatform(platform = process.platform) {
   return platform === "darwin"
 }
 
 /**
- * `security find-generic-password -w` の出力を decode する。
- * security はデータに非 printable バイトが含まれると hex で出力する。
- * Claude の credentials は ASCII JSON なので通常 raw のまま返るが、
- * hex らしき文字列で decode 結果が JSON (`{` 始まり) なら decode を採用する。
+ * ある config ディレクトリの認証情報を Claude Code が保存する Keychain サービス名。
+ * `Claude Code-credentials-<sha256(configDir)先頭8桁>` (Claude Code 2.1.x の実装)。
+ * ⚠️ このハッシュ式が本体とズレると在否チェックが全部空振りするため、
+ *    test/claude-credentials.test.mjs が実機既知値で固定している。
+ *
+ * @param {string} configDir CLAUDE_CONFIG_DIR (既定プロファイルは `~/.claude`)
+ * @returns {string}
  */
-export function decodeSecurityOutput(raw) {
-  const s = (raw || "").replace(/\r?\n$/, "")
-  if (s.startsWith("{")) return s
-  if (/^(?:[0-9a-f]{2})+$/.test(s)) {
-    try {
-      const decoded = Buffer.from(s, "hex").toString("utf-8")
-      if (decoded.startsWith("{")) return decoded
-    } catch {
-      /* hex ではなかった — raw を返す */
-    }
-  }
-  return s
-}
-
-/** err が「項目が見つからない」(security exit 44) かを判定する。 */
-function isNotFound(err) {
-  const msg = `${err?.message || ""}${err?.stderr || ""}`
-  return msg.includes("could not be found") || msg.includes("SecKeychainSearchCopyNext")
+export function credentialService(configDir) {
+  const hash = createHash("sha256")
+    .update(String(configDir))
+    .digest("hex")
+    .slice(0, 8)
+  return `Claude Code-credentials-${hash}`
 }
 
 /**
- * Keychain からシークレットを読む。存在しなければ null。
- * @returns {Promise<string|null>}
+ * Keychain にエントリが存在するか (シークレットは復号しない = ACL プロンプト無し)。
+ * @returns {Promise<boolean>}
  */
-export async function readGenericPassword(service, opts = {}) {
-  const exec = opts.execFileP || execFileP
-  try {
-    const { stdout } = await exec("security", [
-      "find-generic-password",
-      "-s",
-      service,
-      "-w",
-    ])
-    return decodeSecurityOutput(stdout)
-  } catch (err) {
-    if (isNotFound(err)) return null
-    throw err
-  }
-}
-
-/** Keychain にエントリが存在するか (シークレットは復号しない = ACL プロンプトを誘発しない)。 */
 export async function existsGenericPassword(service, opts = {}) {
   const exec = opts.execFileP || execFileP
   try {
     await exec("security", ["find-generic-password", "-s", service])
     return true
   } catch (err) {
-    if (isNotFound(err)) return false
-    throw err
-  }
-}
-
-/** Keychain からエントリを削除する。存在しなければ何もしない。 */
-export async function deleteGenericPassword(service, opts = {}) {
-  const exec = opts.execFileP || execFileP
-  try {
-    await exec("security", ["delete-generic-password", "-s", service])
-    return true
-  } catch (err) {
-    if (isNotFound(err)) return false
+    const msg = `${err?.message || ""}${err?.stderr || ""}`
+    if (
+      msg.includes("could not be found") ||
+      msg.includes("SecKeychainSearchCopyNext")
+    ) {
+      return false
+    }
     throw err
   }
 }
 
-/** `security -i` の対話コマンド用にダブルクォート文字列をエスケープする。 */
-export function escapeSecurityArg(value) {
-  return String(value).replace(/\\/g, "\\\\").replace(/"/g, '\\"')
-}
-
-/**
- * Keychain へシークレットを書き込む (既存エントリは作り直し)。
- * `-U` での更新は ACL 制約で失敗し得るため delete → add の順で行う。
- * シークレットは stdin (`security -i`) 経由で渡し argv へ露出させない。
- */
-export async function writeGenericPassword(service, secret, opts = {}) {
-  await deleteGenericPassword(service, opts).catch(() => {})
-  const spawnImpl = opts.spawn || spawn
-  const account = opts.account || "hub-agent"
-  const line =
-    `add-generic-password -a "${escapeSecurityArg(account)}"` +
-    ` -s "${escapeSecurityArg(service)}"` +
-    ` -w "${escapeSecurityArg(secret)}"\n`
-  await new Promise((resolve, reject) => {
-    const child = spawnImpl("security", ["-i"], {
-      stdio: ["pipe", "ignore", "pipe"],
-    })
-    let stderr = ""
-    child.stderr?.on("data", (d) => {
-      stderr += String(d)
-    })
-    child.on("error", reject)
-    child.on("close", (code) => {
-      if (code === 0) resolve()
-      else reject(new Error(`security add-generic-password failed (exit ${code}): ${stderr.trim()}`))
-    })
-    child.stdin.write(line)
-    child.stdin.end()
-  })
-}
-
 /**
- * プロファイル切替に伴う認証情報のスワップ本体。
+ * その config ディレクトリで Claude Code がログイン済みか (UI の「要ログイン」表示用)。
  *
- * @param {{fromId: string, toId: string, logger?: object,
- *          execFileP?: Function, spawn?: Function, platform?: string}} opts
- * @returns {Promise<{saved: boolean, restored: boolean, needsLogin: boolean, skipped?: string}>}
- */
-export async function swapCredentials(opts) {
-  const { fromId, toId, logger } = opts
-  if (!isKeychainPlatform(opts.platform)) {
-    // Keychain の無い環境は <configDir>/.credentials.json でもともと分離済み。
-    return { saved: false, restored: false, needsLogin: false, skipped: "not-darwin" }
-  }
-  const io = { execFileP: opts.execFileP, spawn: opts.spawn }
-  const result = { saved: false, restored: false, needsLogin: false }
-
-  // 1. 現在の canonical を切替元スロットへ退避 (リフレッシュ済み最新トークンを保全)。
-  const current = await readGenericPassword(CANONICAL_SERVICE, io)
-  if (current) {
-    await writeGenericPassword(slotService(fromId), current, io)
-    result.saved = true
-  }
-
-  // 2. 切替先スロットから canonical を復元。無ければ canonical を削除して要ログイン。
-  const target = await readGenericPassword(slotService(toId), io)
-  if (target) {
-    await writeGenericPassword(CANONICAL_SERVICE, target, io)
-    result.restored = true
-  } else {
-    await deleteGenericPassword(CANONICAL_SERVICE, io).catch(() => {})
-    result.needsLogin = true
-  }
-
-  logger?.info?.(
-    { from: fromId, to: toId, ...result },
-    "claude credentials swapped for profile switch",
-  )
-  return result
-}
-
-/**
- * プロファイルがログイン可能な認証情報を持っているか (UI 表示用)。
- * darwin: active なら canonical、非 active ならスロットの存在を見る。
- * その他: `<configDir>/.credentials.json` の存在を見る (呼び出し側で判定)。
+ * `~/.claude` が symlink (例: iCloud Drive への集約) のとき、Claude Code が
+ * symlink パスと realpath のどちらでハッシュを計算するかに依存しないよう、両方の
+ * ハッシュ候補を在否チェックし、いずれか存在すればログイン済みとみなす。
+ *
+ * @param {string} configDir
+ * @param {{execFileP?: Function}} [opts]
+ * @returns {Promise<boolean>}
  */
-export async function profileHasKeychainCredentials(profileId, isActive, opts = {}) {
-  const service = isActive ? CANONICAL_SERVICE : slotService(profileId)
+export async function profileHasKeychainCredentials(configDir, opts = {}) {
+  const candidates = new Set([configDir])
   try {
-    return await existsGenericPassword(service, opts)
+    candidates.add(await fs.realpath(configDir))
   } catch {
-    return false
+    /* realpath 不能 (ディレクトリ未作成等) は無視して literal パスのみ評価 */
+  }
+  for (const dir of candidates) {
+    try {
+      if (await existsGenericPassword(credentialService(dir), opts)) return true
+    } catch {
+      /* security 実行エラーは「不明」→ 存在しない寄せ */
+    }
   }
+  return false
 }

package/src/main.mjs

@@ -56,11 +56,11 @@ import {
   readProfileAccount,
   setActiveProfile,
   addProfile,
+  renameProfile,
 } from "./profiles.mjs"
 import {
   isKeychainPlatform,
   profileHasKeychainCredentials,
-  swapCredentials,
 } from "./claude-credentials.mjs"
 import {
   answerAskUserQuestion,
@@ -3871,7 +3871,7 @@ async function dispatch(msg, ctx) {
           reg.profiles.map(async (p) => {
             const account = await readProfileAccount(p.configDir)
             const hasCreds = isKeychainPlatform()
-              ? await profileHasKeychainCredentials(p.id, p.id === reg.activeId)
+              ? await profileHasKeychainCredentials(p.configDir)
               : await hasFileCredentials(p.configDir)
             return {
               id: p.id,
@@ -3892,35 +3892,18 @@ async function dispatch(msg, ctx) {
         return
       }
       case "profile.switch": {
-        // アカウント切替。認証情報スワップ → active 永続化 → env 反映 (process/tmux) →
-        // 全 Claude セッション強制再起動 (SDK チャット + tmux TUI)。走行中ターンも中断する。
+        // アカウント切替。active 永続化 → env 反映 (process/tmux) → 全 Claude セッション
+        // 強制再起動 (SDK チャット + tmux TUI)。走行中ターンも中断する。
         //
-        // WHY 認証スワップ: macOS では OAuth トークンが Keychain の単一エントリに保存され
-        // CLAUDE_CONFIG_DIR と無関係なため、ディレクトリ切替だけではアカウントが変わらない
-        // (2026-06-07 実測)。claude-credentials.mjs の docstring 参照。
+        // WHY 認証スワップ廃止 (B案, 2026-07): Claude Code 2.1.x は OAuth トークンを
+        // `Claude Code-credentials-<sha256(CLAUDE_CONFIG_DIR)>` に config ディレクトリ別
+        // で保存するようになり、CLAUDE_CONFIG_DIR を切り替えるだけでアカウントも切り替わる。
+        // 旧来の Keychain 手動スワップは Claude Code が読まない素エントリを触るだけの空振り
+        // となり、既定プロファイル等で不要な再ログインを誘発していたため撤去した。
+        // claude-credentials.mjs の docstring 参照。
         const id = msg.profile_id || msg.id || ""
         try {
-          const regBefore = await listProfiles()
-          const fromId = regBefore.activeId
           const target = await setActiveProfile(id)
-          let cred = { saved: false, restored: false, needsLogin: false }
-          if (fromId !== target.id) {
-            try {
-              cred = await swapCredentials({
-                fromId,
-                toId: target.id,
-                logger: ctx.logger,
-              })
-            } catch (err) {
-              // スワップ失敗 (Keychain ACL 拒否等) でも切替自体は続行する。
-              // この場合 Keychain には切替前のトークンが残るため、その旨を返す。
-              ctx.logger.warn(
-                { err: err?.message || String(err), from: fromId, to: target.id },
-                "credential swap failed; keychain may still hold previous account",
-              )
-              cred = { saved: false, restored: false, needsLogin: false, error: err?.message }
-            }
-          }
           applyActiveProfileEnv(target, ctx.logger)
           await syncTmuxProfileEnv(target, ctx.logger)
           // 全セッションを撤去 (frontend は exit 通知でセッション一覧をリロードする)。
@@ -3928,6 +3911,11 @@ async function dispatch(msg, ctx) {
           ctx.claudeBridge?.shutdown()
           // tmux TUI セッションも旧アカウントのまま残さない: kill → 同名・同 cwd で再作成。
           const tmuxResult = await restartAllTmuxSessionsForProfileSwitch(ctx)
+          // 切替先の config ディレクトリに認証情報が無ければ要ログイン (バッジ/案内用)。
+          const hasCreds = isKeychainPlatform()
+            ? await profileHasKeychainCredentials(target.configDir)
+            : await hasFileCredentials(target.configDir)
+          const needsLogin = !hasCreds
           ctx.logger.info(
             {
               profile_id: target.id,
@@ -3935,9 +3923,7 @@ async function dispatch(msg, ctx) {
               tmux_killed: tmuxResult.killed.length,
               tmux_recreated: tmuxResult.recreated.length,
               tmux_failed: tmuxResult.failed.length,
-              cred_saved: cred.saved,
-              cred_restored: cred.restored,
-              needs_login: cred.needsLogin,
+              needs_login: needsLogin,
             },
             "claude profile switched; all sessions reaped",
           )
@@ -3954,13 +3940,12 @@ async function dispatch(msg, ctx) {
             },
             reaped: before,
             tmux_restarted: tmuxResult.recreated.length,
-            needs_login: !!cred.needsLogin,
-            login_command: cred.needsLogin
+            needs_login: needsLogin,
+            login_command: needsLogin
               ? isDefaultTarget
                 ? "claude"
                 : `CLAUDE_CONFIG_DIR=${target.configDir} claude`
               : undefined,
-            credential_error: cred.error || undefined,
           })
         } catch (err) {
           ctx.client.send({
@@ -4005,6 +3990,34 @@ async function dispatch(msg, ctx) {
         }
         return
       }
+      case "profile.rename": {
+        // プロファイルの表示ラベルのみ変更する。id・configDir・認証情報 (Keychain
+        // スロット / .credentials.json) には一切触れないため、切替や再ログインは不要。
+        // 既定プロファイルのラベルも変更可 (configDir は常に ~/.claude のまま)。
+        const id = msg.profile_id || msg.id || ""
+        try {
+          const updated = await renameProfile(id, msg.label)
+          ctx.client.send({
+            type: "profile.rename.result",
+            request_id: msg.request_id,
+            ok: true,
+            profile: {
+              id: updated.id,
+              label: updated.label,
+              config_dir: updated.configDir,
+            },
+          })
+        } catch (err) {
+          ctx.client.send({
+            type: "profile.rename.result",
+            request_id: msg.request_id,
+            ok: false,
+            profile_id: id,
+            error: err?.message || String(err),
+          })
+        }
+        return
+      }
       case "tmux.exec": {
         const args = Array.isArray(msg.args) ? msg.args : []
         const hookResult = await runHookChain(ctx.plugins, "interceptTmuxExec", {

package/src/profiles.mjs

@@ -169,6 +169,26 @@ export async function setActiveProfile(id) {
   return target
 }
 
+/**
+ * プロファイルの表示ラベルを変更する。id・configDir・認証情報には一切触れない。
+ * 既定 (プライマリ) プロファイルのラベルも変更可能で、saveRegistry が defaultLabel
+ * として永続化する (configDir は常に `~/.claude` のまま = ディレクトリは動かさない)。
+ *
+ * @param {string} id 対象プロファイルの id (既定は "default")
+ * @param {string} label 新しいラベル (前後空白を除去。空文字列は不可)
+ * @returns {Promise<{id:string,label:string,configDir:string}>} 更新後のプロファイル
+ */
+export async function renameProfile(id, label) {
+  const trimmed = typeof label === "string" ? label.trim() : ""
+  if (!trimmed) throw new Error("label must be a non-empty string")
+  const reg = await loadRegistry()
+  const target = reg.profiles.find((p) => p.id === id)
+  if (!target) throw new Error(`unknown profile: ${id}`)
+  target.label = trimmed
+  await saveRegistry(reg)
+  return { id: target.id, label: target.label, configDir: target.configDir }
+}
+
 /** 次の連番 ID (既存の数値 id の最大 +1、最低 1)。 */
 function nextNumericId(profiles) {
   let max = 0