@cocorograph/hub-agent 0.8.109 → 0.8.111

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@cocorograph/hub-agent",
-  "version": "0.8.109",
+  "version": "0.8.111",
   "description": "Hub Hosted Cockpit のローカル常駐 agent。Hub と outbound WSS で接続し、ローカルの Claude / Codex チャットと tmux セッションを中継する。",
   "type": "module",
   "license": "UNLICENSED",

package/src/claude-history.mjs

@@ -714,7 +714,7 @@ export async function deleteSession({
 }
 
 /** 親の取得窓内の背景依頼だけに、直接の子 transcript を結合する。 */
-async function attachBackgroundSubagentHistory(filePath, { result, requests }) {
+async function attachBackgroundSubagentHistory(filePath, { result, requests }, timing) {
   if (requests.size === 0) return result
   const subagentsDir = path.join(filePath.slice(0, -".jsonl".length), "subagents")
   let names
@@ -730,6 +730,7 @@ async function attachBackgroundSubagentHistory(filePath, { result, requests }) {
       const meta = JSON.parse(await readFile(path.join(subagentsDir, name), "utf-8"))
       const toolUseId = meta?.toolUseId
       if (typeof toolUseId !== "string" || !toolUseId || !requests.has(toolUseId)) continue
+      if (timing) timing.subagent_files++
       const text = await readFile(path.join(subagentsDir, name.replace(/\.meta\.json$/, ".jsonl")), "utf-8")
       // 子は実行中にも読まれるので、追記途中の「未完の末尾行」だけは捨てて完成済みの行を残す。
       // ⚠️ 途中の行が壊れている場合は子ごと捨てる。壊れた行が tool_use だと、後続の tool_result を
@@ -760,6 +761,7 @@ async function attachBackgroundSubagentHistory(filePath, { result, requests }) {
       const index = requests.get(toolUseId)
       if (!children.has(index)) children.set(index, [])
       for (const event of events) children.get(index).push(event)
+      if (timing) timing.subagent_events += events.length
     } catch {
       // 不完全な meta / transcript は推定で紐付けず、その子だけスキップする。
     }
@@ -785,7 +787,27 @@ async function attachBackgroundSubagentHistory(filePath, { result, requests }) {
  * @param {{maxLines?: number, logger?: import('pino').Logger}} [opts]
  * @returns {Promise<{events: object[], total_lines: number, truncated: boolean}>}
  */
-export async function readSessionHistory(filePath, { maxLines = MAX_HISTORY_LINES, logger } = {}) {
+// timing は呼び出しごとの出力先。キャッシュと返却ペイロードには保存しない。
+export async function readSessionHistory(filePath, { maxLines = MAX_HISTORY_LINES, logger, timing } = {}) {
+  const started = performance.now()
+  if (timing) Object.assign(timing, { cache_hit: false, parent_ms: 0, subagent_ms: 0, subagent_files: 0, subagent_events: 0, tag_ms: 0 })
+  const attach = async (parent) => {
+    if (timing) timing.parent_ms = performance.now() - started
+    const subagentStarted = performance.now()
+    try {
+      return await attachBackgroundSubagentHistory(filePath, parent, timing)
+    } finally {
+      if (timing) timing.subagent_ms = performance.now() - subagentStarted
+    }
+  }
+  try {
+    return await readParentSessionHistory(filePath, { maxLines, logger, timing, attach })
+  } finally {
+    if (timing && timing.subagent_ms === 0) timing.parent_ms = performance.now() - started
+  }
+}
+
+async function readParentSessionHistory(filePath, { maxLines, logger, timing, attach }) {
   // stat は readFile よりずっと軽い (メタデータのみ)。mtimeMs+size が前回と同じなら
   // ファイル内容も同じとみなし、以降の readFile + 全行 parse をまるごとスキップする。
   let st
@@ -799,7 +821,10 @@ export async function readSessionHistory(filePath, { maxLines = MAX_HISTORY_LINE
     throw err
   }
   const cached = getHydrateCache(filePath, st.mtimeMs, st.size, maxLines)
-  if (cached) return attachBackgroundSubagentHistory(filePath, cached)
+  if (cached) {
+    if (timing) timing.cache_hit = true
+    return attach(cached)
+  }
 
   const readStarted = performance.now()
   let text
@@ -867,7 +892,7 @@ export async function readSessionHistory(filePath, { maxLines = MAX_HISTORY_LINE
   const result = { events, total_lines, truncated }
   const parent = { result, requests }
   setHydrateCache(filePath, st.mtimeMs, st.size, maxLines, parent)
-  return attachBackgroundSubagentHistory(filePath, parent)
+  return attach(parent)
 }
 
 /**
@@ -876,16 +901,22 @@ export async function readSessionHistory(filePath, { maxLines = MAX_HISTORY_LINE
  *
  * @param {{cwd: string, session_id: string, maxLines?: number, projectsRoot?: string, logger?: import('pino').Logger}} args
  */
-export async function fetchSessionHistory({ cwd, session_id, maxLines, projectsRoot, logger }) {
+export async function fetchSessionHistory({ cwd, session_id, maxLines, projectsRoot, logger, timing }) {
   if (!cwd || !session_id) {
     return { events: [], total_lines: 0, truncated: false, error: "missing_cwd_or_session_id" }
   }
   const filePath = jsonlPath({ cwd, session_id, projectsRoot })
   try {
-    const result = await readSessionHistory(filePath, { maxLines, logger })
+    const result = await readSessionHistory(filePath, { maxLines, logger, timing })
     // 連携カード種別 (Phase 2 永続化): 注入 user メッセージへ source を付け直す (hydrateCache は
     // filePath キーで cwd を持たないため、cwd を持つここでタグ付けする。クローンで cache 非破壊)。
-    const events = await tagHistoryInjectSources(result.events, cwd)
+    const tagStarted = performance.now()
+    let events
+    try {
+      events = await tagHistoryInjectSources(result.events, cwd)
+    } finally {
+      if (timing) timing.tag_ms = performance.now() - tagStarted
+    }
     return { ...result, events, file_path: filePath }
   } catch (err) {
     return {

package/src/hub-bundle.mjs

@@ -330,22 +330,48 @@ export function hasInheritedOutputChild() {
   return inheritedOutputChildren > 0
 }
 
-function runOnce(argv, { logger } = {}) {
+export function runOnce(argv, { logger, redact = [] } = {}) {
+  const secrets = redact.filter((value) => value.length > 0).sort((a, b) => b.length - a.length)
+  const pattern = secrets.length
+    ? new RegExp(secrets.map(_escapeRegExp).join("|"), "g")
+    : null
+  const sanitize = (value) => pattern ? value.replace(pattern, "***") : value
+  const safeError = (err) => pattern ? new Error(sanitize(err.message)) : err
   return new Promise((resolve, reject) => {
     const [bin, ...args] = argv
-    inheritedOutputChildren++
+    const cmd = sanitize(argv.join(" "))
+    if (!pattern) inheritedOutputChildren++
     let released = false
     const release = () => {
       if (released) return
       released = true
-      inheritedOutputChildren--
+      if (!pattern) inheritedOutputChildren--
     }
     let child
     try {
-      child = spawn(bin, args, { stdio: "inherit" })
+      child = spawn(bin, args, { stdio: pattern ? ["inherit", "pipe", "pipe"] : "inherit" })
     } catch (err) {
       release()
-      throw err
+      throw safeError(err)
+    }
+    // close を待って全バイトを結合し、チャンク境界（UTF-8 の途中を含む）での漏出を防ぐ。
+    // 上限を超えたら収集済みも捨てて読み捨てに切り替える（途中で切ると資格の断片が残りうるため、
+    // 部分表示はしない）。pipe は close まで drain し続け、子を書き込み待ちで止めない。
+    const captured = { stdout: { chunks: [], bytes: 0, overflow: false }, stderr: { chunks: [], bytes: 0, overflow: false } }
+    if (pattern) {
+      for (const name of ["stdout", "stderr"]) {
+        const buf = captured[name]
+        child[name].on("data", (chunk) => {
+          if (buf.overflow) return
+          buf.bytes += chunk.length
+          if (buf.bytes > REDACTED_OUTPUT_MAX_BYTES) {
+            buf.overflow = true
+            buf.chunks = []
+            return
+          }
+          buf.chunks.push(chunk)
+        })
+      }
     }
     // spawn 失敗 (ENOENT 等) は exit が来ないことがある。error でも必ず settle させ、
     // bundle 同期を未完了のまま残さない (resolve/reject は最初の 1 回だけ有効)。
@@ -355,22 +381,54 @@ function runOnce(argv, { logger } = {}) {
     }
     child.once("error", (err) => {
       release()
-      reject(err)
-      safeLog("warn", { cmd: argv.join(" "), error: err.message }, "hub-bundle post_install failed")
+      reject(safeError(err))
+      safeLog("warn", { cmd, error: sanitize(err.message) }, "hub-bundle post_install failed")
     })
-    child.on("exit", (code) => {
+    child.on(pattern ? "close" : "exit", (code) => {
       release()
+      // 先に settle する。転送先の障害（ENOSPC / EPIPE 等）でコマンドの成否を変えない。
       if (code === 0) {
         resolve(code)
-        safeLog("info", { cmd: argv.join(" ") }, "hub-bundle post_install ok")
       } else {
-        reject(new Error(`post_install command failed (exit ${code}): ${argv.join(" ")}`))
-        safeLog("warn", { cmd: argv.join(" "), code }, "hub-bundle post_install failed")
+        reject(new Error(`post_install command failed (exit ${code}): ${cmd}`))
+      }
+      if (pattern) {
+        for (const name of ["stdout", "stderr"]) {
+          const buf = captured[name]
+          const text = buf.overflow
+            ? `[hub-agent] 出力が ${REDACTED_OUTPUT_MAX_BYTES} バイトを超えたため省略しました\n`
+            : sanitize(Buffer.concat(buf.chunks).toString("utf8"))
+          if (text) forwardRedactedOutput(process[name], text)
+        }
+      }
+      if (code === 0) {
+        safeLog("info", { cmd }, "hub-bundle post_install ok")
+      } else {
+        safeLog("warn", { cmd, code }, "hub-bundle post_install failed")
       }
     })
   })
 }
 
+// 伏せ字済み出力の 1 ストリームあたりの収集上限。claude mcp add の通常出力は数百バイト。
+const REDACTED_OUTPUT_MAX_BYTES = 1024 * 1024
+
+// 伏せ字済み出力を親の stdout / stderr へ書く。書き込み失敗は診断出力の欠落として扱い、
+// 同期例外も非同期の error も外へ出さない。error listener はこの書き込みの間だけ付け、
+// 共有ストリームの他のエラーを恒久的に握り潰さない。
+function forwardRedactedOutput(stream, text) {
+  const onError = () => {}
+  stream.on("error", onError)
+  try {
+    stream.write(text, () => {
+      // callback 後に error が emit される実装があるため、1 tick 置いてから外す。
+      setImmediate(() => stream.removeListener("error", onError))
+    })
+  } catch {
+    stream.removeListener("error", onError)
+  }
+}
+
 /**
  * Bundle response の `mcp_servers` を Claude Code CLI に登録する。
  *
@@ -474,7 +532,7 @@ export async function applyMcpServers(
           // 未登録 → remove は失敗するが正常系。
         }
       }
-      await run(argv, { logger })
+      await run(argv, wantHeader ? { logger, redact: [agentToken] } : { logger })
       added.push(s.name)
     } catch (err) {
       // ヘッダ不要の外部 MCP は既存なら "already exists" で失敗する。これは「既に正しく

package/src/main.mjs

@@ -2627,6 +2627,125 @@ export function handleClaudeChatInput(msg, ctx) {
   return p
 }
 
+export async function handleClaudeHistoryRequest(msg, ctx, {
+  resolveFn = resolveProjectsRoot,
+  fetchHistoryFn = fetchSessionHistory,
+} = {}) {
+  const timing = createHistoryDeliveryTiming()
+  let payload
+  let sendOk = false
+  try {
+    // Sprint G 0.6.1: ~/.claude/projects/<cwd-encoded>/<session_id>.jsonl を読んで
+    // 過去メッセージを返す。ChatView の re-mount 時の UI 復元用。
+    // stream_id は per-stream routing のため必須 (browser 側 stream に紐付ける)。
+    const stream_id = msg.stream_id
+    const cwd = msg.cwd || ""
+    const session_id = msg.session_id || ""
+    const maxLines = typeof msg.max_lines === "number" ? msg.max_lines : undefined
+    // Read-plane 案C ①: 読む projects/ は **リクエストの profile_id** から解決する
+    // (アカウント別に履歴がサイロ化されており、env 由来の active に頼ると切替中の
+    // in-flight read が別アカウントの履歴を返す)。profile_id 未指定は active へ縮退。
+    const epoch = typeof msg.epoch === "number" ? msg.epoch : undefined
+    const { projectsRoot, profileId } = await timeHistoryPhase(timing, "resolve_ms", () => resolveFn(msg.profile_id))
+    const result = await timeHistoryPhase(timing, "fetch_ms", () => fetchHistoryFn({
+      cwd,
+      session_id,
+      maxLines,
+      projectsRoot,
+      logger: ctx.logger,
+      timing,
+    }))
+    payload = result
+    // ⚠️ **観測窓を必ずどこかから読む**。タスク終端通知の封筒検査は、Claude CLI が
+    // ラッパー・タグ順・空白を変えると正当な通知まで落とし、**幽霊カードが静かに戻る**。
+    // 誰も読まないカウンタは「対策した気になるだけの飾り」になる (バンドル自己更新の
+    // 通知で発火率 0 の検査を残していた前例あり)。件数だけを出す (中身は伏せ字を
+    // 素通りするので絶対に出さない)。
+    const envelopeDrops = drainTaskNotificationEnvelopeDrops()
+    if (envelopeDrops > 0) {
+      try {
+        ctx.logger?.info?.(
+          { drops: envelopeDrops },
+          "history: task-notification の封筒検査で合成しなかった行があります (CLI の形式変更なら通知の復元が効かなくなります)",
+        )
+      } catch {
+        // ログ失敗でも応答を送る。
+      }
+    }
+    sendOk = ctx.client.send({
+      type: "claude.history.response",
+      stream_id,
+      session_id,
+      // SDK-P0-4 (2026-07-13): 要求時の cwd をエコーバックする。claude.sessions.response は
+      // 元から cwd を載せており frontend が cwd 照合で「別ワークスペース宛の遅延応答」を
+      // 捨てられるのに、history.response だけ cwd が無く照合材料が存在しなかった。
+      // その結果、無条件 hydrate → session_id 上書き → 購読スワップ → localStorage 汚染の
+      // 経路が残っていた (sessionScope.ts が stream_id 主軸で守るのは relay イベントのみ)。
+      cwd,
+      // 案C ②: epoch と解決済み profile を必ずエコーする。frontend の単一 read ゲートは
+      // この 2 つで「今の問いへの最新の答えか」を判定し、stale/逆順/別プロファイルを drop する。
+      epoch,
+      profile_id: profileId,
+      events: result.events,
+      total_lines: result.total_lines,
+      truncated: result.truncated,
+      error: result.error,
+    })
+  } finally {
+    logHistoryDelivery(ctx, "request", msg.stream_id, timing, payload, sendOk)
+  }
+}
+
+export function createHistoryDeliveryTiming() {
+  return {
+    started_at: Date.now(), started: performance.now(), resolve_ms: 0, fetch_ms: 0,
+    cache_hit: false, parent_ms: 0, subagent_ms: 0, subagent_files: 0,
+    subagent_events: 0, tag_ms: 0, has_error: false,
+  }
+}
+
+async function timeHistoryPhase(timing, field, run) {
+  const started = performance.now()
+  try {
+    return await run()
+  } catch (err) {
+    timing.has_error = true
+    throw err
+  } finally {
+    timing[field] = performance.now() - started
+  }
+}
+
+function logHistoryDelivery(ctx, via, stream_id, timing, payload, sendOk) {
+  try {
+    // 明示的な allowlist: 本文・パス・error 文字列をログへ流さない。
+    ctx.logger?.info?.({
+      via, stream_id, started_at: timing.started_at,
+      resolve_ms: timing.resolve_ms, fetch_ms: timing.fetch_ms,
+      cache_hit: timing.cache_hit, parent_ms: timing.parent_ms,
+      subagent_ms: timing.subagent_ms, subagent_files: timing.subagent_files,
+      subagent_events: timing.subagent_events, tag_ms: timing.tag_ms,
+      events: payload?.events?.length || 0, total_lines: payload?.total_lines || 0,
+      truncated: payload?.truncated === true, send_ok: Boolean(sendOk),
+      ws_buffered: ctx.client.bufferedAmount ?? null,
+      total_ms: performance.now() - timing.started,
+      has_error: Boolean(timing.has_error || payload?.error != null),
+    }, "claude history delivery timing")
+  } catch {
+    // 計測失敗で履歴配信を壊さない。
+  }
+}
+
+export function sendClaudeAttachHistory(ctx, stream_id, payload, timing) {
+  if (!payload) return
+  let sendOk = false
+  try {
+    sendOk = ctx.client.send({ ...payload, stream_id })
+  } finally {
+    logHistoryDelivery(ctx, "push", stream_id, timing, payload, sendOk)
+  }
+}
+
 /**
  * claude.attach の ready 直後にpushする履歴を組み立てる。
  * Browserからの claude.history.request 往復を省くため、resume時だけ先回りして読む。
@@ -2654,6 +2773,7 @@ export async function loadClaudeAttachHistory({
   logger,
   resolved,
   fetchHistoryFn = fetchSessionHistory,
+  timing = createHistoryDeliveryTiming(),
 }) {
   if (!cwd || !sessionId) return null
   const profileId = resolved?.profileId
@@ -2667,13 +2787,14 @@ export async function loadClaudeAttachHistory({
     const projectsRoot = resolved
       ? resolved.projectsRoot
       : await getActiveProjectsRoot()
-    const result = await fetchHistoryFn({
+    const result = await timeHistoryPhase(timing, "fetch_ms", () => fetchHistoryFn({
       cwd,
       session_id: sessionId,
       maxLines: 500,
       projectsRoot,
       logger,
-    })
+      timing,
+    }))
     return withProfile({
       type: "claude.history.response",
       session_id: sessionId,
@@ -2721,11 +2842,12 @@ export function buildAttachHistoryPromise({
   profileId,
   resolveFn = resolveProjectsRoot,
   loadFn = loadClaudeAttachHistory,
+  timing = createHistoryDeliveryTiming(),
 }) {
   if (!resumeSessionId) return Promise.resolve(null)
-  return resolveFn(profileId)
+  return timeHistoryPhase(timing, "resolve_ms", () => resolveFn(profileId))
     .then((resolved) =>
-      loadFn({ cwd, sessionId: resumeSessionId, logger, resolved }),
+      loadFn({ cwd, sessionId: resumeSessionId, logger, resolved, timing }),
     )
     .catch((err) => ({
       type: "claude.history.response",
@@ -3432,7 +3554,9 @@ export async function dispatch(msg, ctx) {
           // 案C ①/major1/nit2/公開前 major: 履歴 push を attach/ready から独立させる。
           // resolveProjectsRoot を attach の直列 await/try に載せない (解決失敗で attach ごと
           // 落とさない・ready を遅らせない)。詳細は buildAttachHistoryPromise の doc 参照。
+          const historyTiming = createHistoryDeliveryTiming()
           const historyPromise = buildAttachHistoryPromise({
+            timing: historyTiming,
             resumeSessionId,
             cwd: cwdArg || process.env.HOME || process.cwd(),
             logger: ctx.logger,
@@ -3468,7 +3592,7 @@ export async function dispatch(msg, ctx) {
           // 同一接続のpermission/input等まで停止するため、readyの同期送信後は非同期でpushする。
           void historyPromise
             .then((pushedHistory) => {
-              if (pushedHistory) ctx.client.send({ ...pushedHistory, stream_id })
+              sendClaudeAttachHistory(ctx, stream_id, pushedHistory, historyTiming)
             })
             .catch((err) => {
               ctx.logger?.warn?.(
@@ -4137,56 +4261,7 @@ export async function dispatch(msg, ctx) {
         return
       }
       case "claude.history.request": {
-        // Sprint G 0.6.1: ~/.claude/projects/<cwd-encoded>/<session_id>.jsonl を読んで
-        // 過去メッセージを返す。ChatView の re-mount 時の UI 復元用。
-        // stream_id は per-stream routing のため必須 (browser 側 stream に紐付ける)。
-        const stream_id = msg.stream_id
-        const cwd = msg.cwd || ""
-        const session_id = msg.session_id || ""
-        const maxLines = typeof msg.max_lines === "number" ? msg.max_lines : undefined
-        // Read-plane 案C ①: 読む projects/ は **リクエストの profile_id** から解決する
-        // (アカウント別に履歴がサイロ化されており、env 由来の active に頼ると切替中の
-        // in-flight read が別アカウントの履歴を返す)。profile_id 未指定は active へ縮退。
-        const epoch = typeof msg.epoch === "number" ? msg.epoch : undefined
-        const { projectsRoot, profileId } = await resolveProjectsRoot(msg.profile_id)
-        const result = await fetchSessionHistory({
-          cwd,
-          session_id,
-          maxLines,
-          projectsRoot,
-          logger: ctx.logger,
-        })
-        // ⚠️ **観測窓を必ずどこかから読む**。タスク終端通知の封筒検査は、Claude CLI が
-        // ラッパー・タグ順・空白を変えると正当な通知まで落とし、**幽霊カードが静かに戻る**。
-        // 誰も読まないカウンタは「対策した気になるだけの飾り」になる (バンドル自己更新の
-        // 通知で発火率 0 の検査を残していた前例あり)。件数だけを出す (中身は伏せ字を
-        // 素通りするので絶対に出さない)。
-        const envelopeDrops = drainTaskNotificationEnvelopeDrops()
-        if (envelopeDrops > 0) {
-          ctx.logger?.info?.(
-            { drops: envelopeDrops },
-            "history: task-notification の封筒検査で合成しなかった行があります (CLI の形式変更なら通知の復元が効かなくなります)",
-          )
-        }
-        ctx.client.send({
-          type: "claude.history.response",
-          stream_id,
-          session_id,
-          // SDK-P0-4 (2026-07-13): 要求時の cwd をエコーバックする。claude.sessions.response は
-          // 元から cwd を載せており frontend が cwd 照合で「別ワークスペース宛の遅延応答」を
-          // 捨てられるのに、history.response だけ cwd が無く照合材料が存在しなかった。
-          // その結果、無条件 hydrate → session_id 上書き → 購読スワップ → localStorage 汚染の
-          // 経路が残っていた (sessionScope.ts が stream_id 主軸で守るのは relay イベントのみ)。
-          cwd,
-          // 案C ②: epoch と解決済み profile を必ずエコーする。frontend の単一 read ゲートは
-          // この 2 つで「今の問いへの最新の答えか」を判定し、stale/逆順/別プロファイルを drop する。
-          epoch,
-          profile_id: profileId,
-          events: result.events,
-          total_lines: result.total_lines,
-          truncated: result.truncated,
-          error: result.error,
-        })
+        await handleClaudeHistoryRequest(msg, ctx)
         return
       }
       case "claude.sessions.request": {

package/src/ws-client.mjs

@@ -111,6 +111,10 @@ function isEphemeralCodexDeltaEvent(obj) {
 }
 
 export class WsClient extends EventEmitter {
+  get bufferedAmount() {
+    return this.ws?.readyState === WebSocket.OPEN ? this.ws.bufferedAmount : null
+  }
+
   /**
    * @param {{ hub_url: string, agent_id: string, agent_token: string }} config
    * @param {{