@cocorograph/hub-agent 0.8.68 → 0.8.69

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@cocorograph/hub-agent",
-  "version": "0.8.68",
+  "version": "0.8.69",
   "description": "Hub Hosted Cockpit のローカル常駐 agent。Hub と outbound WSS で接続し、ローカルの Claude / Codex チャットと tmux セッションを中継する。",
   "type": "module",
   "license": "UNLICENSED",

package/scripts/install.ps1

@@ -266,11 +266,42 @@ function Register-BootTask($distro, $user) {
   Write-Ok "Logon task '$TASK_NAME' registered (keeps WSL distro alive)"
 }
 
+# Quote a value as ONE POSIX-shell word, so a quote inside it cannot end the
+# quoting and turn the rest of the value into shell syntax. `'` becomes `'\''`
+# (close, escaped quote, reopen): o'hare -> 'o'\''hare'.
+#
+# WARNING: this is bash quoting only. Do NOT reuse it for the PowerShell that
+# Register-BootTask generates -- that text is parsed by PowerShell, not by a shell,
+# and these escapes would be passed through literally.
+function ConvertTo-BashSingleQuoted($value) {
+  return "'" + (([string]$value) -replace "'", "'\''") + "'"
+}
+
 # Run the existing install.sh inside WSL.
+#
+# NOTE: do NOT use `curl ... | bash` here. A pipeline's exit status is the LAST
+# command's, so curl failing (DNS, 404, proxy) still leaves $LASTEXITCODE at 0 and
+# the guard below can never fire. That is exactly how this stayed broken: every run
+# printed "[OK] Setup complete" while install.sh had not run at all (2026-09-09).
+# Downloading to a file first makes curl's failure propagate through `&&`, and makes
+# $LASTEXITCODE install.sh's own exit code. It also keeps install.sh's stdin free
+# instead of handing it the script text.
+#
+# The EXIT trap removes the temp file when the run is interrupted. That one trap is
+# enough: a bash waiting on a foreground job handles SIGTERM after that job returns,
+# and exits through the normal path, so the EXIT trap runs and the exit code stays
+# non-zero. WARNING: do NOT add `trap ... TERM` on top of it. A TERM trap that only
+# cleans up and returns makes bash exit 0, i.e. a killed run would be reported as
+# success -- the very failure mode fixed above (both measured 2026-09-10, bash 5.2.21).
 function Invoke-WslInstaller($distro, $user) {
   Write-Step "Setting up hub-agent inside WSL (existing install.sh)"
   $tok = if ($Token) { $Token } else { "" }
-  $inner = "curl -fsSL '$INSTALL_SH' | HUB_AGENT_TOKEN='$tok' HUB_AGENT_URL='$HubUrl' bash"
+  # Single-quoted here so $t stays literal for bash; '' is a literal quote.
+  # `|| exit 1` covers mktemp failing before there is anything to clean up.
+  $fmt = 't=$(mktemp) || exit 1; trap ''rm -f "$t"'' EXIT; curl -fsSL {0} -o "$t" && HUB_AGENT_TOKEN={1} HUB_AGENT_URL={2} bash "$t"'
+  $inner = $fmt -f (ConvertTo-BashSingleQuoted $INSTALL_SH),
+                   (ConvertTo-BashSingleQuoted $tok),
+                   (ConvertTo-BashSingleQuoted $HubUrl)
   wsl.exe -d $distro -u $user -- bash -lc $inner
   if ($LASTEXITCODE -ne 0) { throw "install.sh inside WSL failed (exit $LASTEXITCODE)" }
 }

package/scripts/install.sh

@@ -1443,12 +1443,26 @@ main() {
 }
 
 # このファイルが source されたか（実行されたか）を判定する。
-#   - `bash -c "$(curl ...)"` / `curl ... | bash` : BASH_SOURCE が空 → 実行
-#   - `bash install.sh` / `./install.sh`          : BASH_SOURCE[0] == $0 → 実行
-#   - `source install.sh`（test/install-sh.test.mjs）: BASH_SOURCE[0] != $0 → source
+#   - `bash -c "$(curl ...)"` / `curl ... | bash` / `bash -s`   : 実行
+#   - `bash install.sh` / `./install.sh`                        : 実行
+#   - `source install.sh`（test/install-sh.test.mjs）            : source
+#
+# ⚠️ `BASH_SOURCE[0]` と `$0` の比較で判定してはいけない。関数の中で見る
+# `BASH_SOURCE[0]` は「その関数が定義されたファイル」を指すが、標準入力から読ませた
+# ときの値は bash の版で割れる: bash 5.2 系は文字列 `main`、bash 3.2 / 5.3 は空。
+# 5.2 系では `main` != `bash` が成立して **source と誤判定**され、
+# `curl ... | bash` のワンライナーが main を呼ばずに無言・exit 0 で終わっていた
+# （2026-09-09 実測。Ubuntu 24.04 の 5.2.21 / Debian trixie の 5.2.37 で再現し、
+# macOS の 3.2.57 / 5.3.15 では再現しない。開発機だけで確かめると気づけない）。
+#
+# FUNCNAME はコールスタックで、bash は source したファイルのトップレベルを `source`
+# という枠として積む。したがってこの関数をトップレベルから呼ぶと、source されたときだけ
+# `FUNCNAME[1]` が `source` になる。3.2 / 5.2 / 5.3 のいずれでも一致する。
+# ⚠️ この関数は**トップレベルから直接呼ぶこと**。別の関数を挟むと `FUNCNAME[1]` が
+# その関数名になり、判定が壊れる。
 # 環境変数で切り替えると、変数が残ったシェルや CI でワンライナーが無言の no-op になるため使わない。
 _install_sh_is_sourced() {
-  [[ -n "${BASH_SOURCE[0]:-}" && "${BASH_SOURCE[0]}" != "$0" ]]
+  [[ "${FUNCNAME[1]:-}" == "source" ]]
 }
 
 if ! _install_sh_is_sourced; then