@cocorograph/hub-agent 0.8.83 → 0.8.84

package/src/tmux.mjs

@@ -1,36 +1,16 @@
-/**
- * tmux サブプロセス呼び出し抽象 (Sprint E)。
- *
- * - `listSessions()`: 構造化された TmuxSession[] を返す。各 session に
- *   status (state.mjs の detectSessionState) と cwd (active pane の current_path)
- *   を並列で付与
- * - `createSession(name, cwd, opts)`: detached new-session。既定では pane に CLI
- *   (claude / codex) を起動せず素のシェルのまま置く。`HUB_AGENT_TMUX_LAUNCH_CLI=1`
- *   のときだけ従来どおり CLAUDE_CMD / CODEX_CMD を send-keys する。既存ならエラー throw
- * - `killSession(name)`: 1 session を kill。存在しない場合は 'session not found' throw
- * - `killManySessions(names)`: 複数 kill、存在しないものは無視
- *
- * 移植元: D00000_cockpit/webapp/lib/tmux.ts
- * 仕様書: ナレッジ/インフラ/cockpit-hub-hosted-integration-spec (id=6080)
- */
+/** Worktree の作成・列挙・削除とチャット行の名前正規化。 */
 import { execFile } from "node:child_process"
 import fs from "node:fs/promises"
 import os from "node:os"
 import path from "node:path"
 import { promisify } from "node:util"
 
-import { expandTilde, hubProjectsBase, prepareChatWorkspace } from "./chat-workspace.mjs"
+import { expandTilde, hubProjectsBase } from "./chat-workspace.mjs"
 export { expandTilde, isUnderHubProjectsBase, projectInstructionDir } from "./chat-workspace.mjs"
-import { detectSessionState, getSessionCwd } from "./state.mjs"
-import { shouldLaunchPaneCli } from "./pane-cli-flag.mjs"
-import { baseSessionName, cliKindForSessionName, sessionNameFor } from "./session-names.mjs"
-import { boundSessionId, getSessionUsages, isFreshUnboundBind, jsonlContextForCwd } from "./usage.mjs"
-import { quotePosixShellArg, requireCodexBinary } from "./codex-binary.mjs"
+import { baseSessionName } from "./session-names.mjs"
 
 const execFileP = promisify(execFile)
 
-const DEFAULT_TMUX_BIN = "tmux"
-
 export function sanitizeTmuxName(s) {
   return s.replace(/[.:]/g, "-")
 }
@@ -260,8 +240,8 @@ async function inspectWorktreeDirty(wtPath) {
 }
 
 /**
- * `git worktree remove --force <wtPath>` を実行する。事前に live tmux session が
- * あれば kill する。cockpit `worktree.remove` ハンドラから呼ばれる。
+ * `git worktree remove --force <wtPath>` を実行する。事前に会話へ停止要求を出す。
+ * cockpit `worktree.remove` ハンドラから呼ばれる。
  *
  * - name から path を解決するには buildWorktreeIndex で fs を走査する (path 検証も兼ねる)
  * - HUB_PROJECTS_BASE 配下に居ない path は拒否 (path traversal 防止)
@@ -271,7 +251,7 @@ async function inspectWorktreeDirty(wtPath) {
  * - 未コミットの変更等で git remove 自体が失敗した場合はそのエラーを上位に投げる
  *
  * @param {string} name
- * @param {{ force?: boolean, tmuxBin?: string, stopSessions?: (wtPath: string) => Promise<number> }} [opts]
+ * @param {{ force?: boolean, stopSessions?: (wtPath: string) => Promise<number> }} [opts]
  *   `stopSessions` は **dirty 判定を通過したあと・dir を消す前**に 1 回だけ呼ばれる
  *   (**停止 API を呼んだ**本数を返す。止まったこと・終了したことの確認は行わない——本文の
  *   コメント参照)。投げた場合は削除へ進まない。
@@ -308,7 +288,7 @@ export async function removeWorktree(name, opts = {}) {
 
   // ⚠️ dir を消す前に、この worktree を cwd とする **会話**へ停止要求を出す (ユーザー決定
   // 「会話を止めてから削除」)。会話の実体が tmux から離れたので、止める対象もセッションでは
-  // なく会話になる (下の tmux kill が同じ理由で存在する)。stopSessions が投げたらここで
+  // なく会話になる。stopSessions が投げたらここで
   // 中断し、dir は消さない。
   //
   // ⚠️ ここが保証するのは「**対象の停止 API を呼んだこと**」だけで、「止まったこと」でも
@@ -327,31 +307,6 @@ export async function removeWorktree(name, opts = {}) {
   const stopRequestedSessions =
     typeof opts.stopSessions === "function" ? (await opts.stopSessions(resolved)) || 0 : 0
 
-  // 走行中の session があれば kill。T05945: 同一 worktree に claude (`<wt>`) と codex
-  // (`<wt>__codex`) の 2 セッションが並びうるため、両方を kill してから dir を消す
-  // (片方が残ったまま dir を消すと、生存セッションの cwd が消滅した状態になる)。
-  for (const target of [
-    sessionNameFor(sanitized, "claude"),
-    sessionNameFor(sanitized, "codex"),
-  ]) {
-    try {
-      // `-t =<target>` で完全一致を強制 (T06593)。claude 名 `<wt>` は codex 名
-      // `<wt>__codex` の前方一致になるため、素の `-t` だと claude 不在時に
-      // claude kill が codex を先に巻き込んでしまう (ここでは両方 kill するので
-      // 結果は同じだが、意図した順序で確実に対象を kill するため exact に揃える)。
-      await execFileP(tmuxBin(opts), ["kill-session", "-t", `=${target}`])
-    } catch (err) {
-      const msg = err?.message || String(err)
-      // session 不在は正常 (停止済みの worktree を消すパス / 片方の CLI しか起動していない)
-      if (
-        !msg.includes("can't find session") &&
-        !msg.includes("no current session") &&
-        !msg.includes("no server running")
-      ) {
-        throw err
-      }
-    }
-  }
   // 親 repo を解決し `git -C <parent> worktree remove --force <wtPath>` を実行
   const wtSegment = path.join(".claude", "worktrees", path.basename(resolved))
   const parentRepo = resolved.endsWith(wtSegment)
@@ -449,674 +404,3 @@ export async function listWorktreeNameHistory(workspaceDir) {
   out.sort((a, b) => b.last_used - a.last_used)
   return out
 }
-
-/**
- * Claude CLI コマンドを組み立てる。
- *
- * 優先順:
- *   1. Hub から配信された agent 設定 (opts.model / opts.permissionMode)
- *      - cockpit 管理画面で設定 → enrollment / heartbeat で配信
- *   2. 環境変数 `HUB_CLAUDE_CMD`
- *      - shell startup file 等で各人が自由にカスタマイズ
- *   3. 最小デフォルト `claude --continue || claude`
- *      - Claude Code 標準デフォルト (model / mode 共に Claude 側に委ねる)
- *
- * `--model` / `--permission-mode` を hard-code しない理由:
- *   - model は個人の好み (Opus / Sonnet / Haiku) で分かれる
- *   - `--permission-mode auto` は Team プラン限定機能で、個人プランでは
- *     "Allowed choices are acceptEdits, ..." と CLI が拒否する事故 (2026-05-20 葛西)
- */
-export function buildClaudeCmd(opts = {}) {
-  const fromHub = composeClaudeCmdFromOptions(opts)
-  if (fromHub) return fromHub
-  if (process.env.HUB_CLAUDE_CMD) return process.env.HUB_CLAUDE_CMD
-  return "claude --continue || claude"
-}
-
-/**
- * agent 設定 (model / permissionMode) から claude コマンド文字列を組み立てる。
- * いずれも null / 空文字なら未指定とみなし、両方未指定なら null を返す
- * (上位で環境変数 / デフォルトにフォールバック)。
- */
-export function composeClaudeCmdFromOptions(opts = {}) {
-  const model = (opts.model || "").trim()
-  const mode = (opts.permissionMode || "").trim()
-  if (!model && !mode) return null
-  const flags = []
-  if (model) flags.push(`--model ${model}`)
-  if (mode) flags.push(`--permission-mode ${mode}`)
-  const tail = flags.join(" ")
-  return `claude --continue ${tail} || claude ${tail}`.replace(/\s+/g, " ").trim()
-}
-
-const DEFAULT_CLAUDE_CMD = buildClaudeCmd()
-
-// 判定の実体は ./pane-cli-flag.mjs (state.mjs との循環 import を避けるため分離)。
-// ここからの re-export は後方互換 (既存の `from "./tmux.mjs"` を壊さない)。
-export { shouldLaunchPaneCli }
-
-function tmuxBin(opts = {}) {
-  return opts.tmuxBin || DEFAULT_TMUX_BIN
-}
-
-/**
- * pane CLI に渡す initialPrompt の危険な制御文字を拒否する。
- * 対話入力として必要な tab (HT) / LF / CR は許可する。
- */
-export function validateInitialPrompt(initialPrompt) {
-  if (
-    typeof initialPrompt === "string" &&
-    /[\x00-\x08\x0b\x0c\x0e-\x1f\x7f]/.test(initialPrompt)
-  ) {
-    throw new Error("initialPrompt contains unsupported control characters")
-  }
-}
-
-/**
- * claudeCmd の各セグメント末尾に initialPrompt を shell-safe quoting で
- * 末尾引数として注入する。
- *
- * `cmd1 || cmd2` のように `||` で連結された OR 構造の両側に同じ prompt を
- * 埋め込むため、`||` で split して各セグメント末尾に追加する。
- * 旧実装は `--permission-mode auto` を marker として正規表現マッチしていたが、
- * model / permission-mode が個人ごとに変わる前提で marker 非依存に変更した。
- *
- * POSIX shell の単一 argv として quote し、`$()` / backtick 等を展開させない。
- */
-export function injectInitialPrompt(claudeCmd, initialPrompt) {
-  if (!initialPrompt || typeof initialPrompt !== "string") return claudeCmd
-  validateInitialPrompt(initialPrompt)
-  if (typeof claudeCmd !== "string" || claudeCmd.length === 0) return claudeCmd
-  const quoted = quotePosixShellArg(initialPrompt)
-  return claudeCmd
-    .split("||")
-    .map((part) => `${part.trim()} ${quoted}`)
-    .join(" || ")
-}
-
-/**
- * claudeCmd の各セグメント先頭に `CLAUDE_CONFIG_DIR=<dir>` の環境変数代入を注入する。
- *
- * WHY: tmux pane のシェルは tmux サーバーの環境を引き継ぐため、hub-agent が
- * process.env.CLAUDE_CONFIG_DIR を切り替えても send-keys で起動する claude には
- * 伝わらない (SDK 経由のチャットセッションにしか効かない)。アカウント・
- * プロファイル切替を TUI セッションにも効かせるため、コマンド文字列自体に
- * 代入プレフィックスを焼き込む。`a || b` の OR 構造では代入が最初のコマンドに
- * しか効かないため、injectInitialPrompt と同様に `||` で split して両側に付ける。
- *
- * configDir が空 (= 既定プロファイル) のときは何もしない。
- *
- * ⚠️ この関数は **CLI を pane 起動するときだけ** 使われる
- * (`HUB_AGENT_TMUX_LAUNCH_CLI=1`)。素のシェルの pane へは setTmuxGlobalEnv の
- * `set-environment -g` 経由で CLAUDE_CONFIG_DIR が渡る。
- */
-export function injectConfigDirEnv(claudeCmd, configDir) {
-  if (!configDir || typeof configDir !== "string") return claudeCmd
-  if (typeof claudeCmd !== "string" || claudeCmd.length === 0) return claudeCmd
-  const assignment = `CLAUDE_CONFIG_DIR=${quotePosixShellArg(configDir)}`
-  return claudeCmd
-    .split("||")
-    .map((part) => `${assignment} ${part.trim()}`)
-    .join(" || ")
-}
-
-/**
- * tmux サーバーのグローバル環境変数を設定/解除する。
- * pane は既定で素のシェルなので、ユーザーが pane 内で手動起動する claude / codex に
- * CLAUDE_CONFIG_DIR (CODEX_HOME) を届ける **主経路** がこれ。
- * (CLI を pane 起動する `HUB_AGENT_TMUX_LAUNCH_CLI=1` のときだけ、
- *  injectConfigDirEnv のコマンド焼き込みが併用される)。
- * value が null/undefined なら unset (-gu)。tmux サーバー未起動などの失敗は握り潰す。
- */
-export async function setTmuxGlobalEnv(name, value, opts = {}) {
-  const args =
-    value == null
-      ? ["set-environment", "-gu", name]
-      : ["set-environment", "-g", name, value]
-  try {
-    await execFileP(tmuxBin(opts), args)
-    return true
-  } catch (err) {
-    opts.logger?.debug?.(
-      { name, err: err?.message || String(err) },
-      "tmux set-environment failed (server not running?)",
-    )
-    return false
-  }
-}
-
-// P1 (重複排除): cwd 取得は state.mjs の getSessionCwd (キャッシュ付き) を共用する。
-// 旧 tmux.mjs 私有実装は display-message を毎回 spawn しており、state loop の
-// listSessionStates と list_sessions が別キャッシュ無しで二重 fork していた。
-
-const TMUX_LIST_FIELDS = [
-  "#{session_name}",
-  "#{session_windows}",
-  "#{session_created}",
-  "#{session_attached}",
-  "#{session_activity}",
-  "#{session_last_attached}",
-].join("\t")
-
-export async function listSessions(opts = {}) {
-  let stdout = ""
-  try {
-    const r = await execFileP(tmuxBin(opts), [
-      "list-sessions",
-      "-F",
-      TMUX_LIST_FIELDS,
-    ])
-    stdout = r.stdout
-  } catch (err) {
-    const msg = err?.message || String(err)
-    if (msg.includes("no server running") || msg.includes("no current session")) {
-      return []
-    }
-    throw err
-  }
-
-  const base = stdout
-    .split("\n")
-    .filter((line) => line.trim().length > 0)
-    .map((line) => {
-      const [name, windows, created, attached, activity, lastAttached] = line.split("\t")
-      return {
-        name,
-        windows: Number(windows),
-        created: Number(created),
-        attached: attached !== "0",
-        activity: Number(activity) || 0,
-        lastAttached: Number(lastAttached) || 0,
-      }
-    })
-
-  // state + cwd + worktree 親判定 + statusLine 由来 context% を並列付与
-  // statusLine の `used_percentage` を context_pct (USED %) として使う。
-  // pane 解析 (state.detectSessionState) はフォーマット変動に脆いので、
-  // statusLine cache がある cwd では優先採用する。
-  const [wtParentMap, sessionUsages] = await Promise.all([
-    opts.worktreeIndex instanceof Map
-      ? Promise.resolve(
-          new Map(
-            [...opts.worktreeIndex].map(([name, info]) => [
-              name,
-              info.parent_session_name,
-            ]),
-          ),
-        )
-      : buildWorktreeParentMap(),
-    getSessionUsages().catch(() => []),
-  ])
-  // cwd → context_pct の lookup (同一 cwd で複数 session_id ある場合は最新 mtime 優先)
-  const ctxByCwd = new Map()
-  for (const u of sessionUsages) {
-    const prev = ctxByCwd.get(u.cwd)
-    if (!prev || u.updatedAtMs > prev.updatedAtMs) {
-      ctxByCwd.set(u.cwd, { contextPercent: u.contextPercent, updatedAtMs: u.updatedAtMs })
-    }
-  }
-
-  return Promise.all(
-    base.map(async (s) => {
-      const [state, cwd] = await Promise.all([
-        detectSessionState(s.name, opts),
-        getSessionCwd(s.name, opts),
-      ])
-      // context% (USED %) は以下の順で採用する:
-      //  1. jsonl per-cwd で「`/clear` 直後 (uuid 変化) かつ新 jsonl に応答未着」
-      //     と確定したら 0% を即採用 (= リセット最速反映)。statusLine cache は
-      //     前セッションの値を抱えたまま居座り、次のプロンプトまで更新されない。
-      //  2. それ以外は statusLine cache (USED %) を最優先 (claude 公式値)。
-      //  3. statusLine が無ければ jsonl per-cwd の末尾 assistant.usage 由来 %。
-      //  4. それも無ければ pane scrape の正規表現フォールバック。
-      const fromStatusLine = cwd ? ctxByCwd.get(cwd)?.contextPercent : null
-      // bound session があればその jsonl で context% を引く (cwd dir の別セッション jsonl の取り違え回避)。
-      // TUI bind (opts.boundSessions, tmux セッション名キー) を優先し、無ければ SDK チャット
-      // (claudeBridge, cwd キー) のライブセッションへフォールバックする。チャットモードには
-      // tmux 上の bind 台帳が無いため、これが無いと cold-start (session.state snapshot 未取得)
-      // の poll 応答で cwd の別アクティビティ jsonl を「最新」と取り違える cross-activity 汚染が
-      // 起き得る (2026-07 発覚。TUI 版は本行の boundSessions 解決で既に根治済みだった)。
-      // Codex 行には Claude の bind / live ID 由来の使用率を載せない。
-      // 代表会話の値は送信側の readRowChatState に委ねる。
-      const allowClaudeUsage = cliKindForSessionName(s.name) !== "codex"
-      const boundValue = allowClaudeUsage ? opts.boundSessions?.get(s.name) : null
-      const freshUnbound = isFreshUnboundBind(boundValue)
-      const boundId = allowClaudeUsage ? (
-        boundSessionId(opts.boundSessions, s.name) ||
-        (cwd && opts.claudeBridge?.liveSessionIdForCwd?.(cwd)) ||
-        null
-      ) : null
-      // cwd だけでは同じリポジトリで並走する別 Claude / subagent / 過去会話を区別できない。
-      // bound ID が無い状態で statusLine/jsonl の「cwd 最新値」を使うと、再起動後や未オープンの
-      // tmux セッションへ別会話の 98〜100% が混入する。実際に値の帰属先を示せる bound session
-      // がある場合だけ per-session cache を採用し、無ければ capture-pane の当該行由来値 (または
-      // null) に留める。null は「不明」であり、他会話の数値を表示するより正しい。
-      const hasBoundSession = typeof boundId === "string" && boundId.length > 0
-      const jsonlInfo = hasBoundSession && cwd ? await jsonlContextForCwd(cwd, boundId) : null
-      const context_pct =
-        freshUnbound
-          ? 0
-          : jsonlInfo?.isReset && typeof jsonlInfo.percent === "number"
-          ? jsonlInfo.percent
-          : hasBoundSession && typeof fromStatusLine === "number"
-            ? fromStatusLine
-            : typeof jsonlInfo?.percent === "number"
-              ? jsonlInfo.percent
-              : state.context_pct
-      return {
-        ...s,
-        status: state.status,
-        context_pct,
-        cwd,
-        // T05945: worktree の親解決はベース名で行う (`<wt>__codex` も `<wt>` と同じ親配下)。
-        // これをしないと codex の worktree セッションが親を失い「その他 (workspace 未登録)」へ
-        // 落ちる。
-        parent_session_name: wtParentMap.get(baseSessionName(s.name)) || null,
-      }
-    }),
-  )
-}
-
-export async function killSession(name, opts = {}) {
-  try {
-    // `-t =<name>` で完全一致を強制 (T06593)。素の `-t <name>` は前方一致するため、
-    // claude セッション `<dir>` を kill しようとして claude が不在だと codex
-    // `<dir>__codex` に誤ヒットして codex を巻き込み kill してしまう。
-    await execFileP(tmuxBin(opts), ["kill-session", "-t", `=${name}`])
-  } catch (err) {
-    const msg = err?.message || String(err)
-    if (
-      msg.includes("can't find session") ||
-      msg.includes("no current session") ||
-      msg.includes("no server running")
-    ) {
-      throw new Error("session not found")
-    }
-    throw err
-  }
-}
-
-export async function killManySessions(names, opts = {}) {
-  const killed = []
-  const failed = []
-  for (const n of names) {
-    try {
-      await killSession(n, opts)
-      killed.push(n)
-    } catch (err) {
-      const msg = err?.message || String(err)
-      if (msg === "session not found") continue
-      failed.push({ name: n, reason: msg })
-    }
-  }
-  return { killed, failed }
-}
-
-/**
- * 新規 session を detached で作成する。
- *
- * ⚠️ **既定では pane に CLI (claude / codex) を起動しない**（pane は素のシェルのまま）。
- * Cockpit の通常運用はチャットモードで、pane の TUI は誰も見ないまま常駐して
- * メモリを食うだけだったため (詳細は `pane-cli-flag.mjs` の shouldLaunchPaneCli の JSDoc)。
- * `HUB_AGENT_TMUX_LAUNCH_CLI=1` のときだけ従来どおり CLI を send-keys する。
- *
- * - 同名 session が既にあれば 'duplicate session' throw
- * - CLAUDE.md / AGENTS.md の生成・Hub 同期、cwd 自動作成、mouse mode 設定は
- *   **CLI を起動するかどうかに関わらず**常に行う（素のシェルでも必要なため）
- * - 以下は CLI を起動するときだけ意味を持つので、起動時のみ評価される:
- *   opts.claudeCmd / opts.codexCmd / opts.cliKind / opts.claudeConfigDir /
- *   opts.codexHome / opts.initialPrompt / model・sandbox 等の codex フラグ
- * - opts.initialPrompt は CLI 起動時に位置引数として末尾へ shell-safe に埋め込まれ、
- *   TUI の初回プロンプトとして実行される (`/orchestrate` 等のスキル発火に利用)
- */
-export async function createSession(name, cwd, opts = {}) {
-  const launchPaneCli = shouldLaunchPaneCli()
-  if (launchPaneCli) validateInitialPrompt(opts.initialPrompt)
-  // tmux は `-c` をシェル展開しないため、ここで `~` を絶対パスに展開する。
-  // 展開後の cwd は同名引数で以降の検証 / tmux に渡す。
-  const resolvedCwd = expandTilde(cwd)
-  // resolver 失敗時に workspace 作成・Hub 同期・tmux 作成の副作用を残さない。
-  const prebuiltCodexBaseCmd =
-    launchPaneCli && opts.cliKind === "codex"
-      ? opts.codexCmd ?? buildCodexCmd(opts)
-      : null
-  await prepareChatWorkspace({ ...opts, cwd: resolvedCwd, session: name })
-  // 既存チェック
-  // ⚠️ `-t =<name>` で完全一致を強制する。tmux の `-t <name>` は「完全一致 →
-  // 先頭一致(prefix) → fnmatch」の順で解決するため、素の `-t <name>` だと
-  // claude セッション `<dir>` の重複チェックが codex セッション `<dir>__codex`
-  // (claude 名を接頭辞に含む) に**前方一致**して false positive の "duplicate
-  // session" を投げ、codex 稼働時に claude が起動できなくなる (T06593)。
-  try {
-    await execFileP(tmuxBin(opts), ["has-session", "-t", `=${name}`])
-    throw new Error("duplicate session")
-  } catch (err) {
-    const msg = err?.message || String(err)
-    if (msg === "duplicate session") throw err
-    // has-session が非 0 = セッション無し
-  }
-  await execFileP(tmuxBin(opts), ["new-session", "-d", "-s", name, "-c", resolvedCwd])
-  // mouse mode を ON にする (スマホの touch swipe → SGR wheel escape を
-  // tmux が copy-mode スクロールとして拾えるようにするため)。tmux 2.1+ で `mouse`
-  // option は session-scoped、`-t <session>` 指定で他 session への副作用なし。
-  try {
-    await execFileP(tmuxBin(opts), ["set-option", "-t", name, "mouse", "on"])
-  } catch (err) {
-    opts.logger?.warn?.(
-      { session: name, err: err?.message || String(err) },
-      "tmux set-option mouse on failed (cockpit touch scroll may not work in this session)",
-    )
-  }
-  // 起動直後 pane の current_path を確認し、想定 cwd と異なれば WARN ログを残す
-  // (Phase 3: 任意検証。tmux 側のクオート / 権限問題で fallback した場合を検知する)
-  if (opts.logger) {
-    try {
-      const { stdout } = await execFileP(tmuxBin(opts), [
-        "display-message",
-        "-p",
-        "-t",
-        `${name}:`,
-        "-F",
-        "#{pane_current_path}",
-      ])
-      const actual = (stdout || "").trim()
-      if (actual && actual !== resolvedCwd) {
-        opts.logger.warn(
-          { session: name, requested: resolvedCwd, actual },
-          "tmux pane cwd differs from requested cwd",
-        )
-      }
-    } catch {
-      // display-message 失敗は致命的でないので飲み込む
-    }
-  }
-  // 既定では pane を素のシェルのまま残す (CLI は起動しない)。ここから下は
-  // HUB_AGENT_TMUX_LAUNCH_CLI=1 のときだけ走る。
-  //
-  // 素のシェルでも必要な処理 (cwd 解決・CLAUDE.md 生成/同期・mouse mode) は上で
-  // 済ませてある。CLAUDE_CONFIG_DIR / CODEX_HOME も、pane で手動起動したときに
-  // 効くよう main.mjs の syncTmuxProfileEnv / syncTmuxCodexEnv が
-  // `tmux set-environment -g` でサーバーのグローバル環境へ流し込んでいるため、
-  // ここでコマンド文字列に焼き込む必要があるのは CLI を起動する場合だけ。
-  if (!launchPaneCli) {
-    opts.logger?.debug?.(
-      { session: name, cwd: resolvedCwd },
-      "pane CLI launch skipped (set HUB_AGENT_TMUX_LAUNCH_CLI=1 to enable)",
-    )
-    return
-  }
-  // cliKind に応じて claude / codex いずれの CLI を pane で起動するか分岐する。
-  // 既定は claude（後方互換）。initialPrompt はどちらも位置引数として末尾注入する
-  // (claude "<p>" / codex "<p>" / codex resume <id> "<p>" いずれも [PROMPT] を受ける)。
-  const launchCmd =
-    opts.cliKind === "codex"
-      ? injectInitialPrompt(
-          injectCodexHomeEnv(
-            prebuiltCodexBaseCmd,
-            opts.codexHome ?? process.env.CODEX_HOME ?? null,
-          ),
-          opts.initialPrompt,
-        )
-      : injectInitialPrompt(
-          // アカウント・プロファイル切替 (CLAUDE_CONFIG_DIR) を TUI セッションにも効かせる。
-          // applyActiveProfileEnv が process.env を最新に保つため、既定では env から拾う。
-          injectConfigDirEnv(
-            opts.claudeCmd ?? DEFAULT_CLAUDE_CMD,
-            opts.claudeConfigDir ?? process.env.CLAUDE_CONFIG_DIR ?? null,
-          ),
-          opts.initialPrompt,
-        )
-  if (launchCmd) {
-    await execFileP(tmuxBin(opts), ["send-keys", "-t", name, launchCmd, "Enter"])
-  }
-}
-
-/** session_id として安全な形だけ許可する (send-keys へ流すためコマンド注入を防ぐ)。
- *  Claude の session_id は UUID (ASCII 英数 + ハイフン) なので、それ以外は弾く。 */
-export function isSafeSessionId(sessionId) {
-  return typeof sessionId === "string" && /^[A-Za-z0-9_-]{8,128}$/.test(sessionId)
-}
-
-/** tmux セッション名として安全な形だけ許可する。`-t <name>` の引数に流すため、先頭ハイフン
- *  (フラグ誤認) や予期せぬ文字を弾く。agent が作るセッション名は英数・`_`・`-`・`.` のみ。 */
-export function isSafeSessionName(name) {
-  return typeof name === "string" && /^[A-Za-z0-9_][A-Za-z0-9_.-]{0,127}$/.test(name)
-}
-
-/** bracketed paste マーカーと貼り付け確定の待ち時間 (pasteToSessionByName 用)。 */
-const PASTE_START = "\x1b[200~"
-const PASTE_END = "\x1b[201~"
-const PASTE_CONFIRM_DELAY_MS = 120
-
-// ---------------------------------------------------------------------------
-// Codex CLI 起動コマンドビルダ (claude 版と同形の純粋関数)
-//
-// 設計メモ:
-//   - codex の対話起動フラグ (v0.142.x 実機確認): `-m/--model` / `-s/--sandbox`
-//     {read-only|workspace-write|danger-full-access} / `-a/--ask-for-approval`
-//     {untrusted|on-request|never} / `-C/--cd` / `-p/--profile`。
-//   - 値は安全なトークン (モデル名・enum) を前提に bare で並べる (claude 版と同方針)。
-//   - codex は claude の `--continue` のような **cwd スコープ継続を持たない**
-//     (rollout は ~/.codex/sessions/Y/M/D に日付シャードで保存され cwd 非依存)。
-//     そのため既定は fresh 起動とし、継続は明示 session_id で resume する。
-//   - アカウント/プロファイル切替は CLAUDE_CONFIG_DIR に対応する `CODEX_HOME` の
-//     ディレクトリ切替で行う (injectCodexHomeEnv)。
-// ---------------------------------------------------------------------------
-
-/**
- * Cockpit Codex 両対応 Stream A5（2026-07-02 実機検証で確定、中村さん明示承認済み）:
- * Codex は hooks.json の各 hook エントリごとに `~/.codex/config.toml` の
- * `[hooks.state]` へ SHA256 ハッシュを信頼登録しないと発火しない（Claude の
- * settings.json hooks には無い追加の信頼レイヤー）。実機確認: 未信頼の新規 hook を
- * hooks.json に足して `codex exec` を実行したところ、既存の信頼済み hook は発火
- * したが新規 hook はエラーも出さず無言でスキップされた。hub-agent が配信する
- * バンドル hook は Hub という唯一の管理された配信元から来る
- * （`--dangerously-bypass-hook-trust` のヘルプ文言そのまま
- * 「automation that already vets hook sources」に該当）ため、常時このフラグを
- * 付与する（中村さん承認: 「常に --dangerously-bypass-hook-trust フラグを付与して、
- * 全部信用登録なしでOK」）。`HUB_CODEX_BYPASS_HOOK_TRUST=0` で無効化可能
- * （対話的な信頼プロンプトに戻したい場合の避難ハッチ）。
- * @returns {string} 空文字 (無効時) または `"--dangerously-bypass-hook-trust"`
- */
-function codexHookTrustBypassFlag() {
-  return process.env.HUB_CODEX_BYPASS_HOOK_TRUST !== "0" ? "--dangerously-bypass-hook-trust" : ""
-}
-
-function codexShellBinary(opts = {}) {
-  const resolver = opts._resolveCodexBinary || requireCodexBinary
-  const resolved = resolver()
-  if (!resolved?.available || !resolved.path) {
-    throw new Error(resolved?.error || "codex CLI is unavailable")
-  }
-  return quotePosixShellArg(resolved.path)
-}
-
-/**
- * agent 設定から codex 起動 flags を組み立てる (純粋関数)。
- * model / sandbox / approvalPolicy / effort のうち指定されたものだけを並べ、
- * 先頭に常時 `--dangerously-bypass-hook-trust` を付与する
- * （`codexHookTrustBypassFlag` 参照。無効時は付与しない）。
- * @param {{model?:string,sandbox?:string,approvalPolicy?:string,effort?:string}} [opts]
- * @returns {string}
- */
-export function composeCodexFlags(opts = {}) {
-  const model = (opts.model || "").trim()
-  const sandbox = (opts.sandbox || "").trim()
-  const approval = (opts.approvalPolicy || "").trim()
-  const effort = (opts.effort || "").trim()
-  const flags = []
-  const bypass = codexHookTrustBypassFlag()
-  if (bypass) flags.push(bypass)
-  if (model) flags.push(`--model ${model}`)
-  if (sandbox) flags.push(`--sandbox ${sandbox}`)
-  if (approval) flags.push(`--ask-for-approval ${approval}`)
-  // effort はフラグが無いため -c 設定上書きで渡す (TOML 解析失敗時は raw 文字列)。
-  if (effort) flags.push(`-c model_reasoning_effort=${effort}`)
-  return flags.join(" ")
-}
-
-/**
- * codex 既定起動コマンド (claude の buildClaudeCmd 相当)。
- * hub オプション (model/sandbox/approval/effort) があれば反映、無ければ
- * HUB_CODEX_CMD 環境変数、どちらも無ければ共通 resolver の実行ファイル。
- * ⚠️ hub オプション有無に関わらず `--dangerously-bypass-hook-trust` は常時付与する
- * （hub オプション判定と bypass flag 判定を分離しているため、HUB_CODEX_CMD
- * 分岐を選んでも bypass flag は付く。詳細は `codexHookTrustBypassFlag` 参照）。
- * @param {{model?:string,sandbox?:string,approvalPolicy?:string,effort?:string}} [opts]
- * @returns {string}
- */
-export function buildCodexCmd(opts = {}) {
-  const model = (opts.model || "").trim()
-  const sandbox = (opts.sandbox || "").trim()
-  const approval = (opts.approvalPolicy || "").trim()
-  const effort = (opts.effort || "").trim()
-  const hasHubOptions = !!(model || sandbox || approval || effort)
-  const bypass = codexHookTrustBypassFlag()
-
-  if (hasHubOptions) {
-    const flags = composeCodexFlags(opts)
-    return `${codexShellBinary(opts)} ${flags}`.trim()
-  }
-  if (process.env.HUB_CODEX_CMD) {
-    return `${process.env.HUB_CODEX_CMD}${bypass ? ` ${bypass}` : ""}`.trim()
-  }
-  const codex = codexShellBinary(opts)
-  return bypass ? `${codex} ${bypass}` : codex
-}
-
-/**
- * まっさらな新規 codex セッション起動用コマンド (純粋関数)。
- * resume を付けないので codex は新しい rollout で起動する。
- * @param {{model?:string,sandbox?:string,approvalPolicy?:string,effort?:string}} [opts]
- * @returns {string}
- */
-export function buildCodexFreshCmd(opts = {}) {
-  const flags = composeCodexFlags(opts)
-  const codex = codexShellBinary(opts)
-  return `${codex}${flags ? " " + flags : ""}`.trim()
-}
-
-/**
- * TUI 載せ替え用の `codex resume <id> [flags]` コマンド (純粋関数)。
- * session_id を明示 resume することで表示と書込の rollout を一致させる。
- * @param {string} sessionId codex セッション id (UUID 等)
- * @param {{model?:string,sandbox?:string,approvalPolicy?:string,effort?:string}} [opts]
- * @returns {string}
- * @throws session_id が安全形でなければ throw (コマンド注入防止)
- */
-export function buildCodexResumeCmd(sessionId, opts = {}) {
-  if (!isSafeSessionId(sessionId)) {
-    throw new Error(`unsafe session_id for codex resume: ${String(sessionId)}`)
-  }
-  const flags = composeCodexFlags(opts)
-  const codex = codexShellBinary(opts)
-  return `${codex} resume ${sessionId}${flags ? " " + flags : ""}`.trim()
-}
-
-/**
- * codexCmd の各セグメント先頭に `CODEX_HOME=<dir>` 環境変数代入を注入する
- * (claude の injectConfigDirEnv 相当)。codexHome が空なら何もしない。
- * @param {string} codexCmd
- * @param {string} codexHome
- * @returns {string}
- */
-export function injectCodexHomeEnv(codexCmd, codexHome) {
-  if (!codexHome || typeof codexHome !== "string") return codexCmd
-  if (typeof codexCmd !== "string" || codexCmd.length === 0) return codexCmd
-  const assignment = `CODEX_HOME=${quotePosixShellArg(codexHome)}`
-  return codexCmd
-    .split("||")
-    .map((part) => `${assignment} ${part.trim()}`)
-    .join(" || ")
-}
-
-const _delay = (ms) => new Promise((r) => setTimeout(r, ms))
-
-/**
- * 離席中キュー投入: 送信待ちメッセージ 1 件を、ブラウザがそのセッションのターミナルを
- * マウントしていなくても tmux send-keys で対話 claude TUI へ投入する (案A の agent 側実体)。
- *
- * resumeWithMessage は改行を空白へ畳む単一行用 (誤確定防止) でチャット本文の複数行を壊すため、
- * こちらは **bracketed paste** (ESC[200~ … ESC[201~) で本文を「貼り付け」として送り、改行を
- * 保ったまま入力欄へ入れてから、確定の Enter (CR) を別途送る。これは frontend の通常送信
- * (`\x1b[200~${text}\x1b[201~` → CR) と同じ手順を agent 側で再現したもの。tmux send-keys
- * で直接ペインへ届くので、ブラウザ側が何も開いていなくても投入できる。
- *
- * @param {string} name tmux セッション名
- * @param {string} text 投入する本文 (複数行可)
- * @param {{logger?:object,tmuxBin?:string}} [opts]
- * @returns {Promise<{ok:boolean, error?:string}>}
- */
-export async function pasteToSessionByName(name, text, opts = {}) {
-  const bin = tmuxBin(opts)
-  const body = String(text ?? "")
-  if (!body) return { ok: false, error: "empty paste text" }
-  if (!isSafeSessionName(name)) return { ok: false, error: "unsafe session name" }
-  try {
-    // copy-mode 等に入っているとキーが奪われるので先に抜ける (cyclePermission と同じ防御)。
-    try {
-      await execFileP(bin, ["send-keys", "-t", name, "-X", "cancel"])
-    } catch {
-      /* copy-mode でなければ "not in a mode" エラー = 無視 */
-    }
-    // bracketed paste の開始/終了マーカーと本文を literal (-l) で送る。改行を含む本文も
-    // 「貼り付け」として扱われ、Claude TUI は改行で確定しない (CR を別送するまで未確定)。
-    await execFileP(bin, ["send-keys", "-t", name, "-l", PASTE_START])
-    await execFileP(bin, ["send-keys", "-t", name, "-l", body])
-    await execFileP(bin, ["send-keys", "-t", name, "-l", PASTE_END])
-    // 貼り付けが入力欄へ反映される猶予を置いてから確定 (CR を本文より先着させない)。
-    await _delay(PASTE_CONFIRM_DELAY_MS)
-    await execFileP(bin, ["send-keys", "-t", name, "Enter"])
-    opts.logger?.info(
-      { session: name, len: body.length },
-      "tui queue flush: pasted queued message (headless)",
-    )
-    return { ok: true }
-  } catch (err) {
-    opts.logger?.warn(
-      { session: name, err: err?.message },
-      "pasteToSessionByName failed",
-    )
-    return { ok: false, error: err?.message || String(err) }
-  }
-}
-
-/**
- * pane_current_command から claude プロセスの生存を 3 値で返す (T2)。
- *
- * T2 (`scanTurnActive` の tool_use 末尾クラッシュ判定) は「claude が確実に死んだ ('dead')
- * ときだけ active=false に倒し、判定不能 ('unknown') / 生存 ('alive') では active を維持する」
- * 設計。判定不能を false (= 死んだ扱い) に倒す 2 値版だと、tmux 失敗 → 誤って idle 化
- * = 偽陰性増加 = 中断後の長時間ツール中ペインを灰化させてしまうため、3 値で返す。
- *
- * 3 値の意味:
- *   - 'dead'    : pane の前景がシェル (fish/bash/zsh/sh/dash/tmux/login) = claude プロセス
- *                 突然死 (中断マーカー無しの crash) でシェルに戻った確証あり
- *   - 'alive'   : pane の前景がシェル以外 (claude / claude.exe / node 等) = 生存
- *   - 'unknown' : tmux 失敗 / 空出力 = 判定不能 = 安全側で active 維持に倒す
- *
- * 命名 (`AliveOrUnknown`) は呼び出し側で「3 値である」ことを明示するため。
- *
- * @param {string} name
- * @param {{ tmux?: string }} [opts]
- * @returns {Promise<'alive' | 'dead' | 'unknown'>}
- */
-export async function paneClaudeAliveOrUnknown(name, opts = {}) {
-  if (!name) return "unknown"
-  try {
-    const { stdout } = await execFileP(tmuxBin(opts), [
-      "display-message",
-      "-p",
-      "-t",
-      `${name}:`,
-      "-F",
-      "#{pane_current_command}",
-    ])
-    const cmd = (stdout || "").trim().toLowerCase()
-    if (!cmd) return "unknown"
-    const SHELLS = new Set(["fish", "bash", "zsh", "sh", "dash", "tmux", "login"])
-    return SHELLS.has(cmd) ? "dead" : "alive"
-  } catch {
-    return "unknown"
-  }
-}