@elie-laloum/outpost 1.1.2 → 1.1.4

package/dist/providers/container-files.js

@@ -1,16 +1,105 @@
-import { mkdir } from "node:fs/promises";
-import { dirname, posix } from "node:path";
-export function containerFiles(call, name) {
+import { randomUUID } from "node:crypto";
+import { lstat, mkdir, mkdtemp } from "node:fs/promises";
+import { tmpdir } from "node:os";
+import { basename, dirname, join, posix, resolve } from "node:path";
+import { invariant, OutpostError } from "../domain/errors.js";
+import { quote } from "../infrastructure/process.js";
+import { copyTransfer, removeTransferDirectory, transferDestination, } from "../infrastructure/transfer-copy.js";
+import { transfer } from "../infrastructure/transfer.js";
+import { containerArchive } from "./container-archive.js";
+export function containerFiles(runtime, archive = containerArchive) {
+    const { call, name } = runtime;
     return {
-        async upload(source, destination, options = {}) {
-            options.signal?.throwIfAborted();
-            await call(["exec", name, "mkdir", "-p", posix.dirname(destination)], options);
-            await call(["cp", source, `${name}:${destination}`], options);
+        upload(source, destination, options = {}) {
+            return transfer(options, async (signal) => {
+                if (runtime.isClosed())
+                    throw new OutpostError("provider", "Container sandbox is closed");
+                const absolute = resolve(source);
+                const scratch = `/tmp/outpost-transfer-${randomUUID()}`;
+                const entry = basename(absolute);
+                invariant(entry, "Upload a directory's contents using a non-root path");
+                const contents = /[\\/]\.$/.test(source);
+                await call(["exec", name, "mkdir", "-m", "700", scratch], { signal });
+                try {
+                    await archive(runtime, {
+                        executable: "tar",
+                        arguments: ["-cf", "-", "-C", dirname(absolute), "--", entry],
+                    }, {
+                        executable: "tar",
+                        arguments: [
+                            "-xpf",
+                            "-",
+                            "--ignore-zeros",
+                            "--no-same-owner",
+                            "-C",
+                            scratch,
+                        ],
+                    }, true, signal);
+                    await call([
+                        "exec",
+                        name,
+                        "sh",
+                        "-c",
+                        `mkdir -p ${quote(posix.dirname(destination))} && cp -a -- ${quote(posix.join(scratch, entry) + (contents ? "/." : ""))} ${quote(destination)}`,
+                    ], { signal });
+                }
+                finally {
+                    await call([
+                        "exec",
+                        name,
+                        "sh",
+                        "-c",
+                        `chmod -R u+rwX ${quote(scratch)} && rm -rf -- ${quote(scratch)}`,
+                    ]);
+                }
+            });
         },
-        async download(source, destination, options = {}) {
-            options.signal?.throwIfAborted();
-            await mkdir(dirname(destination), { recursive: true });
-            await call(["cp", `${name}:${source}`, destination], options);
+        download(source, destination, options = {}) {
+            return transfer(options, async (signal) => {
+                if (runtime.isClosed())
+                    throw new OutpostError("provider", "Container sandbox is closed");
+                await transferDestination(destination);
+                const absolute = posix.resolve(runtime.root, source);
+                const entry = posix.basename(absolute);
+                invariant(entry, "Download a directory's contents using a non-root path");
+                const scratch = await mkdtemp(join(tmpdir(), "outpost-transfer-"));
+                try {
+                    await archive(runtime, {
+                        executable: "tar",
+                        arguments: [
+                            "-xpf",
+                            "-",
+                            "--ignore-zeros",
+                            "--no-same-owner",
+                            "-C",
+                            scratch,
+                        ],
+                    }, {
+                        executable: "tar",
+                        arguments: [
+                            "-cf",
+                            "-",
+                            "-C",
+                            posix.dirname(absolute),
+                            "--",
+                            entry,
+                        ],
+                    }, false, signal);
+                    const existing = await lstat(destination).catch((cause) => {
+                        if (cause.code === "ENOENT")
+                            return undefined;
+                        throw cause;
+                    });
+                    const target = existing?.isDirectory() && !source.endsWith("/.")
+                        ? join(destination, entry)
+                        : destination;
+                    await mkdir(dirname(target), { recursive: true });
+                    await copyTransfer(join(scratch, entry), target, signal);
+                }
+                finally {
+                    await removeTransferDirectory(scratch);
+                }
+            });
         },
     };
 }

package/dist/providers/container-files.js.map

@@ -1 +1 @@
-{"version":3,"file":"container-files.js","sourceRoot":"","sources":["../../src/providers/container-files.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,KAAK,EAAE,MAAM,kBAAkB,CAAC;AACzC,OAAO,EAAE,OAAO,EAAE,KAAK,EAAE,MAAM,WAAW,CAAC;AAI3C,MAAM,UAAU,cAAc,CAC5B,IAA8B,EAC9B,IAAY;IAEZ,OAAO;QACL,KAAK,CAAC,MAAM,CAAC,MAAM,EAAE,WAAW,EAAE,OAAO,GAAG,EAAE;YAC5C,OAAO,CAAC,MAAM,EAAE,cAAc,EAAE,CAAC;YACjC,MAAM,IAAI,CACR,CAAC,MAAM,EAAE,IAAI,EAAE,OAAO,EAAE,IAAI,EAAE,KAAK,CAAC,OAAO,CAAC,WAAW,CAAC,CAAC,EACzD,OAAO,CACR,CAAC;YACF,MAAM,IAAI,CAAC,CAAC,IAAI,EAAE,MAAM,EAAE,GAAG,IAAI,IAAI,WAAW,EAAE,CAAC,EAAE,OAAO,CAAC,CAAC;QAChE,CAAC;QACD,KAAK,CAAC,QAAQ,CAAC,MAAM,EAAE,WAAW,EAAE,OAAO,GAAG,EAAE;YAC9C,OAAO,CAAC,MAAM,EAAE,cAAc,EAAE,CAAC;YACjC,MAAM,KAAK,CAAC,OAAO,CAAC,WAAW,CAAC,EAAE,EAAE,SAAS,EAAE,IAAI,EAAE,CAAC,CAAC;YACvD,MAAM,IAAI,CAAC,CAAC,IAAI,EAAE,GAAG,IAAI,IAAI,MAAM,EAAE,EAAE,WAAW,CAAC,EAAE,OAAO,CAAC,CAAC;QAChE,CAAC;KACF,CAAC;AACJ,CAAC","sourcesContent":["import { mkdir } from \"node:fs/promises\";\nimport { dirname, posix } from \"node:path\";\nimport type { SandboxLease } from \"../domain/sandbox.types.ts\";\nimport type { ContainerRuntime } from \"./container.types.ts\";\n\nexport function containerFiles(\n  call: ContainerRuntime[\"call\"],\n  name: string,\n): Pick<SandboxLease, \"upload\" | \"download\"> {\n  return {\n    async upload(source, destination, options = {}) {\n      options.signal?.throwIfAborted();\n      await call(\n        [\"exec\", name, \"mkdir\", \"-p\", posix.dirname(destination)],\n        options,\n      );\n      await call([\"cp\", source, `${name}:${destination}`], options);\n    },\n    async download(source, destination, options = {}) {\n      options.signal?.throwIfAborted();\n      await mkdir(dirname(destination), { recursive: true });\n      await call([\"cp\", `${name}:${source}`, destination], options);\n    },\n  };\n}\n"]}
+{"version":3,"file":"container-files.js","sourceRoot":"","sources":["../../src/providers/container-files.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,UAAU,EAAE,MAAM,aAAa,CAAC;AACzC,OAAO,EAAE,KAAK,EAAE,KAAK,EAAE,OAAO,EAAE,MAAM,kBAAkB,CAAC;AACzD,OAAO,EAAE,MAAM,EAAE,MAAM,SAAS,CAAC;AACjC,OAAO,EAAE,QAAQ,EAAE,OAAO,EAAE,IAAI,EAAE,KAAK,EAAE,OAAO,EAAE,MAAM,WAAW,CAAC;AAEpE,OAAO,EAAE,SAAS,EAAE,YAAY,EAAE,MAAM,qBAAqB,CAAC;AAC9D,OAAO,EAAE,KAAK,EAAE,MAAM,8BAA8B,CAAC;AACrD,OAAO,EACL,YAAY,EACZ,uBAAuB,EACvB,mBAAmB,GACpB,MAAM,oCAAoC,CAAC;AAC5C,OAAO,EAAE,QAAQ,EAAE,MAAM,+BAA+B,CAAC;AACzD,OAAO,EAAE,gBAAgB,EAAE,MAAM,wBAAwB,CAAC;AAG1D,MAAM,UAAU,cAAc,CAC5B,OAAyB,EACzB,OAAO,GAAG,gBAAgB;IAE1B,MAAM,EAAE,IAAI,EAAE,IAAI,EAAE,GAAG,OAAO,CAAC;IAC/B,OAAO;QACL,MAAM,CAAC,MAAM,EAAE,WAAW,EAAE,OAAO,GAAG,EAAE;YACtC,OAAO,QAAQ,CAAC,OAAO,EAAE,KAAK,EAAE,MAAM,EAAE,EAAE;gBACxC,IAAI,OAAO,CAAC,QAAQ,EAAE;oBACpB,MAAM,IAAI,YAAY,CAAC,UAAU,EAAE,6BAA6B,CAAC,CAAC;gBACpE,MAAM,QAAQ,GAAG,OAAO,CAAC,MAAM,CAAC,CAAC;gBACjC,MAAM,OAAO,GAAG,yBAAyB,UAAU,EAAE,EAAE,CAAC;gBACxD,MAAM,KAAK,GAAG,QAAQ,CAAC,QAAQ,CAAC,CAAC;gBACjC,SAAS,CAAC,KAAK,EAAE,qDAAqD,CAAC,CAAC;gBACxE,MAAM,QAAQ,GAAG,UAAU,CAAC,IAAI,CAAC,MAAM,CAAC,CAAC;gBACzC,MAAM,IAAI,CAAC,CAAC,MAAM,EAAE,IAAI,EAAE,OAAO,EAAE,IAAI,EAAE,KAAK,EAAE,OAAO,CAAC,EAAE,EAAE,MAAM,EAAE,CAAC,CAAC;gBACtE,IAAI,CAAC;oBACH,MAAM,OAAO,CACX,OAAO,EACP;wBACE,UAAU,EAAE,KAAK;wBACjB,SAAS,EAAE,CAAC,KAAK,EAAE,GAAG,EAAE,IAAI,EAAE,OAAO,CAAC,QAAQ,CAAC,EAAE,IAAI,EAAE,KAAK,CAAC;qBAC9D,EACD;wBACE,UAAU,EAAE,KAAK;wBACjB,SAAS,EAAE;4BACT,MAAM;4BACN,GAAG;4BACH,gBAAgB;4BAChB,iBAAiB;4BACjB,IAAI;4BACJ,OAAO;yBACR;qBACF,EACD,IAAI,EACJ,MAAM,CACP,CAAC;oBACF,MAAM,IAAI,CACR;wBACE,MAAM;wBACN,IAAI;wBACJ,IAAI;wBACJ,IAAI;wBACJ,YAAY,KAAK,CAAC,KAAK,CAAC,OAAO,CAAC,WAAW,CAAC,CAAC,gBAAgB,KAAK,CAAC,KAAK,CAAC,IAAI,CAAC,OAAO,EAAE,KAAK,CAAC,GAAG,CAAC,QAAQ,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC,IAAI,KAAK,CAAC,WAAW,CAAC,EAAE;qBAChJ,EACD,EAAE,MAAM,EAAE,CACX,CAAC;gBACJ,CAAC;wBAAS,CAAC;oBACT,MAAM,IAAI,CAAC;wBACT,MAAM;wBACN,IAAI;wBACJ,IAAI;wBACJ,IAAI;wBACJ,kBAAkB,KAAK,CAAC,OAAO,CAAC,iBAAiB,KAAK,CAAC,OAAO,CAAC,EAAE;qBAClE,CAAC,CAAC;gBACL,CAAC;YACH,CAAC,CAAC,CAAC;QACL,CAAC;QACD,QAAQ,CAAC,MAAM,EAAE,WAAW,EAAE,OAAO,GAAG,EAAE;YACxC,OAAO,QAAQ,CAAC,OAAO,EAAE,KAAK,EAAE,MAAM,EAAE,EAAE;gBACxC,IAAI,OAAO,CAAC,QAAQ,EAAE;oBACpB,MAAM,IAAI,YAAY,CAAC,UAAU,EAAE,6BAA6B,CAAC,CAAC;gBACpE,MAAM,mBAAmB,CAAC,WAAW,CAAC,CAAC;gBACvC,MAAM,QAAQ,GAAG,KAAK,CAAC,OAAO,CAAC,OAAO,CAAC,IAAI,EAAE,MAAM,CAAC,CAAC;gBACrD,MAAM,KAAK,GAAG,KAAK,CAAC,QAAQ,CAAC,QAAQ,CAAC,CAAC;gBACvC,SAAS,CACP,KAAK,EACL,uDAAuD,CACxD,CAAC;gBACF,MAAM,OAAO,GAAG,MAAM,OAAO,CAAC,IAAI,CAAC,MAAM,EAAE,EAAE,mBAAmB,CAAC,CAAC,CAAC;gBACnE,IAAI,CAAC;oBACH,MAAM,OAAO,CACX,OAAO,EACP;wBACE,UAAU,EAAE,KAAK;wBACjB,SAAS,EAAE;4BACT,MAAM;4BACN,GAAG;4BACH,gBAAgB;4BAChB,iBAAiB;4BACjB,IAAI;4BACJ,OAAO;yBACR;qBACF,EACD;wBACE,UAAU,EAAE,KAAK;wBACjB,SAAS,EAAE;4BACT,KAAK;4BACL,GAAG;4BACH,IAAI;4BACJ,KAAK,CAAC,OAAO,CAAC,QAAQ,CAAC;4BACvB,IAAI;4BACJ,KAAK;yBACN;qBACF,EACD,KAAK,EACL,MAAM,CACP,CAAC;oBACF,MAAM,QAAQ,GAAG,MAAM,KAAK,CAAC,WAAW,CAAC,CAAC,KAAK,CAC7C,CAAC,KAA4B,EAAE,EAAE;wBAC/B,IAAI,KAAK,CAAC,IAAI,KAAK,QAAQ;4BAAE,OAAO,SAAS,CAAC;wBAC9C,MAAM,KAAK,CAAC;oBACd,CAAC,CACF,CAAC;oBACF,MAAM,MAAM,GACV,QAAQ,EAAE,WAAW,EAAE,IAAI,CAAC,MAAM,CAAC,QAAQ,CAAC,IAAI,CAAC;wBAC/C,CAAC,CAAC,IAAI,CAAC,WAAW,EAAE,KAAK,CAAC;wBAC1B,CAAC,CAAC,WAAW,CAAC;oBAClB,MAAM,KAAK,CAAC,OAAO,CAAC,MAAM,CAAC,EAAE,EAAE,SAAS,EAAE,IAAI,EAAE,CAAC,CAAC;oBAClD,MAAM,YAAY,CAAC,IAAI,CAAC,OAAO,EAAE,KAAK,CAAC,EAAE,MAAM,EAAE,MAAM,CAAC,CAAC;gBAC3D,CAAC;wBAAS,CAAC;oBACT,MAAM,uBAAuB,CAAC,OAAO,CAAC,CAAC;gBACzC,CAAC;YACH,CAAC,CAAC,CAAC;QACL,CAAC;KACF,CAAC;AACJ,CAAC","sourcesContent":["import { randomUUID } from \"node:crypto\";\nimport { lstat, mkdir, mkdtemp } from \"node:fs/promises\";\nimport { tmpdir } from \"node:os\";\nimport { basename, dirname, join, posix, resolve } from \"node:path\";\nimport type { SandboxLease } from \"../domain/sandbox.types.ts\";\nimport { invariant, OutpostError } from \"../domain/errors.ts\";\nimport { quote } from \"../infrastructure/process.ts\";\nimport {\n  copyTransfer,\n  removeTransferDirectory,\n  transferDestination,\n} from \"../infrastructure/transfer-copy.ts\";\nimport { transfer } from \"../infrastructure/transfer.ts\";\nimport { containerArchive } from \"./container-archive.ts\";\nimport type { ContainerRuntime } from \"./container.types.ts\";\n\nexport function containerFiles(\n  runtime: ContainerRuntime,\n  archive = containerArchive,\n): Pick<SandboxLease, \"upload\" | \"download\"> {\n  const { call, name } = runtime;\n  return {\n    upload(source, destination, options = {}) {\n      return transfer(options, async (signal) => {\n        if (runtime.isClosed())\n          throw new OutpostError(\"provider\", \"Container sandbox is closed\");\n        const absolute = resolve(source);\n        const scratch = `/tmp/outpost-transfer-${randomUUID()}`;\n        const entry = basename(absolute);\n        invariant(entry, \"Upload a directory's contents using a non-root path\");\n        const contents = /[\\\\/]\\.$/.test(source);\n        await call([\"exec\", name, \"mkdir\", \"-m\", \"700\", scratch], { signal });\n        try {\n          await archive(\n            runtime,\n            {\n              executable: \"tar\",\n              arguments: [\"-cf\", \"-\", \"-C\", dirname(absolute), \"--\", entry],\n            },\n            {\n              executable: \"tar\",\n              arguments: [\n                \"-xpf\",\n                \"-\",\n                \"--ignore-zeros\",\n                \"--no-same-owner\",\n                \"-C\",\n                scratch,\n              ],\n            },\n            true,\n            signal,\n          );\n          await call(\n            [\n              \"exec\",\n              name,\n              \"sh\",\n              \"-c\",\n              `mkdir -p ${quote(posix.dirname(destination))} && cp -a -- ${quote(posix.join(scratch, entry) + (contents ? \"/.\" : \"\"))} ${quote(destination)}`,\n            ],\n            { signal },\n          );\n        } finally {\n          await call([\n            \"exec\",\n            name,\n            \"sh\",\n            \"-c\",\n            `chmod -R u+rwX ${quote(scratch)} && rm -rf -- ${quote(scratch)}`,\n          ]);\n        }\n      });\n    },\n    download(source, destination, options = {}) {\n      return transfer(options, async (signal) => {\n        if (runtime.isClosed())\n          throw new OutpostError(\"provider\", \"Container sandbox is closed\");\n        await transferDestination(destination);\n        const absolute = posix.resolve(runtime.root, source);\n        const entry = posix.basename(absolute);\n        invariant(\n          entry,\n          \"Download a directory's contents using a non-root path\",\n        );\n        const scratch = await mkdtemp(join(tmpdir(), \"outpost-transfer-\"));\n        try {\n          await archive(\n            runtime,\n            {\n              executable: \"tar\",\n              arguments: [\n                \"-xpf\",\n                \"-\",\n                \"--ignore-zeros\",\n                \"--no-same-owner\",\n                \"-C\",\n                scratch,\n              ],\n            },\n            {\n              executable: \"tar\",\n              arguments: [\n                \"-cf\",\n                \"-\",\n                \"-C\",\n                posix.dirname(absolute),\n                \"--\",\n                entry,\n              ],\n            },\n            false,\n            signal,\n          );\n          const existing = await lstat(destination).catch(\n            (cause: NodeJS.ErrnoException) => {\n              if (cause.code === \"ENOENT\") return undefined;\n              throw cause;\n            },\n          );\n          const target =\n            existing?.isDirectory() && !source.endsWith(\"/.\")\n              ? join(destination, entry)\n              : destination;\n          await mkdir(dirname(target), { recursive: true });\n          await copyTransfer(join(scratch, entry), target, signal);\n        } finally {\n          await removeTransferDirectory(scratch);\n        }\n      });\n    },\n  };\n}\n"]}

package/dist/providers/container.js

@@ -101,7 +101,7 @@ export function containerProvider(engine, options = {}, executor = executeProces
                     name,
                     "sh",
                     "-c",
-                    "command -v setsid >/dev/null && command -v kill >/dev/null",
+                    "command -v setsid >/dev/null && command -v kill >/dev/null && command -v tar >/dev/null && command -v cp >/dev/null",
                 ]);
             }
             catch (cause) {
@@ -134,7 +134,16 @@ export function containerProvider(engine, options = {}, executor = executeProces
                     call,
                     isClosed: () => closed,
                 }),
-                ...containerFiles(call, name),
+                ...containerFiles({
+                    engine,
+                    config,
+                    executor,
+                    root,
+                    name,
+                    env,
+                    call,
+                    isClosed: () => closed,
+                }),
                 release,
             };
         },

package/dist/providers/container.js.map

@@ -1 +1 @@
-{"version":3,"file":"container.js","sourceRoot":"","sources":["../../src/providers/container.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,YAAY,EAAE,MAAM,oBAAoB,CAAC;AAClD,OAAO,EAAE,UAAU,EAAE,MAAM,aAAa,CAAC;AACzC,OAAO,EAAE,QAAQ,EAAE,MAAM,WAAW,CAAC;AAErC,OAAO,EAAE,SAAS,EAAE,MAAM,qBAAqB,CAAC;AAEhD,OAAO,EACL,cAAc,EACd,KAAK,EACL,cAAc,GACf,MAAM,8BAA8B,CAAC;AAEtC,OAAO,EAAE,eAAe,EAAE,MAAM,+BAA+B,CAAC;AAChE,OAAO,EAAE,gBAAgB,EAAE,MAAM,wBAAwB,CAAC;AAC1D,OAAO,EAAE,cAAc,EAAE,MAAM,sBAAsB,CAAC;AACtD,OAAO,EAAE,eAAe,EAAE,MAAM,uBAAuB,CAAC;AACxD,OAAO,EAAE,aAAa,EAAE,MAAM,qBAAqB,CAAC;AACpD,OAAO,EAAE,kBAAkB,EAAE,MAAM,0BAA0B,CAAC;AAC9D,OAAO,EAAE,iBAAiB,EAAE,MAAM,0BAA0B,CAAC;AAK7D,MAAM,UAAU,SAAS,CAAC,UAAkB;IAC1C,OAAO,WACL,QAAQ,CAAC,UAAU,CAAC;SACjB,WAAW,EAAE;SACb,OAAO,CAAC,eAAe,EAAE,GAAG,CAAC,IAAI,WACtC,EAAE,CAAC;AACL,CAAC;AAED,MAAM,UAAU,iBAAiB,CAC/B,MAAuB,EACvB,UAA4B,EAAE,EAC9B,WAAqB,cAAc,EACnC,WAA4B,OAAO,CAAC,QAAQ;IAE5C,MAAM,MAAM,GAAG,EAAE,GAAG,OAAO,EAAE,CAAC;IAC9B,IAAI,MAAM,CAAC,IAAI,KAAK,SAAS;QAC3B,SAAS,CACP,MAAM,CAAC,QAAQ,CAAC,MAAM,CAAC,IAAI,CAAC,IAAI,MAAM,CAAC,IAAI,GAAG,CAAC,EAC/C,uBAAuB,CACxB,CAAC;IACJ,IAAI,MAAM,CAAC,QAAQ,KAAK,SAAS;QAC/B,SAAS,CACP,MAAM,CAAC,aAAa,CAAC,MAAM,CAAC,QAAQ,CAAC;YACnC,MAAM,CAAC,QAAQ,IAAI,iBAAiB,CAAC,eAAe,EACtD,8BAA8B,CAC/B,CAAC;IACJ,OAAO;QACL,IAAI,EAAE,MAAM;QACZ,SAAS,EAAE,SAAS;QACpB,SAAS,EAAE,EAAE,GAAG,MAAM,CAAC,SAAS,EAAE;QAClC,KAAK,CAAC,OAAO,CAAC,OAAO;YACnB,OAAO,CAAC,MAAM,EAAE,cAAc,EAAE,CAAC;YACjC,MAAM,IAAI,GAAG,WAAW,UAAU,EAAE,EAAE,CAAC;YACvC,MAAM,KAAK,GAAG,MAAM,CAAC,KAAK,IAAI,SAAS,CAAC,OAAO,CAAC,UAAU,CAAC,CAAC;YAC5D,MAAM,IAAI,GAAG,MAAM,CAAC,IAAI,IAAI;gBAC1B,GAAG,EAAE,OAAO,CAAC,MAAM,EAAE,EAAE,IAAI,iBAAiB,CAAC,GAAG;gBAChD,GAAG,EAAE,OAAO,CAAC,MAAM,EAAE,EAAE,IAAI,iBAAiB,CAAC,GAAG;aACjD,CAAC;YACF,SAAS,CACP,MAAM,CAAC,SAAS,CAAC,IAAI,CAAC,GAAG,CAAC;gBACxB,IAAI,CAAC,GAAG,IAAI,CAAC;gBACb,MAAM,CAAC,SAAS,CAAC,IAAI,CAAC,GAAG,CAAC;gBAC1B,IAAI,CAAC,GAAG,IAAI,CAAC,EACf,wBAAwB,CACzB,CAAC;YACF,MAAM,IAAI,GAAG,CAAC,IAAuB,EAAE,QAA0B,EAAE,EAAE,EAAE,CACrE,cAAc,CACZ;gBACE,UAAU,EAAE,MAAM;gBAClB,SAAS,EAAE,IAAI;gBACf,UAAU,EAAE,iBAAiB,CAAC,UAAU;gBACxC,GAAG,KAAK;aACT,EACD,QAAQ,CACT,CAAC;YACJ,MAAM,kBAAkB,CAAC,MAAM,EAAE,QAAQ,EAAE,IAAI,EAAE,MAAM,EAAE,KAAK,EAAE,IAAI,CAAC,CAAC;YACtE,MAAM,IAAI,GAAG,iBAAiB,CAAC,IAAI,EACjC,IAAI,GAAG,iBAAiB,CAAC,IAAI,CAAC;YAChC,MAAM,EAAE,GAAG,EAAE,OAAO,EAAE,WAAW,EAAE,GAAG,MAAM,eAAe,CACzD,OAAO,EACP,MAAM,EACN,QAAQ,EACR,IAAI,EACJ,IAAI,CACL,CAAC;YACF,MAAM,IAAI,GAAG,aAAa,CAAC;gBACzB,MAAM;gBACN,MAAM;gBACN,IAAI;gBACJ,IAAI;gBACJ,IAAI;gBACJ,KAAK;gBACL,OAAO;gBACP,WAAW;aACZ,CAAC,CAAC;YACH,IAAI,MAAM,GAAG,KAAK,EAChB,SAAoC,CAAC;YACvC,IAAI,UAAU,GAAG,GAAG,EAAE,GAAE,CAAC,CAAC;YAC1B,MAAM,OAAO,GAAG,GAAkB,EAAE;gBAClC,MAAM,GAAG,IAAI,CAAC;gBACd,SAAS,KAAK,IAAI,CAAC,CAAC,IAAI,EAAE,SAAS,EAAE,IAAI,CAAC,CAAC;qBACxC,IAAI,CAAC,GAAG,EAAE;oBACT,UAAU,EAAE,CAAC;gBACf,CAAC,CAAC;qBACD,KAAK,CAAC,CAAC,KAAK,EAAE,EAAE;oBACf,SAAS,GAAG,SAAS,CAAC;oBACtB,MAAM,KAAK,CAAC;gBACd,CAAC,CAAC,CAAC;gBACL,OAAO,SAAS,CAAC;YACnB,CAAC,CAAC;YACF,IAAI,CAAC;gBACH,MAAM,IAAI,CAAC,IAAI,EAAE;oBACf,GAAG,CAAC,OAAO,CAAC,MAAM,CAAC,CAAC,CAAC,EAAE,MAAM,EAAE,OAAO,CAAC,MAAM,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;iBACtD,CAAC,CAAC;gBACH,MAAM,IAAI,CACR,CAAC,OAAO,EAAE,IAAI,CAAC,EACf,OAAO,CAAC,MAAM,CAAC,CAAC,CAAC,EAAE,MAAM,EAAE,OAAO,CAAC,MAAM,EAAE,CAAC,CAAC,CAAC,EAAE,CACjD,CAAC;gBACF,KAAK,MAAM,MAAM,IAAI,WAAW;oBAC9B,MAAM,IAAI,CAAC;wBACT,MAAM;wBACN,QAAQ;wBACR,KAAK;wBACL,IAAI;wBACJ,IAAI;wBACJ,IAAI;wBACJ,YAAY,KAAK,CAAC,MAAM,CAAC,aAAa,IAAI,CAAC,GAAG,IAAI,IAAI,CAAC,GAAG,IAAI,KAAK,CAAC,MAAM,CAAC,EAAE;qBAC9E,CAAC,CAAC;gBACL,IAAI,WAAW,CAAC,IAAI;oBAClB,MAAM,IAAI,CAAC;wBACT,MAAM;wBACN,QAAQ;wBACR,KAAK;wBACL,IAAI;wBACJ,OAAO;wBACP,GAAG,IAAI,CAAC,GAAG,IAAI,IAAI,CAAC,GAAG,EAAE;wBACzB,IAAI;qBACL,CAAC,CAAC;gBACL,MAAM,IAAI,CAAC;oBACT,MAAM;oBACN,IAAI;oBACJ,IAAI;oBACJ,IAAI;oBACJ,4DAA4D;iBAC7D,CAAC,CAAC;YACL,CAAC;YAAC,OAAO,KAAK,EAAE,CAAC;gBACf,IAAI,CAAC;oBACH,MAAM,OAAO,EAAE,CAAC;gBAClB,CAAC;gBAAC,OAAO,OAAO,EAAE,CAAC;oBACjB,MAAM,IAAI,cAAc,CACtB,CAAC,KAAK,EAAE,OAAO,CAAC,EAChB,yCAAyC,CAC1C,CAAC;gBACJ,CAAC;gBACD,MAAM,KAAK,CAAC;YACd,CAAC;YACD,UAAU,GAAG,eAAe,CAAC,OAAO,EAAE,GAAG,EAAE;gBACzC,IAAI,CAAC,MAAM;oBACT,YAAY,CAAC,MAAM,EAAE,CAAC,IAAI,EAAE,SAAS,EAAE,IAAI,CAAC,EAAE;wBAC5C,OAAO,EAAE,iBAAiB,CAAC,SAAS;wBACpC,KAAK,EAAE,QAAQ;wBACf,WAAW,EAAE,IAAI;qBAClB,CAAC,CAAC;YACP,CAAC,CAAC,CAAC;YACH,OAAO;gBACL,IAAI;gBACJ,IAAI;gBACJ,MAAM,EAAE,gBAAgB,CAAC;oBACvB,MAAM;oBACN,MAAM;oBACN,QAAQ;oBACR,IAAI;oBACJ,IAAI;oBACJ,GAAG;oBACH,IAAI;oBACJ,QAAQ,EAAE,GAAG,EAAE,CAAC,MAAM;iBACvB,CAAC;gBACF,GAAG,cAAc,CAAC,IAAI,EAAE,IAAI,CAAC;gBAC7B,OAAO;aACR,CAAC;QACJ,CAAC;KACF,CAAC;AACJ,CAAC","sourcesContent":["import { execFileSync } from \"node:child_process\";\nimport { randomUUID } from \"node:crypto\";\nimport { basename } from \"node:path\";\nimport type { Command } from \"../domain/command.types.ts\";\nimport { invariant } from \"../domain/errors.ts\";\nimport type { SandboxProvider } from \"../domain/sandbox.types.ts\";\nimport {\n  executeProcess,\n  quote,\n  requireSuccess,\n} from \"../infrastructure/process.ts\";\nimport type { Executor } from \"../infrastructure/process.types.ts\";\nimport { registerCleanup } from \"../infrastructure/shutdown.ts\";\nimport { containerCommand } from \"./container-command.ts\";\nimport { containerFiles } from \"./container-files.ts\";\nimport { containerMounts } from \"./container-mounts.ts\";\nimport { containerPlan } from \"./container-plan.ts\";\nimport { containerPreflight } from \"./container-preflight.ts\";\nimport { containerDefaults } from \"./container.constants.ts\";\nimport type { ContainerEngine, ContainerOptions } from \"./container.types.ts\";\n\nexport type { ContainerOptions } from \"./container.types.ts\";\n\nexport function imageName(repository: string): string {\n  return `outpost:${\n    basename(repository)\n      .toLowerCase()\n      .replace(/[^a-z0-9_.-]/g, \"-\") || \"workspace\"\n  }`;\n}\n\nexport function containerProvider(\n  engine: ContainerEngine,\n  options: ContainerOptions = {},\n  executor: Executor = executeProcess,\n  platform: NodeJS.Platform = process.platform,\n): SandboxProvider {\n  const config = { ...options };\n  if (config.cpus !== undefined)\n    invariant(\n      Number.isFinite(config.cpus) && config.cpus > 0,\n      \"cpus must be positive\",\n    );\n  if (config.memoryMb !== undefined)\n    invariant(\n      Number.isSafeInteger(config.memoryMb) &&\n        config.memoryMb >= containerDefaults.minimumMemoryMb,\n      \"memoryMb must be at least 64\",\n    );\n  return {\n    name: engine,\n    placement: \"mounted\",\n    variables: { ...config.variables },\n    async acquire(context) {\n      context.signal?.throwIfAborted();\n      const name = `outpost-${randomUUID()}`;\n      const image = config.image ?? imageName(context.repository);\n      const user = config.user ?? {\n        uid: process.getuid?.() ?? containerDefaults.uid,\n        gid: process.getgid?.() ?? containerDefaults.gid,\n      };\n      invariant(\n        Number.isInteger(user.uid) &&\n          user.uid >= 0 &&\n          Number.isInteger(user.gid) &&\n          user.gid >= 0,\n        \"Invalid container user\",\n      );\n      const call = (args: readonly string[], extra: Partial<Command> = {}) =>\n        requireSuccess(\n          {\n            executable: engine,\n            arguments: args,\n            deadlineMs: containerDefaults.deadlineMs,\n            ...extra,\n          },\n          executor,\n        );\n      await containerPreflight(engine, platform, call, config, image, user);\n      const root = containerDefaults.root,\n        home = containerDefaults.home;\n      const { env, volumes, fileParents } = await containerMounts(\n        context,\n        config,\n        platform,\n        root,\n        home,\n      );\n      const args = containerPlan({\n        config,\n        engine,\n        user,\n        root,\n        name,\n        image,\n        volumes,\n        fileParents,\n      });\n      let closed = false,\n        releasing: Promise<void> | undefined;\n      let unregister = () => {};\n      const release = (): Promise<void> => {\n        closed = true;\n        releasing ??= call([\"rm\", \"--force\", name])\n          .then(() => {\n            unregister();\n          })\n          .catch((error) => {\n            releasing = undefined;\n            throw error;\n          });\n        return releasing;\n      };\n      try {\n        await call(args, {\n          ...(context.signal ? { signal: context.signal } : {}),\n        });\n        await call(\n          [\"start\", name],\n          context.signal ? { signal: context.signal } : {},\n        );\n        for (const parent of fileParents)\n          await call([\n            \"exec\",\n            \"--user\",\n            \"0:0\",\n            name,\n            \"sh\",\n            \"-c\",\n            `mkdir -p ${quote(parent)} && chown ${user.uid}:${user.gid} ${quote(parent)}`,\n          ]);\n        if (fileParents.size)\n          await call([\n            \"exec\",\n            \"--user\",\n            \"0:0\",\n            name,\n            \"chown\",\n            `${user.uid}:${user.gid}`,\n            home,\n          ]);\n        await call([\n          \"exec\",\n          name,\n          \"sh\",\n          \"-c\",\n          \"command -v setsid >/dev/null && command -v kill >/dev/null\",\n        ]);\n      } catch (cause) {\n        try {\n          await release();\n        } catch (cleanup) {\n          throw new AggregateError(\n            [cause, cleanup],\n            \"Sandbox provisioning and cleanup failed\",\n          );\n        }\n        throw cause;\n      }\n      unregister = registerCleanup(release, () => {\n        if (!closed)\n          execFileSync(engine, [\"rm\", \"--force\", name], {\n            timeout: containerDefaults.cleanupMs,\n            stdio: \"ignore\",\n            windowsHide: true,\n          });\n      });\n      return {\n        root,\n        home,\n        invoke: containerCommand({\n          engine,\n          config,\n          executor,\n          root,\n          name,\n          env,\n          call,\n          isClosed: () => closed,\n        }),\n        ...containerFiles(call, name),\n        release,\n      };\n    },\n  };\n}\n"]}
+{"version":3,"file":"container.js","sourceRoot":"","sources":["../../src/providers/container.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,YAAY,EAAE,MAAM,oBAAoB,CAAC;AAClD,OAAO,EAAE,UAAU,EAAE,MAAM,aAAa,CAAC;AACzC,OAAO,EAAE,QAAQ,EAAE,MAAM,WAAW,CAAC;AAErC,OAAO,EAAE,SAAS,EAAE,MAAM,qBAAqB,CAAC;AAEhD,OAAO,EACL,cAAc,EACd,KAAK,EACL,cAAc,GACf,MAAM,8BAA8B,CAAC;AAEtC,OAAO,EAAE,eAAe,EAAE,MAAM,+BAA+B,CAAC;AAChE,OAAO,EAAE,gBAAgB,EAAE,MAAM,wBAAwB,CAAC;AAC1D,OAAO,EAAE,cAAc,EAAE,MAAM,sBAAsB,CAAC;AACtD,OAAO,EAAE,eAAe,EAAE,MAAM,uBAAuB,CAAC;AACxD,OAAO,EAAE,aAAa,EAAE,MAAM,qBAAqB,CAAC;AACpD,OAAO,EAAE,kBAAkB,EAAE,MAAM,0BAA0B,CAAC;AAC9D,OAAO,EAAE,iBAAiB,EAAE,MAAM,0BAA0B,CAAC;AAK7D,MAAM,UAAU,SAAS,CAAC,UAAkB;IAC1C,OAAO,WACL,QAAQ,CAAC,UAAU,CAAC;SACjB,WAAW,EAAE;SACb,OAAO,CAAC,eAAe,EAAE,GAAG,CAAC,IAAI,WACtC,EAAE,CAAC;AACL,CAAC;AAED,MAAM,UAAU,iBAAiB,CAC/B,MAAuB,EACvB,UAA4B,EAAE,EAC9B,WAAqB,cAAc,EACnC,WAA4B,OAAO,CAAC,QAAQ;IAE5C,MAAM,MAAM,GAAG,EAAE,GAAG,OAAO,EAAE,CAAC;IAC9B,IAAI,MAAM,CAAC,IAAI,KAAK,SAAS;QAC3B,SAAS,CACP,MAAM,CAAC,QAAQ,CAAC,MAAM,CAAC,IAAI,CAAC,IAAI,MAAM,CAAC,IAAI,GAAG,CAAC,EAC/C,uBAAuB,CACxB,CAAC;IACJ,IAAI,MAAM,CAAC,QAAQ,KAAK,SAAS;QAC/B,SAAS,CACP,MAAM,CAAC,aAAa,CAAC,MAAM,CAAC,QAAQ,CAAC;YACnC,MAAM,CAAC,QAAQ,IAAI,iBAAiB,CAAC,eAAe,EACtD,8BAA8B,CAC/B,CAAC;IACJ,OAAO;QACL,IAAI,EAAE,MAAM;QACZ,SAAS,EAAE,SAAS;QACpB,SAAS,EAAE,EAAE,GAAG,MAAM,CAAC,SAAS,EAAE;QAClC,KAAK,CAAC,OAAO,CAAC,OAAO;YACnB,OAAO,CAAC,MAAM,EAAE,cAAc,EAAE,CAAC;YACjC,MAAM,IAAI,GAAG,WAAW,UAAU,EAAE,EAAE,CAAC;YACvC,MAAM,KAAK,GAAG,MAAM,CAAC,KAAK,IAAI,SAAS,CAAC,OAAO,CAAC,UAAU,CAAC,CAAC;YAC5D,MAAM,IAAI,GAAG,MAAM,CAAC,IAAI,IAAI;gBAC1B,GAAG,EAAE,OAAO,CAAC,MAAM,EAAE,EAAE,IAAI,iBAAiB,CAAC,GAAG;gBAChD,GAAG,EAAE,OAAO,CAAC,MAAM,EAAE,EAAE,IAAI,iBAAiB,CAAC,GAAG;aACjD,CAAC;YACF,SAAS,CACP,MAAM,CAAC,SAAS,CAAC,IAAI,CAAC,GAAG,CAAC;gBACxB,IAAI,CAAC,GAAG,IAAI,CAAC;gBACb,MAAM,CAAC,SAAS,CAAC,IAAI,CAAC,GAAG,CAAC;gBAC1B,IAAI,CAAC,GAAG,IAAI,CAAC,EACf,wBAAwB,CACzB,CAAC;YACF,MAAM,IAAI,GAAG,CAAC,IAAuB,EAAE,QAA0B,EAAE,EAAE,EAAE,CACrE,cAAc,CACZ;gBACE,UAAU,EAAE,MAAM;gBAClB,SAAS,EAAE,IAAI;gBACf,UAAU,EAAE,iBAAiB,CAAC,UAAU;gBACxC,GAAG,KAAK;aACT,EACD,QAAQ,CACT,CAAC;YACJ,MAAM,kBAAkB,CAAC,MAAM,EAAE,QAAQ,EAAE,IAAI,EAAE,MAAM,EAAE,KAAK,EAAE,IAAI,CAAC,CAAC;YACtE,MAAM,IAAI,GAAG,iBAAiB,CAAC,IAAI,EACjC,IAAI,GAAG,iBAAiB,CAAC,IAAI,CAAC;YAChC,MAAM,EAAE,GAAG,EAAE,OAAO,EAAE,WAAW,EAAE,GAAG,MAAM,eAAe,CACzD,OAAO,EACP,MAAM,EACN,QAAQ,EACR,IAAI,EACJ,IAAI,CACL,CAAC;YACF,MAAM,IAAI,GAAG,aAAa,CAAC;gBACzB,MAAM;gBACN,MAAM;gBACN,IAAI;gBACJ,IAAI;gBACJ,IAAI;gBACJ,KAAK;gBACL,OAAO;gBACP,WAAW;aACZ,CAAC,CAAC;YACH,IAAI,MAAM,GAAG,KAAK,EAChB,SAAoC,CAAC;YACvC,IAAI,UAAU,GAAG,GAAG,EAAE,GAAE,CAAC,CAAC;YAC1B,MAAM,OAAO,GAAG,GAAkB,EAAE;gBAClC,MAAM,GAAG,IAAI,CAAC;gBACd,SAAS,KAAK,IAAI,CAAC,CAAC,IAAI,EAAE,SAAS,EAAE,IAAI,CAAC,CAAC;qBACxC,IAAI,CAAC,GAAG,EAAE;oBACT,UAAU,EAAE,CAAC;gBACf,CAAC,CAAC;qBACD,KAAK,CAAC,CAAC,KAAK,EAAE,EAAE;oBACf,SAAS,GAAG,SAAS,CAAC;oBACtB,MAAM,KAAK,CAAC;gBACd,CAAC,CAAC,CAAC;gBACL,OAAO,SAAS,CAAC;YACnB,CAAC,CAAC;YACF,IAAI,CAAC;gBACH,MAAM,IAAI,CAAC,IAAI,EAAE;oBACf,GAAG,CAAC,OAAO,CAAC,MAAM,CAAC,CAAC,CAAC,EAAE,MAAM,EAAE,OAAO,CAAC,MAAM,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;iBACtD,CAAC,CAAC;gBACH,MAAM,IAAI,CACR,CAAC,OAAO,EAAE,IAAI,CAAC,EACf,OAAO,CAAC,MAAM,CAAC,CAAC,CAAC,EAAE,MAAM,EAAE,OAAO,CAAC,MAAM,EAAE,CAAC,CAAC,CAAC,EAAE,CACjD,CAAC;gBACF,KAAK,MAAM,MAAM,IAAI,WAAW;oBAC9B,MAAM,IAAI,CAAC;wBACT,MAAM;wBACN,QAAQ;wBACR,KAAK;wBACL,IAAI;wBACJ,IAAI;wBACJ,IAAI;wBACJ,YAAY,KAAK,CAAC,MAAM,CAAC,aAAa,IAAI,CAAC,GAAG,IAAI,IAAI,CAAC,GAAG,IAAI,KAAK,CAAC,MAAM,CAAC,EAAE;qBAC9E,CAAC,CAAC;gBACL,IAAI,WAAW,CAAC,IAAI;oBAClB,MAAM,IAAI,CAAC;wBACT,MAAM;wBACN,QAAQ;wBACR,KAAK;wBACL,IAAI;wBACJ,OAAO;wBACP,GAAG,IAAI,CAAC,GAAG,IAAI,IAAI,CAAC,GAAG,EAAE;wBACzB,IAAI;qBACL,CAAC,CAAC;gBACL,MAAM,IAAI,CAAC;oBACT,MAAM;oBACN,IAAI;oBACJ,IAAI;oBACJ,IAAI;oBACJ,qHAAqH;iBACtH,CAAC,CAAC;YACL,CAAC;YAAC,OAAO,KAAK,EAAE,CAAC;gBACf,IAAI,CAAC;oBACH,MAAM,OAAO,EAAE,CAAC;gBAClB,CAAC;gBAAC,OAAO,OAAO,EAAE,CAAC;oBACjB,MAAM,IAAI,cAAc,CACtB,CAAC,KAAK,EAAE,OAAO,CAAC,EAChB,yCAAyC,CAC1C,CAAC;gBACJ,CAAC;gBACD,MAAM,KAAK,CAAC;YACd,CAAC;YACD,UAAU,GAAG,eAAe,CAAC,OAAO,EAAE,GAAG,EAAE;gBACzC,IAAI,CAAC,MAAM;oBACT,YAAY,CAAC,MAAM,EAAE,CAAC,IAAI,EAAE,SAAS,EAAE,IAAI,CAAC,EAAE;wBAC5C,OAAO,EAAE,iBAAiB,CAAC,SAAS;wBACpC,KAAK,EAAE,QAAQ;wBACf,WAAW,EAAE,IAAI;qBAClB,CAAC,CAAC;YACP,CAAC,CAAC,CAAC;YACH,OAAO;gBACL,IAAI;gBACJ,IAAI;gBACJ,MAAM,EAAE,gBAAgB,CAAC;oBACvB,MAAM;oBACN,MAAM;oBACN,QAAQ;oBACR,IAAI;oBACJ,IAAI;oBACJ,GAAG;oBACH,IAAI;oBACJ,QAAQ,EAAE,GAAG,EAAE,CAAC,MAAM;iBACvB,CAAC;gBACF,GAAG,cAAc,CAAC;oBAChB,MAAM;oBACN,MAAM;oBACN,QAAQ;oBACR,IAAI;oBACJ,IAAI;oBACJ,GAAG;oBACH,IAAI;oBACJ,QAAQ,EAAE,GAAG,EAAE,CAAC,MAAM;iBACvB,CAAC;gBACF,OAAO;aACR,CAAC;QACJ,CAAC;KACF,CAAC;AACJ,CAAC","sourcesContent":["import { execFileSync } from \"node:child_process\";\nimport { randomUUID } from \"node:crypto\";\nimport { basename } from \"node:path\";\nimport type { Command } from \"../domain/command.types.ts\";\nimport { invariant } from \"../domain/errors.ts\";\nimport type { SandboxProvider } from \"../domain/sandbox.types.ts\";\nimport {\n  executeProcess,\n  quote,\n  requireSuccess,\n} from \"../infrastructure/process.ts\";\nimport type { Executor } from \"../infrastructure/process.types.ts\";\nimport { registerCleanup } from \"../infrastructure/shutdown.ts\";\nimport { containerCommand } from \"./container-command.ts\";\nimport { containerFiles } from \"./container-files.ts\";\nimport { containerMounts } from \"./container-mounts.ts\";\nimport { containerPlan } from \"./container-plan.ts\";\nimport { containerPreflight } from \"./container-preflight.ts\";\nimport { containerDefaults } from \"./container.constants.ts\";\nimport type { ContainerEngine, ContainerOptions } from \"./container.types.ts\";\n\nexport type { ContainerOptions } from \"./container.types.ts\";\n\nexport function imageName(repository: string): string {\n  return `outpost:${\n    basename(repository)\n      .toLowerCase()\n      .replace(/[^a-z0-9_.-]/g, \"-\") || \"workspace\"\n  }`;\n}\n\nexport function containerProvider(\n  engine: ContainerEngine,\n  options: ContainerOptions = {},\n  executor: Executor = executeProcess,\n  platform: NodeJS.Platform = process.platform,\n): SandboxProvider {\n  const config = { ...options };\n  if (config.cpus !== undefined)\n    invariant(\n      Number.isFinite(config.cpus) && config.cpus > 0,\n      \"cpus must be positive\",\n    );\n  if (config.memoryMb !== undefined)\n    invariant(\n      Number.isSafeInteger(config.memoryMb) &&\n        config.memoryMb >= containerDefaults.minimumMemoryMb,\n      \"memoryMb must be at least 64\",\n    );\n  return {\n    name: engine,\n    placement: \"mounted\",\n    variables: { ...config.variables },\n    async acquire(context) {\n      context.signal?.throwIfAborted();\n      const name = `outpost-${randomUUID()}`;\n      const image = config.image ?? imageName(context.repository);\n      const user = config.user ?? {\n        uid: process.getuid?.() ?? containerDefaults.uid,\n        gid: process.getgid?.() ?? containerDefaults.gid,\n      };\n      invariant(\n        Number.isInteger(user.uid) &&\n          user.uid >= 0 &&\n          Number.isInteger(user.gid) &&\n          user.gid >= 0,\n        \"Invalid container user\",\n      );\n      const call = (args: readonly string[], extra: Partial<Command> = {}) =>\n        requireSuccess(\n          {\n            executable: engine,\n            arguments: args,\n            deadlineMs: containerDefaults.deadlineMs,\n            ...extra,\n          },\n          executor,\n        );\n      await containerPreflight(engine, platform, call, config, image, user);\n      const root = containerDefaults.root,\n        home = containerDefaults.home;\n      const { env, volumes, fileParents } = await containerMounts(\n        context,\n        config,\n        platform,\n        root,\n        home,\n      );\n      const args = containerPlan({\n        config,\n        engine,\n        user,\n        root,\n        name,\n        image,\n        volumes,\n        fileParents,\n      });\n      let closed = false,\n        releasing: Promise<void> | undefined;\n      let unregister = () => {};\n      const release = (): Promise<void> => {\n        closed = true;\n        releasing ??= call([\"rm\", \"--force\", name])\n          .then(() => {\n            unregister();\n          })\n          .catch((error) => {\n            releasing = undefined;\n            throw error;\n          });\n        return releasing;\n      };\n      try {\n        await call(args, {\n          ...(context.signal ? { signal: context.signal } : {}),\n        });\n        await call(\n          [\"start\", name],\n          context.signal ? { signal: context.signal } : {},\n        );\n        for (const parent of fileParents)\n          await call([\n            \"exec\",\n            \"--user\",\n            \"0:0\",\n            name,\n            \"sh\",\n            \"-c\",\n            `mkdir -p ${quote(parent)} && chown ${user.uid}:${user.gid} ${quote(parent)}`,\n          ]);\n        if (fileParents.size)\n          await call([\n            \"exec\",\n            \"--user\",\n            \"0:0\",\n            name,\n            \"chown\",\n            `${user.uid}:${user.gid}`,\n            home,\n          ]);\n        await call([\n          \"exec\",\n          name,\n          \"sh\",\n          \"-c\",\n          \"command -v setsid >/dev/null && command -v kill >/dev/null && command -v tar >/dev/null && command -v cp >/dev/null\",\n        ]);\n      } catch (cause) {\n        try {\n          await release();\n        } catch (cleanup) {\n          throw new AggregateError(\n            [cause, cleanup],\n            \"Sandbox provisioning and cleanup failed\",\n          );\n        }\n        throw cause;\n      }\n      unregister = registerCleanup(release, () => {\n        if (!closed)\n          execFileSync(engine, [\"rm\", \"--force\", name], {\n            timeout: containerDefaults.cleanupMs,\n            stdio: \"ignore\",\n            windowsHide: true,\n          });\n      });\n      return {\n        root,\n        home,\n        invoke: containerCommand({\n          engine,\n          config,\n          executor,\n          root,\n          name,\n          env,\n          call,\n          isClosed: () => closed,\n        }),\n        ...containerFiles({\n          engine,\n          config,\n          executor,\n          root,\n          name,\n          env,\n          call,\n          isClosed: () => closed,\n        }),\n        release,\n      };\n    },\n  };\n}\n"]}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@elie-laloum/outpost",
-  "version": "1.1.2",
+  "version": "1.1.4",
   "description": "Programmable sandboxes, coding agents and typed workflows.",
   "type": "module",
   "license": "MIT",
@@ -40,9 +40,6 @@
   "files": [
     "dist",
     "README.md",
-    "README.fr.md",
-    "docs",
-    "ROADMAP.md",
     "CHANGELOG.md",
     "SECURITY.md",
     "LICENSE"
@@ -60,7 +57,12 @@
     "prepack": "npm run build",
     "test:package": "node scripts/package-smoke.mjs",
     "test:container": "node --test test/container.test.ts",
-    "architecture": "node scripts/check-architecture.mjs"
+    "architecture": "node scripts/check-architecture.mjs",
+    "docs:sync": "npm run build && node docs/scripts/sync-reference.mjs",
+    "docs:check": "node docs/scripts/sync-reference.mjs --check && npm run check --prefix docs",
+    "docs:dev": "npm run dev --prefix docs",
+    "docs:build": "npm run build --prefix docs",
+    "docs:test": "npm run test:build --prefix docs && node docs/scripts/check-examples.mjs && node --test docs/scripts/release-channel.test.mjs"
   },
   "repository": {
     "type": "git",
@@ -92,5 +94,6 @@
     "c8": "^10.1.3",
     "prettier": "^3.5.3",
     "typescript": "^6.0.3"
-  }
+  },
+  "homepage": "https://elie-laloum.github.io/outpost/"
 }

package/README.fr.md

@@ -1,251 +0,0 @@
-# Outpost
-
-[English](README.md) · [API](docs/api.md) · [Fournisseurs](docs/providers.md) · [Workflows](docs/workflows.md) · [Exploitation](docs/operations.md) · [Roadmap](ROADMAP.md)
-
-Outpost est une bibliothèque TypeScript pour exécuter des agents de développement dans des sandbox réutilisables, gérer leurs espaces de travail Git et composer des workflows typés. La v1 fournit les adaptateurs **Codex** et **Claude Code**, ainsi que les environnements Docker, Podman, Vercel, Daytona et une exécution locale explicite. Les adaptateurs d’agents et les fournisseurs de sandbox sont deux points d’extension distincts.
-
-[GitLab](https://gitlab.elielaloum.com/elielaloum/outpost) est le dépôt principal. [GitHub](https://github.com/elie-laloum/outpost) reçoit le miroir et exécute la CI ainsi que les publications de packages.
-
-## Prérequis
-
-- Node.js **24 ou supérieur**, Git et un dépôt possédant au moins un commit.
-- Docker ou Podman pour l’isolation locale ; un compte et le SDK optionnel correspondant pour une sandbox cloud.
-- Une authentification native de l’agent ou sa clé API. Un jeton GitHub/GitLab ne remplace pas une clé de modèle.
-- Des imports ESM. Les déclarations TypeScript sont livrées ; Node exécute directement les scripts générés en `.ts`/`.mts`.
-
-## Installation et premier lancement
-
-Depuis les sources :
-
-```sh
-npm ci
-npm run build
-npm pack
-```
-
-Installez l’archive obtenue dans votre dépôt cible, ou utilisez [GitHub Packages](https://github.com/elie-laloum/outpost/packages). La configuration du registre figure dans le [guide d’exploitation](docs/operations.md).
-
-```sh
-npm install --save-dev /chemin/elie-laloum-outpost-1.1.2.tgz
-npx outpost init --yes --agent codex --provider docker --template blank --build
-```
-
-Copiez `.outpost/.env.example` vers `.outpost/.env`. Renseignez `OPENAI_API_KEY`, ou laissez cette déclaration vide pour reprendre sa valeur dans le processus. Pour Claude, choisissez `--agent claude` et déclarez `ANTHROPIC_API_KEY` ou `CLAUDE_CODE_OAUTH_TOKEN`. Seules les clés déclarées sont importées dans les sandbox isolés.
-
-```sh
-node .outpost/run.mts "Ajouter la validation de configuration et ses tests"
-```
-
-Le script s’appelle `run.ts` si le projet déclare `"type": "module"`, sinon `run.mts`. L’initialisation refuse d’écraser des fichiers existants. `--install` installe la bibliothèque et le SDK optionnel avec le gestionnaire détecté : npm, pnpm, yarn ou bun. Sans `--build`, construisez ensuite l’image avec `npx outpost image build`.
-
-## Exécution ponctuelle
-
-```ts
-import { dispatch, codex } from "@elie-laloum/outpost";
-import { docker } from "@elie-laloum/outpost/providers/docker";
-
-const result = await dispatch({
-  agent: codex(),
-  provider: docker(),
-  branch: { mode: "integrate" },
-  brief: { text: "Corriger les tests en échec, vérifier et créer un commit." },
-});
-
-console.log(result.branch, result.commits, result.conversation);
-```
-
-`dispatch` crée l’environnement, lance l’agent, récupère les modifications et la conversation native, intègre les commits si demandé, puis ferme les ressources dont il est propriétaire. Le travail non commité est conservé. En cas d’échec, les worktrees séparés restent disponibles pour inspection.
-
-| Politique Git                                                 | Comportement                                                                          |
-| ------------------------------------------------------------- | ------------------------------------------------------------------------------------- |
-| `{ mode: "current" }`                                         | Utilise le checkout actuel ; défaut des fournisseurs montés et locaux.                |
-| `{ mode: "named", name: "feature/validation", from: "main" }` | Crée ou réutilise un worktree géré pour cette branche.                                |
-| `{ mode: "integrate", from: "main" }`                         | Crée une branche temporaire puis fusionne ses commits dans la branche hôte d’origine. |
-
-Les fournisseurs distants exigent `named` ou `integrate`. `from` est optionnel. Une branche déjà utilisée ailleurs produit une erreur explicite. L’intégration refuse un changement de branche hôte et conserve le worktree en cas de conflit.
-
-## Sandbox réutilisable
-
-```ts
-import { createSandbox, claude } from "@elie-laloum/outpost";
-
-await using sandbox = await createSandbox({
-  agent: claude({ model: "sonnet", reasoning: "high" }),
-  branch: { mode: "named", name: "feature/settings" },
-});
-
-const first = await sandbox.dispatch({
-  brief: { text: "Implémenter la validation." },
-});
-const tests = await sandbox.command({ executable: "npm", arguments: ["test"] });
-if (tests.status !== 0)
-  await first.resume({ brief: { text: "Corriger les tests." } });
-await sandbox.attach();
-```
-
-Une commande retourne son statut, même non nul. Une exécution d’agent en échec lève une erreur. L’annulation par `AbortSignal`, le délai maximal et la surveillance d’inactivité arrêtent l’opération courante sans détruire la sandbox réutilisable. Une sandbox accepte une opération active à la fois. Le parallélisme utilise plusieurs sandbox.
-
-L’agent par défaut est optionnel pour une sandbox chaude. Fournissez `agent` à chaque appel de `sandbox.dispatch` ou `sandbox.attach` pour changer d’agent ou de modèle sans recréer l’environnement. Chaque exécution reçoit uniquement les variables de l’adaptateur choisi.
-
-`await using` ferme automatiquement le handle. `close()` est également disponible et idempotent. `attach()` ouvre le terminal natif avec Docker, Podman ou le fournisseur local. Les fournisseurs cloud rejettent explicitement cette opération.
-
-## Espace de travail indépendant
-
-```ts
-import { openWorkspace, codex, claude } from "@elie-laloum/outpost";
-
-await using workspace = await openWorkspace({
-  branch: { mode: "named", name: "feature/shared-work" },
-  copies: [".env.test"],
-});
-
-await workspace.dispatch({
-  agent: codex(),
-  brief: { text: "Implémenter et commiter." },
-});
-await workspace.dispatch({
-  agent: claude(),
-  brief: { text: "Relire, tester et commiter les corrections." },
-});
-```
-
-L’espace de travail fourni survit aux sandbox successives. Son propriétaire doit le fermer après elles. Un worktree contenant des modifications reste sur disque ; `close()` retourne alors `retainedDirectory`. Un worktree propre est supprimé, mais une branche nommée reste disponible. `close({ preserve: true })` conserve aussi un worktree propre.
-
-`workspace.sandbox()` et `workspace.attach()` donnent accès aux autres cycles de vie. Avec une sandbox chaude en mode `integrate`, utilisez explicitement `sandbox.workspace.integrate()` au moment voulu. Les exécutions ponctuelles intègrent avant de retourner leur résultat.
-
-## Prompts et boucles
-
-Un `brief` contient exactement une source : `text` littéral, ou `file` avec des `values` primitives optionnelles. Les fichiers sont relus à chaque passage ; le texte littéral n’est jamais interprété.
-
-```ts
-const result = await dispatch({
-  agent: codex(),
-  brief: {
-    file: ".outpost/brief.md",
-    values: { OBJECTIVE: "Corriger la validation" },
-  },
-  passes: 5,
-  until: ["<outpost>done</outpost>"],
-  idleMs: 600_000,
-  settleMs: 60_000,
-});
-```
-
-Les fichiers acceptent `{{OBJECTIVE}}`, les variables réservées `{{WORK_BRANCH}}` et `{{BASE_BRANCH}}`, ainsi que des commandes comme `` !`git status --short` ``. Les commandes présentes dans le fichier d’origine s’exécutent en parallèle dans la sandbox après les hooks. Une valeur substituée ne peut pas introduire une nouvelle commande d’expansion. Une valeur insérée dans une commande existante conserve toutefois sa sémantique shell : utilisez des valeurs fiables ou correctement échappées.
-
-Les variables absentes déclenchent une erreur ; les variables inutilisées passent par `warn`. Un marqueur de fin interrompt la boucle. Si l’agent reste actif après ce marqueur, le délai de grâce se renouvelle à chaque sortie, puis arrête sa commande. Un budget épuisé sans marqueur retourne `completed: false`.
-
-Chaque tour fournit sa durée, son statut, son texte, sa conversation éventuelle et les tokens bruts. Chaque tour expose aussi son chemin `transcript` lorsqu’il est capturé. Le résultat regroupe `input`, `cached` (lecture du cache), `cacheCreated` (création du cache), `output`, les commits et le marqueur observé. Aucun coût monétaire n’est extrapolé.
-
-## Réponses structurées
-
-```ts
-import { response } from "@elie-laloum/outpost";
-
-const result = await dispatch({
-  agent: codex(),
-  brief: {
-    text: "Analyser le dépôt et répondre avec <report>un JSON contenant ok</report>.",
-  },
-  response: response.json({
-    tag: "report",
-    repairs: 2,
-    schema(input) {
-      if (
-        !input ||
-        typeof input !== "object" ||
-        !("ok" in input) ||
-        typeof input.ok !== "boolean"
-      ) {
-        throw new Error("Un booléen ok est requis");
-      }
-      return { ok: input.ok };
-    },
-  }),
-});
-
-console.log(result.value.ok);
-```
-
-`response.text` extrait du texte balisé. `response.json` accepte une fonction ou un validateur Standard Schema, y compris asynchrone. La balise d’ouverture doit être demandée dans le prompt. Les réponses structurées exigent un seul passage ; les tentatives de correction reprennent la même conversation. En cas d’échec, `ResponseError.recovery` contient les informations de reprise disponibles.
-
-## Conversations natives
-
-```ts
-await result.resume({ brief: { text: "Expliquer le résultat." } });
-await result.fork({ brief: { text: "Explorer une autre solution." } });
-```
-
-La capture est active par défaut. Outpost enregistre les transcriptions dans le stockage natif de l’agent sur l’hôte et réécrit les champs de répertoire de travail. Le contenu des messages n’est pas remplacé globalement. Les transcriptions des sous-agents Claude sont récupérées au mieux, avec avertissement en cas d’échec. Un échec de capture de la transcription principale fait échouer l’exécution.
-
-`saveConversations: false` désactive la capture sur l’adaptateur. Une reprise ponctuelle vérifie d’abord l’existence de la transcription hôte. `fork` crée une nouvelle conversation ; il faut aussi choisir un autre workspace pour isoler les fichiers. `conversationHome` permet de choisir un autre répertoire de stockage hôte.
-
-## Workflows typés
-
-```ts
-import { task, workflow } from "@elie-laloum/outpost";
-
-const inspect = task({
-  key: "inspect",
-  perform: async () => ({ ready: true }),
-});
-const implement = task({
-  key: "implement",
-  after: [inspect],
-  retry: { attempts: 2, delayMs: 500 },
-  perform: async (context) => context.value(inspect).ready,
-});
-
-const result = await workflow("delivery", [inspect, implement]).start({
-  concurrency: 2,
-});
-result.unwrap();
-console.log(result.value(implement));
-```
-
-Les dépendances absentes, doublons et cycles sont rejetés avant exécution. Les valeurs sont typées et propres à chaque lancement. Conditions, tentatives supplémentaires, limites de concurrence, événements d’observation et diagrammes Mermaid sont disponibles. `agentTask`, `commandTask` et `isolatedTask` relient le graphe aux opérations de sandbox.
-
-L’annulation et le délai maximal des tâches sont coopératifs : le code d’une tâche doit respecter `context.signal`. Le planificateur attend le nettoyage des tâches actives avant de retourner. Les opérations Outpost respectent ce signal. Une fonction JavaScript arbitraire qui l’ignore ne peut pas être arrêtée de force.
-
-Les cinq modèles CLI sont `blank`, `iterate`, `review`, `plan` et `plan-review`. Les deux derniers font travailler plusieurs analyses indépendantes avant l’implémentation. Les connecteurs GitHub Issues, Beads et personnalisés sont générés avec `--tracker`. Consultez le [guide des workflows](docs/workflows.md).
-
-Un `dispatch({ passes })` ponctuel acquiert une nouvelle sandbox à chaque passe ; `sandbox.dispatch({ passes })` conserve son environnement. Les fichiers de prompt relatifs sont résolus depuis le répertoire de l’appelant. Les méthodes `resume`/`fork` d’un résultat ponctuel acceptent une nouvelle branche, un autre fournisseur et des hooks ; celles d’un résultat chaud restent liées à leur sandbox.
-
-## Campagnes par issue
-
-`campaign` relit le backlog à chaque cycle, valide un plan typé et attribue une branche par issue. Le parallélisme est borné ; la revue partage la sandbox d’implémentation. Une phase de fusion et de vérification intervient même pour une seule branche. La fermeture d’une issue a lieu uniquement après intégration des commits dans la branche hôte. GitHub et Beads fournissent les opérations de liste, détail et fermeture. Un connecteur personnalisé implémente `Backlog`.
-
-Les starters exposent `cycles`, `concurrency`, `implementationPasses`, `reviewPasses`, les agents de chaque rôle et les règles de `.outpost/STANDARDS.md`. Une issue sans commit n’est ni revue ni fermée. Un cycle sans progression s’arrête. `recoveryDetails(error)` fournit les chemins disponibles en cas d’erreur, sans remplacer la raison d’annulation. [Guide de migration 1.1 en français](docs/migration-1.1.fr.md).
-
-## Configuration et fournisseurs
-
-Les fournisseurs prennent en charge les variables d’environnement, montages de fichiers/répertoires, réseaux, ressources, groupes supplémentaires, périphériques et labels SELinux selon le backend. Les SDK cloud sont des dépendances optionnelles, chargées uniquement à l’utilisation du fournisseur concerné. [Référence des fournisseurs](docs/providers.md).
-
-Les hooks s’exécutent après la copie des entrées puis après la création de la sandbox. Les groupes `hostReady` et `sandboxReady` tournent en parallèle ; les commandes hôte restent séquentielles, tandis que les commandes du groupe sandbox démarrent ensemble et annulent leurs voisines en cas d’échec.
-
-Seul `.outpost/.env` est lu. Une valeur non vide du fichier est prioritaire ; une déclaration vide reprend la valeur du processus. Le `.env` à la racine du dépôt n’est pas importé. Les variables explicites du fournisseur et de l’adaptateur restent prioritaires. Une clé déclarée simultanément par le fournisseur et l’adaptateur provoque une erreur. Les journaux sont écrits dans `.outpost/logs` par défaut ; `false`, `"stdout"`, un chemin personnalisé et le mode verbeux sont disponibles.
-
-`AgentAdapter` permet d’ajouter un agent. `SandboxProvider`, `mountedProvider` et `remoteProvider` permettent d’ajouter un backend. Le domaine ne dépend pas d’un SDK cloud. [Architecture](docs/architecture.md) et [API complète](docs/api.md).
-
-## Vérification et publication
-
-```sh
-npm ci
-npm run check
-npm run coverage
-npm run test:package
-```
-
-La CI GitHub exécute les tests unitaires et fonctionnels sous Linux, Windows et macOS, impose 80 % de couverture des lignes, fonctions et branches, installe le package réellement produit et teste Docker/Podman. Les tests de contrats cloud utilisent des doubles contrôlés ; les essais avec de vrais modèles et comptes cloud nécessitent leurs identifiants.
-
-Les tags de version sont créés dans GitLab puis répliqués. Le workflow de release valide le tag et la CI, publie GitHub Packages et joint l’archive installable à une release GitHub. La publication npm est optionnelle, via trusted publishing une fois configuré. [Procédure d’exploitation](docs/operations.md).
-
-## Limites d’isolation et récupération
-
-Docker et Podman montent le worktree sélectionné et les métadonnées Git. L’agent peut modifier ce dépôt et son état Git. Les autres chemins hôte ne sont pas exposés par défaut, mais ce montage ne constitue pas une protection contre un agent hostile visant le dépôt partagé. `local()` s’exécute directement sur votre machine, sans isolation.
-
-Les fournisseurs cloud synchronisent l’historique, les changements suivis et les fichiers nouveaux. Les identifiants et auteurs des commits sont conservés. Une modification hôte concurrente déclenche une erreur de récupération plutôt qu’un écrasement. Les bundles, patches et fichiers de secours sont conservés sous `.outpost/recovery`.
-
-Les logs, transcriptions et fichiers de récupération peuvent contenir des données privées. Les dossiers d’exécution et `.env` sont exclus du versionnement. [Détails de sécurité](SECURITY.md).
-
-Licence MIT : [LICENSE](LICENSE).

package/ROADMAP.md

@@ -1,34 +0,0 @@
-# Roadmap
-
-## V1 contract
-
-Reusable sandboxes; independent workspaces; current/named/integration branch policies; Claude Code and Codex adapters; native session capture, resume and fork; Docker, Podman, host, Vercel and Daytona providers; command streaming and cancellation; file prompts, expansion, loops and structured responses; setup hooks; typed workflows; CLI initialization; EN/FR documentation; cross-platform tests and package release automation.
-
-## V1.x: efficiency and diagnostics
-
-- Durable campaign closure receipts to reconcile tracker outages without reimplementing merged issues.
-- Configurable planner policies, merge validation commands and per-role token budgets.
-
-- Incremental remote file manifests and compressed transfer batches while preserving recovery guarantees.
-- Content-addressed dependency caches and prebuilt agent images with signed provenance.
-- Configurable recovery retention with an inspect/prune CLI and storage quotas.
-- Structured metrics, OpenTelemetry integration and per-workflow usage budgets.
-- Richer diagnostic reports for provider capabilities and agent CLI compatibility.
-- More hosted-provider contract fixtures and scheduled live compatibility checks.
-
-## V2: durable orchestration
-
-- Persisted workflow checkpoints and recovery after host restarts.
-- Distributed task queues and worker leases with fencing tokens.
-- Explicit approvals and pause/resume nodes in workflows.
-- Artifact contracts between isolated tasks, with typed validation and lineage.
-- Native terminal transport for cloud backends where reliable PTY APIs are available.
-- Additional agent adapters through the existing domain ports.
-
-## Research
-
-- Stronger Git metadata isolation for adversarial agents.
-- MicroVM backends and fine-grained outbound network policies.
-- Speculative execution with conflict-aware integration and cost limits.
-
-Roadmap items are additions to the v1 contract. They are not prerequisites for running the current library.