@epoch-agent/server 0.7.1 → 0.9.0

package/dist/index.d.ts

@@ -1,4 +1,4 @@
-import { Lang, WireSkillImportFailure, WireSkillImportForm, WireSkillRemoveFailure, WireCapabilitiesResponse, WireSkillBodyResponse, EpochUserContent, AgentEvent, WireEnvelope, CustomCommandDef, ExpandedCommand, ModelRef, SetSelectionResult, WireCommandExpansion, WireCustomCommand, WireGoalPhase, WireGoalRefusal, WireTurnState, WireSessionFinish, ApprovalOutcome, QuestionAnswer, SessionSurfaceView, WireSessionReference, WireFileReference, ProviderType, ModelSelectionOrigin, WireModelCaveat, WireModelRejection, ContextBreakdown, PermissionLevel, WirePermissionRememberFailure, WirePluginSourceType, WirePluginRefuseReason, WirePluginEntry, WireModelSource, WireModelProbeStatus, ScheduleDefinition, ScheduleRun, ScheduleBackendKind, OperationType, ScheduleTrigger, WireScheduleIssue, ScheduleRunStatus, TrustLevel, WireSandboxReason, WireAuditOutcome, WireAuditCode, WireCachedApproval, WireCachedDecision, WireToolVerdict, WireToolGateAxis, WireSecurityResponse, WireRewindScope, WireRewindRequest, WireCheckpointSummary, WireRewindPreview, WireRewindResponse, ActiveAgentRole, WireSettingValue, WireSettingLayer, WireSettingWriteLayer, WireSettingFutile, WireSettingApply, WireSettingValueKind, WireSettingsResponse, EpochConfig, TokenUsage, WireCompressionLine, WireProviderSummary, WireToolSummary, Diagnostic, WireReplayMessage, WireFileChange, WireAuthGuard, WireWorkspaceDiffResponse, BackgroundTaskInfo, WireTasksResponse, WireBackgroundTask, WireScheduleRow } from '@epoch-agent/protocol';
+import { Lang, WireSkillImportFailure, WireSkillImportForm, WireSkillRemoveFailure, WireCapabilitiesResponse, WireSkillBodyResponse, EpochUserContent, AgentEvent, WireEnvelope, CustomCommandDef, ExpandedCommand, ModelRef, SetSelectionResult, WireCommandExpansion, WireCustomCommand, WireGoalPhase, WireGoalRefusal, WireTurnState, WireSessionFinish, ApprovalOutcome, QuestionAnswer, SessionSurfaceView, WireSessionReference, WireFileReference, ProviderType, ModelSelectionOrigin, WireModelCaveat, WireModelRejection, ContextBreakdown, PermissionLevel, WirePermissionRememberFailure, WirePluginSourceType, WirePluginVisibility, WirePluginStatus, WirePluginRefuseReason, WirePluginUploadFieldName, WirePluginUploadFields, WirePluginEntry, WireModelSource, WireModelProbeStatus, ScheduleDefinition, ScheduleRun, ScheduleBackendKind, OperationType, ScheduleTrigger, WireScheduleIssue, ScheduleRunStatus, TrustLevel, WireSandboxReason, WireAuditOutcome, WireAuditCode, WireCachedApproval, WireCachedDecision, WireToolVerdict, WireToolGateAxis, WireSecurityResponse, WireRewindScope, WireRewindRequest, WireCheckpointSummary, WireRewindPreview, WireRewindResponse, ActiveAgentRole, WireSettingValue, WireSettingLayer, WireSettingWriteLayer, WireSettingFutile, WireSettingApply, WireSettingValueKind, WireSettingsResponse, EpochConfig, TokenUsage, WireCompressionLine, WireProviderSummary, WireToolSummary, Diagnostic, WireReplayMessage, WireFileChange, WireAuthGuard, WireWorkspaceDiffResponse, BackgroundTaskInfo, WireTasksResponse, WireBackgroundTask, WireScheduleRow } from '@epoch-agent/protocol';
 import { SerializableApprovalRequest, SerializableQuestionRequest, ApprovalRevokeResult, LevelChangeResult, WorkspaceFilesView } from '@epoch-agent/runtime';
 import { ServerResponse } from 'node:http';
 
@@ -1510,6 +1510,34 @@ declare class SessionHub {
      *          调用方回 404，同审批。
      */
     respondQuestion(requestId: string, answer: QuestionAnswer): boolean;
+    /**
+     * 广播「这个会话的后台任务清单变了」（方案 36 PR-3）。
+     *
+     * 唯一的调用方是 `index.ts` 里那条对作业表的订阅 —— Hub 自己不认识任务表
+     * （那是 runtime 转出来的一张进程级的表），它在这条链上只负责发帧。
+     *
+     * ## ⚠️ **不查 `registry` 有没有这个会话**
+     *
+     * 作业表是**进程级**的，而 Hub 那张只装此刻活跃的那几段。两者对不上有两种
+     * 真实情况，各自都该发帧：
+     *
+     * - **被冷却的会话**（`onCooled` 把它从 registry 里摘了）它的 `pnpm dev`
+     *   照旧在跑，而正看着它的那个标签页照旧要知道它跑完了没有；
+     * - **不经过 Hub 的会话**（定时任务、嵌入宿主自己起的那一段）—— 那些帧没有
+     *   客户端认领，`reducer.ts` 的 `parkFrame` 会把它们折进 `parked` 里，
+     *   代价是一格没人读的对象。
+     *
+     * 查一下会便宜一点，但那条判据是错的：**它把「Hub 认不认识」当成了「值不值得
+     * 广播」，而这一帧的宾语是任务表不是 Hub**。收窄的代价是第一种情况静默失效，
+     * 而那正好是这一帧最该管的那一档（冷却的会话没有回合状态跃迁，
+     * 它的任务数除了这一帧之外没有任何东西会推）。
+     *
+     * ⚠️ 代价如实记在这儿：每一帧占一个全局序号、进那 512 格的环形缓冲。
+     * 这一族事件很稀（起一格 / 结束一格，**不含输出**，判据在 `infra` 的
+     * `notifyJobs` 上），所以它挤不动重连游标 —— 那条前提一旦破了（比如有人
+     * 把这条通道接到 `append` 上），先回来看这一段。
+     */
+    notifyTasksChanged(sessionId: string): void;
     /**
      * 收摊：撤掉倒计时、放弃所有挂起的审批、中止所有在跑的回合。
      *
@@ -2263,11 +2291,12 @@ interface RuntimeModel {
 }
 
 /**
- * 插件那一页的十条端点（方案 59 §六 E2，2026-08-21；本地源与市场管理 2026-09-04
- * 补，判据在 protocol 的 `wire-plugin.ts` 文件头第一节那次**翻案**）：
+ * 插件那一页的十三条端点（方案 59 §六 E2，2026-08-21；本地源与市场管理 2026-09-04
+ * 补，判据在 protocol 的 `wire-plugin.ts` 文件头第一节那次**翻案**；上传 2026-09-08
+ * 补，判据在那份文件头第一节之二；刷新 2026-09-10 补）：
  *
  * ```
- * GET  /api/plugins                       装着的 + 市场里有什么 + 已加的市场 + pendingRestart
+ * GET  /api/plugins                       装着的 + 市场里有什么 + 已加的市场 + pendingRestart + uploadEnabled
  * POST /api/plugins/install/preview       {ref}           → 将安装什么，一个字节都不写
  * POST /api/plugins/install               {ref, token}    → 真装
  * POST /api/plugins/install/local/preview {path}          → 同上，来源是本机一条目录
@@ -2277,6 +2306,9 @@ interface RuntimeModel {
  * POST /api/plugins/uninstall             {name}          → 卸载
  * POST /api/plugins/marketplaces          {source}        → 加一个市场
  * POST /api/plugins/marketplaces/remove   {name}          → 移除一个市场
+ * POST /api/plugins/upload/preview        {path}          → 会打包哪些文件，一个字节都不发
+ * POST /api/plugins/upload                {path, token}   → 打包 + 交给宿主
+ * POST /api/plugins/refresh               （不读正文）    → 让宿主重拉目录 + 回一份新列表
  * ```
  *
  * ## ⚠️ 这一层**一条策略判断都没有**
@@ -2290,10 +2322,10 @@ interface RuntimeModel {
  * 界面上是一条画成可点、点了却被拒的行（判据同 `PluginSearchHit.installable`
  * 为什么不从结果里剔掉远程那条）。
  *
- * ## ⚠️ 那一道闸：**九条 POST 在回环之外一律 403**，这是这个文件的正题
+ * ## ⚠️ 那一道闸：**十一条 POST 在回环之外一律 403**，这是这个文件的正题
  *
  * 判据全文在 protocol 的 [wire-plugin.ts](../../protocol/src/wire-plugin.ts) 文件头
- * 第二节，这里记它对这一层的五条直接后果：
+ * 第二节，这里记它对这一层的**六**条直接后果：
  *
  * 1. **`ctx.lanExposed` 为真时 403 `plugin-write-lan-exposed`，一个字节都不写。**
  *    装一包插件会落下 `hooks.json` 和 `mcp.json`，那两样**起子进程** ——
@@ -2312,6 +2344,10 @@ interface RuntimeModel {
  *    唯一后果是那一页在 LAN 那一档下一片空白，
  *    偏偏那时用户最想知道的就是「我装了什么、生效了没有」。
  *    （对比 `GET /api/mcp/config` 为什么连读都挡：那份文件里的 `env` 是明文密钥。）
+ * 6. **上传那两条是这张表里最该挡的**（2026-09-08）：它们读这台机器上任意一条
+ *    目录、把内容**发到外面去**。放行的话，一个 LAN 上的人能指着 `~/.ssh` 说
+ *    「上传它」。⚠️ **预览那一条同样挡**，虽然它一个字节都不发 ——
+ *    它回的那份**文件清单本身就是情报**（拿它能探这台机器上有什么）。
  *
  * ## ⚠️ 这一片可以整个不存在 —— 503 `no-plugin-control`
  *
@@ -2320,6 +2356,11 @@ interface RuntimeModel {
  * JSDoc 上）。六条一律 503，判据同 `no-goal-store`：那是一句关于**这个部署**的
  * 真话，而一份「装了 0 个插件」的空列表会让用户去找一个不存在的安装按钮。
  *
+ * ⚠️ **上传那两条还有第二档「没开」，而它比 503 那一档窄**：`runtime.plugins`
+ * 在、但宿主没给 `upload` 回调 —— 那时它们回 **200 + `upload-unavailable`**，
+ * 不是 503。两档分得开是有用的：503 说「这一整页没开」，那一档说
+ * 「页开着，只是没有交出去这条路」，而后者正是 `epoch web --plugins` 的常态。
+ *
  * ⚠️ **默认的 `epoch web` 就落在这一档上**（不给 `--plugins` 就不传
  * `hostMarketplaces`）。那一格 2026-08-21 答掉了：`epoch web --plugins` 才接上
  * （传 `{ sources: [] }`），**默认关**，判据在
@@ -2378,6 +2419,35 @@ interface PluginHitView {
         source: string;
         category?: string;
         keywords?: readonly string[];
+        /** 目录里那一格「谁写的」。**摊平在投影里做**，判据在 `WirePluginHit.author` 上 */
+        author?: {
+            name: string;
+        };
+        /**
+         * 市场那一侧数的两个计数（2026-09-08）。**可选**，而缺席在网线上变 `null`
+         * 不是 `0` —— 判据在 `WirePluginHit.downloads` 上（「没人报」和「一次都没装过」
+         * 是两句不同的话）。
+         */
+        downloads?: number;
+        likes?: number;
+        /** 展示用的那几格（2026-09-08）。全部可选 → 网线上一律 `null` */
+        displayName?: string;
+        icon?: string;
+        /** **市场说的**版本。`updateAvailable` 是拿它和装着的那个比出来的 */
+        version?: string;
+        changelog?: string;
+        size?: number;
+        homepage?: string;
+        visibility?: WirePluginVisibility;
+        /**
+         * 这一条在市场那一侧的档口（2026-09-10）。可选 → 网线上 `null`。
+         *
+         * ⚠️ **缺席有两种成因，而这一层不分**：这个市场压根不报这个，或者它报了、
+         * 但在自己那份目录的 `display.fields` 里没选它（判据在 core 的
+         * `projectEntryForDisplay` 上 —— 投影在「市场里有什么」那个唯一出口做完了）。
+         * 两者在屏幕上是同一句话（那一格不画），所以这儿不需要第二格去分。
+         */
+        status?: WirePluginStatus;
     };
     sourceType?: WirePluginSourceType;
     installable: boolean;
@@ -2460,7 +2530,49 @@ type MarketOutcomeView = {
     marketplace?: MarketplaceView;
 } | RefusalView;
 /**
- * `PluginControl`（runtime）在服务端眼里的样子 —— **只有那十一个动词加一格布尔**。
+ * `PackPlan`（core，经 runtime 原样透出）的镜像 —— 「会打包什么」那一屏的内容。
+ *
+ * ⚠️ 借的是**整份 `files`** 而不是一个长度：判据在 `WirePluginUploadPlan.files`
+ * 上（这条路上最常见的事故是「目录里有一份 `.env`」，一个计数答不出那件事）。
+ */
+interface PackPlanView {
+    manifest: {
+        name: string;
+        version: string;
+        description?: string;
+        author?: {
+            name: string;
+        };
+    };
+    files: readonly {
+        path: string;
+        bytes: number;
+    }[];
+    totalBytes: number;
+    suspicious: readonly string[];
+    skippedLinks: readonly string[];
+}
+type UploadPreviewOutcomeView = {
+    ok: true;
+    plan: PackPlanView;
+    token: string;
+} | RefusalView;
+/**
+ * 上传的结局。
+ *
+ * ⚠️ 成功那一档借的是 `detail`（**宿主原话**）而不是我们编的一句 —— 判据在
+ * `WirePluginUploadResponse.detail` 上：上传之后发生什么（直接上架 / 排队审核）
+ * 是宿主那一侧的流程，这一层编不出来。
+ */
+type UploadOutcomeView = {
+    ok: true;
+    detail: string;
+    name: string;
+    version: string;
+    bytes: number;
+} | RefusalView;
+/**
+ * `PluginControl`（runtime）在服务端眼里的样子 —— **只有那十四个动词加两格布尔**。
  *
  * 镜像里只有它们，于是这个包**写不出** core 的 `setPluginEnabled`
  * （停用一个插件会静默拿掉别人正依赖的一批命令，正当性和「装 / 卸」不是一回事）；
@@ -2486,7 +2598,49 @@ interface PluginControlView {
     marketplaces(): readonly MarketplaceView[];
     addMarketplace(source: string, lang?: Lang): Promise<MarketOutcomeView>;
     removeMarketplace(name: string, lang?: Lang): Promise<MarketOutcomeView>;
+    /**
+     * 「会打包什么」。⚠️ **同步的**（runtime 那一层只走一遍目录，不起子进程）——
+     * 镜像上写成 `Promise` 也满足，但那会让这一层顺手 `await` 一个不用等的东西
+     */
+    previewUpload(path: string, lang?: Lang): UploadPreviewOutcomeView;
+    upload(path: string, token: string, 
+    /**
+     * 用户在那一屏上填的（2026-09-10 从两格放宽到七格）。
+     *
+     * ⚠️ **两道收窄都由下一层做，这一层一格都不过滤**：宿主没声明要问的丢掉、
+     * 宿主锁死的（`editable: false`）也丢掉换成它自己的值 —— 判据在 runtime 的
+     * `PluginUploadForm` 上。这一层只把请求体收窄成**形状**（见 {@link uploadFormOf}）。
+     */
+    form: UploadFormView, lang?: Lang): Promise<UploadOutcomeView>;
     readonly pendingRestart: boolean;
+    /**
+     * 上传表单多问哪几格、每一格长什么样。**七个键恒有，不画的是 `null`** ——
+     * runtime 那一层拍平好的（2026-09-10 从两个布尔换成形态表）。
+     *
+     * ⚠️ 这一层**原样投影，一格都不重判**：「哪几档写法等价」整个在 runtime 的
+     * `normalizeUploadField` 里，在这儿再判一次就是给同一个问题第二个答案。
+     */
+    readonly uploadOptions: WirePluginUploadFields;
+    /**
+     * 宿主给了上传出口吗。**runtime 算好的结论**，这一层原样投影上网线 ——
+     * 在这儿重判一次（比如看那个回调在不在）就是给同一个问题第二个答案，
+     * 判据同文件头那句「这一层一条策略判断都没有」。
+     */
+    readonly uploadEnabled: boolean;
+    /**
+     * 去把目录重拉一遍（2026-09-10）。两段（宿主取新目录 → 我们吃进
+     * `marketplaces.json`）都在 runtime 那一层，这儿只转一发。
+     *
+     * ⚠️ 回执里**没有列表** —— 刷完之后那一份由这一层自己 `pluginsPayload()`
+     * 现读一次。让 runtime 顺手把列表捎回来的话，「首屏那一份长什么样」
+     * 就有了第二个产地，判据在 `pluginsPayload` 上。
+     */
+    refresh(lang?: Lang): Promise<ActionOutcomeView>;
+    /**
+     * 宿主给了刷新出口吗。**runtime 算好的结论**，这一层原样投影上网线 ——
+     * 口径逐字同 {@link uploadEnabled}。
+     */
+    readonly refreshEnabled: boolean;
 }
 /**
  * 装着的一条 → 网线上那一行。
@@ -2497,6 +2651,10 @@ interface PluginControlView {
  * 「什么都不带」。
  */
 declare function toWirePluginEntry(entry: PluginEntryView): WirePluginEntry;
+/** `PluginUploadForm`（runtime）的镜像 —— 上传那一屏上用户填的七格 */
+type UploadFormView = {
+    visibility?: WirePluginVisibility;
+} & Partial<Record<Exclude<WirePluginUploadFieldName, 'visibility'>, string>>;
 
 /**
  * 「我们支持哪几家、这一家有哪些模型、给这一家配一把 key」 —— `GET /api/providers`、

package/dist/index.js

@@ -1,7 +1,7 @@
 import { createServer } from 'http';
-import { t, ApprovalRelay, QuestionRelay, serializeStream, withRoleScope, withModelScope, withToolScope, nextRunAt, skillIndexDescription, SANDBOX_EXCLUDES, SANDBOX_COVERS, isSystemOpenable, backgroundTaskOutput, listBackgroundTasks, providerLabel, MAX_REASON_CHARS, MAX_OBJECTIVE_CHARS, MAX_GOAL_MAX_ROUNDS, DEFAULT_GOAL_MAX_ROUNDS, SCHEDULE_DEFAULT_ALLOWLIST, SCHEDULE_DEFAULTS, coalesceRecording, readRecording } from '@epoch-agent/runtime';
+import { t, ApprovalRelay, QuestionRelay, serializeStream, withRoleScope, withModelScope, withToolScope, nextRunAt, observeBackgroundTasks, skillIndexDescription, SANDBOX_EXCLUDES, SANDBOX_COVERS, isSystemOpenable, backgroundTaskOutput, listBackgroundTasks, providerLabel, MAX_REASON_CHARS, MAX_OBJECTIVE_CHARS, MAX_GOAL_MAX_ROUNDS, DEFAULT_GOAL_MAX_ROUNDS, SCHEDULE_DEFAULT_ALLOWLIST, SCHEDULE_DEFAULTS, coalesceRecording, readRecording } from '@epoch-agent/runtime';
 import { timingSafeEqual, randomBytes } from 'crypto';
-import { PLAN_OUTCOMES, WIRE_AUTH_COOKIE, WIRE_AUTH_COOKIE_ATTRS, WIRE_AUTH_TOKEN_PARAM, extractAllMentions, MAX_ATTACH_FILES, utf8ByteLength, MAX_SESSION_REFS, attachSessionSurface, isWireRewindScope, WIRE_REWIND_SCOPES, MAX_ATTACH_TOTAL_BYTES, MAX_ATTACH_BYTES, WIRE_LANG_PARAM, isLang, isQuestionAnswerMap, isProviderType, apiKeyEnvVar, WIRE_FILE_STAT_MAX, WIRE_SETTING_WRITE_LAYERS, isWirePlanAction, WIRE_PLAN_ACTIONS, isPermissionLevel, PERMISSION_LEVELS, collectPendingApprovals, unfixedRules, isWireSettingWriteLayer, parseModelRef, WIRE_GOAL_ACTIONS, OPERATION_TYPES, isOperationType } from '@epoch-agent/protocol';
+import { PLAN_OUTCOMES, WIRE_AUTH_COOKIE, WIRE_AUTH_COOKIE_ATTRS, WIRE_AUTH_TOKEN_PARAM, extractAllMentions, MAX_ATTACH_FILES, utf8ByteLength, MAX_SESSION_REFS, attachSessionSurface, isWireRewindScope, WIRE_REWIND_SCOPES, MAX_ATTACH_TOTAL_BYTES, MAX_ATTACH_BYTES, WIRE_LANG_PARAM, isLang, isQuestionAnswerMap, isProviderType, apiKeyEnvVar, WIRE_FILE_STAT_MAX, WIRE_SETTING_WRITE_LAYERS, isWirePlanAction, WIRE_PLAN_ACTIONS, isPermissionLevel, PERMISSION_LEVELS, collectPendingApprovals, unfixedRules, isWireSettingWriteLayer, parseModelRef, WIRE_GOAL_ACTIONS, OPERATION_TYPES, isOperationType, WIRE_PLUGIN_UPLOAD_FORM_FIELDS } from '@epoch-agent/protocol';
 import { resolve, join, relative, isAbsolute, sep, dirname, basename, extname } from 'path';
 import { existsSync, realpathSync, statSync, mkdirSync, createReadStream, readdirSync, accessSync, constants } from 'fs';
 import { homedir } from 'os';
@@ -554,6 +554,10 @@ var SessionHub = class {
     this.syncApprovalState(entry);
     return true;
   }
+  notifyTasksChanged(sessionId) {
+    if (this.closed) return;
+    this.publish(sessionId, { type: "tasks-changed" });
+  }
   shutdown() {
     if (this.closed) return;
     this.closed = true;
@@ -2448,7 +2452,8 @@ function toWirePluginEntry(entry) {
     counts: entry.counts ? toWireCounts(entry.counts) : null
   };
 }
-function toWirePluginHit(hit, installedNames) {
+function toWirePluginHit(hit, installed) {
+  const mine = installed.get(hit.entry.name);
   return {
     marketplace: hit.marketplace,
     ref: hit.ref,
@@ -2458,7 +2463,19 @@ function toWirePluginHit(hit, installedNames) {
     keywords: [...hit.entry.keywords ?? []],
     sourceType: hit.sourceType ?? null,
     installable: hit.installable,
-    installed: installedNames.has(hit.entry.name)
+    installed: mine !== void 0,
+    author: hit.entry.author?.name ?? null,
+    downloads: hit.entry.downloads ?? null,
+    likes: hit.entry.likes ?? null,
+    displayName: hit.entry.displayName ?? null,
+    icon: hit.entry.icon ?? null,
+    version: hit.entry.version ?? null,
+    changelog: hit.entry.changelog ?? null,
+    size: hit.entry.size ?? null,
+    homepage: hit.entry.homepage ?? null,
+    visibility: hit.entry.visibility ?? null,
+    status: hit.entry.status ?? null,
+    updateAvailable: mine !== void 0 && !mine.linked && hit.entry.version !== void 0 && hit.entry.version !== mine.version
   };
 }
 function toWireMarketplace(market) {
@@ -2514,17 +2531,38 @@ function fieldOf(payload, key) {
   const value = payload[key];
   return typeof value === "string" ? value.trim() : "";
 }
+function uploadFormOf(payload) {
+  const form = {};
+  for (const name of WIRE_PLUGIN_UPLOAD_FORM_FIELDS) {
+    const raw = fieldOf(payload, name);
+    if (raw === "") continue;
+    if (name === "visibility") {
+      if (raw === "private" || raw === "public") form[name] = raw;
+      continue;
+    }
+    form[name] = raw;
+  }
+  return form;
+}
 function listPlugins(ctx, res, lang) {
   const control = controlOf(ctx, res, lang);
   if (!control) return;
+  sendJson(res, 200, pluginsPayload(control));
+}
+function pluginsPayload(control) {
   const installed = control.list();
-  const installedNames = new Set(installed.map((p) => p.name));
-  sendJson(res, 200, {
+  const installedMap = new Map(
+    installed.map((p) => [p.name, { version: p.version, linked: p.linked }])
+  );
+  return {
     installed: installed.map(toWirePluginEntry),
-    hits: control.search().map((hit) => toWirePluginHit(hit, installedNames)),
+    hits: control.search().map((hit) => toWirePluginHit(hit, installedMap)),
     marketplaces: control.marketplaces().map(toWireMarketplace),
-    pendingRestart: control.pendingRestart
-  });
+    pendingRestart: control.pendingRestart,
+    uploadEnabled: control.uploadEnabled,
+    uploadOptions: control.uploadOptions,
+    refreshEnabled: control.refreshEnabled
+  };
 }
 function sendPreview(res, outcome) {
   if (!outcome.ok) {
@@ -2658,6 +2696,88 @@ async function removePluginMarketplace(ctx, req, res, lang) {
   if (!body.ok) return sendError(res, body.status, "bad-body", body.message);
   sendMarket(res, await control.removeMarketplace(fieldOf(asRecord(body.value), "name"), lang));
 }
+function previewPluginUpload(ctx, req, res, lang) {
+  return withUploadBody(ctx, req, res, lang, (control, payload) => {
+    sendUploadPreview(res, control.previewUpload(fieldOf(payload, "path"), lang));
+  });
+}
+function uploadPlugin(ctx, req, res, lang) {
+  return withUploadBody(ctx, req, res, lang, async (control, payload) => {
+    sendUpload(
+      res,
+      await control.upload(
+        fieldOf(payload, "path"),
+        fieldOf(payload, "token"),
+        uploadFormOf(payload),
+        lang
+      )
+    );
+  });
+}
+async function withUploadBody(ctx, req, res, lang, run) {
+  if (refusedByLan(ctx, res, lang)) return;
+  const control = controlOf(ctx, res, lang);
+  if (!control) return;
+  const body = await readJsonBody(req);
+  if (!body.ok) return sendError(res, body.status, "bad-body", body.message);
+  await run(control, asRecord(body.value));
+}
+function sendUploadPreview(res, outcome) {
+  if (!outcome.ok) {
+    return sendJson(res, 200, {
+      ok: false,
+      plan: null,
+      token: null,
+      reason: outcome.reason,
+      detail: outcome.detail
+    });
+  }
+  const { manifest, files, totalBytes, suspicious, skippedLinks } = outcome.plan;
+  sendJson(res, 200, {
+    ok: true,
+    plan: {
+      name: manifest.name,
+      version: manifest.version,
+      description: manifest.description ?? "",
+      author: manifest.author?.name ?? null,
+      files: files.map((f) => ({ path: f.path, bytes: f.bytes })),
+      totalBytes,
+      suspicious: [...suspicious],
+      skippedLinks: [...skippedLinks]
+    },
+    token: outcome.token,
+    reason: null,
+    detail: null
+  });
+}
+function sendUpload(res, outcome) {
+  sendJson(res, 200, {
+    ok: outcome.ok,
+    detail: outcome.detail,
+    uploaded: outcome.ok ? { name: outcome.name, version: outcome.version, bytes: outcome.bytes } : null,
+    reason: outcome.ok ? null : outcome.reason
+  });
+}
+async function refreshPlugins(ctx, res, lang) {
+  if (refusedByLan(ctx, res, lang)) return;
+  const control = controlOf(ctx, res, lang);
+  if (!control) return;
+  const outcome = await control.refresh(lang);
+  if (!outcome.ok) {
+    return sendJson(res, 200, {
+      ok: false,
+      plugins: null,
+      reason: outcome.reason,
+      detail: outcome.detail
+    });
+  }
+  sendJson(res, 200, {
+    ok: true,
+    plugins: pluginsPayload(control),
+    reason: null,
+    detail: outcome.detail === "" ? null : outcome.detail
+  });
+}
 function toWireProvider(option, lang) {
   return {
     type: option.type,
@@ -4370,6 +4490,15 @@ async function handleApi(opts, req, res, method, segments, lang) {
   if (resource === "plugins" && first === "marketplaces" && second === void 0 && method === "POST") {
     return addPluginMarketplace(ctx, req, res, lang);
   }
+  if (resource === "plugins" && first === "upload" && second === "preview" && method === "POST") {
+    return previewPluginUpload(ctx, req, res, lang);
+  }
+  if (resource === "plugins" && first === "upload" && second === void 0 && method === "POST") {
+    return uploadPlugin(ctx, req, res, lang);
+  }
+  if (resource === "plugins" && first === "refresh" && second === void 0 && method === "POST") {
+    return refreshPlugins(ctx, res, lang);
+  }
   if (resource === "providers" && first === void 0 && isRead(method)) {
     return listProviders(ctx, res, lang);
   }
@@ -4599,6 +4728,9 @@ async function createWebServer(opts) {
     onCooled: (sessionId) => opts.runtime.sessionFactory.release(sessionId)
   });
   if (opts.runtime.session) hub.register(opts.runtime.session);
+  const unsubscribeTasks = observeBackgroundTasks((sessionId) => {
+    hub.notifyTasksChanged(sessionId);
+  });
   let handle = null;
   const server = createServer((req, res) => {
     if (handle) return handle(req, res);
@@ -4607,7 +4739,10 @@ async function createWebServer(opts) {
   });
   const webRoot = opts.webRoot ?? defaultWebRoot();
   const listened = await listen(server, binding.host, binding.port);
-  if (!listened.ok) return listened;
+  if (!listened.ok) {
+    unsubscribeTasks();
+    return listened;
+  }
   handle = buildHandler(opts, hub, binding, listened.port, webRoot);
   return {
     ok: true,
@@ -4619,7 +4754,7 @@ async function createWebServer(opts) {
       ...webRoot === void 0 ? {} : { webRoot },
       observe: (sink) => hub.observe(sink),
       snapshot: () => hub.listSessions(),
-      close: makeCloser(server, hub, opts.runtime)
+      close: makeCloser(server, hub, opts.runtime, unsubscribeTasks)
     }
   };
 }
@@ -4670,10 +4805,11 @@ function describeListenError(err, host, port) {
   }
   return t("web.listen_failed", { host, port, reason: err.message }, void 0);
 }
-function makeCloser(server, hub, runtime) {
+function makeCloser(server, hub, runtime, unsubscribeTasks) {
   let closing = null;
   return () => {
     closing ??= (async () => {
+      unsubscribeTasks();
       hub.shutdown();
       server.closeAllConnections();
       await new Promise((resolve4) => server.close(() => resolve4()));