@getxflow/cli 0.1.9 → 0.1.10

package/dist/commands/skills.js

@@ -9,40 +9,28 @@ const args_1 = require("../args");
 const errors_1 = require("../errors");
 const ui_1 = require("../ui");
 /**
- * Формат SKILL.md общий для инструментов (agentskills.io), а папку каждый ищет
- * свою: Claude Code в .claude/skills, Codex и OpenClaw в .agents/skills. Cursor к
- * общему формату не пришёл и читает .cursor/rules/*.mdc, поэтому туда едет тот же
- * текст под его заголовком. Спрашивать, чей агент, мы не хотим: раскладываем всем.
+ * The SKILL.md format is shared across tools (agentskills.io); each agent reads
+ * its own folder. Cursor reads .cursor/rules/*.mdc instead, so it gets the same
+ * text under its own header.
  */
 const SKILL_DIRS = [
     ['.claude', 'skills'],
     ['.agents', 'skills'],
 ];
-/**
- * В домашней папке набор другой. Общий .agents/skills там читает OpenClaw, а
- * Codex смотрит его только внутри репозитория: свой личный он держит отдельно,
- * в .codex/skills. Без этой папки `--global` тихо не работает для Codex.
- */
+/** Codex reads its global skills from .codex/skills, not from .agents. */
 const GLOBAL_SKILL_DIRS = [...SKILL_DIRS, ['.codex', 'skills']];
 const CURSOR_RULE = ['.cursor', 'rules', 'xflow.mdc'];
-/**
- * Указатель в AGENTS.md.
- *
- * Скилл подхватывается лениво: только когда описание совпало с задачей. Просьба
- * «добавь таблицу клиентов» с ним не совпадает, и агент не узнаёт, что проект
- * вообще живёт на платформе. AGENTS.md читается всегда и без условий, поэтому
- * пара строк здесь решает ту часть, которую ленивый скилл закрыть не может.
- */
+/** AGENTS.md is always read, unlike the lazily loaded skill: a short pointer lives there. */
 const POINTER_MARKER = '<!-- xflow-skill -->';
-const POINTER = `${POINTER_MARKER}
-## XFlow
-
-This project is hosted on the XFlow platform and ships through the \`xflow\` CLI, not
-through a git push. Read \`.agents/skills/xflow/SKILL.md\` before deploying, publishing,
-rolling back, touching the database or migrations, cloud functions, schedules,
-environment variables or production logs. Command list: \`xflow help\`.
+const POINTER = `${POINTER_MARKER}
+## XFlow
+
+This project is hosted on the XFlow platform and ships through the \`xflow\` CLI, not
+through a git push. Read \`.agents/skills/xflow/SKILL.md\` before deploying, publishing,
+rolling back, touching the database or migrations, cloud functions, schedules,
+environment variables or production logs. Command list: \`xflow help\`.
 `;
-/** Скилл едет в пакете рядом с dist: у CLI и у инструкций для агента одна версия. */
+/** The skill ships inside the package, next to dist. */
 function skillSource() {
     const path = (0, node_path_1.join)(__dirname, '..', '..', 'skills', 'xflow', 'SKILL.md');
     if (!(0, node_fs_1.existsSync)(path)) {
@@ -50,13 +38,13 @@ function skillSource() {
     }
     return (0, node_fs_1.readFileSync)(path, 'utf-8');
 }
-/** Тот же текст под заголовком Cursor: поля у него свои, а тело общее. */
+/** The same text under Cursor's own header. */
 function cursorRule(skill) {
     const description = /^description:\s*(.+)$/m.exec(skill)?.[1] ?? 'XFlow platform';
     const body = skill.replace(/^---\r?\n[\s\S]*?\r?\n---\r?\n/, '');
     return `---\ndescription: ${description}\nalwaysApply: false\n---\n\n${body}`;
 }
-/** Пишет, только если содержимое отличается. Возвращает путь тронутого файла. */
+/** Writes only when the content differs. Returns the touched path. */
 function writeIfChanged(path, content) {
     const before = (0, node_fs_1.existsSync)(path) ? (0, node_fs_1.readFileSync)(path, 'utf-8') : null;
     if (before === content)
@@ -65,11 +53,7 @@ function writeIfChanged(path, content) {
     (0, node_fs_1.writeFileSync)(path, content, 'utf-8');
     return path;
 }
-/**
- * Дописать указатель в AGENTS.md: только в конец и только один раз по маркеру.
- * Файл принадлежит пользователю, там его правила, переписывать его мы не вправе.
- * CLAUDE.md не трогаем вовсе: Claude Code и так читает .claude/skills.
- */
+/** Append once, by marker: the file belongs to the user. */
 function appendPointer(base) {
     const path = (0, node_path_1.join)(base, 'AGENTS.md');
     const before = (0, node_fs_1.existsSync)(path) ? (0, node_fs_1.readFileSync)(path, 'utf-8') : null;
@@ -78,7 +62,6 @@ function appendPointer(base) {
     (0, node_fs_1.writeFileSync)(path, before ? `${before.replace(/\s*$/, '')}\n\n${POINTER}` : POINTER, 'utf-8');
     return path;
 }
-/** Разложить инструкцию по папкам, где её найдёт агент. Отдаёт тронутые файлы. */
 function install(base, global) {
     const skill = skillSource();
     const touched = [];
@@ -87,8 +70,7 @@ function install(base, global) {
         if (path)
             touched.push(path);
     }
-    // Правило Cursor и указатель кладём только рядом с проектом: глобальных
-    // аналогов у них нет, а в домашней папке их никто не читает.
+    // Project-level only: these have no global equivalents.
     if (!global) {
         const rule = writeIfChanged((0, node_path_1.join)(base, ...CURSOR_RULE), cursorRule(skill));
         if (rule)
@@ -99,13 +81,7 @@ function install(base, global) {
     }
     return touched;
 }
-/**
- * Установка попутно, из `init` и `link`.
- *
- * Отдельной командой до этого доходили единицы, и агент оставался без знания о
- * платформе — той самой, на которой ему предстоит работать. При этом инструкция
- * не то, ради чего запускали команду, поэтому её сбой не роняет привязку папки.
- */
+/** Best-effort install from init and link: a failure must not break the linking. */
 function installSkillQuietly(base) {
     try {
         if (install(base, false).length > 0) {

package/dist/commands/sources.js

@@ -15,9 +15,8 @@ const session_1 = require("../session");
 const tree_1 = require("../tree");
 const zip_1 = require("../zip");
 const ui_1 = require("../ui");
-/** Потолок сервера. Проверяем и здесь, чтобы не гнать 25 МБ ради отказа. */
+/** Server cap, checked locally to fail before uploading. */
 const MAX_ARCHIVE_BYTES = 25 * 1024 * 1024;
-/** Собрать дерево исходников: что уходит на сервер и с каким хешем. */
 function prepareTree(root, config) {
     const buildDir = config.build?.dir?.replace(/^\.\//, '').replace(/\/+$/, '');
     const extra = [...(config.ignore ?? []), ...(buildDir ? [`${buildDir}/`] : [])];
@@ -41,12 +40,7 @@ async function latestRevision(client, projectId) {
     const { revisions } = await (0, api_1.apiJson)(client, `/api/v1/projects/${projectId}/revisions`);
     return revisions[0] ?? null;
 }
-/**
- * Показать, чью работу перетирает `--force`, и спросить подтверждение.
- *
- * Без этого текст «используйте --force» превращается в инструкцию, которую
- * агент выполнит не задумываясь, а чужие правки исчезнут без следа (D23).
- */
+/** Show what --force would overwrite and ask for confirmation. */
 async function confirmForce(client, projectId, server, local) {
     const card = await (0, api_1.apiJson)(client, `/api/v1/projects/${projectId}`);
     (0, ui_1.note)('');
@@ -71,19 +65,18 @@ async function confirmForce(client, projectId, server, local) {
         (0, ui_1.warn)('Could not read the server copy: the list of disappearing files is unavailable');
     }
     (0, ui_1.note)('');
-    const confirmed = await (0, ui_1.confirmWord)(`This overwrites somebody else"s work with no way to recover it from the platform.`, card.name);
+    const confirmed = await (0, ui_1.confirmWord)(`This overwrites work that is not yours, with no way to recover it from the platform.`, card.name);
     if (!confirmed)
         throw new errors_1.CliError('Cancelled');
 }
-/** Отправка исходников. Используется и командой push, и первым шагом deploy. */
+/** Used by push and by the first step of deploy. */
 async function pushSources(root, config, client, options) {
     const tree = prepareTree(root, config);
     const state = (0, config_1.readState)(root);
     (0, ui_1.step)(`Sending ${tree.files.length} files (${(0, ui_1.formatBytes)(tree.archive.length)})`);
     const server = await latestRevision(client, config.projectId);
-    // Ревизия сервера есть, а мы не знаем, от какой работали (свежий клон, чужая
-    // машина). Совпал хеш — просто синхронизируемся; не совпал — молча заливать
-    // нельзя, иначе чужая работа исчезнет без единой ошибки.
+    // Unknown base revision (fresh clone): a matching hash just syncs,
+    // a mismatch must not overwrite silently.
     if (server && state.revision === undefined && !options.force) {
         if (server.tree_hash === tree.hash) {
             (0, config_1.writeState)(root, { revision: server.revision, treeHash: server.tree_hash });
@@ -115,7 +108,6 @@ async function push(args) {
     const client = (0, session_1.connect)(config);
     await pushSources(root, config, client, { force: (0, args_1.flagBool)(args, 'force') });
 }
-/** Есть ли в каталоге что-то, кроме служебного. */
 function hasContent(dir) {
     if (!(0, node_fs_1.existsSync)(dir))
         return false;
@@ -145,8 +137,7 @@ async function pull(args) {
         (0, node_fs_1.mkdirSync)((0, node_path_1.dirname)(path), { recursive: true });
         (0, node_fs_1.writeFileSync)(path, entry.content);
     }
-    // Состояние пишем только для рабочей папки: копия рядом (`--into`) к отсчёту
-    // ревизий отношения не имеет, и запись туда сбила бы его у рабочей.
+    // Only the working folder tracks revisions; a side copy (--into) must not reset them.
     if (!into) {
         (0, config_1.writeState)(root, { revision: info.revision, treeHash: info.tree_hash });
     }

package/dist/config.js

@@ -17,7 +17,7 @@ const STATE_DIR = '.xflow';
 class ConfigError extends Error {
 }
 exports.ConfigError = ConfigError;
-/** Ищем корень проекта вверх по дереву: команду запускают из подкаталога чаще, чем из корня. */
+/** Walk up from cwd. */
 function findProjectRoot(from = process.cwd()) {
     let dir = (0, node_path_1.resolve)(from);
     for (;;) {
@@ -47,7 +47,6 @@ function readConfig(root) {
 function writeConfig(root, config) {
     (0, node_fs_1.writeFileSync)((0, node_path_1.join)(root, exports.CONFIG_FILE), `${JSON.stringify(config, null, 2)}\n`, 'utf-8');
 }
-/** Конфигурация проекта, из которого запущена команда. Бросает, если папка не связана. */
 function requireProject() {
     const root = findProjectRoot();
     if (!root) {
@@ -58,8 +57,12 @@ function requireProject() {
     return { root, config: readConfig(root) };
 }
 function apiUrlFor(config) {
-    const raw = process.env.XFLOW_API_URL?.trim() || config?.api?.trim() || version_1.DEFAULT_API_URL;
-    return raw.replace(/\/+$/, '');
+    const raw = (process.env.XFLOW_API_URL?.trim() || config?.api?.trim() || version_1.DEFAULT_API_URL).replace(/\/+$/, '');
+    // The address ends up in headers and child processes: keep it a plain http(s) URL.
+    if (!/^https?:\/\/[A-Za-z0-9.-]+(:\d+)?(\/[A-Za-z0-9._/-]*)?$/.test(raw)) {
+        throw new ConfigError(`Invalid platform address: ${raw}`);
+    }
+    return raw;
 }
 function readState(root) {
     const path = (0, node_path_1.join)(root, STATE_DIR, 'state.json');
@@ -77,10 +80,7 @@ function writeState(root, state) {
     (0, node_fs_1.mkdirSync)(dir, { recursive: true });
     (0, node_fs_1.writeFileSync)((0, node_path_1.join)(dir, 'state.json'), `${JSON.stringify(state, null, 2)}\n`, 'utf-8');
 }
-/**
- * Состояние в git не нужно никому, но забыть про него легко: дописываем в
- * .gitignore сами. Если файла нет, создаём — проект почти всегда под git.
- */
+/** Keep .xflow/ out of git. */
 function ignoreStateInGit(root) {
     const path = (0, node_path_1.join)(root, '.gitignore');
     const line = `${STATE_DIR}/`;

package/dist/credentials.js

@@ -30,12 +30,12 @@ function writeStore(store) {
     (0, node_fs_1.mkdirSync)(dir, { recursive: true, mode: 0o700 });
     const path = credentialsPath();
     (0, node_fs_1.writeFileSync)(path, `${JSON.stringify(store, null, 2)}\n`, { mode: 0o600 });
-    // На случай, когда файл уже существовал: writeFileSync права не меняет.
+    // writeFileSync does not change the mode of an existing file.
     try {
         (0, node_fs_1.chmodSync)(path, 0o600);
     }
     catch {
-        // Windows правами POSIX не управляет — не повод падать.
+        // Windows has no POSIX modes.
     }
 }
 function saveCredential(apiUrl, credential) {
@@ -51,14 +51,13 @@ function forgetCredential(apiUrl) {
     writeStore(store);
     return true;
 }
-/**
- * Ключ для адреса платформы. Переменная окружения главнее файла: так работает
- * запуск из CI, где домашнего каталога может не быть вовсе.
- */
-function resolveToken(apiUrl) {
-    const fromEnv = process.env.XFLOW_TOKEN?.trim();
-    if (fromEnv)
-        return fromEnv;
+/** XFLOW_TOKEN wins over the store; the caller decides whether env is allowed for this address. */
+function resolveToken(apiUrl, allowEnv = true) {
+    if (allowEnv) {
+        const fromEnv = process.env.XFLOW_TOKEN?.trim();
+        if (fromEnv)
+            return fromEnv;
+    }
     return readStore()[apiUrl]?.token ?? null;
 }
 function readCredential(apiUrl) {

package/dist/errors.js

@@ -1,7 +1,7 @@
 "use strict";
 Object.defineProperty(exports, "__esModule", { value: true });
 exports.CliError = void 0;
-/** Ошибка, которую показываем человеку как есть: без стека и без «Unhandled». */
+/** Shown to the user as is, without a stack trace. */
 class CliError extends Error {
     hint;
     constructor(message, hint) {