@getxflow/cli 0.1.9 → 0.2.0

package/dist/commands/logs.js

@@ -8,7 +8,6 @@ const config_1 = require("../config");
 const session_1 = require("../session");
 const ui_1 = require("../ui");
 const DEFAULT_LIMIT = 10;
-/** Стек с хвостом консоли бывает длинным: показываем начало, оно и есть причина. */
 const STACK_MAX_LINES = 14;
 function stamp(iso) {
     const date = new Date(iso);
@@ -24,7 +23,7 @@ async function fetchLogs(source, name, args) {
     const data = await (0, api_1.apiJson)(client, `/api/v1/projects/${config.projectId}/logs?${query.toString()}`);
     return data.logs;
 }
-/** Свежее — внизу: так последняя ошибка оказывается перед глазами, а не уезжает вверх. */
+/** Newest at the bottom. */
 function render(rows) {
     for (const row of [...rows].reverse()) {
         const label = row.source === 'function' ? (row.function ?? 'function') : 'browser';

package/dist/commands/mcp.js

@@ -9,7 +9,7 @@ const args_1 = require("../args");
 const config_1 = require("../config");
 const session_1 = require("../session");
 const ui_1 = require("../ui");
-/** Клиенты, у которых есть своя команда для добавления сервера. */
+/** Clients with their own server-add command. */
 const CLIENTS = [
     {
         binary: 'claude',
@@ -24,26 +24,20 @@ const CLIENTS = [
             '--header',
             `Authorization: Bearer ${token}`,
         ],
-        // Повторный запуск должен обновлять запись, а не спотыкаться о неё: команду
-        // выполняют и после смены ключа, и после обновления пакета.
+        // Re-running must update the entry, not fail on it.
         reset: ['mcp', 'remove', 'xflow', '-s', 'local'],
     },
 ];
 const WINDOWS = process.platform === 'win32';
 /**
- * Запустить чужую программу.
- *
- * На Windows без оболочки не найти `.cmd`-обёртки, которыми ставятся все
- * консольные пакеты npm. А оболочка не экранирует аргументы, а склеивает их:
- * заголовок «Authorization: Bearer …» разваливается по пробелу. Поэтому на
- * Windows собираем строку сами и сами же расставляем кавычки.
+ * Windows needs a shell to resolve npm's .cmd shims, and the shell joins
+ * arguments instead of escaping them: quote by hand.
  */
 function quote(value) {
     return WINDOWS ? `"${value.replace(/"/g, '""')}"` : value;
 }
 function execute(binary, args) {
-    // Вывод чужой команды перехватываем, а не пропускаем на экран: клиенты любят
-    // напечатать добавленные заголовки целиком, вместе с ключом.
+    // Capture output: clients may echo the added header together with the key.
     const options = { encoding: 'utf-8' };
     return WINDOWS
         ? (0, node_child_process_1.spawnSync)([binary, ...args.map(quote)].join(' '), { ...options, shell: true })
@@ -53,7 +47,7 @@ function hasBinary(binary) {
     return execute(binary, ['--version']).status === 0;
 }
 async function mcpInstall(args) {
-    // Сервер общий для организации, поэтому команда работает и вне папки проекта.
+    // The server covers the organization: the command works outside a project folder too.
     const root = (0, config_1.findProjectRoot)();
     const client = (0, session_1.connect)(root ? (0, config_1.readConfig)(root) : undefined);
     const url = `${client.apiUrl.replace(/\/+$/, '')}/api/mcp`;
@@ -87,7 +81,6 @@ async function mcpInstall(args) {
         (0, ui_1.out)(`  address: ${url}`);
         (0, ui_1.out)(`  header: Authorization: Bearer <key>`);
     }
-    // Ключ печатаем только по явной просьбе: см. комментарий в шапке файла.
     if ((0, args_1.flagBool)(args, 'show-token')) {
         (0, ui_1.out)('');
         (0, ui_1.out)(`${(0, ui_1.bold)('Key')} ${client.token}`);

package/dist/commands/projects.js

@@ -16,7 +16,7 @@ const skills_1 = require("./skills");
 const template_1 = require("../template");
 const zip_1 = require("../zip");
 const ui_1 = require("../ui");
-/** Пустой ли каталог. `.git` не считается: связывать свежий клон — обычное дело. */
+/** .git alone does not count: linking a fresh clone is normal. */
 function isEmptyEnough(dir) {
     if (!(0, node_fs_1.existsSync)(dir))
         return true;
@@ -30,7 +30,7 @@ function write(root, path, content) {
 function escapeHtml(value) {
     return value.replace(/&/g, '&amp;').replace(/</g, '&lt;').replace(/>/g, '&gt;');
 }
-/** Заголовок вкладки в шаблоне общий на всех: у проекта он должен быть свой. */
+/** Give the project its own tab title. */
 function titleFromProject(path, content, name) {
     if (path !== 'index.html')
         return content;
@@ -46,17 +46,7 @@ async function templates() {
     }
     (0, ui_1.table)(list.map((t) => [t.id, t.name, t.is_default ? 'default' : '', t.description ?? '']));
 }
-/**
- * Создать проект: шаблон платформы, локальная папка, проект на платформе.
- *
- * Шаблон приезжает с платформы, а не лежит в этом пакете. Иначе появились бы две
- * стартовые точки — веб и CLI, — и приложения из них выглядели бы по-разному, хотя
- * платформа у них одна.
- *
- * Отсюда и порядок: проект заводится первым, потому что без него неоткуда взять
- * токен для `.env`. Если запись файлов сорвётся, проект останется пустым, и CLI
- * скажет, как его подобрать (`xflow link`), — молча оставлять сироту нельзя.
- */
+/** Create a project from the platform template. */
 async function init(args) {
     const target = (0, node_path_1.resolve)(args.words[0] ?? '.');
     const name = (0, args_1.flagString)(args, 'name') ?? (0, node_path_1.basename)(target);
@@ -107,7 +97,6 @@ async function init(args) {
     (0, ui_1.out)('    npm run dev        # develop');
     (0, ui_1.out)('    xflow deploy       # send the code, build and release');
 }
-/** Связать текущую папку с уже существующим проектом. */
 async function link(args) {
     const root = (0, config_1.findProjectRoot)() ?? process.cwd();
     const existing = (0, node_fs_1.existsSync)((0, node_path_1.join)(root, config_1.CONFIG_FILE)) ? (0, config_1.readConfig)(root) : undefined;
@@ -124,8 +113,7 @@ async function link(args) {
         build: existing?.build ?? { command: 'npm run build', dir: 'dist' },
     });
     (0, config_1.ignoreStateInGit)(dir);
-    // В исходники .env не уходит, поэтому в свежем клоне его нет вовсе, и приложение
-    // молча теряет доступ к облачным функциям. Восстанавливаем, но чужой не трогаем.
+    // A fresh clone has no .env: recreate it, never overwrite an existing one.
     if (!(0, node_fs_1.existsSync)((0, node_path_1.join)(dir, '.env')) && card.project_token) {
         write(dir, '.env', (0, template_1.envFile)(card.project_token, client.apiUrl, card.functions));
         (0, ui_1.note)((0, ui_1.dim)('  Created .env with the project token and the function addresses'));

package/dist/commands/skills.js

@@ -9,40 +9,28 @@ const args_1 = require("../args");
 const errors_1 = require("../errors");
 const ui_1 = require("../ui");
 /**
- * Формат SKILL.md общий для инструментов (agentskills.io), а папку каждый ищет
- * свою: Claude Code в .claude/skills, Codex и OpenClaw в .agents/skills. Cursor к
- * общему формату не пришёл и читает .cursor/rules/*.mdc, поэтому туда едет тот же
- * текст под его заголовком. Спрашивать, чей агент, мы не хотим: раскладываем всем.
+ * The SKILL.md format is shared across tools (agentskills.io); each agent reads
+ * its own folder. Cursor reads .cursor/rules/*.mdc instead, so it gets the same
+ * text under its own header.
  */
 const SKILL_DIRS = [
     ['.claude', 'skills'],
     ['.agents', 'skills'],
 ];
-/**
- * В домашней папке набор другой. Общий .agents/skills там читает OpenClaw, а
- * Codex смотрит его только внутри репозитория: свой личный он держит отдельно,
- * в .codex/skills. Без этой папки `--global` тихо не работает для Codex.
- */
+/** Codex reads its global skills from .codex/skills, not from .agents. */
 const GLOBAL_SKILL_DIRS = [...SKILL_DIRS, ['.codex', 'skills']];
 const CURSOR_RULE = ['.cursor', 'rules', 'xflow.mdc'];
-/**
- * Указатель в AGENTS.md.
- *
- * Скилл подхватывается лениво: только когда описание совпало с задачей. Просьба
- * «добавь таблицу клиентов» с ним не совпадает, и агент не узнаёт, что проект
- * вообще живёт на платформе. AGENTS.md читается всегда и без условий, поэтому
- * пара строк здесь решает ту часть, которую ленивый скилл закрыть не может.
- */
+/** AGENTS.md is always read, unlike the lazily loaded skill: a short pointer lives there. */
 const POINTER_MARKER = '<!-- xflow-skill -->';
-const POINTER = `${POINTER_MARKER}
-## XFlow
-
-This project is hosted on the XFlow platform and ships through the \`xflow\` CLI, not
-through a git push. Read \`.agents/skills/xflow/SKILL.md\` before deploying, publishing,
-rolling back, touching the database or migrations, cloud functions, schedules,
-environment variables or production logs. Command list: \`xflow help\`.
+const POINTER = `${POINTER_MARKER}
+## XFlow
+
+This project is hosted on the XFlow platform and ships through the \`xflow\` CLI, not
+through a git push. Read \`.agents/skills/xflow/SKILL.md\` before deploying, publishing,
+rolling back, touching the database or migrations, cloud functions, schedules,
+environment variables or production logs. Command list: \`xflow help\`.
 `;
-/** Скилл едет в пакете рядом с dist: у CLI и у инструкций для агента одна версия. */
+/** The skill ships inside the package, next to dist. */
 function skillSource() {
     const path = (0, node_path_1.join)(__dirname, '..', '..', 'skills', 'xflow', 'SKILL.md');
     if (!(0, node_fs_1.existsSync)(path)) {
@@ -50,13 +38,13 @@ function skillSource() {
     }
     return (0, node_fs_1.readFileSync)(path, 'utf-8');
 }
-/** Тот же текст под заголовком Cursor: поля у него свои, а тело общее. */
+/** The same text under Cursor's own header. */
 function cursorRule(skill) {
     const description = /^description:\s*(.+)$/m.exec(skill)?.[1] ?? 'XFlow platform';
     const body = skill.replace(/^---\r?\n[\s\S]*?\r?\n---\r?\n/, '');
     return `---\ndescription: ${description}\nalwaysApply: false\n---\n\n${body}`;
 }
-/** Пишет, только если содержимое отличается. Возвращает путь тронутого файла. */
+/** Writes only when the content differs. Returns the touched path. */
 function writeIfChanged(path, content) {
     const before = (0, node_fs_1.existsSync)(path) ? (0, node_fs_1.readFileSync)(path, 'utf-8') : null;
     if (before === content)
@@ -65,11 +53,7 @@ function writeIfChanged(path, content) {
     (0, node_fs_1.writeFileSync)(path, content, 'utf-8');
     return path;
 }
-/**
- * Дописать указатель в AGENTS.md: только в конец и только один раз по маркеру.
- * Файл принадлежит пользователю, там его правила, переписывать его мы не вправе.
- * CLAUDE.md не трогаем вовсе: Claude Code и так читает .claude/skills.
- */
+/** Append once, by marker: the file belongs to the user. */
 function appendPointer(base) {
     const path = (0, node_path_1.join)(base, 'AGENTS.md');
     const before = (0, node_fs_1.existsSync)(path) ? (0, node_fs_1.readFileSync)(path, 'utf-8') : null;
@@ -78,7 +62,6 @@ function appendPointer(base) {
     (0, node_fs_1.writeFileSync)(path, before ? `${before.replace(/\s*$/, '')}\n\n${POINTER}` : POINTER, 'utf-8');
     return path;
 }
-/** Разложить инструкцию по папкам, где её найдёт агент. Отдаёт тронутые файлы. */
 function install(base, global) {
     const skill = skillSource();
     const touched = [];
@@ -87,8 +70,7 @@ function install(base, global) {
         if (path)
             touched.push(path);
     }
-    // Правило Cursor и указатель кладём только рядом с проектом: глобальных
-    // аналогов у них нет, а в домашней папке их никто не читает.
+    // Project-level only: these have no global equivalents.
     if (!global) {
         const rule = writeIfChanged((0, node_path_1.join)(base, ...CURSOR_RULE), cursorRule(skill));
         if (rule)
@@ -99,13 +81,7 @@ function install(base, global) {
     }
     return touched;
 }
-/**
- * Установка попутно, из `init` и `link`.
- *
- * Отдельной командой до этого доходили единицы, и агент оставался без знания о
- * платформе — той самой, на которой ему предстоит работать. При этом инструкция
- * не то, ради чего запускали команду, поэтому её сбой не роняет привязку папки.
- */
+/** Best-effort install from init and link: a failure must not break the linking. */
 function installSkillQuietly(base) {
     try {
         if (install(base, false).length > 0) {

package/dist/commands/sources.js

@@ -15,9 +15,8 @@ const session_1 = require("../session");
 const tree_1 = require("../tree");
 const zip_1 = require("../zip");
 const ui_1 = require("../ui");
-/** Потолок сервера. Проверяем и здесь, чтобы не гнать 25 МБ ради отказа. */
+/** Server cap, checked locally to fail before uploading. */
 const MAX_ARCHIVE_BYTES = 25 * 1024 * 1024;
-/** Собрать дерево исходников: что уходит на сервер и с каким хешем. */
 function prepareTree(root, config) {
     const buildDir = config.build?.dir?.replace(/^\.\//, '').replace(/\/+$/, '');
     const extra = [...(config.ignore ?? []), ...(buildDir ? [`${buildDir}/`] : [])];
@@ -41,12 +40,7 @@ async function latestRevision(client, projectId) {
     const { revisions } = await (0, api_1.apiJson)(client, `/api/v1/projects/${projectId}/revisions`);
     return revisions[0] ?? null;
 }
-/**
- * Показать, чью работу перетирает `--force`, и спросить подтверждение.
- *
- * Без этого текст «используйте --force» превращается в инструкцию, которую
- * агент выполнит не задумываясь, а чужие правки исчезнут без следа (D23).
- */
+/** Show what --force would overwrite and ask for confirmation. */
 async function confirmForce(client, projectId, server, local) {
     const card = await (0, api_1.apiJson)(client, `/api/v1/projects/${projectId}`);
     (0, ui_1.note)('');
@@ -71,19 +65,18 @@ async function confirmForce(client, projectId, server, local) {
         (0, ui_1.warn)('Could not read the server copy: the list of disappearing files is unavailable');
     }
     (0, ui_1.note)('');
-    const confirmed = await (0, ui_1.confirmWord)(`This overwrites somebody else"s work with no way to recover it from the platform.`, card.name);
+    const confirmed = await (0, ui_1.confirmWord)(`This overwrites work that is not yours, with no way to recover it from the platform.`, card.name);
     if (!confirmed)
         throw new errors_1.CliError('Cancelled');
 }
-/** Отправка исходников. Используется и командой push, и первым шагом deploy. */
+/** Used by push and by the first step of deploy. */
 async function pushSources(root, config, client, options) {
     const tree = prepareTree(root, config);
     const state = (0, config_1.readState)(root);
     (0, ui_1.step)(`Sending ${tree.files.length} files (${(0, ui_1.formatBytes)(tree.archive.length)})`);
     const server = await latestRevision(client, config.projectId);
-    // Ревизия сервера есть, а мы не знаем, от какой работали (свежий клон, чужая
-    // машина). Совпал хеш — просто синхронизируемся; не совпал — молча заливать
-    // нельзя, иначе чужая работа исчезнет без единой ошибки.
+    // Unknown base revision (fresh clone): a matching hash just syncs,
+    // a mismatch must not overwrite silently.
     if (server && state.revision === undefined && !options.force) {
         if (server.tree_hash === tree.hash) {
             (0, config_1.writeState)(root, { revision: server.revision, treeHash: server.tree_hash });
@@ -115,7 +108,6 @@ async function push(args) {
     const client = (0, session_1.connect)(config);
     await pushSources(root, config, client, { force: (0, args_1.flagBool)(args, 'force') });
 }
-/** Есть ли в каталоге что-то, кроме служебного. */
 function hasContent(dir) {
     if (!(0, node_fs_1.existsSync)(dir))
         return false;
@@ -145,8 +137,7 @@ async function pull(args) {
         (0, node_fs_1.mkdirSync)((0, node_path_1.dirname)(path), { recursive: true });
         (0, node_fs_1.writeFileSync)(path, entry.content);
     }
-    // Состояние пишем только для рабочей папки: копия рядом (`--into`) к отсчёту
-    // ревизий отношения не имеет, и запись туда сбила бы его у рабочей.
+    // Only the working folder tracks revisions; a side copy (--into) must not reset them.
     if (!into) {
         (0, config_1.writeState)(root, { revision: info.revision, treeHash: info.tree_hash });
     }

package/dist/config.js

@@ -17,7 +17,7 @@ const STATE_DIR = '.xflow';
 class ConfigError extends Error {
 }
 exports.ConfigError = ConfigError;
-/** Ищем корень проекта вверх по дереву: команду запускают из подкаталога чаще, чем из корня. */
+/** Walk up from cwd. */
 function findProjectRoot(from = process.cwd()) {
     let dir = (0, node_path_1.resolve)(from);
     for (;;) {
@@ -47,7 +47,6 @@ function readConfig(root) {
 function writeConfig(root, config) {
     (0, node_fs_1.writeFileSync)((0, node_path_1.join)(root, exports.CONFIG_FILE), `${JSON.stringify(config, null, 2)}\n`, 'utf-8');
 }
-/** Конфигурация проекта, из которого запущена команда. Бросает, если папка не связана. */
 function requireProject() {
     const root = findProjectRoot();
     if (!root) {
@@ -58,8 +57,12 @@ function requireProject() {
     return { root, config: readConfig(root) };
 }
 function apiUrlFor(config) {
-    const raw = process.env.XFLOW_API_URL?.trim() || config?.api?.trim() || version_1.DEFAULT_API_URL;
-    return raw.replace(/\/+$/, '');
+    const raw = (process.env.XFLOW_API_URL?.trim() || config?.api?.trim() || version_1.DEFAULT_API_URL).replace(/\/+$/, '');
+    // The address ends up in headers and child processes: keep it a plain http(s) URL.
+    if (!/^https?:\/\/[A-Za-z0-9.-]+(:\d+)?(\/[A-Za-z0-9._/-]*)?$/.test(raw)) {
+        throw new ConfigError(`Invalid platform address: ${raw}`);
+    }
+    return raw;
 }
 function readState(root) {
     const path = (0, node_path_1.join)(root, STATE_DIR, 'state.json');
@@ -77,10 +80,7 @@ function writeState(root, state) {
     (0, node_fs_1.mkdirSync)(dir, { recursive: true });
     (0, node_fs_1.writeFileSync)((0, node_path_1.join)(dir, 'state.json'), `${JSON.stringify(state, null, 2)}\n`, 'utf-8');
 }
-/**
- * Состояние в git не нужно никому, но забыть про него легко: дописываем в
- * .gitignore сами. Если файла нет, создаём — проект почти всегда под git.
- */
+/** Keep .xflow/ out of git. */
 function ignoreStateInGit(root) {
     const path = (0, node_path_1.join)(root, '.gitignore');
     const line = `${STATE_DIR}/`;

package/dist/credentials.js

@@ -30,12 +30,12 @@ function writeStore(store) {
     (0, node_fs_1.mkdirSync)(dir, { recursive: true, mode: 0o700 });
     const path = credentialsPath();
     (0, node_fs_1.writeFileSync)(path, `${JSON.stringify(store, null, 2)}\n`, { mode: 0o600 });
-    // На случай, когда файл уже существовал: writeFileSync права не меняет.
+    // writeFileSync does not change the mode of an existing file.
     try {
         (0, node_fs_1.chmodSync)(path, 0o600);
     }
     catch {
-        // Windows правами POSIX не управляет — не повод падать.
+        // Windows has no POSIX modes.
     }
 }
 function saveCredential(apiUrl, credential) {
@@ -51,14 +51,13 @@ function forgetCredential(apiUrl) {
     writeStore(store);
     return true;
 }
-/**
- * Ключ для адреса платформы. Переменная окружения главнее файла: так работает
- * запуск из CI, где домашнего каталога может не быть вовсе.
- */
-function resolveToken(apiUrl) {
-    const fromEnv = process.env.XFLOW_TOKEN?.trim();
-    if (fromEnv)
-        return fromEnv;
+/** XFLOW_TOKEN wins over the store; the caller decides whether env is allowed for this address. */
+function resolveToken(apiUrl, allowEnv = true) {
+    if (allowEnv) {
+        const fromEnv = process.env.XFLOW_TOKEN?.trim();
+        if (fromEnv)
+            return fromEnv;
+    }
     return readStore()[apiUrl]?.token ?? null;
 }
 function readCredential(apiUrl) {

package/dist/errors.js

@@ -1,7 +1,7 @@
 "use strict";
 Object.defineProperty(exports, "__esModule", { value: true });
 exports.CliError = void 0;
-/** Ошибка, которую показываем человеку как есть: без стека и без «Unhandled». */
+/** Shown to the user as is, without a stack trace. */
 class CliError extends Error {
     hint;
     constructor(message, hint) {