@goodandready/dsh-kanban 0.2.7 → 0.2.8

package/lib/index.js

@@ -1,3 +1,4 @@
+import { registerPluginUpdater } from './updater.js'
 // dsh-kanban — доска задач для DeepSeek Harness.
 //
 // Плагин состоит из двух половин: этот модуль — серверная, `lib/client.js` —
@@ -57,6 +58,7 @@ import {
 import { cleanupTaskWorktree, checkWorktreeDirty, getTaskDiff, getTaskCommits, mergeTaskWorktree } from './worktree.js'
 import { dispatchMove, MOVE_DETAIL, stopWork, STOP_DETAIL } from './commands.js'
 import { createGiteaClient } from './gitea.js'
+import { createKanbanTaskService } from './task-service.js'
 import { syncAll, createSyncState, intakeAll, archiveOverdue } from './sync.js'
 import { isWatched } from './intake.js'
 import { handleSessionEvent } from './lifecycle.js'
@@ -95,7 +97,7 @@ import { TASK_TEMPLATES } from './templates.js'
 export { COLUMN_ORDER, wipLimitField, withDefaults } from './config.js'
 
 /** Стабильное имя плагина cordis (строка в патче сборки). */
-export const name = 'dsh-kanban'
+export const name = '@goodandready/dsh-kanban'
 
 /**
  * Службы добавляются там, где впервые нужны: `gitea` — вместе с импортом
@@ -135,14 +137,14 @@ export const Config = z.object(Object.fromEntries(
 
 /** Каталог хранилища. Абсолютных путей в коде нет — только переменная и дом. */
 export function storeDir() {
-  return join(process.env.DSH_HOME || join(homedir(), '.dsh'), 'kanban')
+  return process.env.DSH_KANBAN_DIR || join(process.env.DSH_HOME || join(homedir(), '.dsh'), 'kanban')
 }
 
 function writeJson(res, code, body) {
   try {
     res.writeHead(code, { 'Content-Type': 'application/json; charset=utf-8', 'Cache-Control': 'no-store' })
     res.end(JSON.stringify(body))
-  } catch { /* сокет закрыт */ }
+  } catch { /* socket closed */ }
 }
 
 /** Ответ обработчика: либо объект с `error` и `status`, либо полезная нагрузка. */
@@ -161,7 +163,7 @@ function readBody(req) {
     req.on('data', (c) => {
       size += c.length
       if (size > MAX_BODY_BYTES) {
-        reject(Object.assign(new Error('тело запроса слишком велико'), { status: 413 }))
+        reject(Object.assign(new Error('Payload too large'), { status: 413 }))
         req.destroy()
         return
       }
@@ -170,7 +172,7 @@ function readBody(req) {
     req.on('end', () => {
       const raw = Buffer.concat(chunks).toString('utf8')
       if (raw.trim() === '') { resolve({}); return }
-      try { resolve(JSON.parse(raw)) } catch { reject(Object.assign(new Error('тело запроса не JSON'), { status: 400 })) }
+      try { resolve(JSON.parse(raw)) } catch { reject(Object.assign(new Error('Malformed JSON payload'), { status: 400 })) }
     })
     req.on('error', reject)
   })
@@ -190,7 +192,7 @@ function readRaw(req) {
     req.on('data', (c) => {
       size += c.length
       if (size > MAX_BODY_BYTES) {
-        reject(Object.assign(new Error('тело запроса слишком велико'), { status: 413 }))
+        reject(Object.assign(new Error('Payload too large'), { status: 413 }))
         req.destroy()
         return
       }
@@ -215,7 +217,7 @@ export function apply(ctx, config) {
   const rearmers = new Set()
   const rearm = () => {
     for (const again of rearmers) {
-      try { again() } catch (error) { ctx.logger?.warn?.(`dsh-kanban: перевзвод не удался: ${error?.message}`) }
+      try { again() } catch (error) { ctx.logger?.warn?.(`dsh-kanban: rearm failed: ${error?.message}`) }
     }
   }
 
@@ -223,7 +225,7 @@ export function apply(ctx, config) {
     const scope = sctx.settings.register(SETTINGS_NAMESPACE, Config, { base: effective })
     const read = () => withDefaults(scope.get() ?? effective)
     effective = read()
-    ctx.effect(() => scope.watch(() => { effective = read(); rearm() }), 'dsh-kanban: слежение за настройками')
+    ctx.effect(() => scope.watch(() => { effective = read(); rearm() }), 'dsh-kanban: settings watcher')
   })
 
   // Клиент Gitea свой: токен всё равно живёт в службе учётных данных ядра, а
@@ -247,10 +249,12 @@ export function apply(ctx, config) {
   // Хранилище открывается один раз и закрывается уборщиком того же эффекта:
   // выгрузка плагина обязана отпустить файл базы.
   let store
+  const taskService = createKanbanTaskService({ getStore: () => store })
+  if (typeof ctx.provide === 'function') ctx.provide('dshKanban', taskService)
   ctx.effect(() => {
-    store = openStore({ dir: storeDir() })
-    return () => { try { store.close() } catch { /* уже закрыта */ } }
-  }, 'dsh-kanban: хранилище задач')
+    store = openStore({ dir: config?.storeDir || storeDir() })
+    return () => { try { store.close() } catch { /* already closed */ } }
+  }, 'dsh-kanban: task store')
 
   // Кроссплатформенный ингибитор сна системы во время работы задач
   const powerInhibitor = new PowerInhibitor({
@@ -266,19 +270,19 @@ export function apply(ctx, config) {
         const activeCount = store.countInColumn('main', 'in-progress') + store.countInColumn('simple', 'in-progress')
         powerInhibitor.setReasons(activeCount)
       }
-    } catch { /* игнорируем */ }
+    } catch { /* ignore */ }
   }
   rearmers.add(syncPower)
   ctx.effect(() => {
     syncPower()
     return () => { powerInhibitor.destroy() }
-  }, 'dsh-kanban: ингибитор сна')
+  }, 'dsh-kanban: power inhibitor')
 
   // Инъекция секции доски в системный промпт агента
   let disposePromptSection
   const syncPromptSection = () => {
     if (disposePromptSection) {
-      try { disposePromptSection() } catch {}
+      try { disposePromptSection() } catch { /* cleanup best effort */ }
       disposePromptSection = undefined
     }
     const cfg = getConfig()
@@ -288,18 +292,18 @@ export function apply(ctx, config) {
         disposePromptSection = sp.section({
           name: 'plugin:dsh-kanban',
           order: 200,
-          text: 'В системе развернута доска задач dsh-kanban. При работе над задачами вы можете перемещать карточки инструментом board_move и вести чек-лист плана через board_plan. При исчерпании контекста или завершении подэтапа сформируйте блок <<<PROGRESSDUMP\\nЦель: ...\\nПрогресс: ...\\nСледующие шаги: ...\\n>>>PROGRESSDUMP для передачи эстафеты следующей сессии.',
+          text: 'The dsh-kanban task board is available in the system. When working on tasks, you can move cards using the board_move tool and manage the plan checklist via board_plan. When context is running low or a milestone is reached, output a <<<PROGRESSDUMP\nGoal: ...\nProgress: ...\nNext steps: ...\n>>>PROGRESSDUMP block to hand over to the next session.',
         })
       } catch (err) {
-        ctx.logger?.warn?.(`dsh-kanban: не удалось зарегистрировать секцию промпта: ${err?.message}`)
+        ctx.logger?.warn?.(`dsh-kanban: failed to register system prompt section: ${err?.message}`)
       }
     }
   }
   rearmers.add(syncPromptSection)
   ctx.effect(() => {
     syncPromptSection()
-    return () => { if (disposePromptSection) { try { disposePromptSection() } catch {} } }
-  }, 'dsh-kanban: секция системного промпта')
+    return () => { if (disposePromptSection) { try { disposePromptSection() } catch { /* cleanup best effort */ } } }
+  }, 'dsh-kanban: system prompt section')
 
   // Признак ожидания, исходы сессий и PROGRESSDUMP по событиям сессии.
   ctx.effect(() => ctx.on('session/event', (session, event) => {
@@ -319,10 +323,10 @@ export function apply(ctx, config) {
         let existingTask = store?.findTaskBySession?.(sessionIdStr)
         if (!existingTask && (event?.type === 'turn/start' || event?.type === 'session/created' || event?.type === 'input/user' || event?.type === 'message')) {
           const userText = (event?.content?.[0]?.text ?? event?.text ?? '').trim()
-          const sessionTitle = session.title || session.name || (userText ? userText.slice(0, 50) : `Диалог ${sessionIdStr.slice(0, 8)}`)
+          const sessionTitle = session.title || session.name || (userText ? userText.slice(0, 50) : `Dialog ${sessionIdStr.slice(0, 8)}`)
           const createdTask = store.createTask({
             title: sessionTitle,
-            body: userText || `Автоматически создано из сессии чата ${sessionIdStr}`,
+            body: userText || `Automatically created from chat session ${sessionIdStr}`,
             column: 'in-progress',
             board: 'main',
             sessionId: sessionIdStr,
@@ -372,9 +376,9 @@ export function apply(ctx, config) {
         }).catch(() => {})
       }
     } catch (error) {
-      ctx.logger?.warn?.(`dsh-kanban: событие сессии не обработано: ${error?.message}`)
+      ctx.logger?.warn?.(`dsh-kanban: session event handler failed: ${error?.message}`)
     }
-  }), 'dsh-kanban: события сессии')
+  }), 'dsh-kanban: session events')
 
   // Фоновый шедулер cron для задач
   ctx.effect(() => {
@@ -405,7 +409,7 @@ export function apply(ctx, config) {
                   fromCol: task.column,
                   toCol: task.column,
                   source: 'tool',
-                  detail: 'cron: запуск отклонён (требуется подтверждение повышенных прав)',
+                  detail: 'cron: run rejected (elevated permission required)',
                 })
                 continue
               }
@@ -434,7 +438,7 @@ export function apply(ctx, config) {
             store.updateTask(task.id, { lastRunAt: now, nextRunAt: next || 0 })
           }
         } catch (err) {
-          ctx.logger?.warn?.(`dsh-kanban: ошибка шедулера cron: ${err?.message}`)
+          ctx.logger?.warn?.(`dsh-kanban: cron scheduler error: ${err?.message}`)
         }
       }, 30_000)
       if (typeof cronTimer.unref === 'function') cronTimer.unref()
@@ -442,7 +446,7 @@ export function apply(ctx, config) {
     armCron()
     rearmers.add(armCron)
     return () => { rearmers.delete(armCron); clearInterval(cronTimer) }
-  }, 'dsh-kanban: шедулер cron')
+  }, 'dsh-kanban: cron scheduler')
 
   // Периодическая сверка с Gitea. Ноль в настройках отключает её целиком, а
   // перекрытие запусков не допускается: медленный инстанс иначе копил бы
@@ -512,7 +516,7 @@ export function apply(ctx, config) {
     } catch (error) {
       // Сверка не начиналась вовсе — тоже беда, и своя: так выглядит
       // неразрешённый токен или отсутствующий клиент Gitea.
-      syncState.failedToStart('сверка', error?.message)
+      syncState.failedToStart('sync', error?.message)
       throw error
     } finally {
       syncing = false
@@ -532,7 +536,7 @@ export function apply(ctx, config) {
     arm()
     rearmers.add(arm)
     return () => { rearmers.delete(arm); clearInterval(timer) }
-  }, 'dsh-kanban: таймер сверки')
+  }, 'dsh-kanban: sync timer')
 
   ctx.effect(() => ctx.webServer.register({
     kind: 'exact',
@@ -553,7 +557,7 @@ export function apply(ctx, config) {
         writeJson(res, error?.status ?? 500, { error: 'bad-request' })
       }
     },
-  }), 'dsh-kanban: проектная задача')
+  }), 'dsh-kanban: project task')
 
   ctx.effect(() => ctx.webServer.register({
     kind: 'exact',
@@ -573,7 +577,7 @@ export function apply(ctx, config) {
           id: row.id, name: row.name || row.id, description: row.description,
         }))
       } catch (error) {
-        ctx.logger?.warn?.(`dsh-kanban: профили агента не прочитались: ${error?.message}`)
+        ctx.logger?.warn?.(`dsh-kanban: agent profiles failed to load: ${error?.message}`)
       }
       let access = []
       let accessDefault = ''
@@ -583,7 +587,7 @@ export function apply(ctx, config) {
           accessDefault = permissions.defaultPreset ?? ''
         }
       } catch (error) {
-        ctx.logger?.warn?.(`dsh-kanban: уровни доступа не прочитались: ${error?.message}`)
+        ctx.logger?.warn?.(`dsh-kanban: access levels failed to load: ${error?.message}`)
       }
       reply(res, {
         agentPresets,
@@ -592,13 +596,13 @@ export function apply(ctx, config) {
         accessDefault,
       })
     },
-  }), 'dsh-kanban: профили агента и уровни доступа')
+  }), 'dsh-kanban: agent profiles and auth scopes')
 
   ctx.effect(() => ctx.webServer.register({
     kind: 'exact',
     path: '/dsh-kanban/sessions',
     handler: (req, res) => { reply(res, { sessions: liveSessions({ store, agents: ctx.agents }) }) },
-  }), 'dsh-kanban: живые сессии')
+  }), 'dsh-kanban: live sessions')
 
   ctx.effect(() => ctx.webServer.register({
     kind: 'exact',
@@ -630,13 +634,13 @@ export function apply(ctx, config) {
         writeJson(res, error?.status ?? 500, { error: 'batch-failed' })
       }
     },
-  }), 'dsh-kanban: групповой запуск')
+  }), 'dsh-kanban: batch dispatch')
 
   ctx.effect(() => ctx.webServer.register({
     kind: 'exact',
     path: '/dsh-kanban/archive',
     handler: (req, res) => { reply(res, listArchive({ store })) },
-  }), 'dsh-kanban: архив')
+  }), 'dsh-kanban: archive')
 
   ctx.effect(() => ctx.webServer.register({
     kind: 'exact',
@@ -650,7 +654,7 @@ export function apply(ctx, config) {
         writeJson(res, 502, { error: 'sync-failed' })
       }
     },
-  }), 'dsh-kanban: ручная сверка')
+  }), 'dsh-kanban: manual sync')
 
   ctx.effect(() => ctx.webServer.register({
     kind: 'exact',
@@ -702,7 +706,7 @@ export function apply(ctx, config) {
         writeJson(res, error?.status ?? 500, { error: 'webhook-failed' })
       }
     },
-  }), 'dsh-kanban: вебхук Gitea')
+  }), 'dsh-kanban: gitea webhook')
 
   // Инструмент для агента. По умолчанию ВЫКЛЮЧЕН: скилл воркфлоу пока
   // запрещает этому CLI трогать канбан, и включить инструмент раньше правки
@@ -735,7 +739,7 @@ export function apply(ctx, config) {
     arm()
     rearmers.add(arm)
     return () => { rearmers.delete(arm); unregister?.() }
-  }, 'dsh-kanban: инструмент доски')
+  }, 'dsh-kanban: board tool')
 
   /**
    * Состояние живого агента сессии либо `undefined`, если агента нет.
@@ -761,7 +765,7 @@ export function apply(ctx, config) {
         projectRoot: rootOf(getConfig()),
       }))
     },
-  }), 'dsh-kanban: маршрут доски')
+  }), 'dsh-kanban: board route')
 
   // Снимок доски — ОДИН ресурс с двумя действиями, а не две ручки.
   //
@@ -800,7 +804,7 @@ export function apply(ctx, config) {
         staleDays: Number.isFinite(days) && days > 0 ? days : 14,
       }))
     },
-  }), 'dsh-kanban: метрики доски')
+  }), 'dsh-kanban: board metrics')
 
   ctx.effect(() => ctx.webServer.register({
     kind: 'exact',
@@ -808,7 +812,7 @@ export function apply(ctx, config) {
     // Пустой логин — законный ответ: Gitea может быть не настроен или не
     // отвечать. Браузер по нему просто не рисует «Мои», а не показывает ноль.
     handler: async (req, res) => { reply(res, { login: await whoAmI() }) },
-  }), 'dsh-kanban: кто мы для Gitea')
+  }), 'dsh-kanban: whoami')
 
   ctx.effect(() => ctx.webServer.register({
     kind: 'exact',
@@ -824,7 +828,7 @@ export function apply(ctx, config) {
       })
       res.end(csv)
     },
-  }), 'dsh-kanban: экспорт в CSV')
+  }), 'dsh-kanban: csv export')
 
   ctx.effect(() => ctx.webServer.register({
     kind: 'exact',
@@ -832,7 +836,7 @@ export function apply(ctx, config) {
     handler: (req, res) => {
       eventHub.handleSseRequest(req, res)
     },
-  }), 'dsh-kanban: поток живых событий SSE')
+  }), 'dsh-kanban: sse events stream')
 
   ctx.effect(() => ctx.webServer.register({
     kind: 'exact',
@@ -840,7 +844,7 @@ export function apply(ctx, config) {
     handler: (req, res) => {
       reply(res, { templates: TASK_TEMPLATES })
     },
-  }), 'dsh-kanban: шаблоны задач')
+  }), 'dsh-kanban: task templates')
 
   ctx.effect(() => ctx.webServer.register({
     kind: 'exact',
@@ -856,7 +860,7 @@ export function apply(ctx, config) {
         writeJson(res, 400, { error: 'bad-request' })
       }
     },
-  }), 'dsh-kanban: снимок доски')
+  }), 'dsh-kanban: board snapshot')
 
   ctx.effect(() => ctx.webServer.register({
     // Префикс регистрируется БЕЗ завершающего слэша: со слэшем сопоставление
@@ -942,7 +946,7 @@ export function apply(ctx, config) {
           syncPower()
           reply(res, started)
         } catch (error) {
-          ctx.logger?.warn?.(`dsh-kanban: запуск задачи не удался: ${error?.message}`)
+          ctx.logger?.warn?.(`dsh-kanban: task launch failed: ${error?.message}`)
           // Отказ по уровню доступа называется своим именем: «не удалось» на
           // месте «сессия пошла бы с большими правами» — это молчание.
           writeJson(res, error?.status ?? 500, { error: error?.key ?? 'start-failed' })
@@ -1192,7 +1196,7 @@ export function apply(ctx, config) {
         writeJson(res, error?.status ?? 500, { error: 'bad-request' })
       }
     },
-  }), 'dsh-kanban: маршруты задачи')
+  }), 'dsh-kanban: task routes')
 
   // Готовность Gitea проверяется на каждом запросе, а не при загрузке: адрес и
   // учётная запись правятся в карточке настроек на ходу, и маршруты обязаны
@@ -1204,7 +1208,7 @@ export function apply(ctx, config) {
       const url = urlOf(req)
       reply(res, await searchRepos({ gitea, query: url.searchParams.get('q') || '' }))
     },
-  }), 'dsh-kanban: поиск репозиториев')
+  }), 'dsh-kanban: repo search')
 
   ctx.effect(() => ctx.webServer.register({
     kind: 'exact',
@@ -1219,7 +1223,7 @@ export function apply(ctx, config) {
         board: url.searchParams.get('board') || 'main',
       }))
     },
-  }), 'dsh-kanban: список issue для импорта')
+  }), 'dsh-kanban: importable issues')
 
   ctx.effect(() => ctx.webServer.register({
     kind: 'exact',
@@ -1238,7 +1242,7 @@ export function apply(ctx, config) {
         writeJson(res, error?.status ?? 500, { error: 'bad-request' })
       }
     },
-  }), 'dsh-kanban: импорт issue')
+  }), 'dsh-kanban: issue import')
 
   // Провайдеры отдаются сразу, модели — только для запрошенного провайдера:
   // перечень моделей провайдер отдаёт по сети, и опрашивать все разом ради
@@ -1269,7 +1273,7 @@ export function apply(ctx, config) {
         writeJson(res, 200, { current, providers, models: [] })
       }
     },
-  }), 'dsh-kanban: провайдеры и модели')
+  }), 'dsh-kanban: providers and models')
 
   ctx.effect(() => ctx.webServer.register({
     kind: 'prefix',
@@ -1279,5 +1283,12 @@ export function apply(ctx, config) {
       if (m === null) { writeJson(res, 404, { error: 'not-found' }); return }
       reply(res, taskBySession({ store, sessionId: decodeURIComponent(m[1]) }))
     },
-  }), 'dsh-kanban: маршрут задачи по сессии')
+  }), 'dsh-kanban: task route by session')
+
+  ctx.effect(() => registerPluginUpdater(ctx, {
+    endpoint: '/api/dsh-kanban/update',
+    packageName: '@goodandready/dsh-kanban',
+    manifestUrl: new URL('../package.json', import.meta.url),
+  }), 'dsh-kanban: plugin updater route')
+
 }

package/lib/power.js

@@ -134,7 +134,7 @@ export class PowerInhibitor {
           this.child.stdin.end()
         }
         this.child.kill()
-      } catch {}
+      } catch { /* process kill best-effort */ }
       this.child = null
     }
     this.phase = 'disabled'

package/lib/progress-dump.js

@@ -1,9 +1,9 @@
 // dsh-kanban: фиксация и безопасная передача среза прогресса задачи (PROGRESSDUMP).
 // Парсит блок <<<PROGRESSDUMP ... >>>PROGRESSDUMP, маскирует секреты и генерирует вводный бриф.
 
-export const BEGIN_MARKER = '<<<PROGRESSDUMP'
-export const END_MARKER = '>>>PROGRESSDUMP'
-export const FIELD_BYTE_LIMIT = 8 * 1024
+const BEGIN_MARKER = '<<<PROGRESSDUMP'
+const END_MARKER = '>>>PROGRESSDUMP'
+const FIELD_BYTE_LIMIT = 8 * 1024
 export const REDACTED = '[REDACTED]'
 
 const SENSITIVE_PATTERNS = [

package/lib/routes.js

@@ -19,12 +19,54 @@ import { computeNextRun } from './cron.js'
 /** Больше этого тело запроса не читаем: без предела один запрос кладёт хост. */
 export const MAX_BODY_BYTES = 256 * 1024
 
+function isLoopbackAddress(addr) {
+  if (!addr) return true
+  return addr === '127.0.0.1' ||
+    addr === '::1' ||
+    addr === '::ffff:127.0.0.1' ||
+    addr === 'localhost'
+}
+
 /**
  * Запрос с чужого сайта. Изменяющие маршруты правят локальное состояние, и
- * пускать в них кросс-сайтовый запрос нельзя.
+ * пускать в них кросс-сайтовый запрос нельзя (#261).
+ * Защита требует:
+ * 1. Наличие безопасного sec-fetch-site ('same-origin', 'same-site', 'none').
+ * 2. Совпадение origin и host (если origin передан).
+ * 3. Loopback-источник (remoteAddress: 127.0.0.1, ::1, ::ffff:127.0.0.1).
  */
 export function isTrustedRequest(req) {
-  return req?.headers?.['sec-fetch-site'] !== 'cross-site'
+  if (!req || !req.headers) return false
+
+  // 1. Проверка sec-fetch-site (отсутствие или cross-site запрещены)
+  const site = req.headers['sec-fetch-site']
+  if (!site || site === 'cross-site') {
+    return false
+  }
+  if (site !== 'same-origin' && site !== 'same-site' && site !== 'none') {
+    return false
+  }
+
+  // 2. Сверка origin с host
+  const origin = req.headers.origin
+  if (origin !== undefined) {
+    if (origin === 'null') return false
+    try {
+      const parsed = new URL(origin)
+      const host = req.headers.host || ''
+      if (parsed.host && parsed.host !== host) return false
+    } catch {
+      return false
+    }
+  }
+
+  // 3. Проверка loopback remoteAddress
+  const remote = req.socket?.remoteAddress || req.connection?.remoteAddress
+  if (remote && !isLoopbackAddress(remote)) {
+    return false
+  }
+
+  return true
 }
 
 /** Разобрать `/dsh-kanban/task/<id>[/<action>]`; иначе undefined. */
@@ -232,7 +274,7 @@ export function confirmPermission({ store, id }) {
 }
 
 /** Известные приоритеты. Пустой — «без приоритета». */
-export const PRIORITIES = ['', 'high', 'medium', 'low']
+const PRIORITIES = ['', 'high', 'medium', 'low']
 
 /**
  * Дописать заметку в тело задачи.
@@ -392,7 +434,7 @@ export function importBoard({ store, input }) {
   if (typeof store.backupDatabase === 'function') {
     try {
       backupMeta = store.backupDatabase()
-    } catch {}
+    } catch { /* backup best effort */ }
   }
   if (input === null || typeof input !== 'object') return { error: 'bad-import', status: 400 }
   if (input.version !== 1) return { error: 'bad-import-version', status: 400 }
@@ -684,7 +726,7 @@ export async function handleTriageTask({ store, gitea, task, input }) {
           issueNumber = giteaIssue.number
           issueUrl = giteaIssue.html_url || null
         }
-      } catch {}
+      } catch { /* ignore gitea subtask creation failure */ }
     }
 
     const sub = store.createTask({
@@ -760,7 +802,7 @@ export async function handleCreateSubtask({ store, gitea, task, input }) {
         issueNumber = giteaIssue.number
         issueUrl = giteaIssue.html_url || null
       }
-    } catch {}
+    } catch { /* ignore gitea subtask creation failure */ }
   }
 
   store.updateTask(task.id, { isEpic: true })

package/lib/store.js

@@ -37,6 +37,7 @@ CREATE TABLE IF NOT EXISTS tasks (
   repo         TEXT,
   issueNumber  INTEGER,
   issueUrl     TEXT,
+  externalRef  TEXT,
   labels       TEXT NOT NULL DEFAULT '[]',
   branch       TEXT,
   worktree     TEXT,
@@ -97,7 +98,7 @@ CREATE TABLE IF NOT EXISTS dismissed (
 
 /** Поля задачи, которые разрешено править через updateTask. */
 const WRITABLE = [
-  'title', 'body', 'owner', 'repo', 'issueNumber', 'issueUrl', 'labels',
+  'title', 'body', 'owner', 'repo', 'issueNumber', 'issueUrl', 'externalRef', 'labels',
   'branch', 'worktree', 'workspaceId', 'sessionId', 'model', 'provider', 'waiting', 'syncedAt', 'plan',
   'labelColors', 'queuedAt', 'createdAt', 'author', 'assignee', 'milestone', 'priority', 'dueAt',
   'cron', 'nextRunAt', 'lastRunAt', 'progressDump', 'permission', 'reasoningEffort', 'permissionConfirmedAt',
@@ -168,6 +169,8 @@ export function openStore({ dir }) {
   const db = new DatabaseSync(join(dir, 'kanban.db'))
   db.exec('PRAGMA journal_mode = WAL')
   db.exec('PRAGMA foreign_keys = ON')
+  db.exec('PRAGMA busy_timeout = 5000')
+  db.exec('PRAGMA busy_timeout = 5000')
   db.exec(SCHEMA)
   // База могла быть создана прежней версией. Добавляем недостающие столбцы
   // поштучно: ALTER на существующий столбец бросает, и это штатный ответ
@@ -201,6 +204,7 @@ export function openStore({ dir }) {
     ['rejectedAt', "INTEGER NOT NULL DEFAULT 0"],
     ['parentId', "TEXT NOT NULL DEFAULT ''"],
     ['isEpic', "INTEGER NOT NULL DEFAULT 0"],
+    ['externalRef', "TEXT"],
   ]) {
     try { db.exec(`ALTER TABLE tasks ADD COLUMN ${column} ${definition}`) } catch { /* столбец уже есть */ }
   }
@@ -212,11 +216,12 @@ export function openStore({ dir }) {
   // Индексы для ускорения выборок активных задач, поиска по Gitea issue и cron-задач
   db.exec('CREATE INDEX IF NOT EXISTS tasks_board_active ON tasks(board, archivedAt, col, position)')
   db.exec('CREATE INDEX IF NOT EXISTS tasks_gitea_issue ON tasks(owner, repo, issueNumber)')
+  db.exec('CREATE INDEX IF NOT EXISTS tasks_external_ref ON tasks(externalRef)')
   db.exec('CREATE INDEX IF NOT EXISTS tasks_cron_next ON tasks(archivedAt, nextRunAt)')
   db.exec('CREATE INDEX IF NOT EXISTS tasks_queued ON tasks(archivedAt, queuedAt)')
   db.exec('CREATE INDEX IF NOT EXISTS tasks_parent_id ON tasks(parentId)')
   db.exec('PRAGMA synchronous = NORMAL')
-  try { db.exec('PRAGMA optimize') } catch {}
+  try { db.exec('PRAGMA optimize') } catch { /* pragma optimize best-effort */ }
 
   const q = {
     boards: db.prepare('SELECT * FROM boards ORDER BY position'),
@@ -233,6 +238,7 @@ export function openStore({ dir }) {
     dismiss: db.prepare('INSERT OR REPLACE INTO dismissed (owner, repo, issueNumber, at) VALUES (?, ?, ?, ?)'),
     isDismissed: db.prepare('SELECT 1 FROM dismissed WHERE owner = ? AND repo = ? AND issueNumber = ?'),
     byIssue: db.prepare('SELECT * FROM tasks WHERE owner = ? AND repo = ? AND issueNumber = ?'),
+    byExternalRef: db.prepare('SELECT * FROM tasks WHERE externalRef = ? ORDER BY createdAt ASC LIMIT 1'),
     tasksBySession: db.prepare('SELECT * FROM tasks WHERE sessionId = ? LIMIT 1'),
     lastInColumn: db.prepare('SELECT position FROM tasks WHERE board = ? AND col = ? ORDER BY position DESC LIMIT 1'),
     deleteTask: db.prepare('DELETE FROM tasks WHERE id = ?'),
@@ -298,10 +304,10 @@ export function openStore({ dir }) {
           .sort((a, b) => b.time - a.time)
         if (files.length > 10) {
           for (const old of files.slice(10)) {
-            try { unlinkSync(old.path) } catch {}
+            try { unlinkSync(old.path) } catch { /* unlink old backup best-effort */ }
           }
         }
-      } catch {}
+      } catch { /* backup rotation best-effort */ }
       return { backup: backupName, path: dest }
     },
 
@@ -373,16 +379,16 @@ export function openStore({ dir }) {
       const id = typeof input.id === 'string' && input.id !== '' ? input.id : randomUUID()
       const position = positionFor(board, column, input.beforeId, input.afterId)
       db.prepare(`INSERT INTO tasks
-        (id, board, col, position, title, body, owner, repo, issueNumber, issueUrl,
+        (id, board, col, position, title, body, owner, repo, issueNumber, issueUrl, externalRef,
          labels, branch, worktree, workspaceId, sessionId, model, provider, waiting, syncedAt,
          labelColors, author, assignee, milestone, priority, dueAt, columnAt, createdAt, updatedAt,
          cron, nextRunAt, lastRunAt, progressDump, permission, permissionConfirmedAt, runs,
          checklist, report, comments, rejectReason, rejectedAt, reasoningEffort, parentId, isEpic)
-        VALUES (?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?)`).run(
+        VALUES (?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?)`).run(
         id, board, column, position,
         input.title ?? '', input.body ?? '',
         input.owner ?? null, input.repo ?? null,
-        input.issueNumber ?? null, input.issueUrl ?? null,
+        input.issueNumber ?? null, input.issueUrl ?? null, input.externalRef ?? null,
         JSON.stringify(input.labels ?? []),
         input.branch ?? null, input.worktree ?? null, input.workspaceId ?? '',
         input.sessionId ?? null, input.model ?? null, input.provider ?? null,
@@ -569,6 +575,12 @@ export function openStore({ dir }) {
       return rowToTask(q.byIssue.get(owner, repo, issueNumber))
     },
 
+    findTaskByExternalRef(externalRef) {
+      const key = typeof externalRef === 'string' ? externalRef.trim() : ''
+      if (!key) return undefined
+      return rowToTask(q.byExternalRef.get(key))
+    },
+
     listSubtasks(parentId) {
       if (!parentId) return []
       return q.subtasksOf.all(parentId).map(rowToTask)

package/lib/sync.js

@@ -45,7 +45,7 @@ export async function withBackoff(fn, { retries = 2, baseMs = 50, maxMs = 500 }
  * завершённой. Поэтому репозиторий с неудачным чтением пропускается до
  * следующей сверки целиком.
  */
-export async function readRepo({ gitea, owner, repo }) {
+async function readRepo({ gitea, owner, repo }) {
   const [pulls, branches] = await Promise.all([
     gitea.listPulls({ owner, repo, state: 'all' }),
     gitea.listBranches({ owner, repo }),
@@ -267,7 +267,7 @@ export async function syncAll({ gitea, store, logger, only, now = Date.now() })
  *
  * @returns {Promise<Array<{owner: string, repo: string}>>}
  */
-export async function resolveRepos({ gitea, config, owner }) {
+async function resolveRepos({ gitea, config, owner }) {
   const named = watchedRepos({ config, owner })
   if (named.length > 0) return named
   if (owner === undefined || owner === '') {