@m2canvas/connect 0.7.1 → 0.7.3

package/dist/bridge/acp-guard.js

@@ -13,20 +13,41 @@
  *   session/list 必须带 cwd（不带时 Claude / Codex 会列出全机所有项目的会话标题）。
  * - 白名单内的任何请求：params 里出现 `cwd` 必须等于会话目录；`mcpServers` 只能是空数组或不带；不允许 `_meta`、
  *   不允许非空 `additionalDirectories`。
+ * - 无人值守模式（change bridge-reject-unattended-modes）：`session/set_mode` 的 `modeId`、`session/set_config_option` 的
+ *   `value` 落在 `BRIDGE_UNATTENDED_MODE_VALUES` 的并集里就拒收（D1，按取值、不看 configId —— 这里分不出哪个 configId
+ *   是模式）；页面对权限请求的回答选了会切到无人值守模式的选项（`UNATTENDED_PERMISSION_OPTION_IDS`）也拒收（D6）。
  * - 形状：不是 JSON 对象的行一律拒收（含 JSON-RPC 批量数组 —— ACP SDK 会把数组逐条入队）；有 `method` 键但不是字符串的拒收
- *   （不能当成响应放行）；消息或 params 自带 `__proto__` / `constructor` / `prototype` 键的拒收。
+ *   （不能当成响应放行）；消息、params、回答的 result / outcome 自带 `__proto__` / `constructor` / `prototype` 键的拒收。
  *
  * 边界（不要把它当成安全的全部）：这是纵深防御，不改变「配对 = 授权该页面以你的身份驱动本机 agent」——
- * 页面仍可以用提示词让 agent 执行命令、替用户回答审批、切换到不审批的工作模式。真正的门槛是 security.ts / pairing.ts 的准入。
+ * 页面仍可以用提示词让 agent 执行命令（包括改它自己的配置文件）、替用户回答审批（含「本会话 / 永久允许」，FU-2026-10-08-009）；
+ * 这里只拒收**已知的**切到无人值守模式的请求与回答（两份清单随适配器 / CLI 版本重核）。Cursor、OpenCode 没有无人值守模式；
+ * OpenCode 默认的 build 模式在工作区内执行命令本来就不请示。真正的门槛是 security.ts / pairing.ts 的准入。
  * 前提：agent 解析 JSON 的结果与这里一致（例如重复键都取最后一个）。2026-10-03 核实：两个适配器经 ACP SDK 1.5.1 的
  * stream.js 用 JSON.parse；Cursor 是 node bundle；OpenCode、Qoder 是 Bun 单文件可执行（证据见 change 的 verification §13）。
- * 哪家换了解析器，要重新核这一条。
+ * 哪家换了解析器，要重新核这一条。两份清单依赖各家的模式名与 optionId 字面量：升级适配器或 CLI 后要重核，改名只会漏拦、不会误伤。
  */
-import { BRIDGE_PAGE_ACP_METHODS } from './protocol.js';
+import { BRIDGE_PAGE_ACP_METHODS, BRIDGE_UNATTENDED_MODE_VALUES } from './protocol.js';
 /** 页面可以发给 agent 的方法：change 3 实际用到的方法 + JSON-RPC 层的取消请求（定义在 protocol.ts，前端也能 import） */
 export const PAGE_ACP_METHODS = BRIDGE_PAGE_ACP_METHODS;
 /** cwd 由 bridge 决定的会话类方法（必须带 cwd） */
 export const SESSION_SCOPE_METHODS = ['session/new', 'session/load', 'session/resume', 'session/list'];
+/** 所有 agent 的无人值守模式取并集：守卫按行检查、不知道对面是哪家，且 Qoder 认 Claude 的取值 */
+const UNATTENDED_MODES = Object.values(BRIDGE_UNATTENDED_MODE_VALUES).flat();
+/**
+ * 权限回答里会把会话切到无人值守模式的 optionId（change bridge-reject-unattended-modes D6）= 全部无人值守模式取值 ∪
+ * Claude 适配器 0.84.0 退出计划的 `exit-plan-bypass` / `exit-plan-clear-bypass`（dist/permissions/options/shared.js，切到 bypassPermissions）。
+ * 必须包含全部模式取值：qodercli 1.1.65 处理退出计划回答时，把 optionId 交给与切模式同一个别名映射后直接切模式，
+ * 不核对它是不是给出的选项 —— 回答 `yolo` 或 Claude 的 `bypassPermissions` 都会切到 yolo（review r1 B1）。
+ * Claude 适配器会核对回答是否为给出的选项。这些都是 `allow_always` 或根本不在选项里，页面只发 `allow_once` / `reject_once`，
+ * 正常不会发它们。只有 bridge 用，页面按 kind 挑选、不需要这份。
+ */
+const UNATTENDED_PERMISSION_OPTION_IDS = [...UNATTENDED_MODES, 'exit-plan-bypass', 'exit-plan-clear-bypass'];
+/** 取值可能是模式的字段：`session/set_mode` 的 modeId、`session/set_config_option` 的 value */
+const MODE_VALUE_FIELDS = {
+    'session/set_mode': 'modeId',
+    'session/set_config_option': 'value',
+};
 /** JSON.parse 会把这些键建成普通自有属性；agent 侧的对象合并 / 校验可能对它们另有处理，一律不放行 */
 const FORBIDDEN_KEYS = ['__proto__', 'constructor', 'prototype'];
 function isObject(value) {
@@ -60,6 +81,37 @@ function scopeViolation(params, cwd, sessionScoped) {
         return '_meta is not allowed';
     return null;
 }
+/**
+ * 切模式的目标值是无人值守模式时返回原因。只看字符串：有无人值守模式的三家（Claude / Codex / Qoder）ACP 层都要求
+ * 字符串取值，非字符串切不过去；Claude 有合法的 boolean 配置项，拒收非字符串会误伤。
+ */
+function modeViolation(method, params) {
+    const field = MODE_VALUE_FIELDS[method];
+    if (field === undefined)
+        return null;
+    const value = params[field];
+    return typeof value === 'string' && UNATTENDED_MODES.includes(value) ? `mode ${value} is not allowed from the page` : null;
+}
+/**
+ * 页面对 agent 请求的回答（没有 method 键）：选了会切到无人值守模式的权限选项时返回原因。
+ * 不论 `outcome.outcome` 是什么都查 optionId（页面回 cancelled 时从不带 optionId，从严不会误伤）。
+ */
+function answerViolation(message) {
+    const result = message.result;
+    if (!isObject(result))
+        return null;
+    if (hasForbiddenKey(result))
+        return 'result must not contain __proto__ / constructor / prototype';
+    const outcome = result.outcome;
+    if (!isObject(outcome))
+        return null;
+    if (hasForbiddenKey(outcome))
+        return 'outcome must not contain __proto__ / constructor / prototype';
+    const optionId = outcome.optionId;
+    return typeof optionId === 'string' && UNATTENDED_PERMISSION_OPTION_IDS.includes(optionId)
+        ? `permission option ${optionId} is not allowed from the page`
+        : null;
+}
 export function checkPageAcpLine(line, cwd) {
     let message;
     try {
@@ -74,9 +126,12 @@ export function checkPageAcpLine(line, cwd) {
     const reject = (reason) => ({ ok: false, reason, method, rpcId: rpcIdOf(message) });
     if (hasForbiddenKey(message))
         return reject('message must not contain __proto__ / constructor / prototype');
-    // 没有 method 键的是页面对 agent 请求的响应（例如审批结果），不涉及方法与会话范围
-    if (!hasOwn(message, 'method'))
-        return { ok: true };
+    // 没有 method 键的是页面对 agent 请求的响应（例如审批结果），不涉及方法与会话范围，只查 D6。
+    // 被拒时 method 为 null：页面不会为它合成错误响应（rpcId 是 agent 编的号，会误结束页面自己同号的请求）
+    if (!hasOwn(message, 'method')) {
+        const violation = answerViolation(message);
+        return violation ? reject(violation) : { ok: true };
+    }
     if (method === null)
         return reject('method must be a string');
     if (!PAGE_ACP_METHODS.includes(method))
@@ -87,6 +142,6 @@ export function checkPageAcpLine(line, cwd) {
         return { ok: true };
     if (!isObject(params))
         return reject('params must be an object');
-    const violation = scopeViolation(params, cwd, sessionScoped);
+    const violation = scopeViolation(params, cwd, sessionScoped) ?? modeViolation(method, params);
     return violation ? reject(violation) : { ok: true };
 }

package/dist/bridge/args.js

@@ -0,0 +1,114 @@
+/**
+ * `bridge` 子命令的参数：解析、帮助文本、后台模式的退出码与寿命。
+ *
+ * 从 main.ts 拆出（行数门禁）。启动器 `~/.m2canvas/bin/m2-bridge` 按这里的参数与退出码调用任意版本的 bridge
+ * （契约 14、`install/m2-bridge.sh` 头注释），已安装的 bridge 又会自动更新，所以每个版本都要保持这套接口兼容。
+ */
+import { resolve } from 'node:path';
+import { isPairCommitment } from './pairing.js';
+import { BRIDGE_DEFAULT_PORT } from './protocol.js';
+import { DEV_ORIGINS, PROD_ORIGINS } from './security.js';
+/**
+ * 后台模式下，端口上已有认定的 M2 bridge、又没带 `--replace` 时的退出码（change acp-bridge-one-time-install R1）。
+ * 启动器把它当「已在运行」（成功）；认不出的占用者、停不掉等失败仍是 1，不能并进来。终端模式不用它（照旧 1）。
+ */
+export const EXIT_ALREADY_RUNNING = 3;
+/**
+ * 后台模式下，端口被占、又认不出占用者是 M2 bridge（或 `--replace` 停不掉旧的、停掉后端口仍被占）时的退出码（review r1 R1-S1）。
+ * 这些都是环境问题，不是这个版本坏了：启动器据此**不回退、不拉黑**刚更新的版本，只把原因写进结果行。终端模式仍是 1。
+ */
+export const EXIT_PORT_UNAVAILABLE = 4;
+/**
+ * 后台模式加 `--dev`（本机开发页联调用，design R6）时的寿命（review r1 R1-S6，用户 2026-10-05 拍板）。
+ * 开发域名的 Origin 与 localStorage 被本机所有 Vite 项目共用，契约 1 因此只在 `--dev` 时放行、且否决了「常开」；
+ * 后台 bridge 没有终端、一直运行到注销，不限时就等于常开。到时走正常收尾退出，需要时再用启动器拉起。
+ */
+export const DEV_BACKGROUND_LIFETIME_MS = 2 * 60 * 60 * 1000;
+export function backgroundLifetimeMs(args) {
+    return args.background && args.dev ? DEV_BACKGROUND_LIFETIME_MS : null;
+}
+export const BRIDGE_HELP = `Usage: npx @m2canvas/connect bridge [--port <n>] [--cwd <dir>] [--verbose] [--dev] [--pair <value>] [--replace]
+       npx @m2canvas/connect bridge --unpair
+
+Runs the local agent bridge so M2 (in Chrome) can start and talk to the agents
+installed on this machine: Claude Code, Codex, Cursor CLI, OpenCode and Qoder.
+
+It only listens on 127.0.0.1 and only accepts the M2 web app (${PROD_ORIGINS.join(', ')}).
+The command M2 gives you pairs that page automatically; other pages ask for the
+pairing code shown here. A paired page can make these agents read and change
+files and run commands as you, so only run commands you copied from M2.
+Agents run in the directory you start the bridge from (or --cwd), with your own logins.
+On macOS a paired page can also start an agent's own sign-in; you finish it in
+your browser.
+
+  --port <n>      port to listen on (default ${BRIDGE_DEFAULT_PORT})
+  --cwd <dir>     working directory for agent sessions (default: current directory)
+  --verbose       also print agent stderr and connection details
+  --dev           also accept a local M2 dev server (${DEV_ORIGINS.join(', ')});
+                  any app served on that port could then ask to pair
+  --pair <value>  pair the M2 page that gave you this command (M2 adds it for you;
+                  valid for 10 minutes, once)
+  --replace       if an M2 bridge (0.6.0 or later) is already running on the port,
+                  stop it first (its agent sessions end) and start this one instead;
+                  not on Windows
+  --unpair        forget all paired pages and exit
+  -h, --help      show this help
+
+Internal (used by the M2 launcher ~/.m2canvas/bin/m2-bridge; don't run these yourself):
+  --background    run without a terminal: no pairing codes are shown; exits with
+                  code ${EXIT_ALREADY_RUNNING} if an M2 bridge is already running on the port (handing its --pair
+                  to that bridge first), ${EXIT_PORT_UNAVAILABLE} if something else holds the port; with --dev it
+                  stops by itself after 2 hours
+  --check-update  update this installation to the version M2 publishes, then exit
+  --self-test     check that this installation loads completely, print its version and exit
+  --stop          stop the M2 bridge running on the port (only one it can recognize; it's
+                  sent SIGTERM so it cleans up), then exit`;
+/** 解析 `bridge` 之后的参数；返回字符串表示参数错误（调用方连同帮助打印、退出码 2）。 */
+export function parseBridgeArgs(argv) {
+    const args = { port: BRIDGE_DEFAULT_PORT, cwd: process.cwd(), verbose: false, unpair: false, help: false, dev: false, pair: null, replace: false, background: false, selfTest: false, checkUpdate: false, stop: false };
+    for (let i = 0; i < argv.length; i++) {
+        const arg = argv[i];
+        if (arg === '-h' || arg === '--help')
+            args.help = true;
+        else if (arg === '--verbose')
+            args.verbose = true;
+        else if (arg === '--unpair')
+            args.unpair = true;
+        else if (arg === '--dev')
+            args.dev = true;
+        else if (arg === '--replace')
+            args.replace = true;
+        else if (arg === '--background')
+            args.background = true;
+        else if (arg === '--self-test')
+            args.selfTest = true;
+        else if (arg === '--check-update')
+            args.checkUpdate = true;
+        else if (arg === '--stop')
+            args.stop = true;
+        else if (arg === '--pair') {
+            const value = argv[++i];
+            if (value === undefined)
+                return '--pair needs a value';
+            if (!isPairCommitment(value))
+                return `invalid --pair value ${value}; copy the start command from M2 again`;
+            args.pair = value;
+        }
+        else if (arg === '--port' || arg === '--cwd') {
+            const value = argv[++i];
+            if (value === undefined)
+                return `${arg} needs a value`;
+            if (arg === '--cwd')
+                args.cwd = resolve(value);
+            else {
+                const port = Number(value);
+                if (!Number.isInteger(port) || port < 1 || port > 65535)
+                    return `invalid --port ${value}`;
+                args.port = port;
+            }
+        }
+        else
+            return `unknown option ${arg}`;
+    }
+    return args;
+}

package/dist/bridge/handoff.js

@@ -10,6 +10,10 @@
  * 跨版本接口（启动器只随重装更新，bridge 会自动更新，交出方与接收方可能是不同版本；`connect/local-bridge` 契约 14 delta）：
  *  - 请求一行（不含换行最多 256 字节）：`{"type":"arm","nonce":"<32 位小写十六进制>"}\n`；承诺在 `<m2 目录>/handoff-<nonce>.pending`（普通文件、属于本账号）；
  *  - 回复一行：`{"ok":true,"until":<毫秒时间戳>}` 或 `{"ok":false,"error":"…"}`，回复后断开。
+ *  - 只读状态查询（change desktop-bridge-launcher D15 起；具体版本见 connect 的发布记录）：请求 `{"type":"status","commitment":"<22 位 base64url>"}\n`，
+ *    回复 `{"ok":true,"state":"waiting","until":…}` / `{"ok":true,"state":"paired","origin":"…","at":…}` / `{"ok":true,"state":"unknown"}`，
+ *    可带 `"rejected":{"origin":"…","at":…}`（最近一次因 Origin 不在白名单被拒的连接）。旧版本对它回 `bad_request`，
+ *    M2 Mac 客户端据此判定「不支持」。
  *  只能加字段；要改语义就换请求的 type，并让接收方继续认旧的。
  *
  * 维护约束：
@@ -18,6 +22,9 @@
  *   本来就能配对（bridge 每次校验 token 都重读 `bridge-pairings.json`，往里加一条记录即可；在沙箱里、做不到 `--replace` 也一样），
  *   所以不算新的攻击者类别。这条论证依赖「每次重读配对文件」：改成只在启动时读或缓存时，要重新评估这里的门槛。
  *   不要退回「socket 上直接带承诺」，也不要放宽文件名（只认 32 位十六进制）。
+ * - `status` 只读、承诺随请求一起发，不要求能写 `~/.m2canvas`：它只透露「这个承诺配没配上、配给了哪个 origin、最近被拒的 origin」，
+ *   这些本来就写在 `~/.m2canvas/logs/bridge.log` 里，能连这个 socket 的本账号进程也能读到；不回 S、不回 token、不改任何状态，
+ *   也不能用来猜承诺（128 bit）。回复里要加别的东西时，先重做这条论证（design D15）。
  * - socket 上不收 S、不回 token：拿 token 仍要页面在 hello 里出示 S，Origin 白名单照旧。
  * - 只有同一个账号能连：`~/.m2canvas` 0700、socket 0600。不要把 socket 放到别的目录，也不要放宽权限。
  * - 每个连接只处理一行、有长度上限、有从连上起算的绝对超时：这是本机进程能碰到的入口，不能让它挂住 bridge 或吃内存。
@@ -54,13 +61,17 @@ function removeQuietly(path) {
 function errorText(error) {
     return error instanceof Error ? error.message : String(error);
 }
-function requestedNonce(line) {
+function parseRequest(line) {
     try {
         const request = JSON.parse(line);
         if (typeof request !== 'object' || request === null)
             return null;
-        const { type, nonce } = request;
-        return type === 'arm' && typeof nonce === 'string' && NONCE_RE.test(nonce) ? nonce : null;
+        const { type, nonce, commitment } = request;
+        if (type === 'arm' && typeof nonce === 'string' && NONCE_RE.test(nonce))
+            return { type, nonce };
+        if (type === 'status' && typeof commitment === 'string' && isPairCommitment(commitment))
+            return { type, commitment };
+        return null;
     }
     catch {
         return null;
@@ -92,7 +103,7 @@ function takePendingCommitment(dir, nonce) {
  * 返回 null = 没监听（路径太长或建不起来），只记日志，不影响 bridge 本身。
  */
 export async function listenForHandoff(options) {
-    const { dir, port, arm, log } = options;
+    const { dir, port, arm, status, log } = options;
     const path = handoffSocketPath(dir, port);
     if (Buffer.byteLength(path) > HANDOFF_MAX_PATH_BYTES) {
         log(`Pairing handoff is unavailable: ${path} is too long for a local socket. A new browser has to use the reconnect command instead.`);
@@ -117,7 +128,12 @@ export async function listenForHandoff(options) {
             if (end < 0)
                 return;
             done = true;
-            const nonce = requestedNonce(buffer.slice(0, end));
+            const request = parseRequest(buffer.slice(0, end));
+            if (request?.type === 'status' && status) {
+                socket.end(`${JSON.stringify({ ok: true, ...status(request.commitment) })}\n`);
+                return;
+            }
+            const nonce = request?.type === 'arm' ? request.nonce : null;
             const commitment = nonce ? takePendingCommitment(dir, nonce) : null;
             if (!commitment) {
                 socket.end(`${JSON.stringify({ ok: false, error: nonce ? 'not_found' : 'bad_request' })}\n`);

package/dist/bridge/main.js

@@ -3,7 +3,7 @@
  *
  * 只由 cli.ts 在第一个参数是 `bridge` 时动态加载：默认的 MCP 配置流程（Copy to agent 起手式）不会加载这里的任何代码与依赖。
  *
- * 本文件负责组装与终端交互：参数、启动横幅、配对码打印、信号处理、退出兜底清理。协议在 server.ts，安全判定在 security.ts / pairing.ts。
+ * 本文件负责组装与终端交互：启动横幅、配对码打印、信号处理、退出兜底清理。参数与帮助在 args.ts，协议在 server.ts，安全判定在 security.ts / pairing.ts。
  * 终端输出用英文，与 connect 现有输出一致。
  *
  * 后台模式（`--background`，只由启动器 `~/.m2canvas/bin/m2-bridge` 使用，change acp-bridge-one-time-install）：输出写进日志文件，
@@ -11,10 +11,11 @@
  * 端口上已有认定的 M2 bridge 时以 EXIT_ALREADY_RUNNING 退出，启动器把它当成功。
  */
 import { existsSync, readFileSync, statSync } from 'node:fs';
-import { join, resolve } from 'node:path';
+import { join } from 'node:path';
 import { fileURLToPath } from 'node:url';
 import { home, isExecutable, which } from '../system.js';
 import { AdapterManager, ADAPTERS } from './adapters.js';
+import { BRIDGE_HELP, EXIT_ALREADY_RUNNING, EXIT_PORT_UNAVAILABLE, backgroundLifetimeMs, parseBridgeArgs } from './args.js';
 import { detectAgent } from './agents.js';
 import { EXPECT_PATH } from './authorize.js';
 import { buildAgentEnv, buildNpmEnv, buildProbeEnv } from './env.js';
@@ -22,35 +23,16 @@ import { execCommand, killActiveExecs } from './exec.js';
 import { createLsofProbe, createPsProbe, createStopDeps, identifyRunningBridge, instanceFilePath, listenWithReplace, processStartedAt, removeInstanceRecord, stopRunningBridge, writeInstanceRecord } from './instance.js';
 import { handOffCommitment, listenForHandoff } from './handoff.js';
 import { installShutdownSignals } from './lifecycle.js';
-import { PairingManager, createFilePairingStore, isPairCommitment } from './pairing.js';
-import { BRIDGE_AGENT_IDS, BRIDGE_DEFAULT_PORT, BRIDGE_WS_PATH } from './protocol.js';
+import { PairingManager, createFilePairingStore } from './pairing.js';
+import { BRIDGE_AGENT_IDS, BRIDGE_WS_PATH } from './protocol.js';
 import { resolveNpmCommand } from './npm-command.js';
-import { DEV_ORIGINS, PROD_ORIGINS, allowedOrigins } from './security.js';
+import { allowedOrigins } from './security.js';
 import { selfTestProblems } from './self-test.js';
 import { runCheckUpdate } from './update-io.js';
 import { startBridgeServer } from './server.js';
 import { createAgentService } from './service.js';
 import { KILL_GRACE_MS } from './processes.js';
 const NPM_CI_TIMEOUT_MS = 15 * 60 * 1000;
-/**
- * 后台模式下，端口上已有认定的 M2 bridge、又没带 `--replace` 时的退出码（change acp-bridge-one-time-install R1）。
- * 启动器把它当「已在运行」（成功）；认不出的占用者、停不掉等失败仍是 1，不能并进来。终端模式不用它（照旧 1）。
- */
-export const EXIT_ALREADY_RUNNING = 3;
-/**
- * 后台模式下，端口被占、又认不出占用者是 M2 bridge（或 `--replace` 停不掉旧的、停掉后端口仍被占）时的退出码（review r1 R1-S1）。
- * 这些都是环境问题，不是这个版本坏了：启动器据此**不回退、不拉黑**刚更新的版本，只把原因写进结果行。终端模式仍是 1。
- */
-export const EXIT_PORT_UNAVAILABLE = 4;
-/**
- * 后台模式加 `--dev`（本机开发页联调用，design R6）时的寿命（review r1 R1-S6，用户 2026-10-05 拍板）。
- * 开发域名的 Origin 与 localStorage 被本机所有 Vite 项目共用，契约 1 因此只在 `--dev` 时放行、且否决了「常开」；
- * 后台 bridge 没有终端、一直运行到注销，不限时就等于常开。到时走正常收尾退出，需要时再用启动器拉起。
- */
-export const DEV_BACKGROUND_LIFETIME_MS = 2 * 60 * 60 * 1000;
-export function backgroundLifetimeMs(args) {
-    return args.background && args.dev ? DEV_BACKGROUND_LIFETIME_MS : null;
-}
 const LABELS = {
     claude: 'Claude Code',
     codex: 'Codex',
@@ -58,91 +40,6 @@ const LABELS = {
     opencode: 'OpenCode',
     qoder: 'Qoder',
 };
-export const BRIDGE_HELP = `Usage: npx @m2canvas/connect bridge [--port <n>] [--cwd <dir>] [--verbose] [--dev] [--pair <value>] [--replace]
-       npx @m2canvas/connect bridge --unpair
-
-Runs the local agent bridge so M2 (in Chrome) can start and talk to the agents
-installed on this machine: Claude Code, Codex, Cursor CLI, OpenCode and Qoder.
-
-It only listens on 127.0.0.1 and only accepts the M2 web app (${PROD_ORIGINS.join(', ')}).
-The command M2 gives you pairs that page automatically; other pages ask for the
-pairing code shown here. A paired page can make these agents read and change
-files and run commands as you, so only run commands you copied from M2.
-Agents run in the directory you start the bridge from (or --cwd), with your own logins.
-On macOS a paired page can also start an agent's own sign-in; you finish it in
-your browser.
-
-  --port <n>      port to listen on (default ${BRIDGE_DEFAULT_PORT})
-  --cwd <dir>     working directory for agent sessions (default: current directory)
-  --verbose       also print agent stderr and connection details
-  --dev           also accept a local M2 dev server (${DEV_ORIGINS.join(', ')});
-                  any app served on that port could then ask to pair
-  --pair <value>  pair the M2 page that gave you this command (M2 adds it for you;
-                  valid for 10 minutes, once)
-  --replace       if an M2 bridge (0.6.0 or later) is already running on the port,
-                  stop it first (its agent sessions end) and start this one instead;
-                  not on Windows
-  --unpair        forget all paired pages and exit
-  -h, --help      show this help
-
-Internal (used by the M2 launcher ~/.m2canvas/bin/m2-bridge; don't run these yourself):
-  --background    run without a terminal: no pairing codes are shown; exits with
-                  code ${EXIT_ALREADY_RUNNING} if an M2 bridge is already running on the port (handing its --pair
-                  to that bridge first), ${EXIT_PORT_UNAVAILABLE} if something else holds the port; with --dev it
-                  stops by itself after 2 hours
-  --check-update  update this installation to the version M2 publishes, then exit
-  --self-test     check that this installation loads completely, print its version and exit
-  --stop          stop the M2 bridge running on the port (only one it can recognize; it's
-                  sent SIGTERM so it cleans up), then exit`;
-/** 解析 `bridge` 之后的参数；返回字符串表示参数错误（调用方连同帮助打印、退出码 2）。 */
-export function parseBridgeArgs(argv) {
-    const args = { port: BRIDGE_DEFAULT_PORT, cwd: process.cwd(), verbose: false, unpair: false, help: false, dev: false, pair: null, replace: false, background: false, selfTest: false, checkUpdate: false, stop: false };
-    for (let i = 0; i < argv.length; i++) {
-        const arg = argv[i];
-        if (arg === '-h' || arg === '--help')
-            args.help = true;
-        else if (arg === '--verbose')
-            args.verbose = true;
-        else if (arg === '--unpair')
-            args.unpair = true;
-        else if (arg === '--dev')
-            args.dev = true;
-        else if (arg === '--replace')
-            args.replace = true;
-        else if (arg === '--background')
-            args.background = true;
-        else if (arg === '--self-test')
-            args.selfTest = true;
-        else if (arg === '--check-update')
-            args.checkUpdate = true;
-        else if (arg === '--stop')
-            args.stop = true;
-        else if (arg === '--pair') {
-            const value = argv[++i];
-            if (value === undefined)
-                return '--pair needs a value';
-            if (!isPairCommitment(value))
-                return `invalid --pair value ${value}; copy the start command from M2 again`;
-            args.pair = value;
-        }
-        else if (arg === '--port' || arg === '--cwd') {
-            const value = argv[++i];
-            if (value === undefined)
-                return `${arg} needs a value`;
-            if (arg === '--cwd')
-                args.cwd = resolve(value);
-            else {
-                const port = Number(value);
-                if (!Number.isInteger(port) || port < 1 || port > 65535)
-                    return `invalid --port ${value}`;
-                args.port = port;
-            }
-        }
-        else
-            return `unknown option ${arg}`;
-    }
-    return args;
-}
 /** 包根目录：dist/bridge/*.js 与 src/bridge/*.ts 到包根的相对深度相同 */
 const PACKAGE_ROOT = fileURLToPath(new URL('../../', import.meta.url));
 function packageVersion() {
@@ -297,6 +194,8 @@ export async function runBridge(argv) {
     // 端口被占时认出正在运行的 M2 bridge，给出 pid 与终端，或在 --replace 时接管（D20）。状态文件不含任何密钥
     const instancePath = instanceFilePath(m2Dir, parsed.port);
     let alreadyRunning = false;
+    /** 最近一次因 Origin 不在白名单被拒的页面（desktop-bridge-launcher D15）：交接 socket 的状态查询带回给 M2 Mac 客户端 */
+    let lastRejected = null;
     server = await listenWithReplace(() => startBridgeServer({
         port: parsed.port,
         cwd: parsed.cwd,
@@ -312,6 +211,9 @@ export async function runBridge(argv) {
         service,
         agentEnv: buildAgentEnv(),
         allowedOrigins: origins,
+        onOriginRejected: (origin) => {
+            lastRejected = { origin, at: Date.now() };
+        },
         log,
         verbose: parsed.verbose,
     }), {
@@ -398,8 +300,15 @@ export async function runBridge(argv) {
             process.exit(130);
         },
     });
-    if (parsed.background)
-        handoff = await listenForHandoff({ dir: m2Dir, port: parsed.port, arm: (c) => pairing.armCommitment(c), log });
+    if (parsed.background) {
+        handoff = await listenForHandoff({
+            dir: m2Dir,
+            port: parsed.port,
+            arm: (c) => pairing.armCommitment(c),
+            status: (c) => ({ ...pairing.commitmentStatus(c), ...(lastRejected ? { rejected: lastRejected } : {}) }),
+            log,
+        });
+    }
     const lifetime = backgroundLifetimeMs(parsed);
     if (lifetime !== null) {
         setTimeout(() => {

package/dist/bridge/pairing.js

@@ -192,6 +192,25 @@ export class PairingManager {
         this.commitment = { value: Buffer.from(commitment, 'base64url'), armedAt };
         return armedAt + CODE_TTL_MS;
     }
+    /**
+     * 承诺的状态（change desktop-bridge-launcher D15）：M2 Mac 客户端运行启动器交上承诺之后，用它查页面有没有真的配上。
+     * 只读，不改变任何状态；比较用常量时间。只看两个槽：挂着的（10 分钟内）与最近一次用掉的 —— 被更新的承诺替换、过期、
+     * bridge 重启过的都是 unknown，调用方按「还没确认」处理。
+     */
+    commitmentStatus(commitment) {
+        if (!isPairCommitment(commitment))
+            return { state: 'unknown' };
+        const value = Buffer.from(commitment, 'base64url');
+        const armed = this.commitment;
+        if (armed && armed.value.length === value.length && timingSafeEqual(armed.value, value) && this.now() - armed.armedAt <= CODE_TTL_MS) {
+            return { state: 'waiting', until: armed.armedAt + CODE_TTL_MS };
+        }
+        const consumed = this.consumed;
+        if (consumed && consumed.value.length === value.length && timingSafeEqual(consumed.value, value)) {
+            return { state: 'paired', origin: consumed.origin, at: consumed.usedAt };
+        }
+        return { state: 'unknown' };
+    }
     /**
      * 页面在 hello 里出示 S。对不上不计入错码次数：S 有 32 字节、承诺有 128 bit，不存在可猜性，
      * 计入只会让多标签页、旧 S 这类无害的不匹配把用户锁住。锁定期间一律不成立 —— 「锁定只能重启解除」不设例外。

package/dist/bridge/protocol.js

@@ -9,7 +9,7 @@
  *   所以只能有类型和常量：不 import 任何模块、不用 enum、不用 Node 或 DOM 专有类型。
  * - 同一协议版本内只做加法（新方法、新事件、新可选字段、新枚举值）。删除字段或改变语义要升 BRIDGE_PROTOCOL_VERSION，
  *   bridge 至少同时支持前一个版本。页面必须忽略不认识的字段 / 事件，把不认识的 state 当成 unknown。
- * - bridge 不翻译 ACP：agent → 页面的 `acp` 行原样转发（不保证是 JSON）；页面 → agent 的行只做方法白名单与会话范围检查（acp-guard.ts），
+ * - bridge 不翻译 ACP：agent → 页面的 `acp` 行原样转发（不保证是 JSON）；页面 → agent 的行只做方法白名单、会话范围与无人值守模式检查（acp-guard.ts），
  *   翻译全部在页面做。
  * - 配对 = 授权该页面以用户的身份驱动本机 agent（包括让它执行命令）；页面代码与 token 的保管要按这个级别对待。
  */
@@ -46,6 +46,23 @@ export const BRIDGE_PAGE_ACP_METHODS = [
     'session/close',
     '$/cancel_request',
 ];
+/**
+ * 不经批准执行一切的工作模式（change bridge-reject-unattended-modes D2，页面与 bridge 共用这一份）：
+ * Claude `bypassPermissions`「Accepts all permissions」；Codex `agent-full-access`「Unrestricted access to the internet and any
+ * file on your computer」；Qoder `yolo`「Auto-approves all tools」。Qoder `dontAsk` 是「不询问、直接拒绝」，不在此列；
+ * Claude `auto` 由分类器代为决定，用户 2026-10-03 拍板时未列入。
+ * - 页面：模式下拉不提供、`setLocalMode` 拒绝（用户自己的配置已是这种模式时照实显示）。
+ * - bridge：`session/set_mode` / `session/set_config_option` 的取值落在**所有 agent 的并集**里就拒收（acp-guard.ts）——
+ *   Qoder 会把 Claude 的 `bypassPermissions` 映射成自己的 `yolo`，只查本家挡不住。
+ * 某家新增同类模式、或升级适配器 / CLI 时，按本 change evidence/mode-paths.md 的复核方法重核并加在这里（bridge 要发版）。
+ */
+export const BRIDGE_UNATTENDED_MODE_VALUES = {
+    claude: ['bypassPermissions'],
+    codex: ['agent-full-access'],
+    cursor: [],
+    opencode: [],
+    qoder: ['yolo'],
+};
 export const BRIDGE_METHODS = [
     'pair',
     'agents/list',

package/dist/bridge/security.js

@@ -33,6 +33,7 @@ export function isAllowedHost(host, port) {
 export function isLoopbackAddress(address) {
     return address === '127.0.0.1' || address === '::ffff:127.0.0.1' || address === '::1';
 }
+const MAX_REPORTED_ORIGIN_CHARS = 200;
 /**
  * 拒绝时返回 HTTP 状态，由调用方直接写回并销毁 socket，不完成握手。
  * 403 而不是「握手后再关」：不对非白名单页面完成任何握手。注意这挡不住「探测 bridge 是否在运行」——
@@ -46,7 +47,10 @@ export function checkUpgrade(info, port, origins) {
         return { ok: false, status: 403, reason: `remote ${info.remoteAddress ?? 'unknown'}` };
     if (!isAllowedHost(info.host, port))
         return { ok: false, status: 403, reason: `host ${info.host ?? 'missing'}` };
-    if (!isAllowedOrigin(info.origin, origins))
-        return { ok: false, status: 403, reason: `origin ${info.origin ?? 'missing'}` };
+    if (!isAllowedOrigin(info.origin, origins)) {
+        if (info.origin === undefined)
+            return { ok: false, status: 403, reason: 'origin missing' };
+        return { ok: false, status: 403, reason: `origin ${info.origin}`, rejectedOrigin: info.origin.slice(0, MAX_REPORTED_ORIGIN_CHARS) };
+    }
     return { ok: true };
 }

package/dist/bridge/server.js

@@ -279,6 +279,8 @@ export function startBridgeServer(options) {
         const decision = checkUpgrade({ origin: req.headers.origin, host: req.headers.host, remoteAddress: req.socket.remoteAddress, path: req.url }, port, options.allowedOrigins);
         if (!decision.ok) {
             rejectLog.note(decision.reason);
+            if (decision.rejectedOrigin !== undefined)
+                options.onOriginRejected?.(decision.rejectedOrigin);
             rejectUpgrade(socket, decision.status);
             return;
         }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@m2canvas/connect",
-  "version": "0.7.1",
+  "version": "0.7.3",
   "description": "Connect your local agent clients (Claude Code, Codex, Cursor, OpenCode, Qoder) to M2 Canvas over MCP in one command, and run the local bridge that lets M2 drive them over ACP.",
   "type": "module",
   "bin": {