@mmmbuto/nexuscrew 0.9.15 → 0.9.17

package/lib/fleet/cell-exec.js

@@ -19,7 +19,7 @@ const DEFAULT_SUPERVISE = Object.freeze({
   maxRapidRestarts: 8,
 });
 
-// F-B (audit 2a, correzione escalation): limite ESPLICITO fra SIGTERM e
+// da revisione (correzione escalation): limite ESPLICITO fra SIGTERM e
 // SIGKILL quando la lease e' persa (onLost, main()). Un figlio che ignora
 // SIGTERM non deve restare appeso a tempo indeterminato.
 const LEASE_LOST_KILL_ESCALATION_MS = 5000;
@@ -303,7 +303,7 @@ async function main(argv = process.argv.slice(2), seams = {}) {
   // inherit. Il proof (2b) vive nel lease-client, MAI nell'env del child.
   let generation = 0;
   let leaseCtl = null;
-  // F-B (audit 2a): current/stopping vivono QUI (prima del lease-client) perche'
+  // da revisione interna: current/stopping vivono QUI (prima del lease-client) perche'
   // la callback onLost qui sotto li riferisce dalla closure.
   let current = null; let stopping = false;
   if (payload.lease && leaseSocket && !leaseSocket.destroyed) {
@@ -315,7 +315,7 @@ async function main(argv = process.argv.slice(2), seams = {}) {
       // generation += 1). Passiamo un getter cosicche' il reconnect presenti
       // sempre la generation corrente, non 0 fisso (riconcilia :301 con :381).
       generation: () => generation,
-      // F-B (audit 2a @ 142e272): lease persa per tutta la grace senza un
+      // da revisione interna: lease persa per tutta la grace senza un
       // reconnect riuscito. Prima il lease-client desisteva in silenzio dopo
       // 60s e il child restava un orfano senza lease per tutta la sua vita.
       // Ora il supervisore viene avvisato: ferma il child (stopping + SIGTERM)
@@ -324,7 +324,7 @@ async function main(argv = process.argv.slice(2), seams = {}) {
       // Correzione (seconda riconsegna): un SOLO SIGTERM senza escalation
       // lascia appeso un child che lo ignora (misurato sul percorso reale:
       // {spawned:1, kills:['SIGTERM'], state:'pending'}) — l'orfano non NASCE
-      // piu' (F-B originale chiuso davvero), ma un figlio gia' vivo che non
+      // piu' (caso originale chiuso davvero), ma un figlio gia' vivo che non
       // collabora non muore. LEASE_LOST_KILL_ESCALATION_MS e' il limite
       // ESPLICITO, scritto qui: se il child non e' uscito entro questa
       // finestra dal SIGTERM, si passa a SIGKILL. `target` fissa il processo

package/lib/fleet/cell-lease-server.js

@@ -9,7 +9,7 @@
 // issuedAt+60s). Il proof supervisore arriva al detentore sul canale lease
 // (all'attach e a ogni refresh) e non transita mai nel child (R3.1.2 invariato).
 //
-// Storage per-cella (D1/D2): un file per cella in <run>/cell-leases/. Il
+// Storage per-cella (da revisione): un file per cella in <run>/cell-leases/. Il
 // refresh di una cella rilegge e riscrive SOLO il proprio file: scompare la
 // read-modify-write dell'intero store condiviso, la race su di essa e
 // l'amplificazione O(N^2) misurata in 2a (N letture + N scritture complete
@@ -51,7 +51,7 @@ function sanitizeCell(cellId) {
 const CELL_ID_RE = /^[A-Za-z0-9._-]{1,64}$/;
 function validCellId(cellId) { return typeof cellId === 'string' && CELL_ID_RE.test(cellId); }
 
-// F-A (audit 2a @ 142e272): il formato che il runtime produce per un'identity.
+// da revisione interna: il formato che il runtime produce per un'identity.
 // Condiviso da loadPersisted (primo ingresso, al boot) e track (secondo
 // ingresso): la validazione e' UNA, non due copie da tenere allineate.
 const EPOCH_RE = /^[a-f0-9]{16}$/;
@@ -112,7 +112,7 @@ function createLeaseManager(cfg = {}, seams = {}) {
   // IC1.1 (rev28, emendata da rev29): quando il proof nasce da un commit del
   // bound, issuedAt è DERIVATO da D (D − PROOF_TTL_MS), mai letto dal clock:
   // expiresAt = issuedAt + TTL è esattamente D, senza toccare verifyProof,
-  // KIND_FIELDS o wire (vincolo M6 dell'audit rev28).
+  // KIND_FIELDS o wire (vincolo della revisione).
   function issueLeaseProof(cellId, entry, lease, { issuedAt } = {}) {
     return signProof(ensureVerifier(), {
       kind: 'lease',
@@ -142,7 +142,7 @@ function createLeaseManager(cfg = {}, seams = {}) {
       throw e;
     }
     const obj = JSON.parse(raw);
-    // P1-1b: la FORMA del dato. La root deve essere l'entry attesa: plain-object
+    // da revisione: la FORMA del dato. La root deve essere l'entry attesa: plain-object
     // con i campi del formato per-cell. Qualunque altra cosa e' illeggibile.
     if (obj === null || typeof obj !== 'object' || Array.isArray(obj)) {
       throw new Error(`store lease: entry per-cella non e' un oggetto: ${sanitizeCell(cellId)}`);
@@ -211,7 +211,7 @@ function createLeaseManager(cfg = {}, seams = {}) {
     const prev = entry.graceDeadline;
     entry.graceDeadline = D;
     if (!persistEntry(cellId, entry)) {
-      entry.graceDeadline = prev; // rollback (P1-2b): nessun commit, nessun ACK
+      entry.graceDeadline = prev; // rollback (revisione): nessun commit, nessun ACK
       return null;
     }
     return { t, deadline: D, issuedAt: D - PROOF_TTL_MS };
@@ -242,7 +242,7 @@ function createLeaseManager(cfg = {}, seams = {}) {
   }
 
   function bindLiveSocket(cellId, entry, socket, { lease }) {
-    // P1-2b (audit 2a05db2): persiste il bound PRIMA di associare il socket. Se il
+    // da revisione interna: persiste il bound PRIMA di associare il socket. Se il
     // record non committa, rollback e ritorna false: il caller non dichiarera' lease.
     // Diverso da EOF (onEOF): li una write fallita lascia un bound ANTERIORE (fail-closed
     // anticipato, accettabile); qui il bind prometterebbe stato live senza commit durevole.
@@ -314,7 +314,7 @@ function createLeaseManager(cfg = {}, seams = {}) {
     socket.on('data', onData);
     socket.once('close', onEOF);
     socket.once('end', onEOF);
-    // Correzione (audit 2a, segnalazione precisata in revisione): questo E' il socket
+    // Correzione (da revisione, segnalazione precisata): questo E' il socket
     // su cui il server SCRIVE (l'ack di refresh — proprio dove l'EPIPE nasce se
     // il peer muore mentre la write e' in volo). Un EventEmitter che emette
     // 'error' senza listener fa un throw che termina l'INTERO processo — non
@@ -345,7 +345,7 @@ function createLeaseManager(cfg = {}, seams = {}) {
     socket.setEncoding('utf8');
     socket.on('data', onData);
     socket.once('close', () => { try { socket.destroy(); } catch (_) {} });
-    // Correzione (audit 2a): stesso motivo di bindLiveSocket — il server scrive
+    // Correzione (da revisione interna): stesso motivo di bindLiveSocket — il server scrive
     // 'deny' su questo socket (onData sopra, JSON malformato); senza un
     // handler 'error' un peer che muore mentre quella write e' in volo manda
     // in throw fatale l'intero processo. Se la connessione avanza a
@@ -448,7 +448,7 @@ function createLeaseManager(cfg = {}, seams = {}) {
     const server = netImpl.createServer((sock) => onStableConnection(cellId, sock));
     await new Promise((resolve, reject) => {
       server.once('error', reject);
-      // F-C (audit 2a @ 142e272): niente piu' set/restore di process.umask.
+      // da revisione interna: niente piu' set/restore di process.umask.
       // process.umask e' GLOBALE e la coppia set/restore non e' atomica: sotto
       // openEndpoint concorrenti il restore di uno ripristinava lo 0o177 appena
       // settato dall'altro e il processo restava driftato. La protezione e'
@@ -475,7 +475,7 @@ function createLeaseManager(cfg = {}, seams = {}) {
     return sp;
   }
 
-  // F-C (audit 2a @ 142e272): track() serializzato PER CELLA. Due track
+  // da revisione interna: track() serializzato PER CELLA. Due track
   // simultanei sulla stessa cella vedevano entrambi cells.get() vuoto, generavano
   // due identity divergenti e il perdente restava con un'identity inutile. La
   // catena per cellId fa attendere al secondo la fine del primo; poi
@@ -501,7 +501,7 @@ function createLeaseManager(cfg = {}, seams = {}) {
     // server NON si genera una nuova launchEpoch, perche' il supervisore vivo
     // reconnecta con quella originale (e il suo proof la porta firmata).
     const existing = cells.get(cellId);
-    // P1-2 (reaudit dd38c83): snapshot dell'entry preesistente prima di mutare
+    // da revisione interna: snapshot dell'entry preesistente prima di mutare
     // qualunque cosa. Se persistEntry fallisce su una cella gia' viva, il cleanup
     // deve ripristinare lo stato precedente, NON cancellarlo.
     const hadExisting = !!existing;
@@ -513,7 +513,7 @@ function createLeaseManager(cfg = {}, seams = {}) {
     } : null;
     // openEndpoint puo' aver creato un nuovo stableServer se l'entry non ne aveva uno.
     const serverBeforeOpen = existing ? existing.stableServer : null;
-    // F-A (audit 2a): il SECONDO INGRESSO valida come il primo. Un valore
+    // da revisione interna: il SECONDO INGRESSO valida come il primo. Un valore
     // persistito e' riusato SOLO se ha il formato che il runtime produce
     // (hex-16 l'epoch); malformato -> identity NUOVA generata, e la persistEntry
     // qui sotto la scrive, riparando la entry corrotta sul disco.
@@ -541,8 +541,8 @@ function createLeaseManager(cfg = {}, seams = {}) {
     await openEndpoint(cellId, entry);
     cells.set(cellId, entry);
     if (!persistEntry(cellId, entry)) {
-      // P1-2b: il record durevole (identity) e' essenziale per la recovery post-restart.
-      // P1-2 (reaudit dd38c83): se la cella era GIA' viva, NON cancellarla — ripristina
+      // da revisione: il record durevole (identity) e' essenziale per la recovery post-restart.
+      // da revisione interna: se la cella era GIA' viva, NON cancellarla — ripristina
       // lo stato precedente. Solo le risorse create in QUESTO tentativo vengono pulite.
       if (hadExisting) {
         entry.launchEpoch = existingSnapshot.launchEpoch;
@@ -590,7 +590,7 @@ function createLeaseManager(cfg = {}, seams = {}) {
   // payload il canale appartiene al protocollo del broker (frame length-
   // prefixed u32): una riga JSON scritta prima del payload corromperebbe la
   // lettura di receivePayload e il child non nascerebbe — misurato dal gate
-  // (lease-audit-2a-fixes, F-B positivo). Il proof supervisore arriva con
+  // (da revisione interna, esito positivo). Il proof supervisore arriva con
   // l'ACK del primo refresh, che il lease-client invia IMMEDIATAMENTE
   // all'avvio: la finestra attach->primo-ack senza proof detenuto e' fail-closed
   // (reconnect negato -> grace -> onLost), coerente col modello per cui nessun
@@ -628,7 +628,7 @@ function createLeaseManager(cfg = {}, seams = {}) {
         log(`cell-lease: loadPersisted entry '${cellId}' illeggibile, saltata: ${e && e.message}`);
         continue;
       }
-      // P1-4 (reaudit dd38c83): forma <> semantica. Il runtime produce launchEpoch
+      // da revisione interna: forma <> semantica. Il runtime produce launchEpoch
       // come hex di 16 char. Fail-closed: formato errato = entry saltata.
       if (!info || typeof info.launchEpoch !== 'string' || !EPOCH_RE.test(info.launchEpoch)) {
         log(`cell-lease: loadPersisted entry '${cellId}' malformata, saltata`);
@@ -640,7 +640,7 @@ function createLeaseManager(cfg = {}, seams = {}) {
       cells.set(cellId, {
         launchEpoch: info.launchEpoch,
         // IC8.5 (rev29): graceDeadline assente/illeggibile/non-intero = bound trattato come scaduto (0 -> deny sempre).
-        // P1-4: forma <> semantica — un bound oltre now()+2*GRACE_MS non e' producibile
+        // da revisione: forma <> semantica — un bound oltre now()+2*GRACE_MS non e' producibile
         // da questa fetta: trattato come scaduto (0). Tolleranza 2*GRACE_MS per un
         // restart durante la grace. Fail-closed: bound assurdo = scaduto.
         graceDeadline: (Number.isInteger(info.graceDeadline) && info.graceDeadline > 0

package/lib/fleet/definitions.js

@@ -13,9 +13,10 @@ const path = require('node:path');
 const crypto = require('node:crypto');
 const { normalizeManagedSpec } = require('./managed.js');
 
-// --- Cap + identita' (dichiarati; ragionevoli per un file di flotta locale) ---
+// --- Cap + identita' (dichiarati; 100 regge una flotta reale con margine;
+// il limite resta deliberato contro un file patologico) ---
 const SCHEMA_VERSION = 1;
-const MAX_ENGINES = 24;
+const MAX_ENGINES = 100;
 const MAX_CELLS = 32;
 const MAX_ARGS = 32;            // argv: array, mai stringa spezzata (no shell)
 const MAX_ARG_LEN = 1024;      // 1 KB per arg
@@ -204,7 +205,11 @@ function parseModel(m) {
 // parseDefinitions(raw) -> {schemaVersion, engines, cells, models} | null
 // Accetta stringa JSON o oggetto gia' parsato. Strict + fail-closed.
 // ---------------------------------------------------------------------------
-function parseDefinitions(raw, { allowLegacyTmuxNames = true } = {}) {
+function parseDefinitions(raw, { allowLegacyTmuxNames = true, onReject = null } = {}) {
+  const reject = (message) => {
+    if (typeof onReject === 'function') onReject(message);
+    return null;
+  };
   try {
     let d;
     if (typeof raw === 'string') {
@@ -217,7 +222,9 @@ function parseDefinitions(raw, { allowLegacyTmuxNames = true } = {}) {
 
     if (d.schemaVersion !== SCHEMA_VERSION) return null;
     if (!Array.isArray(d.engines)) return null;          // engines obbligatorio (array)
-    if (d.engines.length > MAX_ENGINES) return null;
+    if (d.engines.length > MAX_ENGINES) {
+      return reject(`fleet.json rifiutato: ${d.engines.length} engine dichiarati, cap ${MAX_ENGINES}; riduci gli engine a ${MAX_ENGINES} o meno`);
+    }
     if (!Array.isArray(d.cells)) return null;            // cells obbligatorio (array)
     if (d.cells.length > MAX_CELLS) return null;
 
@@ -226,7 +233,7 @@ function parseDefinitions(raw, { allowLegacyTmuxNames = true } = {}) {
     // realta' c'e'. `models` e' opzionale: una configurazione che non lo ha
     // resta valida esattamente com'era.
     //
-    // D2 (audit pacchetto): extraModels porta il DESCRITTORE completo (id,
+    // da revisione (pacchetto): extraModels porta il DESCRITTORE completo (id,
     // engine, contextWindow, maxTokens, reasoning), non solo l'id. Prima era
     // Map<engine, Set<id>>: bastava per il gate "questo id e' ammesso?"
     // (declaredFor), ma contextWindow/maxTokens/reasoning sparivano — e
@@ -269,7 +276,7 @@ function parseDefinitions(raw, { allowLegacyTmuxNames = true } = {}) {
     const cellIds = new Set();
     const cells = [];
     for (const c of d.cells) {
-      const cell = parseCell(c, engineIds, engineMap, { allowLegacyTmuxNames, extraModels });
+      const cell = parseCell(c, engineIds, engineMap, { allowLegacyTmuxNames, extraModels, onReject: reject });
       if (!cell) return null;
       if (cellIds.has(cell.id)) return null;             // id cell univoco
       cellIds.add(cell.id);
@@ -333,7 +340,7 @@ function parseEngine(e, { extraModels = null } = {}) {
     // pannello, e il fallback engine->cella di cellStatus vale per entrambi.
     // Prima di questo blocco il campo veniva scartato in silenzio: un valore
     // valido spariva e uno invalido veniva accettato (fail-open) — rilievo 1
-    // dell'audit D8.
+    // della revisione.
     let managedPanelUrl;
     if (e.panelUrl !== undefined) {
       if (!validPanelUrl(e.panelUrl)) return null;
@@ -419,7 +426,7 @@ function parseEngine(e, { extraModels = null } = {}) {
 // e' nell'allowlist): un peer poteva mettere un id arbitrario in una cella di
 // questa installazione, e il boot lo usava senza ricontrollarlo.
 //
-// Rilievo dell'audit indipendente, provato con probe su due profili distinti.
+// Rilievo della revisione indipendente, provato con probe su due profili distinti.
 // Il controllo e' quello vero, non una copia: si passa dalla stessa
 // `normalizeManagedSpec` con le stesse dichiarazioni.
 function cellModelAllowed(engineId, model, engineMap, extraModels) {
@@ -430,7 +437,11 @@ function cellModelAllowed(engineId, model, engineMap, extraModels) {
   return !!normalizeManagedSpec({ ...engine.managed, model }, { extraModels });
 }
 
-function parseCell(c, engineIds, engineMap = new Map(), { allowLegacyTmuxNames = true, extraModels = null } = {}) {
+function parseCell(c, engineIds, engineMap = new Map(), { allowLegacyTmuxNames = true, extraModels = null, onReject = null } = {}) {
+  const reject = (message) => {
+    if (typeof onReject === 'function') onReject(message);
+    return null;
+  };
   if (!c || typeof c !== 'object' || Array.isArray(c)) return null;
 
   // id
@@ -475,7 +486,9 @@ function parseCell(c, engineIds, engineMap = new Map(), { allowLegacyTmuxNames =
   if (c.models !== undefined) {
     if (!c.models || typeof c.models !== 'object' || Array.isArray(c.models)) return null;
     const entries = Object.entries(c.models);
-    if (entries.length > MAX_ENGINES) return null;
+    if (entries.length > MAX_ENGINES) {
+      return reject(`fleet.json rifiutato: la cella ${c.id} contiene ${entries.length} modelli ricordati, cap ${MAX_ENGINES}; riduci la mappa a ${MAX_ENGINES} o meno`);
+    }
     for (const [engineId, value] of entries) {
       if (!engineIds.has(engineId) || typeof value !== 'string' || !value || value.length > MAX_MODEL_VAL_LEN) return null;
       // Anche la memoria per-engine passa dal gate: e' un valore che tornera'
@@ -494,7 +507,9 @@ function parseCell(c, engineIds, engineMap = new Map(), { allowLegacyTmuxNames =
   if (c.permissionPolicies !== undefined) {
     if (!c.permissionPolicies || typeof c.permissionPolicies !== 'object' || Array.isArray(c.permissionPolicies)) return null;
     const entries = Object.entries(c.permissionPolicies);
-    if (entries.length > MAX_ENGINES) return null;
+    if (entries.length > MAX_ENGINES) {
+      return reject(`fleet.json rifiutato: la cella ${c.id} contiene ${entries.length} permissionPolicies, cap ${MAX_ENGINES}; riduci la mappa a ${MAX_ENGINES} o meno`);
+    }
     permissionPolicies = {};
     for (const [engineId, value] of entries) {
       if (!engineIds.has(engineId)) return null;
@@ -511,7 +526,9 @@ function parseCell(c, engineIds, engineMap = new Map(), { allowLegacyTmuxNames =
   if (c.commands !== undefined) {
     if (!c.commands || typeof c.commands !== 'object' || Array.isArray(c.commands)) return null;
     const entries = Object.entries(c.commands);
-    if (entries.length > MAX_ENGINES) return null;
+    if (entries.length > MAX_ENGINES) {
+      return reject(`fleet.json rifiutato: la cella ${c.id} contiene ${entries.length} commands, cap ${MAX_ENGINES}; riduci la mappa a ${MAX_ENGINES} o meno`);
+    }
     commands = {};
     for (const [engineId, value] of entries) {
       if (!engineIds.has(engineId) || engineMap.get(engineId)?.managed?.client !== 'shell') return null;
@@ -641,7 +658,7 @@ function parseCell(c, engineIds, engineMap = new Map(), { allowLegacyTmuxNames =
 //
 // Leggi-modifica-scrivi SOTTO LOCK. `atomicWrite` garantisce che il file non
 // resti a meta' — non che nessuno lo abbia cambiato mentre lo tenevi in mano:
-// sono due proprieta' diverse, e la prima non implica la seconda. Un audit ha
+// sono due proprieta' diverse, e la prima non implica la seconda. Una revisione ha
 // riprodotto la perdita su SETTE percorsi diversi (i backfill di avvio, la
 // riparazione desktop e la persistenza della migrazione): ognuno salvava,
 // osservava sul disco il valore scritto da un altro, e lo perdeva scrivendo un
@@ -871,7 +888,7 @@ function validateCommandTrust(command) {
   if (!st.isFile()) return { ok: false, reason: 'non e\' un file regolare (symlink o speciale)' }; // lstat: symlink -> isFile()=false
   if (!(st.mode & 0o100)) return { ok: false, reason: 'non eseguibile dall\'owner' };
   if (st.mode & 0o002) return { ok: false, reason: 'world-writable' };
-  // Owner check (design §9a, audit impl #4): il command deve appartenere
+  // Owner check (design §9a, da revisione): il command deve appartenere
   // all'utente del service o a root — un owner terzo potrebbe sostituire
   // l'eseguibile mantenendo il path "trusted".
   if (typeof process.getuid === 'function') {
@@ -980,7 +997,9 @@ function loadDefinitions(p, out) {
     if (st.isSymbolicLink()) return null;                    // no symlink
     if (!st.isFile()) return null;
     const raw = fs.readFileSync(p, 'utf8');
-    return parseDefinitions(raw);
+    return parseDefinitions(raw, {
+      onReject: out ? (reason) => { out.parseReason = reason; } : null,
+    });
   } catch (_) { return null; }
 }
 

package/lib/fleet/launch-broker.js

@@ -103,8 +103,8 @@ function createLaunchBroker(cfg = {}) {
         let raw = '';
         socket.setEncoding('utf8');
         socket.setTimeout(3000, () => socket.destroy());
-        // Correzione (audit 2a, stesso buco trovato in cell-lease-server.js):
-        // il broker scrive su questo socket (il payload, o dopo F-B onLease
+        // Correzione (da revisione, stesso buco trovato in cell-lease-server.js):
+        // il broker scrive su questo socket (il payload, o dopo la chiamata onLease
         // prima). Un peer che muore mentre quella write e' in volo emette
         // 'error' senza listener -> throw fatale, INTERO processo giu'.
         socket.once('error', () => { try { socket.destroy(); } catch (_) {} });
@@ -130,7 +130,7 @@ function createLaunchBroker(cfg = {}) {
             // piu' il timeout idle da 3s pensato per il one-shot.
             socket.setTimeout(0);
             socket.removeAllListeners('data');
-            // F-B (audit 2a @ 142e272): la lease PRIMA del payload. onLease
+            // da revisione interna: la lease PRIMA del payload. onLease
             // associa la connessione al lease manager (attachInitial); solo se
             // committa il payload viene scritto. Se onLease ritorna false, o ha
             // gia' distrutto la socket, il payload NON parte: il client riceve

package/lib/fleet/lease-client.js

@@ -67,7 +67,7 @@ function startLeaseClient(initialSocket, info, seams = {}) {
     clearTimer(reconnectTimer);
     // R3.2: oltre la grace non si ritenta (deny o server muto non vanno in loop).
     if (reconnectDeadline != null && now() >= reconnectDeadline) {
-      // F-B (audit 2a @ 142e272): la grace e' scaduta senza un reconnect
+      // da revisione interna: la grace e' scaduta senza un reconnect
       // riuscito: la lease e' PERSA per questo supervisore. Prima si desisteva
       // in silenzio e il child restava un orfano senza lease per tutta la sua
       // vita, senza che nessuno lo sapesse. Ora il supervisore viene avvisato