@mmmbuto/nexuscrew 0.9.16 → 0.9.17

package/lib/proxy/node-proxy.js

@@ -42,7 +42,7 @@ const MUTATING = new Set(['POST', 'PUT', 'PATCH', 'DELETE']);
 // passera' dalla via allowlistata della federazione, mai da questo pass-through
 // generico — che inoltra QUALSIASI path non elencato qui.
 // `/api/route` e `/federation/route` sono qui per una ragione che e' costata un
-// audit: l'origine di una richiesta veniva dedotta dal PATH. Su /api/route il
+// da revisione: l'origine di una richiesta veniva dedotta dal PATH. Su /api/route il
 // gestore assume di parlare col proprietario e non applica gate per-peer; ma un
 // peer poteva farci arrivare quella forma ATTRAVERSO questo stesso pass-through
 // (/node/<A>/api/route/_/panel/<cella>/...), e a quel punto il nodo di
@@ -182,7 +182,7 @@ function proxyHttp(req, res, node, rest, search, httpRequest) {
   // http.request puo' lanciare in modo SINCRONO (es. header value con char
   // invalido dal token del nodo) -> senza try/catch diventa un throw non gestito
   // e Express emette una pagina 500 con lo stack (path interni). Chiudiamo in
-  // 502 JSON come gli altri errori upstream, senza esporre nulla. (fix audit).
+  // 502 JSON come gli altri errori upstream, senza esporre nulla. (fix da revisione).
   let upstream;
   try {
     upstream = httpRequest(options, (up) => {
@@ -298,9 +298,9 @@ function handleNodeUpgrade(ctx) {
     if (settled) { try { upstream.destroy(); } catch (_) {} return; }
     // buildUpgradeRequest/write possono lanciare (header invalido). Settle DOPO il
     // successo dei write: cosi' il catch -> fail(502) e' OPERATIVO (distrugge entrambi
-    // i socket e invia 502) invece di no-op. Prima dell'audit settled veniva messo a
+    // i socket e invia 502) invece di no-op. Prima della revisione settled veniva messo a
     // true PRIMA dei write: un throw li' rendeva fail() un no-op e lasciava entrambi i
-    // socket vivi (leak) senza alcun 502 al client (audit F5).
+    // socket vivi (leak) senza alcun 502 al client (da revisione).
     try {
       upstream.write(buildUpgradeRequest(req.method, parsed.rest, parsed.search, req.headers, node.token, node.localPort));
       if (head && head.length) upstream.write(head);

package/lib/proxy/panel-proxy.js

@@ -88,7 +88,7 @@ function stripLocalTokenQuery(search) {
 // del nostro dominio — inoltrarli significherebbe consegnare al container la
 // sessione del control plane, esattamente cio' che l'Authorization rimossa
 // doveva impedire. E `x-forwarded-*` da un client sono valori che un pannello
-// potrebbe credere veri. Rilievo di un audit indipendente.
+// potrebbe credere veri. Rilievo di una revisione indipendente.
 function isStrippedRequestHeader(key, value) {
   if (HOP_BY_HOP.has(key)) return true;
   if (key === 'cookie' || key === 'host') return true;
@@ -194,7 +194,7 @@ async function resolveTarget(resolveCellPanel, cellId) {
   };
 }
 
-// IL PATH DEL PANNELLO E' `rest`, TAL QUALE. Il contratto D8 (CellPanel): il
+// IL PATH DEL PANNELLO E' `rest`, TAL QUALE. Il contratto da revisione (CellPanel): il
 // frame carica /api/panel/<cella> + il pathname del panelUrl, e il browser
 // risolve le sotto-risorse RELATIVE rispetto a quell'origine — al proxy
 // arrivano sempre path assoluti del pannello. Ricomporli col basePath del

package/lib/pty/attach.js

@@ -6,7 +6,7 @@ const { withUtf8Locale } = require('../runtime/env.js');
 
 // Opens `tmux attach` inside a real PTY, non-destructive for other clients.
 //
-// Size model (emendamento post-audit §5b — deck multi-finestra): la sessione usa
+// Size model (emendamento di revisione — deck multi-finestra): la sessione usa
 // `window-size latest` (impostato dal bridge). Un client "possiede" la geometria
 // SOLO se NON è `ignore-size`. I tile grid/deck attaccano `ignore-size` (non
 // contendono la geometria da N finestre/N ResizeObserver); l'owner è il tile col

package/lib/server.js

@@ -93,7 +93,7 @@ function uiBuildVersion(distDir) {
 function createServer(opts = {}) {
   const cfg = loadConfig(opts);
   assertLoopback(cfg.bind);
-  // Token holder LIVE (audit F7 / §4b(3)): requireToken/verify leggono tokenStore.get()
+  // Token holder LIVE (da revisione di sicurezza): requireToken/verify leggono tokenStore.get()
   // ad ogni richiesta, cosi' una rotazione via Settings API invalida il VECCHIO token
   // (401) e attiva il NUOVO (200) SENZA restart. Prima il token era catturato una volta
   // allo startup e restava valido fino al restart manuale.
@@ -136,7 +136,7 @@ function createServer(opts = {}) {
   // nei test NON scrivono mai nella home reale. Tutto lazy: vapid.json/asks.json
   // nascono al primo uso, non allo startup.
   const notifyDir = cfg.notifyDir || path.dirname(cfg.tokenPath);
-  // READONLY come floor anche dentro il push service (F3): niente generazione
+  // READONLY come floor anche dentro il push service (da revisione): niente generazione
   // VAPID ne' cleanup subscription quando il server e' readonly.
   const bridgeReadonly = () => (cfg.readonlyDefault === true || process.env.NEXUSCREW_READONLY === '1');
   const eventsHub = createEventsHub();
@@ -585,7 +585,7 @@ function createServer(opts = {}) {
     if (!reverseSlotListeners.respond(req, res)) res.status(404).json({ error: 'reverse slot non disponibile' });
   });
 
-  // Pannello per-cella (D8): inoltra il traffico verso il `panelUrl` di UNA cella
+  // Pannello per-cella (da revisione): inoltra il traffico verso il `panelUrl` di UNA cella
   // LOCALE. La destinazione non arriva mai dal chiamante — si risolve dallo stato
   // della cella — e il token di NexusCrew non prosegue verso il pannello, che e'
   // un servizio terzo e non un nodo. Local-only come /api/live-host: il pass-through

package/lib/settings/pairing-coordinator.js

@@ -401,7 +401,7 @@ function createPairHandler(deps) {
           });
       }
 
-      // R19: il JOIN ha rivelato la porta pannello del peer — l'informazione
+      // da revisione: il JOIN ha rivelato la porta pannello del peer — l'informazione
       // che al momento dell'add NON c'era. La riga authorized_keys con DUE
       // destinazioni la emette ADESSO, qui, CHI ha l'informazione: chi ha già
       // incollato la riga di una destinazione è rotto e non lo sa (il server

package/lib/settings/routes.js

@@ -154,7 +154,7 @@ function settingsRoutes(deps = {}) {
   const seams = cfg.settingsSeams || {};
   const localHostname = typeof seams.hostname === 'function' ? seams.hostname : os.hostname;
   // tokenStore/closeSessions iniettati da server.js per la semantica di invalidazione
-  // live (audit F7 / §4b(3)). Assenti nei test unitari puri su routes -> la rotazione
+  // live (da revisione di sicurezza). Assenti nei test unitari puri su routes -> la rotazione
   // scrive solo il file (come prima), senza reload in-memory.
   const tokenStore = deps.tokenStore || null;
   const closeSessions = deps.closeSessions || null;
@@ -164,7 +164,7 @@ function settingsRoutes(deps = {}) {
   // configJsonPath() rispetta NEXUSCREW_CONFIG_FILE (stessa risoluzione di
   // loadConfig): settings API e server DEVONO leggere/scrivere lo STESSO file —
   // il fallback home-based divergeva dalla config del server nelle istanze
-  // isolate via env (bug trovato in audit: smoke test che scrivono la config reale).
+  // isolate via env (bug trovato in revisione: smoke test che scrivono la config reale).
   const configPath = cfg.configPath || configJsonPath();
   const nodesPath = deps.nodesPath || cfg.nodesPath || nodesStore.defaultNodesPath(home);
   const aliasesPath = deps.aliasesPath || cfg.aliasesPath || nodeAliases.defaultAliasesPath(home);
@@ -360,7 +360,7 @@ function settingsRoutes(deps = {}) {
 
   // --- POST /token/rotate — atomico + reload live + chiusura WS; token MAI in risposta
   // Contratto §4b(3): "scrittura atomica del token file + chiusura delle sessioni
-  // WS/API attive locali + reload credenziali proxy". Audit F7: prima questa route
+  // WS/API attive locali + reload credenziali proxy". Da revisione: prima questa route
   // scriveva solo il file, e il server teneva il VECCHIO token in memoria -> restava
   // accettato fino al restart manuale. Ora: (1) scrittura atomica, (2) reload live
   // dell'holder in memoria (requireToken/verify vedono il nuovo), (3) chiusura delle
@@ -548,7 +548,7 @@ function settingsRoutes(deps = {}) {
   });
 
   // --- POST /nodes/:name/up|down|restart — lifecycle tunnel ------------------
-  // GATE READONLY (audit F6, contract §4b(6): "restart processi tunnel" e' tra i
+  // GATE READONLY (da revisione, contract §4b(6): "restart processi tunnel" e' tra i
   // mutanti della lista chiusa e NEXUSCREW_READONLY blocca TUTTI i mutanti). Prima
   // questi endpoint erano esplicitamente NON gated ("decisione B0") — ma cio'
   // contradiceva il contratto duro §4b(6): up/down/restart mutano processi e vanno

package/lib/tmux/lifecycle.js

@@ -4,7 +4,7 @@ const path = require('node:path');
 const { execFile } = require('node:child_process');
 const { alternateScreenArgs, minimalEnv, tmuxExec } = require('../fleet/launch.js');
 
-// Preset allowlistati (audit F1): il client sceglie un NOME, mai un comando.
+// Preset allowlistati (da revisione): il client sceglie un NOME, mai un comando.
 // Estendibili da config.json `sessionPresets` (name -> array argv di stringhe).
 const PRESETS = { shell: null, claude: ['claude'], 'codex-vl': ['codex-vl'], pi: ['pi'] };
 
@@ -13,7 +13,7 @@ function validSessionName(name) {
   return typeof name === 'string' && NAME_RE.test(name) && !name.startsWith('-');
 }
 
-// cwd reale sotto la home reale (audit F1): realpath su ENTRAMBI, così un
+// cwd reale sotto la home reale (da revisione): realpath su ENTRAMBI, così un
 // symlink dentro home che punta fuori viene rifiutato.
 function resolveCwd(cwd, home) {
   try {
@@ -25,7 +25,7 @@ function resolveCwd(cwd, home) {
   } catch (_) { return null; }
 }
 
-// Denylist kill INDIPENDENTE dal registry (audit F2): qualunque cloud-* è
+// Denylist kill INDIPENDENTE dal registry (da revisione): qualunque cloud-* è
 // protetta anche con fleet assente/rotto; in più le tmuxSession del registry.
 function isProtectedSession(name, isCellSession) {
   if (/^cloud-/i.test(String(name))) return true;
@@ -73,7 +73,7 @@ async function createSession(tmuxBin, { name, cwd, preset }, {
   if (typeof ensureProtection === 'function') await ensureProtection();
   await new Promise((resolve, reject) => {
     if (!validSessionName(name)) return reject(httpError(400, 'nome sessione non valido'));
-    // Il namespace cloud-* e' delle celle fleet (audit finale #1): una generica
+    // Il namespace cloud-* e' delle celle fleet (da revisione finale): una generica
     // con quel prefisso occuperebbe il binding per-nome e sarebbe poi 409 al kill.
     if (/^cloud-/i.test(name)) return reject(httpError(409, 'namespace riservato alle celle (cloud-*): usa fleet up'));
     const real = resolveCwd(String(cwd || home), home);

package/lib/tmux/preview.js

@@ -49,7 +49,7 @@ function analyzeCapture(raw) {
 }
 
 // Sampler con cache per sessione, concorrenza limitata e timeout: la preview è
-// best-effort — errori → null, MAI nel log (audit F7).
+// best-effort — errori → null, MAI nel log (da revisione).
 function createPreviewSampler(tmuxBin, { ttlMs = 3000, timeoutMs = 1500, maxConcurrent = 4 } = {}) {
   const cache = new Map();        // session -> {at, value}
   let inFlight = 0;

package/lib/update/runner.js

@@ -10,7 +10,7 @@ const {
   stableRuntimeDir,
 } = require('./core.js');
 
-// R28 — rigenerazione delle definizioni di boot dopo l'installazione.
+// da revisione — rigenerazione delle definizioni di boot dopo l'installazione.
 //
 // L'aggiornamento del pacchetto sposta i path versionati che le unit/plist
 // scrivono LETTERALMENTE (node del Cellar su Homebrew, pacchetto in
@@ -28,7 +28,7 @@ const {
 // Contratto: sana SOLO le definizioni che ESISTONO già (il boot è opt-in:
 // l'update non installa un companion mai chiesto); attivazione differita
 // (activate:false) perché il companion RunAtLoad/oneshot non va eseguito a
-// metà update — R28-rimedio: l'attivazione la APPLICA healBootDefinitions
+// metà update — rimedio da revisione: l'attivazione la APPLICA healBootDefinitions
 // nel percorso di update (daemon-reload / bootout+bootstrap), non un restart
 // che non carica le definizioni; un fallimento NON blocca l'aggiornamento
 // (il comportamento senza questo passo era proprio quello) ma viene LOGGATO
@@ -103,7 +103,7 @@ function regenBootDefinitions(opts = {}) {
       out.skipped.push(`${target.component}: nessuna definizione installata, nulla da sanare`);
       continue;
     }
-    // R28-rimedio, difetto 3 (audit): symlink e directory al posto del target
+    // rimedio da revisione, difetto 3: symlink e directory al posto del target
     // erano già saltati, ma un FILE REGOLARE DI TERZI veniva sovrascritto. Le
     // definizioni che generiamo portano tutte il nome del progetto nell'header
     // (systemd: «# NexusCrew service», plist: Label com.mmmbuto.nexuscrew):
@@ -111,7 +111,7 @@ function regenBootDefinitions(opts = {}) {
     // — lo skip è dichiarato, non silenzioso. Un file illeggibile non blocca
     // la sanazione (si presume nostro: il caso terzi è il contenuto leggibile
     // che dichiara altro).
-    // R28 (audit rev2): la proprieta' si riconosce da un'ancora STRUTTURALE del
+    // da revisione: la proprieta' si riconosce da un'ancora STRUTTURALE del
     // nostro generatore (isOurService/isOurFleetService), non dalla parola
     // «nexuscrew» presente nel file: un unit di terzi che ci nomina in un
     // commento veniva sovrascritto. E cio' che NON si riesce a leggere non si
@@ -147,7 +147,7 @@ function regenBootDefinitions(opts = {}) {
   return out;
 }
 
-// R28-rimedio, difetto 2 (audit): l'attivazione differita dichiarata dalla
+// rimedio da revisione, difetto 2: l'attivazione differita dichiarata dalla
 // regen era una promessa FALSA in silenzio. `restart` fa `systemctl --user
 // restart` SENZA daemon-reload (systemd riavvia con la definizione VECCHIA
 // in memoria) e `launchctl kickstart` riusa la definizione già caricata; col
@@ -365,9 +365,9 @@ async function runUpdate(opts = {}) {
     installedNew = true;
     await preflightImpl({ version, home });
     writeState(statusPath, { ...readState(statusPath), phase: 'restarting', updaterPid: process.pid, lastError: '' });
-    // R28: sana le definizioni di boot PRIMA del riavvio — è il passo che
+    // da revisione: sana le definizioni di boot PRIMA del riavvio — è il passo che
     // manca al percorso di upgrade e che lasciava la companion puntata a un
-    // binario morto (exit 78, silenzio). R28-rimedio: la sanazione ora
+    // binario morto (exit 78, silenzio). rimedio da revisione: la sanazione ora
     // APPLICA anche l'attivazione differita (healBootDefinitions) — il
     // restart da solo non caricava le definizioni riscritte. Best-effort
     // DICHIARATO: un errore qui non blocca l'aggiornamento, viene loggato e
@@ -391,9 +391,9 @@ async function runUpdate(opts = {}) {
         });
         if (String(readInstalledVersion() || '') !== previousVersion) throw new Error(`rollback verify: attesa ${previousVersion}`);
         await preflightImpl({ version: previousVersion, home, rollback: true });
-        // R28: il rollback riparte dalle stesse definizioni sane — il
+        // da revisione: il rollback riparte dalle stesse definizioni sane — il
         // downgrade reinstalla il pacchetto nel prefix attuale e i path
-        // vivi valgono anche per la versione precedente. R28-rimedio:
+        // vivi valgono anche per la versione precedente. rimedio da revisione:
         // anche qui sanazione+attivazione (heal), non la sola regen.
         (opts.healBootImpl || healBootDefinitions)({
           home, running: wasRunning, execImpl, ...(opts.regenSeams || {}),

package/lib/vl-nodes/broker.js

@@ -118,7 +118,7 @@ function sanitizeEvents(raw) {
   return { events, dropped };
 }
 
-// La sessione VL dichiarata dal nodo (sidebar: «N900 · 1 sessione»). Solo
+// La sessione VL dichiarata dal nodo (sidebar: «<device> · <n> sessioni»). Solo
 // attach + label del profilo, mai contenuto: qualunque campo extra viene
 // potato, non troncato — stessa disciplina della whitelist eventi. Assente o
 // invalida -> null: un binario piu' vecchio non dichiara sessioni che non ha

package/lib/ws/bridge.js

@@ -243,7 +243,7 @@ function bindWs(ws, deps) {
         // e' READONLY nessun client puo' declassarlo (msg.readonly:false non deve
         // vincere). Il client puo' solo AGGIUNGERE restrizione (attach read-only
         // su un server read-write). Contratto design §4b(6): READONLY blocca anche
-        // le scritture PTY. (fix audit finale: prima il ?? faceva vincere il client.)
+        // le scritture PTY. (fix da revisione finale: prima il ?? faceva vincere il client.)
         readonly: defaults.readonlyDefault === true || !!msg.readonly,
         takeSize,
         cols: clamp(msg.cols, 20, 300, 80),

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@mmmbuto/nexuscrew",
-  "version": "0.9.16",
+  "version": "0.9.17",
   "description": "Faithful browser tmux client — attach to live sessions over a real PTY, localhost-only, mobile-easy",
   "main": "lib/server.js",
   "bin": {
@@ -11,8 +11,26 @@
     "lib/",
     "skills/",
     "frontend/dist/",
-    "frontend/index.html",
     "CHANGELOG.md",
+    "docs/ALIBABA_TOKEN_PLAN.md",
+    "docs/AUDIO_SHARE.md",
+    "docs/CELL_PANEL.md",
+    "docs/CONFIGURATION.md",
+    "docs/FLEET.md",
+    "docs/INSTALLATION.md",
+    "docs/LIVE_PROMPT.md",
+    "docs/live-prompt-templates/LIVE_PROMPT.en.md",
+    "docs/live-prompt-templates/LIVE_PROMPT.es.md",
+    "docs/live-prompt-templates/LIVE_PROMPT.it.md",
+    "docs/img/fleet-deck-desktop.png",
+    "docs/img/session-mobile.png",
+    "docs/MCP.md",
+    "docs/NODES.md",
+    "docs/NOTIFICATIONS.md",
+    "docs/OPERATIONS.md",
+    "docs/README.md",
+    "docs/SECURITY.md",
+    "docs/VL_MICRO_NODES.md",
     "MCP_COMPANIONS.md",
     "mcp-companions.json",
     "LICENSE",

package/frontend/index.html

@@ -1,20 +0,0 @@
-<!DOCTYPE html>
-<html lang="en">
-<head>
-  <meta charset="UTF-8" />
-  <meta name="viewport" content="width=device-width, initial-scale=1.0, maximum-scale=1.0, user-scalable=no, viewport-fit=cover, interactive-widget=resizes-content" />
-  <meta name="theme-color" content="#0d1117" />
-  <meta name="apple-mobile-web-app-capable" content="yes" />
-  <meta name="apple-mobile-web-app-status-bar-style" content="black-translucent" />
-  <meta name="mobile-web-app-capable" content="yes" />
-  <meta name="application-name" content="NexusCrew" />
-  <meta name="apple-mobile-web-app-title" content="NexusCrew" />
-  <link rel="manifest" href="/manifest.json" />
-  <title>NexusCrew</title>
-</head>
-<body>
-  <div id="root"></div>
-  <script>if('serviceWorker' in navigator) navigator.serviceWorker.register('/sw.js');</script>
-  <script type="module" src="/src/main.jsx"></script>
-</body>
-</html>