@mmmbuto/nexuscrew 0.9.16 → 0.9.18

package/lib/cli/commands.js

@@ -560,7 +560,7 @@ async function probeNexusCrew(port, token, opts = {}) {
 // dice che il servizio E' IN PIEDI e che il token locale non vale — e chi deve
 // spiegare un riavvio ha bisogno di distinguerle, altrimenti dichiara fallito
 // un riavvio riuscito e manda a cercare un processo morto che e' vivo.
-// Rilievo dell'audit: il caso token-assente era gia' coperto, questo no.
+// Rilievo della revisione: il caso token-assente era gia' coperto, questo no.
 async function probeNexusCrewStatus(port, token, opts = {}) {
   const fetchImpl = opts.fetchImpl || globalThis.fetch;
   if (typeof fetchImpl !== 'function') return null;
@@ -932,7 +932,7 @@ function autoUpdateCommand(args, opts = {}) {
     // stesso file: tmp nella stessa directory, 0600, rename. Un `writeFileSync`
     // diretto puo' lasciare un config.json troncato se il processo muore a
     // meta' — e un config.json illeggibile e' un nodo che non riparte, cioe'
-    // proprio il guasto che questo comando serve a evitare. Rilievo dell'audit.
+    // proprio il guasto che questo comando serve a evitare. Rilievo della revisione.
     try {
       if (fs.lstatSync(configPath).isSymbolicLink()) {
         log('autoupdate: config.json e\' un symlink, non lo scrivo');
@@ -975,7 +975,7 @@ function autoUpdateCommand(args, opts = {}) {
 
 // update: npm i -g @latest + sanazione definizioni di boot + restart se attivo.
 // Fallimento npm -> messaggio chiaro, code 1.
-// R28-rimedio, difetto 1 (audit): la via manuale attraversa la STESSA
+// rimedio da revisione, difetto 1: la via manuale attraversa la STESSA
 // sanazione del runner (healBootDefinitions: rigenera le definizioni sul
 // node vivo e APPLICA l'attivazione differita). Prima update() reinstallava
 // e riavviava soltanto: chi aggiornava a mano con un node appena cambiato
@@ -1177,7 +1177,7 @@ async function dispatchNodes(rest, flags, opts = {}) {
     if (!cells.length) { log('nodes cells: elenco vuoto — usa `none` se intendi nessuna cella'); return { code: 1 }; }
     return { code: nodesCmds.nodesEdit({ ...opts, log, ref, patch: { cellVisibility: 'selected', cells } }).code };
   }
-  // Accesso ai pannelli (D8): dietro un pannello c'e' un browser con sessioni
+  // Accesso ai pannelli (da revisione): dietro un pannello c'e' un browser con sessioni
   // gia' autenticate, e quell'accesso non si revoca cambiando una chiave. Il
   // resto del modello tratta un peer pairato come l'operatore stesso; qui no:
   // default negato, si concede un nodo per volta.
@@ -1407,7 +1407,7 @@ function dispatch(argv, opts = {}) {
     // SENZA TOKEN NON SI PUO' DIRE NIENTE SULLA SALUTE, e soprattutto non si
     // deve dire qualcosa di sbagliato: la sonda fallirebbe per autenticazione e
     // il messaggio incolperebbe la porta o il processo, mandando a cercare dove
-    // il problema non e'. Rilievo dell'audit. Il riavvio e' comunque partito,
+    // il problema non e'. Rilievo della revisione. Il riavvio e' comunque partito,
     // quindi non e' un fallimento: e' una verifica che non si e' potuta fare, e
     // si dice cosi'.
     if (!token) {
@@ -1460,8 +1460,8 @@ function dispatch(argv, opts = {}) {
       // processi sulla stessa porta, e il nostro sopravvivrebbe allo stop del
       // servizio. Li' si riferisce e basta.
       //
-      // Difetto mio, trovato rileggendo prima dell'audit: la prima stesura
-      // chiamava `startPortable` in ogni caso.
+      // Invariante: il ramo managed non chiama `startPortable`; un fallback
+      // locale creerebbe un secondo processo fuori dal controllo del gestore.
       if (result.runtimeOwner === 'managed') {
         log(`restart: il servizio NON risponde su 127.0.0.1:${port} dopo il riavvio.`);
         log('  Il runtime e\' gestito dal servizio di sistema: non avvio un processo accanto.');

package/lib/cli/fleet-service.js

@@ -238,7 +238,7 @@ function fleetInstallCommands(platform, target, ctx) {
 // Install no-symlink + atomic rename (come service.js). execImpl iniettabile per test;
 // default execFileSync (argv diretto, MAI shell string). Su activation fallita il file
 // e' PRESERVATO e le failure raccolte per diagnosi (M1: non si ingoia, non si rollback).
-// R28: `activate: false` (speculare a installService) scrive la definizione SENZA
+// da revisione: `activate: false` (speculare a installService) scrive la definizione SENZA
 // toccare il service manager — per chi rigenera a meta' aggiornamento: il companion
 // e' RunAtLoad/oneshot, un bootstrap adesso eseguirebbe le celle boot:true mentre
 // il servizio principale sta per essere riavviato. I comandi saltati sono dichiarati
@@ -313,7 +313,7 @@ function installFleetService(platform, content, ctx, {
 
 // Gemello di isOurService (service.js): stessa ragione, stessa disciplina —
 // l'ancora vive accanto al template della companion.
-// Stessa disciplina di service.js (R28, terzo giro): la riga identificativa e'
+// Stessa disciplina di service.js (da revisione): la riga identificativa e'
 // definita una volta e usata SIA dal template SIA dall'ancora, e l'ancora e' la
 // riga ESATTA — un prefisso lascia passare il servizio di terzi che comincia la
 // propria Description col nostro nome.

package/lib/cli/pidfile.js

@@ -72,7 +72,7 @@ function readProcessStart(pid) {
 }
 
 // Campi che SOLO writePidfile puo' scrivere: mai dal chiamante via `extra`.
-// Misurato (2026-08-17): con lo spread di extra per ultimo,
+// Misurato in revisione: con lo spread di extra per ultimo,
 // writePidfile(f, pid, cmd, {processStart:'FINTO', attestation:'unsupported'})
 // vinceva sul valore vero calcolato da probeProcessStart — un chiamante
 // poteva scrivere un'attestazione INVENTATA. safeExtra la filtra qui, e i
@@ -105,7 +105,7 @@ const RESERVED_META_FIELDS = new Set(['pid', 'cmd', 'startTs', 'uid', 'processSt
 //    controlla quella variabile d'ambiente controlla anche la finestra — non
 //    un confine di sicurezza reale (chi setta l'ambiente del processo ha gia'
 //    vinto), ma va detto: il marker non e' una garanzia piu' forte di questa.
-// 3. R-pidfile-5: claimSchemaMarker (sotto) crea il marker al KILL, non solo
+// 3. da revisione: claimSchemaMarker (sotto) crea il marker al KILL, non solo
 //    al write — quindi un pidfile che sta per essere RIMOSSO puo' lasciare
 //    dietro un marker in una directory che magari non ospitera' mai piu' un
 //    runtime. E' INNOCUO: il marker non ha altro effetto che rendere PIU'
@@ -119,7 +119,7 @@ function schemaMarkerPath(pidfilePath) {
   return path.join(path.dirname(pidfilePath), '.pidfile-schema-v2');
 }
 
-// R-pidfile-4 (2026-08-17, audit su develop@437d29f): misurato dall'auditor
+// da revisione interna: misurato in revisione
 // sul frozen — se .pidfile-schema-v2 esiste come DIRECTORY (o symlink, o
 // qualunque cosa non sia un file regolare), il vecchio hasSchemaMarker
 // tornava `false` per costruzione (isFile() falso), e ensureSchemaMarker
@@ -192,7 +192,7 @@ function hasSchemaMarker(pidfilePath) {
 // pidfile e' gia' stato scritto quando arriviamo qui, ed e' lui
 // l'informazione che conta.
 //
-// R-pidfile-5 (2026-08-17, audit su develop@fa8bd90): questa funzione NON
+// da revisione interna: questa funzione NON
 // garantisce piu' nulla sul futuro — prima il commento qui diceva "il
 // prossimo killPidfile lo scoprira' da solo", ed era FALSO: se questa
 // scrittura fallisce con ENOSPC/EROFS/quota/permesso transitorio, non resta
@@ -215,7 +215,7 @@ function ensureSchemaMarker(pidfilePath) {
   }
 }
 
-// R-pidfile-5: LA decisione di sicurezza. checkSchemaMarker (sopra) guarda
+// da revisione: LA decisione di sicurezza. checkSchemaMarker (sopra) guarda
 // un EVENTO PASSATO — "il marker e' stato scritto" — che puo' fallire in
 // silenzio senza lasciare traccia (vedi ensureSchemaMarker): il percorso
 // resta ENOENT, indistinguibile da "mai tentato". claimSchemaMarker sposta
@@ -444,14 +444,14 @@ function killPidfile(p, signal = 'SIGTERM', impl = {}) {
   // Prima di questo controllo (nascita, aggiunta dopo cmd) il segnale
   // partiva sul solo cmd, senza verifica di identità, per QUALUNQUE pidfile
   // senza processStart — vecchio o nuovo, piattaforma capace o no: era
-  // esattamente il buco piu' largo trovato dall'audit (2026-08-17), perche'
+  // esattamente il buco piu' largo trovato in revisione, perche'
   // "nessuna nascita nel meta" copriva sia "questa macchina non sa attestare"
   // sia "l'attestazione e' fallita alla creazione per un motivo che non
   // conosciamo" con lo STESSO comportamento permissivo. Il ramo sotto separa
   // i due casi guardando cosa writePidfile ha DICHIARATO al momento in cui
   // contava (probeProcessStart, sopra), non ricalcolando una sonda adesso —
   // rifarla qui confonderebbe di nuovo "non so attestare" con "non ci sono
-  // riuscito in QUESTO istante", l'errore di categoria che l'audit ha
+  // riuscito in QUESTO istante", l'errore di categoria che la revisione ha
   // contestato nel primo disegno di questo fix.
   let unverifiedBirth = false;
   let schemaMarker = null; // calcolato pigro: solo se serve davvero (vedi sotto)
@@ -489,7 +489,7 @@ function killPidfile(p, signal = 'SIGTERM', impl = {}) {
     // altro probe su PID/cmd (la stessa prova debole con un altro nome): serve
     // una prova ALTERNATIVA del proprietario — per esempio un runId verificato
     // contro un endpoint locale autenticato. Non e' implementata: e' un lavoro
-    // a se', con un suo giro di audit (registrato qui, non eseguito).
+    // a se', con un suo giro di revisione dedicato (non eseguito).
     unverifiedBirth = 'unsupported';
   } else if (meta.attestation === 'indeterminate') {
     // Il codice NUOVO (questo, o una versione successiva a questo fix) ha
@@ -497,7 +497,7 @@ function killPidfile(p, signal = 'SIGTERM', impl = {}) {
     // che non sa classificare come proprieta' della piattaforma (vedi
     // probeProcessStart sopra) — sa che avrebbe potuto, su questo pid,
     // adesso, e non ce l'ha fatta. Trattarlo come "la piattaforma non sa
-    // attestare" sarebbe l'errore di categoria contestato dall'audit:
+    // attestare" sarebbe l'errore di categoria contestato in revisione:
     // un'assenza non e' una proprieta' stabile solo perche' e' comoda da
     // leggere cosi'. Si rifiuta: il cmd da solo matcha per inclusioni, e non
     // basta a chi non sa nemmeno perche' la nascita manca QUI. Il pidfile
@@ -512,7 +512,7 @@ function killPidfile(p, signal = 'SIGTERM', impl = {}) {
     // forma di meta la puo' produrre anche un chiamante non nostro): "nessun
     // campo" da solo non prova la provenienza.
     //
-    // R-pidfile-5: la domanda che decide non e' piu' "il marker e' gia'
+    // da revisione: la domanda che decide non e' piu' "il marker e' gia'
     // stato scritto?" (un evento passato che puo' fallire in silenzio —
     // vedi ensureSchemaMarker/claimSchemaMarker sopra) ma "posso scriverlo
     // ADESSO?" — claimSchemaMarker prova a crearlo in questo esatto istante:
@@ -534,9 +534,9 @@ function killPidfile(p, signal = 'SIGTERM', impl = {}) {
     //                       scrivere qui, verificato nell'istante in cui
     //                       conta, non dedotto da uno passato. Si rifiuta.
     //
-    // MISURATO (2026-08-17): trattare OGNI meta senza attestazione come
+    // MISURATO IN REVISIONE: trattare OGNI meta senza attestazione come
     // indeterminate rompe l'aggiornamento automatico per ogni nodo il cui
-    // runtime e' ancora precedente a quando processStart e' nato (8fe514f,
+    // runtime e' ancora precedente a quando processStart e' nato (introdotto in
     // v0.9.0) — npm install sovrascrive pidfile.js PRIMA che il runner lo
     // richieda, il runner legge il pidfile VECCHIO del runtime in esecuzione,
     // killPidfile rifiuta, stopPortableRuntime torna killed:false,
@@ -555,9 +555,9 @@ function killPidfile(p, signal = 'SIGTERM', impl = {}) {
     // morire (il difetto gia' visto sul campo che l'ingresso unico di
     // riavvio doveva chiudere); un ramo "legacy" permanente basato sulla sola
     // FORMA del meta (lasciava aperti per sempre restore da backup,
-    // corruzione e downgrade — l'auditor l'ha contestato); un marker
-    // controllato ma mai riprovato al kill (questo giro — R-pidfile-5:
-    // l'auditor ha dimostrato che una scrittura fallita in silenzio riapre
+    // corruzione e downgrade — la revisione l'ha contestata); un marker
+    // controllato ma mai riprovato al kill (da revisione:
+    // una scrittura fallita in silenzio riapre
     // lo stesso buco senza lasciare traccia).
     schemaMarker = (impl.claimSchemaMarkerImpl || claimSchemaMarker)(p);
     if (schemaMarker.state === 'created') {

package/lib/cli/service.js

@@ -407,7 +407,7 @@ function installCommands(platform, target, ctx) {
 }
 
 
-// --- Riconoscimento di PROPRIETA' (R28, audit rev2) -------------------------
+// --- Riconoscimento di PROPRIETA' (da revisione) -------------------------
 // La sanazione automatica riscrive una definizione solo se e' NOSTRA. La prima
 // versione cercava /nexuscrew/i nel contenuto: un unit di terzi che ci nomina
 // in un commento («Avviato dopo NexusCrew») veniva sovrascritto. La parola non
@@ -426,7 +426,7 @@ function installCommands(platform, target, ctx) {
 // dall'ancora: cosi' non possono divergere per costruzione, e il test guardia
 // diventa una seconda difesa invece dell'unica.
 //
-// R28, terzo giro (audit 2026-08-18): l'ancora linux era un PREFISSO
+// da revisione: l'ancora linux era un PREFISSO
 // (`/^Description=NexusCrew\b/`) e un servizio di terzi che comincia la sua
 // Description con il nostro nome — «NexusCrew-compatible proxy», «NexusCrew
 // fork by tizio» — veniva riconosciuto come nostro e sovrascritto. Il mac era

package/lib/cli/stable-alias.js

@@ -109,7 +109,7 @@ function resolveBootPaths({ nodeBin, entryPath, env = process.env, realpath } =
   };
 }
 
-// R28: il runner dell'aggiornamento puo' girare con un process.execPath gia'
+// da revisione: il runner dell'aggiornamento puo' girare con un process.execPath gia'
 // MORTO su disco — l'upgrade di node (Homebrew) unlinka il Cellar vecchio
 // mentre il processo resta in memoria, e npm reinstalla il pacchetto nel
 // prefix del node NUOVO. In quel caso resolveBootPaths scriverebbe il path

package/lib/files/routes.js

@@ -47,7 +47,7 @@ function filesRoutes({ cfg, sessionExists, paste, notifier, readonly = () => fal
       // pasteToSession). Il nome upload e' sanitizzato: se scatta, la causa e'
       // il filesRoot di configurazione (control char) o un path oltre i 4096
       // char. Rifiuto noto PRIMA di tmux: la PTY non va neanche tentata.
-      // 500, non 502 (rilievo audit su d6c47c6): qui il valle NON e' stato
+      // 500, non 502 (rilievo da revisione interna): qui il valle NON e' stato
       // contattato — a rifiutare siamo noi, per configurazione nostra. 502
       // affermerebbe «il servizio a monte non risponde» e sveglierebbe un
       // allarme su un tmux che sta benissimo. La coppia di codici e'
@@ -75,7 +75,7 @@ function filesRoutes({ cfg, sessionExists, paste, notifier, readonly = () => fal
   // nell'outbox della sessione mittente. Path sorgente fail-closed: stringa
   // assoluta, realpath ESISTENTE sotto HOME (i symlink si risolvono PRIMA del
   // check: un link che esce da HOME viene rifiutato), file regolare.
-  // F3 (audit): gated READONLY — la copia e' una scrittura su disco; il gate
+  // da revisione: gated READONLY — la copia e' una scrittura su disco; il gate
   // sta PRIMA di ogni altro check (nessun probe di sessione/path in READONLY).
   const bridgeReadonly = () => (cfg.readonlyDefault === true || process.env.NEXUSCREW_READONLY === '1');
   router.post('/outbox', express.json({ limit: '8kb' }), (req, res) => {

package/lib/fleet/builtin.js

@@ -188,7 +188,7 @@ function risolviEseguibile(nome) {
 function dirScrivibileDaTutti(file) {
   // Tutta la CATENA, non il solo genitore: con `/a` scrivibile da chiunque,
   // `/a/b/docker` resta sostituibile rinominando `b` — il binario e la sua
-  // directory immediata possono essere ineccepibili e il percorso no. Un audit
+  // directory immediata possono essere ineccepibili e il percorso no. Una revisione
   // ha riprodotto esattamente questo caso su un controllo fermo al genitore.
   //
   // Lo sticky bit interrompe la risalita per quel livello: li' il kernel
@@ -586,11 +586,11 @@ async function createBuiltinFleet(cfg = {}) {
   // passano il flag, quindi la suite esistente non vede endpoint lease aperti da up().
   const cellLeaseEnabled = cfg.cellLeaseEnabled === true;
 
-  // --- P1-2 (audit 3405df0): TUTTI i gate availability AVVENGONO PRIMA di creare
+  // --- da revisione interna: TUTTI i gate availability AVVENGONO PRIMA di creare
   // leaseManager/launchBroker e di leaseManager.boot(). leaseManager non esiste finche'
   // la Fleet non e' confermata disponibile, quindi NESSUN endpoint lease resta vivo su
   // un early return (off/blocked) finche' ogni gate resta sopra questa boundary.
-  // P2 (audit 2a05db2): questo e' un fatto contingente del ref corrente, NON una
+  // da revisione interna: questo e' un fatto contingente del ref corrente, NON una
   // garanzia anti-refactor. Un gate aggiunto DOPO la creazione del manager passerebbe
   // inosservato senza un controllo statico/mutation-sensitive: il commento non impedisce
   // un `return off` futuro oltre la boundary. La promessa vera e' limitata: oggi nessun
@@ -617,7 +617,7 @@ async function createBuiltinFleet(cfg = {}) {
   }
 
   if (!readonly()) {
-    // Audit 093, rilievo 3: lo snapshot della BASE si prende QUI, alla lettura
+    // da revisione (rilievo 3): lo snapshot della BASE si prende QUI, alla lettura
     // che ha prodotto `boot` — non con una rilettura dopo la migrazione. Il
     // vecchio `primaDelloScrivere` era una rilettura: una scrittura arrivata
     // DURANTE migrateLegacyTmuxSessions (una catena di chiamate tmux: finestra
@@ -694,8 +694,8 @@ async function createBuiltinFleet(cfg = {}) {
     // il canale lease del supervisore.
     ...(leaseManager ? {
       onLease: (socket, lease) => {
-        // P1-3 (reaudit dd38c83): attachInitial restituisce false se la
-        // persistenza del bind fallisce. F-B (audit 2a @ 142e272): ora il
+        // da revisione interna: attachInitial restituisce false se la
+        // persistenza del bind fallisce. da revisione interna: ora il
         // broker chiama onLease PRIMA di scrivere il payload. Il ritorno
         // ESPLICITO false (o la socket distrutta qui) comunica al broker di NON
         // consegnare il payload: il supervisore riceve la chiusura prima del

package/lib/fleet/catalogs/zai-responses.json

@@ -0,0 +1,82 @@
+{
+  "models": [
+    {
+      "slug": "glm-5.3",
+      "display_name": "glm-5.3",
+      "description": "Z.ai's latest flagship model",
+      "default_reasoning_level": "max",
+      "supported_reasoning_levels": [
+        {
+          "description": "Light reasoning",
+          "effort": "low"
+        },
+        {
+          "description": "Enhanced reasoning",
+          "effort": "high"
+        },
+        {
+          "description": "Deep reasoning",
+          "effort": "max"
+        }
+      ],
+      "shell_type": "shell_command",
+      "visibility": "list",
+      "supported_in_api": true,
+      "priority": 0,
+      "base_instructions": "",
+      "supports_reasoning_summaries": true,
+      "default_reasoning_summary": "none",
+      "support_verbosity": false,
+      "apply_patch_tool_type": "freeform",
+      "truncation_policy": {
+        "limit": 10000,
+        "mode": "bytes"
+      },
+      "supports_parallel_tool_calls": true,
+      "availability_nux": null,
+      "upgrade": null,
+      "default_verbosity": null,
+      "web_search_tool_type": "text",
+      "supports_image_detail_original": false
+    },
+    {
+      "slug": "glm-5.3-flash",
+      "display_name": "glm-5.3-flash",
+      "description": "Fast multimodal coding model",
+      "default_reasoning_level": "max",
+      "supported_reasoning_levels": [
+        {
+          "description": "Light reasoning",
+          "effort": "low"
+        },
+        {
+          "description": "Enhanced reasoning",
+          "effort": "high"
+        },
+        {
+          "description": "Deep reasoning",
+          "effort": "max"
+        }
+      ],
+      "shell_type": "shell_command",
+      "visibility": "list",
+      "supported_in_api": true,
+      "priority": 1,
+      "base_instructions": "",
+      "supports_reasoning_summaries": true,
+      "default_reasoning_summary": "none",
+      "support_verbosity": false,
+      "apply_patch_tool_type": "freeform",
+      "truncation_policy": {
+        "limit": 10000,
+        "mode": "bytes"
+      },
+      "supports_parallel_tool_calls": true,
+      "availability_nux": null,
+      "upgrade": null,
+      "default_verbosity": null,
+      "web_search_tool_type": "text_and_image",
+      "supports_image_detail_original": true
+    }
+  ]
+}

package/lib/fleet/cell-exec.js

@@ -19,7 +19,7 @@ const DEFAULT_SUPERVISE = Object.freeze({
   maxRapidRestarts: 8,
 });
 
-// F-B (audit 2a, correzione escalation): limite ESPLICITO fra SIGTERM e
+// da revisione (correzione escalation): limite ESPLICITO fra SIGTERM e
 // SIGKILL quando la lease e' persa (onLost, main()). Un figlio che ignora
 // SIGTERM non deve restare appeso a tempo indeterminato.
 const LEASE_LOST_KILL_ESCALATION_MS = 5000;
@@ -303,7 +303,7 @@ async function main(argv = process.argv.slice(2), seams = {}) {
   // inherit. Il proof (2b) vive nel lease-client, MAI nell'env del child.
   let generation = 0;
   let leaseCtl = null;
-  // F-B (audit 2a): current/stopping vivono QUI (prima del lease-client) perche'
+  // da revisione interna: current/stopping vivono QUI (prima del lease-client) perche'
   // la callback onLost qui sotto li riferisce dalla closure.
   let current = null; let stopping = false;
   if (payload.lease && leaseSocket && !leaseSocket.destroyed) {
@@ -315,7 +315,7 @@ async function main(argv = process.argv.slice(2), seams = {}) {
       // generation += 1). Passiamo un getter cosicche' il reconnect presenti
       // sempre la generation corrente, non 0 fisso (riconcilia :301 con :381).
       generation: () => generation,
-      // F-B (audit 2a @ 142e272): lease persa per tutta la grace senza un
+      // da revisione interna: lease persa per tutta la grace senza un
       // reconnect riuscito. Prima il lease-client desisteva in silenzio dopo
       // 60s e il child restava un orfano senza lease per tutta la sua vita.
       // Ora il supervisore viene avvisato: ferma il child (stopping + SIGTERM)
@@ -324,7 +324,7 @@ async function main(argv = process.argv.slice(2), seams = {}) {
       // Correzione (seconda riconsegna): un SOLO SIGTERM senza escalation
       // lascia appeso un child che lo ignora (misurato sul percorso reale:
       // {spawned:1, kills:['SIGTERM'], state:'pending'}) — l'orfano non NASCE
-      // piu' (F-B originale chiuso davvero), ma un figlio gia' vivo che non
+      // piu' (caso originale chiuso davvero), ma un figlio gia' vivo che non
       // collabora non muore. LEASE_LOST_KILL_ESCALATION_MS e' il limite
       // ESPLICITO, scritto qui: se il child non e' uscito entro questa
       // finestra dal SIGTERM, si passa a SIGKILL. `target` fissa il processo

package/lib/fleet/cell-lease-server.js

@@ -9,7 +9,7 @@
 // issuedAt+60s). Il proof supervisore arriva al detentore sul canale lease
 // (all'attach e a ogni refresh) e non transita mai nel child (R3.1.2 invariato).
 //
-// Storage per-cella (D1/D2): un file per cella in <run>/cell-leases/. Il
+// Storage per-cella (da revisione): un file per cella in <run>/cell-leases/. Il
 // refresh di una cella rilegge e riscrive SOLO il proprio file: scompare la
 // read-modify-write dell'intero store condiviso, la race su di essa e
 // l'amplificazione O(N^2) misurata in 2a (N letture + N scritture complete
@@ -51,7 +51,7 @@ function sanitizeCell(cellId) {
 const CELL_ID_RE = /^[A-Za-z0-9._-]{1,64}$/;
 function validCellId(cellId) { return typeof cellId === 'string' && CELL_ID_RE.test(cellId); }
 
-// F-A (audit 2a @ 142e272): il formato che il runtime produce per un'identity.
+// da revisione interna: il formato che il runtime produce per un'identity.
 // Condiviso da loadPersisted (primo ingresso, al boot) e track (secondo
 // ingresso): la validazione e' UNA, non due copie da tenere allineate.
 const EPOCH_RE = /^[a-f0-9]{16}$/;
@@ -112,7 +112,7 @@ function createLeaseManager(cfg = {}, seams = {}) {
   // IC1.1 (rev28, emendata da rev29): quando il proof nasce da un commit del
   // bound, issuedAt è DERIVATO da D (D − PROOF_TTL_MS), mai letto dal clock:
   // expiresAt = issuedAt + TTL è esattamente D, senza toccare verifyProof,
-  // KIND_FIELDS o wire (vincolo M6 dell'audit rev28).
+  // KIND_FIELDS o wire (vincolo della revisione).
   function issueLeaseProof(cellId, entry, lease, { issuedAt } = {}) {
     return signProof(ensureVerifier(), {
       kind: 'lease',
@@ -142,7 +142,7 @@ function createLeaseManager(cfg = {}, seams = {}) {
       throw e;
     }
     const obj = JSON.parse(raw);
-    // P1-1b: la FORMA del dato. La root deve essere l'entry attesa: plain-object
+    // da revisione: la FORMA del dato. La root deve essere l'entry attesa: plain-object
     // con i campi del formato per-cell. Qualunque altra cosa e' illeggibile.
     if (obj === null || typeof obj !== 'object' || Array.isArray(obj)) {
       throw new Error(`store lease: entry per-cella non e' un oggetto: ${sanitizeCell(cellId)}`);
@@ -211,7 +211,7 @@ function createLeaseManager(cfg = {}, seams = {}) {
     const prev = entry.graceDeadline;
     entry.graceDeadline = D;
     if (!persistEntry(cellId, entry)) {
-      entry.graceDeadline = prev; // rollback (P1-2b): nessun commit, nessun ACK
+      entry.graceDeadline = prev; // rollback (revisione): nessun commit, nessun ACK
       return null;
     }
     return { t, deadline: D, issuedAt: D - PROOF_TTL_MS };
@@ -242,7 +242,7 @@ function createLeaseManager(cfg = {}, seams = {}) {
   }
 
   function bindLiveSocket(cellId, entry, socket, { lease }) {
-    // P1-2b (audit 2a05db2): persiste il bound PRIMA di associare il socket. Se il
+    // da revisione interna: persiste il bound PRIMA di associare il socket. Se il
     // record non committa, rollback e ritorna false: il caller non dichiarera' lease.
     // Diverso da EOF (onEOF): li una write fallita lascia un bound ANTERIORE (fail-closed
     // anticipato, accettabile); qui il bind prometterebbe stato live senza commit durevole.
@@ -314,7 +314,7 @@ function createLeaseManager(cfg = {}, seams = {}) {
     socket.on('data', onData);
     socket.once('close', onEOF);
     socket.once('end', onEOF);
-    // Correzione (audit 2a, segnalazione precisata in revisione): questo E' il socket
+    // Correzione (da revisione, segnalazione precisata): questo E' il socket
     // su cui il server SCRIVE (l'ack di refresh — proprio dove l'EPIPE nasce se
     // il peer muore mentre la write e' in volo). Un EventEmitter che emette
     // 'error' senza listener fa un throw che termina l'INTERO processo — non
@@ -345,7 +345,7 @@ function createLeaseManager(cfg = {}, seams = {}) {
     socket.setEncoding('utf8');
     socket.on('data', onData);
     socket.once('close', () => { try { socket.destroy(); } catch (_) {} });
-    // Correzione (audit 2a): stesso motivo di bindLiveSocket — il server scrive
+    // Correzione (da revisione interna): stesso motivo di bindLiveSocket — il server scrive
     // 'deny' su questo socket (onData sopra, JSON malformato); senza un
     // handler 'error' un peer che muore mentre quella write e' in volo manda
     // in throw fatale l'intero processo. Se la connessione avanza a
@@ -448,7 +448,7 @@ function createLeaseManager(cfg = {}, seams = {}) {
     const server = netImpl.createServer((sock) => onStableConnection(cellId, sock));
     await new Promise((resolve, reject) => {
       server.once('error', reject);
-      // F-C (audit 2a @ 142e272): niente piu' set/restore di process.umask.
+      // da revisione interna: niente piu' set/restore di process.umask.
       // process.umask e' GLOBALE e la coppia set/restore non e' atomica: sotto
       // openEndpoint concorrenti il restore di uno ripristinava lo 0o177 appena
       // settato dall'altro e il processo restava driftato. La protezione e'
@@ -475,7 +475,7 @@ function createLeaseManager(cfg = {}, seams = {}) {
     return sp;
   }
 
-  // F-C (audit 2a @ 142e272): track() serializzato PER CELLA. Due track
+  // da revisione interna: track() serializzato PER CELLA. Due track
   // simultanei sulla stessa cella vedevano entrambi cells.get() vuoto, generavano
   // due identity divergenti e il perdente restava con un'identity inutile. La
   // catena per cellId fa attendere al secondo la fine del primo; poi
@@ -501,7 +501,7 @@ function createLeaseManager(cfg = {}, seams = {}) {
     // server NON si genera una nuova launchEpoch, perche' il supervisore vivo
     // reconnecta con quella originale (e il suo proof la porta firmata).
     const existing = cells.get(cellId);
-    // P1-2 (reaudit dd38c83): snapshot dell'entry preesistente prima di mutare
+    // da revisione interna: snapshot dell'entry preesistente prima di mutare
     // qualunque cosa. Se persistEntry fallisce su una cella gia' viva, il cleanup
     // deve ripristinare lo stato precedente, NON cancellarlo.
     const hadExisting = !!existing;
@@ -513,7 +513,7 @@ function createLeaseManager(cfg = {}, seams = {}) {
     } : null;
     // openEndpoint puo' aver creato un nuovo stableServer se l'entry non ne aveva uno.
     const serverBeforeOpen = existing ? existing.stableServer : null;
-    // F-A (audit 2a): il SECONDO INGRESSO valida come il primo. Un valore
+    // da revisione interna: il SECONDO INGRESSO valida come il primo. Un valore
     // persistito e' riusato SOLO se ha il formato che il runtime produce
     // (hex-16 l'epoch); malformato -> identity NUOVA generata, e la persistEntry
     // qui sotto la scrive, riparando la entry corrotta sul disco.
@@ -541,8 +541,8 @@ function createLeaseManager(cfg = {}, seams = {}) {
     await openEndpoint(cellId, entry);
     cells.set(cellId, entry);
     if (!persistEntry(cellId, entry)) {
-      // P1-2b: il record durevole (identity) e' essenziale per la recovery post-restart.
-      // P1-2 (reaudit dd38c83): se la cella era GIA' viva, NON cancellarla — ripristina
+      // da revisione: il record durevole (identity) e' essenziale per la recovery post-restart.
+      // da revisione interna: se la cella era GIA' viva, NON cancellarla — ripristina
       // lo stato precedente. Solo le risorse create in QUESTO tentativo vengono pulite.
       if (hadExisting) {
         entry.launchEpoch = existingSnapshot.launchEpoch;
@@ -590,7 +590,7 @@ function createLeaseManager(cfg = {}, seams = {}) {
   // payload il canale appartiene al protocollo del broker (frame length-
   // prefixed u32): una riga JSON scritta prima del payload corromperebbe la
   // lettura di receivePayload e il child non nascerebbe — misurato dal gate
-  // (lease-audit-2a-fixes, F-B positivo). Il proof supervisore arriva con
+  // (da revisione interna, esito positivo). Il proof supervisore arriva con
   // l'ACK del primo refresh, che il lease-client invia IMMEDIATAMENTE
   // all'avvio: la finestra attach->primo-ack senza proof detenuto e' fail-closed
   // (reconnect negato -> grace -> onLost), coerente col modello per cui nessun
@@ -628,7 +628,7 @@ function createLeaseManager(cfg = {}, seams = {}) {
         log(`cell-lease: loadPersisted entry '${cellId}' illeggibile, saltata: ${e && e.message}`);
         continue;
       }
-      // P1-4 (reaudit dd38c83): forma <> semantica. Il runtime produce launchEpoch
+      // da revisione interna: forma <> semantica. Il runtime produce launchEpoch
       // come hex di 16 char. Fail-closed: formato errato = entry saltata.
       if (!info || typeof info.launchEpoch !== 'string' || !EPOCH_RE.test(info.launchEpoch)) {
         log(`cell-lease: loadPersisted entry '${cellId}' malformata, saltata`);
@@ -640,7 +640,7 @@ function createLeaseManager(cfg = {}, seams = {}) {
       cells.set(cellId, {
         launchEpoch: info.launchEpoch,
         // IC8.5 (rev29): graceDeadline assente/illeggibile/non-intero = bound trattato come scaduto (0 -> deny sempre).
-        // P1-4: forma <> semantica — un bound oltre now()+2*GRACE_MS non e' producibile
+        // da revisione: forma <> semantica — un bound oltre now()+2*GRACE_MS non e' producibile
         // da questa fetta: trattato come scaduto (0). Tolleranza 2*GRACE_MS per un
         // restart durante la grace. Fail-closed: bound assurdo = scaduto.
         graceDeadline: (Number.isInteger(info.graceDeadline) && info.graceDeadline > 0