@mmmbuto/nexuscrew 0.9.5 → 0.9.6

package/lib/nodes/tunnel.js

@@ -732,8 +732,37 @@ function authorizedKeysLine({ remotePort, panelRemotePort, pub } = {}) {
 // Torna null se la privata non e' leggibile, e' protetta da passphrase (in
 // batch non si puo' sbloccare) o `ssh-keygen` non c'e': senza poterla derivare
 // non si compone nessuna riga.
-function readPublicKey(identityFile, impl = {}) {
-  if (!identityFile || typeof identityFile !== 'string') return null;
+// Esiti ENUMERATI della derivazione della pubblica (difetto strutturale
+// registrato dall'auditor: `null | stringa` comprimeva stati DIVERSI, e il
+// livello basso componeva frasi su fatti che non conosce — meta' della 0.9.5
+// e' nata li'). Gli esiti sono DATI, senza testo per l'utente: le frasi si
+// compongono al confine UI/log, mai qui. Si aggancia a P4: una chiave cifrata
+// dava `null`, indistinguibile da «file illeggibile», e il pairing ometteva
+// la riga in silenzio.
+//
+//   derived                 — pubblica derivata; `line` e' la riga
+//   no-identity             — identityFile dichiarata ma il file NON esiste
+//   actual-key-unknown      — identityFile non dichiarata: la chiave che ssh
+//                             usera' DAVVERO (default, agent, config) non e'
+//                             sapibile da qui; nessun altro canale ripara
+//   tool-unavailable        — ssh-keygen assente sulla macchina
+//   encrypted-or-unreadable — ssh-keygen non riesce sul file (cifrata,
+//                             permessi, formato) o l'output non e' una riga
+//                             pubblica valida
+const PUBKEY_DERIVED = 'derived';
+const PUBKEY_NO_IDENTITY = 'no-identity';
+const PUBKEY_ACTUAL_KEY_UNKNOWN = 'actual-key-unknown';
+const PUBKEY_TOOL_UNAVAILABLE = 'tool-unavailable';
+const PUBKEY_ENCRYPTED_OR_UNREADABLE = 'encrypted-or-unreadable';
+
+function resolvePublicKey(identityFile, impl = {}) {
+  if (!identityFile || typeof identityFile !== 'string' || identityFile.trim() === '') {
+    return { outcome: PUBKEY_ACTUAL_KEY_UNKNOWN };
+  }
+  const existsImpl = impl.existsSync || require('node:fs').existsSync;
+  if (!existsImpl(identityFile)) {
+    return { outcome: PUBKEY_NO_IDENTITY, path: identityFile };
+  }
   const exec = impl.execImpl || require('node:child_process').execFileSync;
   // Timeout iniettabile (test): il default 5000 ms e' la RETE, non il
   // meccanismo — il meccanismo e' l'ambiente controllato qui sotto.
@@ -757,7 +786,7 @@ function readPublicKey(identityFile, impl = {}) {
     // chiave cifrata (misurato: 0.11 s contro gli 8 s dell'attesa su tty) e
     // non puo' lasciare helper. Un path inesistente vince su /bin/false: su
     // Termux i binari stanno sotto $PREFIX, e un path assoluto sbagliato e'
-    // una scommessa.
+    // una scommessa; e non `setsid`, che su macOS non esiste.
     // LIMITE DA SAPERE: SSH_ASKPASS_REQUIRE esiste da OpenSSH 8.4. Le versioni
     // piu' vecchie lo ignorano e tornano al tty: li' il timeout qui sopra
     // resta come rete — il degrado e' «lento», non «appeso».
@@ -770,14 +799,32 @@ function readPublicKey(identityFile, impl = {}) {
         SSH_ASKPASS: path.join(process.env.HOME || os.homedir(), '.nexuscrew', 'askpass-inesistente'),
       },
     });
-  } catch (_) { return null; }   // assente, passphrase, privata illeggibile
+  } catch (e) {
+    // ENOENT dello SPAWN = il binario ssh-keygen non esiste: un'altra causa
+    // rispetto al file che non si deriva, e chi compone il messaggio deve
+    // poterle distinguere (prima erano lo stesso null).
+    if (e && e.code === 'ENOENT') return { outcome: PUBKEY_TOOL_UNAVAILABLE };
+    return { outcome: PUBKEY_ENCRYPTED_OR_UNREADABLE };
+  }
   const righe = String(out || '').split('\n').filter((r) => r.trim() !== '');
-  if (righe.length !== 1) return null;
+  if (righe.length !== 1) return { outcome: PUBKEY_ENCRYPTED_OR_UNREADABLE };
   const riga = righe[0].trim();
-  if (/[\u0000-\u0008\u000b-\u001f\u007f]/.test(riga)) return null;
+  if (riga.length === 0 || /[\u0000-\u0008\u000b-\u001f\u007f]/.test(riga)) {
+    return { outcome: PUBKEY_ENCRYPTED_OR_UNREADABLE };
+  }
   const campi = riga.split(/[ \t]+/);
-  if (campi.length < 2 || !/^[A-Za-z0-9+/]+={0,2}$/.test(campi[1])) return null;
-  return riga;
+  if (campi.length < 2 || !/^[A-Za-z0-9+/]+={0,2}$/.test(campi[1])) {
+    return { outcome: PUBKEY_ENCRYPTED_OR_UNREADABLE };
+  }
+  return { outcome: PUBKEY_DERIVED, line: riga };
+}
+
+// Contratto storico (supervisor e chiamanti esistenti): null | stringa.
+// Sopra resolvePublicKey per gli esiti enumerati; questo resta per chi
+// compone ancora sul contratto vecchio — il confine UI/log migrera'.
+function readPublicKey(identityFile, impl = {}) {
+  const r = resolvePublicKey(identityFile, impl);
+  return r.outcome === PUBKEY_DERIVED ? r.line : null;
 }
 
 // La riga per UN nodo, dal nodo. Sta qui e non nella route perche' la stessa
@@ -796,14 +843,21 @@ function readPublicKey(identityFile, impl = {}) {
 // provisionare un'identita' per peer — lavoro suo, non un ramo di questa
 // funzione.
 function authorizedKeysForNode(nodo, panelRemotePort) {
-  const pub = readPublicKey(nodo && nodo.identityFile);
-  if (!pub) return null;
-  return authorizedKeysLine({ remotePort: nodo.remotePort, panelRemotePort, pub });
+  // Esito enumerato, non piu' null|stringa: chi risponde (pairing) porta il
+  // DATO fino al confine, e li' — non qui — si compone cio' che si dice.
+  const r = resolvePublicKey(nodo && nodo.identityFile);
+  if (r.outcome !== PUBKEY_DERIVED) return { outcome: r.outcome, line: null };
+  return {
+    outcome: r.outcome,
+    line: authorizedKeysLine({ remotePort: nodo.remotePort, panelRemotePort, pub: r.line }),
+  };
 }
 
 module.exports = {
   SSH_BASE_OPTS,
-  authorizedKeysLine, readPublicKey, authorizedKeysForNode,
+  authorizedKeysLine, readPublicKey, resolvePublicKey, authorizedKeysForNode,
+  PUBKEY_DERIVED, PUBKEY_NO_IDENTITY, PUBKEY_ACTUAL_KEY_UNKNOWN,
+  PUBKEY_TOOL_UNAVAILABLE, PUBKEY_ENCRYPTED_OR_UNREADABLE,
   buildForwardArgs, buildReverseArgs, backoffDelay,
   tunnelDir, tunnelPidPath, tunnelLogPath, tunnelStatePath, readTunnelState,
   prepareTunnelDir, openTunnelLog,

package/lib/settings/pairing-coordinator.js

@@ -423,11 +423,17 @@ function createPairHandler(deps) {
       }
       send(res, 200, {
         paired: true, name: b.name, instanceId: joined.instanceId, transport: 'auto', health: { status: health.status },
-        ...(authorizedKeysPayload ? {
-          authorizedKeys: authorizedKeysPayload,
-          authorizedKeysNote: 'il peer ha un pannello sulla propria porta ' + peerPanelPort
-            + ': SOSTITUISCI la riga già installata in ~/.ssh/authorized_keys del NODO con questa (due destinazioni), altrimenti il canale del pannello sarà rifiutato. È la riga della chiave DICHIARATA per questo nodo (-i), non un\'eventuale chiave "jump" dello stesso nodo. Se ssh sceglie un\'altra identità (agent o config), la riga giusta è quella della chiave che usa davvero.',
+        ...(authorizedKeysPayload && authorizedKeysPayload.outcome === 'derived' ? {
+          authorizedKeys: authorizedKeysPayload.line,
+          // La nota si compone al confine UI/log (pubkey-format), non qui.
+          authorizedKeysNote: require('../nodes/pubkey-format.js')
+            .pubkeyPairingNote(authorizedKeysPayload, { panelPort: peerPanelPort }),
         } : {}),
+        // Esito enumerato come DATO (resolver a cinque esiti): prima una
+        // chiave cifrata era indistinguibile da «file illeggibile» e la riga
+        // spariva in silenzio. Il confine UI/log compone le frasi su questo;
+        // qui si porta il fatto, non il testo.
+        ...(authorizedKeysPayload ? { authorizedKeysOutcome: authorizedKeysPayload.outcome } : {}),
       });
     } catch (e) {
       await rollback();

package/lib/settings/routes.js

@@ -57,6 +57,7 @@ const {
 } = require('../proxy/federation.js');
 const { rotateToken } = require('../auth/token.js');
 const { generateService, installService, installPath: svcInstallPath } = require('../cli/service.js');
+const { resolveBootPaths } = require('../cli/stable-alias.js');
 const { detectPlatform, nodeBin, repoRoot, uid } = require('../cli/platform.js');
 const { isServiceRunning, readRoles, bootState } = require('../cli/commands.js');
 const { configJsonPath } = require('../config.js');
@@ -993,6 +994,15 @@ function settingsRoutes(deps = {}) {
         uid: seams.uid || uid(),
         installPath: seams.serviceInstallPath,
       };
+      // 1-bis (R23): come in init — il path del boot si risolve alla
+      // scrittura e cio' che non ha alias stabile torna DICHIARATO. Le
+      // warnings sono DATI nella risposta, non testo composto qui.
+      const svcBoot = resolveBootPaths({
+        nodeBin: ctx.nodeBin,
+        entryPath: path.join(ctx.repoRoot, 'bin', 'nexuscrew.js'),
+      });
+      ctx.nodeBin = svcBoot.nodeBin;
+      ctx.entryPath = svcBoot.entryPath;
       const content = generateService(platform, ctx);
       const out = installService(platform, content, ctx, { activate: false });
       send(res, 200, {
@@ -1000,6 +1010,7 @@ function settingsRoutes(deps = {}) {
         target: out.target,
         note: 'unit rigenerata; nessun restart automatico — riavvia il service per applicarla',
         skippedActivation: out.skippedActivation,
+        warnings: svcBoot.warnings,
       });
     } catch (e) { send(res, 500, { error: String(e.message || e) }); }
   });

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@mmmbuto/nexuscrew",
-  "version": "0.9.5",
+  "version": "0.9.6",
   "description": "Faithful browser tmux client — attach to live sessions over a real PTY, localhost-only, mobile-easy",
   "main": "lib/server.js",
   "bin": {