npm - @mmmbuto/nexuscrew - Versions diffs - 0.9.7 → 0.9.9 - Mend

@mmmbuto/nexuscrew 0.9.7 → 0.9.9

This diff represents the content of publicly available package versions that have been released to one of the supported registries. The information contained in this diff is provided for informational purposes only and reflects changes between package versions as they appear in their respective public registries.

Files changed (24) hide show

package/CHANGELOG.md +98 -0
package/frontend/dist/assets/index-CN02GYPg.css +32 -0
package/frontend/dist/assets/index-DlWa7GOd.js +93 -0
package/frontend/dist/index.html +2 -2
package/frontend/dist/version.json +1 -1
package/lib/audio/groups.js +17 -3
package/lib/cli/commands.js +32 -3
package/lib/cli/fleet-service.js +44 -2
package/lib/cli/pidfile.js +2 -2
package/lib/cli/service.js +49 -2
package/lib/cli/stable-alias.js +49 -0
package/lib/files/routes.js +35 -1
package/lib/fleet/cell-lease-server.js +1 -1
package/lib/fleet/managed.js +1 -1
package/lib/live-host/bridge.js +31 -5
package/lib/live-host/routes.js +1 -1
package/lib/notify/routes.js +23 -2
package/lib/server.js +5 -1
package/lib/settings/routes.js +11 -2
package/lib/update/manager.js +6 -0
package/lib/update/runner.js +244 -2
package/package.json +1 -1
package/frontend/dist/assets/index-DDAwkwKR.css +0 -32
package/frontend/dist/assets/index-YpDRVy-I.js +0 -93

package/frontend/dist/index.html CHANGED Viewed

@@ -11,8 +11,8 @@
   <meta name="apple-mobile-web-app-title" content="NexusCrew" />
   <link rel="manifest" href="/manifest.json" />
   <title>NexusCrew</title>
-  <script type="module" crossorigin src="/assets/index-YpDRVy-I.js"></script>
-  <link rel="stylesheet" crossorigin href="/assets/index-DDAwkwKR.css">
+  <script type="module" crossorigin src="/assets/index-DlWa7GOd.js"></script>
+  <link rel="stylesheet" crossorigin href="/assets/index-CN02GYPg.css">
 </head>
 <body>
   <div id="root"></div>

package/frontend/dist/version.json CHANGED Viewed

	@@ -1 +1 @@
1	- {"version":"0.9.7"}
1	+ {"version":"0.9.9"}

package/lib/audio/groups.js CHANGED Viewed

@@ -28,6 +28,20 @@ function emptyGroups() { return { schemaVersion: SCHEMA_VERSION, groups: {} }; }
 function validName(name) { return typeof name === 'string' && GROUP_NAME_RE.test(name); }
+// R31-A4: gli errori di VALIDAZIONE si distinguono per contratto (status 400 +
+// code chiuso), non per testo del messaggio. Prima erano Error generici
+// indistinguibili da quelli di I/O di atomicWrite (EACCES/ENOSPC/...), e la
+// route poteva separarli solo indovinando con un match sulla stringa — il
+// modo sbagliato, vietato qui. Gli errori fs restano nativi: portano il loro
+// errno in .code e NON hanno .status, così una scrittura fallita non può mai
+// essere scambiata per una validazione.
+function validationError(message, code) {
+  const err = new Error(message);
+  err.status = 400;
+  err.code = code;
+  return err;
+}
 function normalizeSpec(spec) {
   if (!spec || typeof spec !== 'object' || Array.isArray(spec)) return null;
   if (Object.keys(spec).some((key) => !['targets', 'mode'].includes(key))) return null;
@@ -96,9 +110,9 @@ function getGroup(cfg = {}, name, home) {
 }
 function saveGroup(cfg = {}, name, spec, home) {
-  if (!validName(name)) throw new Error('nome gruppo audio non valido');
+  if (!validName(name)) throw validationError('nome gruppo audio non valido', 'AUDIO_GROUP_NAME_INVALID');
   const normalized = normalizeSpec(spec);
-  if (!normalized) throw new Error('gruppo audio non valido');
+  if (!normalized) throw validationError('gruppo audio non valido', 'AUDIO_GROUP_SPEC_INVALID');
   const store = readGroups(cfg, home);
   store.groups[name] = normalized;
   atomicWrite(groupsPath(cfg, home), store);
@@ -106,7 +120,7 @@ function saveGroup(cfg = {}, name, spec, home) {
 }
 function removeGroup(cfg = {}, name, home) {
-  if (!validName(name)) throw new Error('nome gruppo audio non valido');
+  if (!validName(name)) throw validationError('nome gruppo audio non valido', 'AUDIO_GROUP_NAME_INVALID');
   const store = readGroups(cfg, home);
   if (!Object.prototype.hasOwnProperty.call(store.groups, name)) return false;
   delete store.groups[name];

package/lib/cli/commands.js CHANGED Viewed

@@ -973,7 +973,14 @@ function autoUpdateCommand(args, opts = {}) {
   });
 }
-// update: npm i -g @latest + restart se attivo. Fallimento npm -> messaggio chiaro, code 1.
+// update: npm i -g @latest + sanazione definizioni di boot + restart se attivo.
+// Fallimento npm -> messaggio chiaro, code 1.
+// R28-rimedio, difetto 1 (audit): la via manuale attraversa la STESSA
+// sanazione del runner (healBootDefinitions: rigenera le definizioni sul
+// node vivo e APPLICA l'attivazione differita). Prima update() reinstallava
+// e riavviava soltanto: chi aggiornava a mano con un node appena cambiato
+// (il caso reale di chi lancia update) ripartiva su path morti. Un solo
+// cervello per «reinstalla ⇒ sana le definizioni», non due.
 function update(opts = {}) {
   const execImpl = opts.execImpl || execFileSync;
   const log = opts.log || console.log;
@@ -988,18 +995,25 @@ function update(opts = {}) {
     return { updated: false, error: String(e && e.message ? e.message : e), code: 1 };
   }
   const running = isServiceRunning({ ...opts, platform });
+  // Best-effort come nel runner: un errore della sanazione non blocca
+  // l'aggiornamento, viene loggato e riportato nel risultato.
+  const healed = (opts.healBootImpl || require('../update/runner.js').healBootDefinitions)({
+    platform, home: opts.home, running, execImpl, log,
+    ...(opts.regenSeams || {}),
+    ...(opts.regenBootImpl ? { regenImpl: opts.regenBootImpl } : {}),
+  });
   if (running) {
     const restarted = (opts.restartImpl || restart)({ ...opts, platform, log });
     if (!restarted || restarted.restarted !== true) {
       const reason = (restarted && restarted.reason) || 'esito restart non verificato';
       log(`update: pacchetto installato ma restart fallito — ${reason}`);
-      return { updated: true, running, restarted: false, reason, code: 1 };
+      return { updated: true, running, restarted: false, reason, bootDefinitions: healed, code: 1 };
     }
     log('update: servizio riavviato sul nuovo codice');
   } else {
     log('update: servizio non attivo (nessun restart)');
   }
-  return { updated: true, running, restarted: running, code: 0 };
+  return { updated: true, running, restarted: running, bootDefinitions: healed, code: 0 };
 }
 // B4.3 — fleet-boot companion: avvia le celle boot:true del provider selezionato.
@@ -1288,6 +1302,21 @@ function dispatch(argv, opts = {}) {
   const { flags, rest } = parseFlags(argv, CLI_VALUE_FLAGS);
   const cmd = rest[0];
+  // R29 — help come flag, deciso qui e solo qui: dopo parseFlags `--help`
+  // finisce in flags e `-h` resta come posizionale dopo il sottocomando; in
+  // entrambi i casi il sottocomando NON deve essere eseguito. Prima di questa
+  // guardia `nexuscrew init --help` eseguiva init davvero: rigenerava i plist,
+  // riavviava il servizio e stampava in chiaro l'URL autenticato del pannello.
+  // Scelta dichiarata: i sottocomandi con un help dedicato (nodes/peers, la
+  // stessa costante NODES_HELP della gestione posizionale in dispatchNodes)
+  // mostrano quello; per tutti gli altri non esiste help per-comando, quindi
+  // si stampa l'HELP generale e si esce 0. La gestione posizionale esistente
+  // (`help`/`-h` come primo argomento, `nodes help`) resta dov'è.
+  if (flags.help === true || rest.slice(1).includes('-h')) {
+    log(cmd === 'nodes' || cmd === 'peers' ? NODES_HELP : HELP);
+    return { code: 0 };
+  }
   // help esplicito
   if (cmd === 'help' || cmd === '--help' || cmd === '-h') {
     log(HELP);

package/lib/cli/fleet-service.js CHANGED Viewed

@@ -57,7 +57,7 @@ function generateFleetLinux(opts) {
   const nodeDir = escapeSystemdPath(path.dirname(nodeBin));
   return `# NexusCrew fleet boot companion (systemd --user) - avvia le celle boot:true
 [Unit]
-Description=NexusCrew fleet boot companion (avvia le celle boot:true)
+${LINUX_FLEET_DESCRIPTION}
 After=network-online.target
 [Service]
@@ -117,7 +117,7 @@ function generateFleetTermux(opts) {
   const nodeQ = shellQuote(opts.nodeBin);
   const entryQ = shellQuote(opts.entryPath);
   return `#!/data/data/com.termux/files/usr/bin/sh
-# NexusCrew fleet boot companion (Termux) - avvia le celle boot:true
+${TERMUX_FLEET_HEADER}
 export PATH=/data/data/com.termux/files/usr/bin:$PATH
 export HOME=/data/data/com.termux/files/home
 export PREFIX=/data/data/com.termux/files/usr
@@ -238,12 +238,18 @@ function fleetInstallCommands(platform, target, ctx) {
 // Install no-symlink + atomic rename (come service.js). execImpl iniettabile per test;
 // default execFileSync (argv diretto, MAI shell string). Su activation fallita il file
 // e' PRESERVATO e le failure raccolte per diagnosi (M1: non si ingoia, non si rollback).
+// R28: `activate: false` (speculare a installService) scrive la definizione SENZA
+// toccare il service manager — per chi rigenera a meta' aggiornamento: il companion
+// e' RunAtLoad/oneshot, un bootstrap adesso eseguirebbe le celle boot:true mentre
+// il servizio principale sta per essere riavviato. I comandi saltati sono dichiarati
+// in skippedActivation, non taciti.
 function installFleetService(platform, content, ctx, {
   dryRun = false,
   execImpl = execFileSync,
   sleepImpl,
   launchdWaitAttempts,
   launchdWaitMs,
+  activate = true,
 } = {}) {
   const home = ctx.home || os.homedir();
   const target = ctx.installPath || fleetInstallPath(platform, home);
@@ -274,6 +280,14 @@ function installFleetService(platform, content, ctx, {
     throw e;
   }
+  if (!activate) {
+    const skipped = platform === 'mac'
+      ? [`launchctl bootout gui/${ctx.uid || uid()}/com.mmmbuto.nexuscrew-fleet`,
+        `launchctl bootstrap gui/${ctx.uid || uid()} ${target}`]
+      : fleetInstallCommands(platform, target, ctx).map(([bin, args]) => `${bin} ${args.join(' ')}`);
+    return { target, mode, written: true, failures: [], skippedActivation: skipped };
+  }
   // exec service manager — raccogli failure per diagnosi (NON ingoiare, M1)
   const failures = [];
   if (platform === 'mac') {
@@ -296,7 +310,35 @@ function installFleetService(platform, content, ctx, {
   return { target, mode, written: true, failures };
 }
+// Gemello di isOurService (service.js): stessa ragione, stessa disciplina —
+// l'ancora vive accanto al template della companion.
+// Stessa disciplina di service.js (R28, terzo giro): la riga identificativa e'
+// definita una volta e usata SIA dal template SIA dall'ancora, e l'ancora e' la
+// riga ESATTA — un prefisso lascia passare il servizio di terzi che comincia la
+// propria Description col nostro nome.
+const LINUX_FLEET_DESCRIPTION = 'Description=NexusCrew fleet boot companion (avvia le celle boot:true)';
+const TERMUX_FLEET_HEADER = '# NexusCrew fleet boot companion (Termux) - avvia le celle boot:true';
+function exactLine(line) {
+  const escaped = line.replace(/[.*+?^${}()|[\]\\]/g, '\\$&');
+  return new RegExp(`^${escaped}$`, 'm');
+}
+const OUR_FLEET_ANCHOR = Object.freeze({
+  linux: exactLine(LINUX_FLEET_DESCRIPTION),
+  mac: /^\s*<string>com\.mmmbuto\.nexuscrew-fleet<\/string>\s*$/m,
+  termux: exactLine(TERMUX_FLEET_HEADER),
+});
+function isOurFleetService(platform, content) {
+  const re = OUR_FLEET_ANCHOR[platform];
+  if (!re || typeof content !== 'string' || !content) return false;
+  return re.test(content);
+}
 module.exports = {
+  isOurFleetService, OUR_FLEET_ANCHOR,
   generateFleetService,
   generateFleetLinux,
   generateFleetMac,

package/lib/cli/pidfile.js CHANGED Viewed

@@ -72,7 +72,7 @@ function readProcessStart(pid) {
 }
 // Campi che SOLO writePidfile puo' scrivere: mai dal chiamante via `extra`.
-// Misurato (Dev, 2026-08-17): con lo spread di extra per ultimo,
+// Misurato (2026-08-17): con lo spread di extra per ultimo,
 // writePidfile(f, pid, cmd, {processStart:'FINTO', attestation:'unsupported'})
 // vinceva sul valore vero calcolato da probeProcessStart — un chiamante
 // poteva scrivere un'attestazione INVENTATA. safeExtra la filtra qui, e i
@@ -534,7 +534,7 @@ function killPidfile(p, signal = 'SIGTERM', impl = {}) {
     //                       scrivere qui, verificato nell'istante in cui
     //                       conta, non dedotto da uno passato. Si rifiuta.
     //
-    // MISURATO (Dev, 2026-08-17): trattare OGNI meta senza attestazione come
+    // MISURATO (2026-08-17): trattare OGNI meta senza attestazione come
     // indeterminate rompe l'aggiornamento automatico per ogni nodo il cui
     // runtime e' ancora precedente a quando processStart e' nato (8fe514f,
     // v0.9.0) — npm install sovrascrive pidfile.js PRIMA che il runner lo

package/lib/cli/service.js CHANGED Viewed

@@ -82,7 +82,7 @@ function generateLinux(ctx) {
   const nodeDir = escapeSystemdPath(path.dirname(ctx.nodeBin));
   return `# NexusCrew service (systemd --user, loopback, solo tunnel SSH/VPN)
 [Unit]
-Description=NexusCrew - browser tmux client (loopback, solo tunnel SSH/VPN)
+${LINUX_SERVICE_DESCRIPTION}
 Wants=network-online.target
 After=network-online.target
@@ -156,7 +156,7 @@ function generateTermux(ctx) {
   const nodeQ = shellQuote(ctx.nodeBin);
   const repoBinQ = shellQuote(serviceEntryPath(ctx));
   return `#!/data/data/com.termux/files/usr/bin/sh
-# NexusCrew boot (Termux) - loopback, localhost del telefono
+${TERMUX_SERVICE_HEADER}
 export PATH=/data/data/com.termux/files/usr/bin:$PATH
 export HOME=/data/data/com.termux/files/home
 export PREFIX=/data/data/com.termux/files/usr
@@ -406,7 +406,54 @@ function installCommands(platform, target, ctx) {
   return [];
 }
+// --- Riconoscimento di PROPRIETA' (R28, audit rev2) -------------------------
+// La sanazione automatica riscrive una definizione solo se e' NOSTRA. La prima
+// versione cercava /nexuscrew/i nel contenuto: un unit di terzi che ci nomina
+// in un commento («Avviato dopo NexusCrew») veniva sovrascritto. La parola non
+// e' un titolo di proprieta'.
+//
+// L'ancora e' STRUTTURALE e sta ACCANTO al template che la produce, cosi' non
+// possono divergere: chi cambia il template e non l'ancora fa diventare rosso
+// il test che genera e riconosce (tests/npm-updater.test.js), invece di
+// scoprirlo sul campo con una sanazione che smette di funzionare.
+//   - systemd : il valore di Description= COMINCIA con «NexusCrew» (un terzo
+//               descrive se' stesso, non noi) — riga intera, non sottostringa.
+//   - launchd : il Label e' esattamente il nostro reverse-DNS. Usarlo sarebbe
+//               impersonazione, non coincidenza.
+//   - termux  : la prima riga di commento del nostro script di boot.
+// Le righe identificative sono definite QUI e usate SIA dal template SIA
+// dall'ancora: cosi' non possono divergere per costruzione, e il test guardia
+// diventa una seconda difesa invece dell'unica.
+//
+// R28, terzo giro (audit 2026-08-18): l'ancora linux era un PREFISSO
+// (`/^Description=NexusCrew\b/`) e un servizio di terzi che comincia la sua
+// Description con il nostro nome — «NexusCrew-compatible proxy», «NexusCrew
+// fork by tizio» — veniva riconosciuto come nostro e sovrascritto. Il mac era
+// gia' esatto (il Label reverse-DNS completo non e' una coincidenza, e' una
+// impersonazione): stesso standard ovunque, ancora = RIGA ESATTA.
+const LINUX_SERVICE_DESCRIPTION = 'Description=NexusCrew - browser tmux client (loopback, solo tunnel SSH/VPN)';
+const TERMUX_SERVICE_HEADER = '# NexusCrew boot (Termux) - loopback, localhost del telefono';
+function exactLine(line) {
+  const escaped = line.replace(/[.*+?^${}()|[\]\\]/g, '\\$&');
+  return new RegExp(`^${escaped}$`, 'm');
+}
+const OUR_SERVICE_ANCHOR = Object.freeze({
+  linux: exactLine(LINUX_SERVICE_DESCRIPTION),
+  mac: /^\s*<string>com\.mmmbuto\.nexuscrew<\/string>\s*$/m,
+  termux: exactLine(TERMUX_SERVICE_HEADER),
+});
+function isOurService(platform, content) {
+  const re = OUR_SERVICE_ANCHOR[platform];
+  if (!re || typeof content !== 'string' || !content) return false;
+  return re.test(content);
+}
 module.exports = {
+  isOurService, OUR_SERVICE_ANCHOR,
   generateService, generateLinux, generateMac, generateTermux,
   installService, installPath, installCommands, fileMode,
   ensureLinuxTmuxSurvival, linuxTmuxSurvivalPath, LINUX_TMUX_SURVIVAL_DROPIN,

package/lib/cli/stable-alias.js CHANGED Viewed

@@ -109,9 +109,58 @@ function resolveBootPaths({ nodeBin, entryPath, env = process.env, realpath } =
   };
 }
+// R28: il runner dell'aggiornamento puo' girare con un process.execPath gia'
+// MORTO su disco — l'upgrade di node (Homebrew) unlinka il Cellar vecchio
+// mentre il processo resta in memoria, e npm reinstalla il pacchetto nel
+// prefix del node NUOVO. In quel caso resolveBootPaths scriverebbe il path
+// morto: il suo criterio e' «alias che realpath allo STESSO file», e un file
+// morto non e' lo stesso file di nessuno. Il criterio qui e' diverso e
+// dichiarato: un path VIVO — l'alias stabile dello stesso file quando
+// l'attuale vive (R23 intatto), altrimenti il primo candidato stabile che
+// ESISTE, con la dichiarazione; se non c'e' niente di vivo, il path resta e
+// la dichiarazione dice di rilanciare init. `env`, `realpath` e `exists`
+// iniettabili per test.
+function resolveLiveBootPaths({ nodeBin, entryPath, env = process.env, realpath, exists } = {}) {
+  const realpathImpl = typeof realpath === 'function' ? realpath : fs.realpathSync;
+  const existsImpl = typeof exists === 'function' ? exists : fs.existsSync;
+  const warnings = [];
+  const revive = (current, candidates, what) => {
+    try {
+      realpathImpl(current);
+      return null; // vivo: decide il criterio R23 di resolveBootPaths
+    } catch (_) { /* morto su disco: cerca una alternativa viva */ }
+    for (const candidate of Array.isArray(candidates) ? candidates : []) {
+      if (existsImpl(candidate)) {
+        warnings.push(
+          `${what} ${current} non esiste piu' su disco; la definizione rigenerata punta al primo percorso stabile vivo ${candidate}`,
+        );
+        return candidate;
+      }
+    }
+    warnings.push(
+      `${what} ${current} non esiste piu' su disco e nessun percorso stabile e' installato; la definizione resta puntata lì — rilancia nexuscrew init`,
+    );
+    return current;
+  };
+  const revivedNode = revive(nodeBin, nodeAliasCandidates(env), 'il node del servizio');
+  const revivedEntry = revive(entryPath, entryAliasCandidates(entryPath, env), "l'entry del servizio");
+  const boot = resolveBootPaths({
+    nodeBin: revivedNode || nodeBin,
+    entryPath: revivedEntry || entryPath,
+    env,
+    realpath: realpathImpl,
+  });
+  return {
+    nodeBin: boot.nodeBin,
+    entryPath: boot.entryPath,
+    warnings: [...warnings, ...boot.warnings],
+  };
+}
 module.exports = {
   nodeAliasCandidates,
   entryAliasCandidates,
   resolveStableAlias,
   resolveBootPaths,
+  resolveLiveBootPaths,
 };

package/lib/files/routes.js CHANGED Viewed

@@ -6,6 +6,7 @@ const express = require('express');
 const { Router } = require('express');
 const multer = require('multer');
 const store = require('./store.js');
+const { pasteArgs } = require('../tmux/actions.js');
 // Router file-exchange. Nessuno stato: tutto deriva da cfg + filesystem.
 // notifier (opzionale, MCP bridge): emette la notify di consegna file outbox.
@@ -32,7 +33,40 @@ function filesRoutes({ cfg, sessionExists, paste, notifier, readonly = () => fal
       // paste=false (tasto allegati del composer): il client appende il path al
       // testo del composer — niente scrittura PTY. Default = incolla (FilesPanel).
       const wantPaste = String((req.body && req.body.paste) || '') !== 'false';
-      const pasted = wantPaste ? await paste(session, saved.path) : false;
+      // R31-A2: paste RICHIESTO ma non riuscito non e' un 200 con pasted:false —
+      // tre cause collassavano in quell'unica etichetta muta (non richiesto /
+      // tmux non ha ricevuto / testo respinto) e nessuno, risposta o UI, poteva
+      // accorgersene. Il vocabolario e' quello del ramo answer degli ask
+      // (lib/notify/routes.js): «paste fallito» si dice non-200 + error, col
+      // codice che nomina il soggetto giusto (502 valle raggiunto, 500 rifiuto
+      // nostro). Il file resta nella risposta: e' salvato in inbox, e' la
+      // consegna alla PTY che non e' avvenuta — la causa vera va detta, non
+      // nascosta dietro un OK.
+      if (!wantPaste) return res.json({ ...saved, pasted: false });
+      // Testo respinto a monte: pasteArgs e' la FONTE UNICA del rifiuto (la usa
+      // pasteToSession). Il nome upload e' sanitizzato: se scatta, la causa e'
+      // il filesRoot di configurazione (control char) o un path oltre i 4096
+      // char. Rifiuto noto PRIMA di tmux: la PTY non va neanche tentata.
+      // 500, non 502 (rilievo audit su d6c47c6): qui il valle NON e' stato
+      // contattato — a rifiutare siamo noi, per configurazione nostra. 502
+      // affermerebbe «il servizio a monte non risponde» e sveglierebbe un
+      // allarme su un tmux che sta benissimo. La coppia di codici e'
+      // informazione: 502 = raggiunto ma non ha preso; 500 = mai tentato.
+      if (!pasteArgs(session, saved.path)) {
+        return res.status(500).json({
+          error: 'paste fallito: path non incollabile (control char o oltre 4096 char)',
+          ...saved,
+          pasted: false,
+        });
+      }
+      const pasted = await paste(session, saved.path);
+      if (!pasted) {
+        return res.status(502).json({
+          error: `paste fallito: sessione "${session}" non raggiungibile`,
+          ...saved,
+          pasted: false,
+        });
+      }
       res.json({ ...saved, pasted });
     });
   });

package/lib/fleet/cell-lease-server.js CHANGED Viewed

@@ -264,7 +264,7 @@ function createLeaseManager(cfg = {}, seams = {}) {
     socket.on('data', onData);
     socket.once('close', onEOF);
     socket.once('end', onEOF);
-    // Correzione (audit 2a, segnalazione precisata da Dev): questo E' il socket
+    // Correzione (audit 2a, segnalazione precisata in revisione): questo E' il socket
     // su cui il server SCRIVE (l'ack di refresh — proprio dove l'EPIPE nasce se
     // il peer muore mentre la write e' in volo). Un EventEmitter che emette
     // 'error' senza listener fa un throw che termina l'INTERO processo — non

package/lib/fleet/managed.js CHANGED Viewed

@@ -325,7 +325,7 @@ const CATALOG = Object.freeze([
   // default 'standard'; unsafe -> --always-approve (flag reale di `grok`).
   { id: 'grok.native', client: 'grok', provider: 'native', label: 'Grok account (CLI login)', auth: 'login', protocol: 'grok_native', core: true },
-  // VL/Vivling (~/Dev/20_ai-labs/vl): runtime TUI locale. Auth propria del
+  // VL/Vivling (repository `vl`): runtime TUI locale. Auth propria del
   // runtime (default local Ollama, o VL_API_KEY/--profile in config.toml):
   // NexusCrew non legge ne' copia credenziali (auth 'none'). Il CLI non ha flag
   // prompt, --model ne' di approvazione (`vl [OPTIONS]`): lancia la TUI senza

package/lib/live-host/bridge.js CHANGED Viewed

@@ -71,7 +71,7 @@ const CLIENT_NAME = 'nexuscrew-live-bridge';
 // ponte, che e' gia' stata data.
 const ORPHAN_GRACE_MS = 1500;
-// —— Prompt per-cella (rev4 LC2, nome fisso confermato da Dev 2026-08-15) ——
+// —— Prompt per-cella (rev4 LC2, nome fisso confermato il 2026-08-15) ——
 // Collocazione: filesRoot/<tmuxSession>/LIVE_PROMPT.md — la sessione tmux
 // ESATTA che il roster dichiara per la cella designata, la stessa fonte gia'
 // usata per l'intestazione R2 (identityHeader). NON un prefisso ricostruito a
@@ -126,13 +126,39 @@ function readCellPrompt(filesRoot, tmuxSession) {
 // di identità — è esattamente il difetto visto sul campo (la voce andava a
 // leggere tmux per capire dove si trovava).
 //
+// R30 (v2, 2026-08-19): l'intestazione dice anche COME raggiungere i tool
+// NexusCrew. Il daemon app-server espone UN solo insieme di server MCP a
+// tutte le Live, con l'ambiente del daemon: nexuscrew è l'unico che prende
+// l'identità dall'ambiente ereditato, quindi i suoi tool con sessione
+// resterebbero fail-closed (nc_identity: MISSING). La via d'uscita ce l'ha
+// il ponte: il nome esatto della sessione, che il server MCP accetta da
+// NEXUSCREW_MCP_SESSION via stdio. Il valore NON si mette in systemd
+// Environment= (una identità statica condivisa = impersonare una cella
+// fissa, demolito in audit v1): lo dice l'intestazione, per-cella.
+//
 // Il fatto, niente di più: quale cella (id Fleet) e, se il roster la dichiara,
 // la sessione tmux esatta — quella con cui la voce raggiunge i canonici della
-// cella in ~/NexusFiles/<tmuxSession>/. Non un'instruzione di lavoro: quelle
-// vivono nel prompt per-cella, che questa intestazione PRECEDE sempre.
+// cella in ~/NexusFiles/<tmuxSession>/ — e la via ai tool per quella sessione.
+// Restano qui FUORI le istruzioni di lavoro: quelle vivono nel prompt
+// per-cella, che questa intestazione PRECEDE sempre.
+//
+// Senza tmuxSession dichiarata non c'è identità possibile: il testo lo DICE,
+// non suggerisce un comando che fallirebbe comunque (e una sessione indovinata
+// sarebbe l'identità di un'altra cella).
 function identityHeader(cellId, tmuxSession) {
-  const sessione = tmuxSession ? ` (sessione tmux ${tmuxSession})` : '';
-  return `Live NexusCrew agganciata alla cella ${cellId}${sessione}.`;
+  if (!tmuxSession) {
+    return `Live NexusCrew agganciata alla cella ${cellId}. `
+      + 'Il roster non dichiara una sessione tmux per questa cella: senza sessione '
+      + 'non c\'è identità, quindi i tool NexusCrew che la richiedono non sono '
+      + 'raggiungibili da questa Live.';
+  }
+  return `Live NexusCrew agganciata alla cella ${cellId} (sessione tmux ${tmuxSession}). `
+    + 'Questa Live eredita l\'ambiente del daemon, condiviso fra tutte le Live e senza identità: '
+    + 'i tool NexusCrew che richiedono la sessione restano chiusi finché non li chiami con la tua. '
+    + 'Per usarli avvia il server MCP NexusCrew via stdio con la sessione di questa cella '
+    + `nell'ambiente — NEXUSCREW_MCP_SESSION=${tmuxSession} nexuscrew mcp — e parlagli `
+    + 'JSON-RPC su stdin (initialize, notifications/initialized, tools/call). '
+    + `Il valore esatto per questa conversazione è ${tmuxSession}: mai un'altra sessione.`;
 }
 // —— Client on-demand del socket di controllo (sezione protocollo sopra) ——

package/lib/live-host/routes.js CHANGED Viewed

@@ -39,7 +39,7 @@ function isActive(cell) {
   return !!(cell && cell.active === true && cell.tmux !== false);
 }
-// --- Seam lease↔designazione (2026-08-15, decisione di Dev: grace = false) -----
+// --- Seam lease↔designazione (2026-08-15, decisione presa in revisione: grace = false) -----
 //
 // L'idoneita' dell'host designato non e' piu' solo «sessione tmux viva»: con
 // remain-on-exit la sessione sopravvive alla morte del supervisore, e la

package/lib/notify/routes.js CHANGED Viewed

@@ -186,7 +186,14 @@ function notifyRoutes({
           originNode: resolved.origin.node,
           originCell: resolved.origin.cell,
         });
-        return res.json({ status: 'delivered', delivered });
+        // R31-A3: lo status e' DERIVATO dai conteggi, non dichiarato a parte.
+        // `emit` e' best-effort — push fallito → 0, `ui` conta i write SSE
+        // riusciti — e il dispatcher propaga SOLO l'etichetta (i conteggi
+        // muoiono in forward(), rilievo R1/rc.14): per la cella mittente e'
+        // tutta l'informazione. Non puo' affermare una consegna che i conteggi
+        // smentiscono: zero canali raggiunti → 'no-delivery'.
+        const status = delivered.ui + delivered.push > 0 ? 'delivered' : 'no-delivery';
+        return res.json({ status, delivered });
       }
       // --- target remoto: instrada, non consegnare qui -----------------------
@@ -316,7 +323,21 @@ function notifyRoutes({
       // Validazione del testo PRIMA del claim: nessun claim da rilasciare su 400.
       const raw = req.body && req.body.text;
       if (typeof raw !== 'string') return res.status(400).json({ error: 'text deve essere una stringa' });
-      const text = sanitizePasteText(raw).slice(0, MAX_ANSWER);
+      // R27: oltre il tetto si RIFIUTA, non si tronca. I due tetti vicini in casa
+      // (title/body della notifica, nc_send_cell) rifiutano da sempre; qui invece
+      // la textarea non ha limite, la route troncava a MAX_ANSWER e rispondeva
+      // {answered:true}: l'operatore incollava una config e la cella riceveva la
+      // meta' senza marcatore. Il tetto si misura DOPO la sanificazione: conta
+      // il testo che arriva alla cella, non quello digitato.
+      const sanitized = sanitizePasteText(raw);
+      // La lunghezza misurata ENTRA nel messaggio: la route la conosce, e senza
+      // di essa chi ha incollato 12000 caratteri sa che c'e' un tetto ma non di
+      // quanto deve tagliare. Dirti che hai sbagliato senza dirti di quanto e'
+      // la stessa meta' di difetto che R27 corregge altrove.
+      if (sanitized.length > MAX_ANSWER) {
+        return res.status(400).json({ error: `text troppo lungo: ${sanitized.length} caratteri, il massimo e' ${MAX_ANSWER}` });
+      }
+      const text = sanitized;
       if (!text && asks.get(id)) return res.status(400).json({ error: 'text vuoto dopo la sanificazione' });
       const claim = asks.claim(id);
       if (!claim.ok) {

package/lib/server.js CHANGED Viewed

@@ -864,7 +864,11 @@ function createServer(opts = {}) {
       peers: federatedPeers,
       localPort: () => (server && server.address() ? server.address().port : cfg.port),
       localToken: () => tokenHolder.value,
-      statuses: new Set(['delivered', 'refused', 'unreachable', 'unknown']),
+      // 'no-delivery' (R31-A3): esito legittimo del target — richiesta accettata
+      // ma nessun canale raggiunto (0 UI, 0 push). Senza questa voce forward()
+      // lo degraderebbe a 'unknown/unreadable-endpoint-result', nascondendo
+      // proprio il silenzio che l'esito esiste per rivelare.
+      statuses: new Set(['delivered', 'no-delivery', 'refused', 'unreachable', 'unknown']),
     }),
     federatedRate: createSpeakRateLimiter(),
   }));

package/lib/settings/routes.js CHANGED Viewed

@@ -928,13 +928,22 @@ function settingsRoutes(deps = {}) {
       return send(res, 400, { error: 'body non valido: attesi targets e mode' });
     }
     try { return send(res, 200, { group: audioGroups.saveGroup(audioCfg, String(req.params.name || ''), body, home) }); }
-    catch (_) { return send(res, 400, { error: 'gruppo audio non valido' }); }
+    // R31-A4: il catch nudo raccontava QUALUNQUE errore come «gruppo non
+    // valido» (400): un EACCES/ENOSPC sulla scrittura di audio-groups.json
+    // finiva letto come colpa del nome. La validazione arriva dal modulo con
+    // status 400 + code chiuso; tutto il resto — scrittura fallita compresa —
+    // è 500 con la causa vera (scrubError ripulisce i path). Stessa formula
+    // delle route settings sopra.
+    catch (e) { return send(res, e.status || 500, { error: scrubError(e), ...(e.code ? { code: e.code } : {}) }); }
   });
   r.delete('/audio/groups/:name', mutGate, (req, res) => {
     try {
       const removed = audioGroups.removeGroup(audioCfg, String(req.params.name || ''), home);
       return removed ? send(res, 200, { removed: true }) : send(res, 404, { error: 'gruppo audio non trovato' });
-    } catch (_) { return send(res, 400, { error: 'nome gruppo audio non valido' }); }
+    } catch (e) {
+      // R31-A4: come PUT sopra — vedi il commento lì.
+      return send(res, e.status || 500, { error: scrubError(e), ...(e.code ? { code: e.code } : {}) });
+    }
   });
   // Viewer-local aliases for routed nodes. These routes are local-only and do

package/lib/update/manager.js CHANGED Viewed

@@ -100,6 +100,12 @@ function createNpmUpdater(opts = {}) {
       supported, enabled, current: currentVersion,
       phase: state.phase || 'idle', latest: state.latest || '',
       available: state.available === true && isNewer(state.latest, currentVersion),
+      // R31: `idle` di DEFAULT (stato mai scritto) e `idle` DOPO un check
+      // senza novita' coincidono — e la UI narrava «aggiornato» in entrambi.
+      // `checked` deriva da lastCheckedAt, che viene scritto a OGNI check
+      // (riuscito o fallito): chi legge distingue «mai controllato» (ignoranza)
+      // da «controllato, nessuna novita'» (buona notizia saputa).
+      checked: !!state.lastCheckedAt,
       lastCheckedAt: state.lastCheckedAt || '', lastUpdatedAt: state.lastUpdatedAt || '',
       lastError: state.lastError || '', blockedVersion: state.blockedVersion || '',
     };