npm - @mmmbuto/nexuscrew - Versions diffs - 0.9.8 → 0.9.10 - Mend

@mmmbuto/nexuscrew 0.9.8 → 0.9.10

This diff represents the content of publicly available package versions that have been released to one of the supported registries. The information contained in this diff is provided for informational purposes only and reflects changes between package versions as they appear in their respective public registries.

Files changed (19) hide show

package/CHANGELOG.md +141 -0
package/frontend/dist/assets/index-CIJoChF1.css +32 -0
package/frontend/dist/assets/index-DBGNS4gP.js +93 -0
package/frontend/dist/index.html +2 -2
package/frontend/dist/version.json +1 -1
package/lib/audio/groups.js +17 -3
package/lib/cli/pidfile.js +2 -2
package/lib/files/routes.js +35 -1
package/lib/fleet/cell-lease-server.js +1 -1
package/lib/fleet/managed.js +1 -1
package/lib/fleet/routes.js +5 -0
package/lib/live-host/bridge.js +31 -5
package/lib/live-host/routes.js +1 -1
package/lib/notify/routes.js +8 -1
package/lib/server.js +5 -1
package/lib/settings/routes.js +11 -2
package/package.json +1 -1
package/frontend/dist/assets/index-C2A08iwn.js +0 -93
package/frontend/dist/assets/index-CM1TECdp.css +0 -32

package/frontend/dist/index.html CHANGED Viewed

@@ -11,8 +11,8 @@
   <meta name="apple-mobile-web-app-title" content="NexusCrew" />
   <link rel="manifest" href="/manifest.json" />
   <title>NexusCrew</title>
-  <script type="module" crossorigin src="/assets/index-C2A08iwn.js"></script>
-  <link rel="stylesheet" crossorigin href="/assets/index-CM1TECdp.css">
+  <script type="module" crossorigin src="/assets/index-DBGNS4gP.js"></script>
+  <link rel="stylesheet" crossorigin href="/assets/index-CIJoChF1.css">
 </head>
 <body>
   <div id="root"></div>

package/frontend/dist/version.json CHANGED Viewed

	@@ -1 +1 @@
1	- {"version":"0.9.8"}
1	+ {"version":"0.9.10"}

package/lib/audio/groups.js CHANGED Viewed

@@ -28,6 +28,20 @@ function emptyGroups() { return { schemaVersion: SCHEMA_VERSION, groups: {} }; }
 function validName(name) { return typeof name === 'string' && GROUP_NAME_RE.test(name); }
+// R31-A4: gli errori di VALIDAZIONE si distinguono per contratto (status 400 +
+// code chiuso), non per testo del messaggio. Prima erano Error generici
+// indistinguibili da quelli di I/O di atomicWrite (EACCES/ENOSPC/...), e la
+// route poteva separarli solo indovinando con un match sulla stringa — il
+// modo sbagliato, vietato qui. Gli errori fs restano nativi: portano il loro
+// errno in .code e NON hanno .status, così una scrittura fallita non può mai
+// essere scambiata per una validazione.
+function validationError(message, code) {
+  const err = new Error(message);
+  err.status = 400;
+  err.code = code;
+  return err;
+}
 function normalizeSpec(spec) {
   if (!spec || typeof spec !== 'object' || Array.isArray(spec)) return null;
   if (Object.keys(spec).some((key) => !['targets', 'mode'].includes(key))) return null;
@@ -96,9 +110,9 @@ function getGroup(cfg = {}, name, home) {
 }
 function saveGroup(cfg = {}, name, spec, home) {
-  if (!validName(name)) throw new Error('nome gruppo audio non valido');
+  if (!validName(name)) throw validationError('nome gruppo audio non valido', 'AUDIO_GROUP_NAME_INVALID');
   const normalized = normalizeSpec(spec);
-  if (!normalized) throw new Error('gruppo audio non valido');
+  if (!normalized) throw validationError('gruppo audio non valido', 'AUDIO_GROUP_SPEC_INVALID');
   const store = readGroups(cfg, home);
   store.groups[name] = normalized;
   atomicWrite(groupsPath(cfg, home), store);
@@ -106,7 +120,7 @@ function saveGroup(cfg = {}, name, spec, home) {
 }
 function removeGroup(cfg = {}, name, home) {
-  if (!validName(name)) throw new Error('nome gruppo audio non valido');
+  if (!validName(name)) throw validationError('nome gruppo audio non valido', 'AUDIO_GROUP_NAME_INVALID');
   const store = readGroups(cfg, home);
   if (!Object.prototype.hasOwnProperty.call(store.groups, name)) return false;
   delete store.groups[name];

package/lib/cli/pidfile.js CHANGED Viewed

@@ -72,7 +72,7 @@ function readProcessStart(pid) {
 }
 // Campi che SOLO writePidfile puo' scrivere: mai dal chiamante via `extra`.
-// Misurato (Dev, 2026-08-17): con lo spread di extra per ultimo,
+// Misurato (2026-08-17): con lo spread di extra per ultimo,
 // writePidfile(f, pid, cmd, {processStart:'FINTO', attestation:'unsupported'})
 // vinceva sul valore vero calcolato da probeProcessStart — un chiamante
 // poteva scrivere un'attestazione INVENTATA. safeExtra la filtra qui, e i
@@ -534,7 +534,7 @@ function killPidfile(p, signal = 'SIGTERM', impl = {}) {
     //                       scrivere qui, verificato nell'istante in cui
     //                       conta, non dedotto da uno passato. Si rifiuta.
     //
-    // MISURATO (Dev, 2026-08-17): trattare OGNI meta senza attestazione come
+    // MISURATO (2026-08-17): trattare OGNI meta senza attestazione come
     // indeterminate rompe l'aggiornamento automatico per ogni nodo il cui
     // runtime e' ancora precedente a quando processStart e' nato (8fe514f,
     // v0.9.0) — npm install sovrascrive pidfile.js PRIMA che il runner lo

package/lib/files/routes.js CHANGED Viewed

@@ -6,6 +6,7 @@ const express = require('express');
 const { Router } = require('express');
 const multer = require('multer');
 const store = require('./store.js');
+const { pasteArgs } = require('../tmux/actions.js');
 // Router file-exchange. Nessuno stato: tutto deriva da cfg + filesystem.
 // notifier (opzionale, MCP bridge): emette la notify di consegna file outbox.
@@ -32,7 +33,40 @@ function filesRoutes({ cfg, sessionExists, paste, notifier, readonly = () => fal
       // paste=false (tasto allegati del composer): il client appende il path al
       // testo del composer — niente scrittura PTY. Default = incolla (FilesPanel).
       const wantPaste = String((req.body && req.body.paste) || '') !== 'false';
-      const pasted = wantPaste ? await paste(session, saved.path) : false;
+      // R31-A2: paste RICHIESTO ma non riuscito non e' un 200 con pasted:false —
+      // tre cause collassavano in quell'unica etichetta muta (non richiesto /
+      // tmux non ha ricevuto / testo respinto) e nessuno, risposta o UI, poteva
+      // accorgersene. Il vocabolario e' quello del ramo answer degli ask
+      // (lib/notify/routes.js): «paste fallito» si dice non-200 + error, col
+      // codice che nomina il soggetto giusto (502 valle raggiunto, 500 rifiuto
+      // nostro). Il file resta nella risposta: e' salvato in inbox, e' la
+      // consegna alla PTY che non e' avvenuta — la causa vera va detta, non
+      // nascosta dietro un OK.
+      if (!wantPaste) return res.json({ ...saved, pasted: false });
+      // Testo respinto a monte: pasteArgs e' la FONTE UNICA del rifiuto (la usa
+      // pasteToSession). Il nome upload e' sanitizzato: se scatta, la causa e'
+      // il filesRoot di configurazione (control char) o un path oltre i 4096
+      // char. Rifiuto noto PRIMA di tmux: la PTY non va neanche tentata.
+      // 500, non 502 (rilievo audit su d6c47c6): qui il valle NON e' stato
+      // contattato — a rifiutare siamo noi, per configurazione nostra. 502
+      // affermerebbe «il servizio a monte non risponde» e sveglierebbe un
+      // allarme su un tmux che sta benissimo. La coppia di codici e'
+      // informazione: 502 = raggiunto ma non ha preso; 500 = mai tentato.
+      if (!pasteArgs(session, saved.path)) {
+        return res.status(500).json({
+          error: 'paste fallito: path non incollabile (control char o oltre 4096 char)',
+          ...saved,
+          pasted: false,
+        });
+      }
+      const pasted = await paste(session, saved.path);
+      if (!pasted) {
+        return res.status(502).json({
+          error: `paste fallito: sessione "${session}" non raggiungibile`,
+          ...saved,
+          pasted: false,
+        });
+      }
       res.json({ ...saved, pasted });
     });
   });

package/lib/fleet/cell-lease-server.js CHANGED Viewed

@@ -264,7 +264,7 @@ function createLeaseManager(cfg = {}, seams = {}) {
     socket.on('data', onData);
     socket.once('close', onEOF);
     socket.once('end', onEOF);
-    // Correzione (audit 2a, segnalazione precisata da Dev): questo E' il socket
+    // Correzione (audit 2a, segnalazione precisata in revisione): questo E' il socket
     // su cui il server SCRIVE (l'ack di refresh — proprio dove l'EPIPE nasce se
     // il peer muore mentre la write e' in volo). Un EventEmitter che emette
     // 'error' senza listener fa un throw che termina l'INTERO processo — non

package/lib/fleet/managed.js CHANGED Viewed

@@ -325,7 +325,7 @@ const CATALOG = Object.freeze([
   // default 'standard'; unsafe -> --always-approve (flag reale di `grok`).
   { id: 'grok.native', client: 'grok', provider: 'native', label: 'Grok account (CLI login)', auth: 'login', protocol: 'grok_native', core: true },
-  // VL/Vivling (~/Dev/20_ai-labs/vl): runtime TUI locale. Auth propria del
+  // VL/Vivling (repository `vl`): runtime TUI locale. Auth propria del
   // runtime (default local Ollama, o VL_API_KEY/--profile in config.toml):
   // NexusCrew non legge ne' copia credenziali (auth 'none'). Il CLI non ha flag
   // prompt, --model ne' di approvazione (`vl [OPTIONS]`): lancia la TUI senza

package/lib/fleet/routes.js CHANGED Viewed

@@ -93,6 +93,11 @@ function fleetRoutes(fleetP, cfg = {}) {
           bootOwner: 'none', // §9b: provider non disponibile -> nessun boot owner
           capabilities: capList(fleet),
           ...(fleet.reason ? { reason: fleet.reason } : {}),
+          // R33: il codice macchina del boot bloccato viaggia fino al client.
+          // La policy di lettura decide su QUESTO, non sulla prosa del reason
+          // (la prosa resta ripiego per i reason che un codice non ce l'hanno).
+          // Senza campo dal provider, la risposta semplicemente non lo ha.
+          ...(fleet.migrationCode ? { migrationCode: fleet.migrationCode } : {}),
         });
       }
       const st = await fleet.status();

package/lib/live-host/bridge.js CHANGED Viewed

@@ -71,7 +71,7 @@ const CLIENT_NAME = 'nexuscrew-live-bridge';
 // ponte, che e' gia' stata data.
 const ORPHAN_GRACE_MS = 1500;
-// —— Prompt per-cella (rev4 LC2, nome fisso confermato da Dev 2026-08-15) ——
+// —— Prompt per-cella (rev4 LC2, nome fisso confermato il 2026-08-15) ——
 // Collocazione: filesRoot/<tmuxSession>/LIVE_PROMPT.md — la sessione tmux
 // ESATTA che il roster dichiara per la cella designata, la stessa fonte gia'
 // usata per l'intestazione R2 (identityHeader). NON un prefisso ricostruito a
@@ -126,13 +126,39 @@ function readCellPrompt(filesRoot, tmuxSession) {
 // di identità — è esattamente il difetto visto sul campo (la voce andava a
 // leggere tmux per capire dove si trovava).
 //
+// R30 (v2, 2026-08-19): l'intestazione dice anche COME raggiungere i tool
+// NexusCrew. Il daemon app-server espone UN solo insieme di server MCP a
+// tutte le Live, con l'ambiente del daemon: nexuscrew è l'unico che prende
+// l'identità dall'ambiente ereditato, quindi i suoi tool con sessione
+// resterebbero fail-closed (nc_identity: MISSING). La via d'uscita ce l'ha
+// il ponte: il nome esatto della sessione, che il server MCP accetta da
+// NEXUSCREW_MCP_SESSION via stdio. Il valore NON si mette in systemd
+// Environment= (una identità statica condivisa = impersonare una cella
+// fissa, demolito in audit v1): lo dice l'intestazione, per-cella.
+//
 // Il fatto, niente di più: quale cella (id Fleet) e, se il roster la dichiara,
 // la sessione tmux esatta — quella con cui la voce raggiunge i canonici della
-// cella in ~/NexusFiles/<tmuxSession>/. Non un'instruzione di lavoro: quelle
-// vivono nel prompt per-cella, che questa intestazione PRECEDE sempre.
+// cella in ~/NexusFiles/<tmuxSession>/ — e la via ai tool per quella sessione.
+// Restano qui FUORI le istruzioni di lavoro: quelle vivono nel prompt
+// per-cella, che questa intestazione PRECEDE sempre.
+//
+// Senza tmuxSession dichiarata non c'è identità possibile: il testo lo DICE,
+// non suggerisce un comando che fallirebbe comunque (e una sessione indovinata
+// sarebbe l'identità di un'altra cella).
 function identityHeader(cellId, tmuxSession) {
-  const sessione = tmuxSession ? ` (sessione tmux ${tmuxSession})` : '';
-  return `Live NexusCrew agganciata alla cella ${cellId}${sessione}.`;
+  if (!tmuxSession) {
+    return `Live NexusCrew agganciata alla cella ${cellId}. `
+      + 'Il roster non dichiara una sessione tmux per questa cella: senza sessione '
+      + 'non c\'è identità, quindi i tool NexusCrew che la richiedono non sono '
+      + 'raggiungibili da questa Live.';
+  }
+  return `Live NexusCrew agganciata alla cella ${cellId} (sessione tmux ${tmuxSession}). `
+    + 'Questa Live eredita l\'ambiente del daemon, condiviso fra tutte le Live e senza identità: '
+    + 'i tool NexusCrew che richiedono la sessione restano chiusi finché non li chiami con la tua. '
+    + 'Per usarli avvia il server MCP NexusCrew via stdio con la sessione di questa cella '
+    + `nell'ambiente — NEXUSCREW_MCP_SESSION=${tmuxSession} nexuscrew mcp — e parlagli `
+    + 'JSON-RPC su stdin (initialize, notifications/initialized, tools/call). '
+    + `Il valore esatto per questa conversazione è ${tmuxSession}: mai un'altra sessione.`;
 }
 // —— Client on-demand del socket di controllo (sezione protocollo sopra) ——

package/lib/live-host/routes.js CHANGED Viewed

@@ -39,7 +39,7 @@ function isActive(cell) {
   return !!(cell && cell.active === true && cell.tmux !== false);
 }
-// --- Seam lease↔designazione (2026-08-15, decisione di Dev: grace = false) -----
+// --- Seam lease↔designazione (2026-08-15, decisione presa in revisione: grace = false) -----
 //
 // L'idoneita' dell'host designato non e' piu' solo «sessione tmux viva»: con
 // remain-on-exit la sessione sopravvive alla morte del supervisore, e la

package/lib/notify/routes.js CHANGED Viewed

@@ -186,7 +186,14 @@ function notifyRoutes({
           originNode: resolved.origin.node,
           originCell: resolved.origin.cell,
         });
-        return res.json({ status: 'delivered', delivered });
+        // R31-A3: lo status e' DERIVATO dai conteggi, non dichiarato a parte.
+        // `emit` e' best-effort — push fallito → 0, `ui` conta i write SSE
+        // riusciti — e il dispatcher propaga SOLO l'etichetta (i conteggi
+        // muoiono in forward(), rilievo R1/rc.14): per la cella mittente e'
+        // tutta l'informazione. Non puo' affermare una consegna che i conteggi
+        // smentiscono: zero canali raggiunti → 'no-delivery'.
+        const status = delivered.ui + delivered.push > 0 ? 'delivered' : 'no-delivery';
+        return res.json({ status, delivered });
       }
       // --- target remoto: instrada, non consegnare qui -----------------------

package/lib/server.js CHANGED Viewed

@@ -864,7 +864,11 @@ function createServer(opts = {}) {
       peers: federatedPeers,
       localPort: () => (server && server.address() ? server.address().port : cfg.port),
       localToken: () => tokenHolder.value,
-      statuses: new Set(['delivered', 'refused', 'unreachable', 'unknown']),
+      // 'no-delivery' (R31-A3): esito legittimo del target — richiesta accettata
+      // ma nessun canale raggiunto (0 UI, 0 push). Senza questa voce forward()
+      // lo degraderebbe a 'unknown/unreadable-endpoint-result', nascondendo
+      // proprio il silenzio che l'esito esiste per rivelare.
+      statuses: new Set(['delivered', 'no-delivery', 'refused', 'unreachable', 'unknown']),
     }),
     federatedRate: createSpeakRateLimiter(),
   }));

package/lib/settings/routes.js CHANGED Viewed

@@ -928,13 +928,22 @@ function settingsRoutes(deps = {}) {
       return send(res, 400, { error: 'body non valido: attesi targets e mode' });
     }
     try { return send(res, 200, { group: audioGroups.saveGroup(audioCfg, String(req.params.name || ''), body, home) }); }
-    catch (_) { return send(res, 400, { error: 'gruppo audio non valido' }); }
+    // R31-A4: il catch nudo raccontava QUALUNQUE errore come «gruppo non
+    // valido» (400): un EACCES/ENOSPC sulla scrittura di audio-groups.json
+    // finiva letto come colpa del nome. La validazione arriva dal modulo con
+    // status 400 + code chiuso; tutto il resto — scrittura fallita compresa —
+    // è 500 con la causa vera (scrubError ripulisce i path). Stessa formula
+    // delle route settings sopra.
+    catch (e) { return send(res, e.status || 500, { error: scrubError(e), ...(e.code ? { code: e.code } : {}) }); }
   });
   r.delete('/audio/groups/:name', mutGate, (req, res) => {
     try {
       const removed = audioGroups.removeGroup(audioCfg, String(req.params.name || ''), home);
       return removed ? send(res, 200, { removed: true }) : send(res, 404, { error: 'gruppo audio non trovato' });
-    } catch (_) { return send(res, 400, { error: 'nome gruppo audio non valido' }); }
+    } catch (e) {
+      // R31-A4: come PUT sopra — vedi il commento lì.
+      return send(res, e.status || 500, { error: scrubError(e), ...(e.code ? { code: e.code } : {}) });
+    }
   });
   // Viewer-local aliases for routed nodes. These routes are local-only and do

package/package.json CHANGED Viewed

@@ -1,6 +1,6 @@
 {
   "name": "@mmmbuto/nexuscrew",
-  "version": "0.9.8",
+  "version": "0.9.10",
   "description": "Faithful browser tmux client — attach to live sessions over a real PTY, localhost-only, mobile-easy",
   "main": "lib/server.js",
   "bin": {