@monster-orange/den 0.4.14 → 0.4.16

package/src/ui/server/public/error-page.js

@@ -139,7 +139,7 @@ function withCmd(text, cmd) {
 function withHost(t, key, vars) {
   const marks = {};
   const v = { ...vars };
-  for (const k of ["host", "target"])
+  for (const k of ["host", "target", "user"])
     if (k in v) {
       marks[k] = v[k];
       v[k] = `\u0001${k}\u0001`;
@@ -203,6 +203,20 @@ export function countdownText(ms) {
  * Where a signed-in page goes: the page that was asked for. On /signin,
  * its same-origin `next` (else `/`); anywhere else, the same URL.
  */
+/**
+ * 0.4.15: keep a sign-in's approval key (web-session.ts) in this origin's
+ * localStorage, where shell.js sends it from. It comes in the sign-in's
+ * own answer only.
+ */
+function keepApproveKey(b) {
+  if (!b || typeof b.approveKey !== "string") return;
+  try {
+    localStorage.setItem("den.approveKey", b.approveKey);
+  } catch {
+    /* storage blocked: this browser signs in again to approve */
+  }
+}
+
 export function landingAfterSignIn(loc) {
   if (loc.pathname !== "/signin") return loc.pathname + loc.search + loc.hash;
   const n = new URLSearchParams(loc.search).get("next") || "/";
@@ -212,30 +226,84 @@ export function landingAfterSignIn(loc) {
 }
 
 /**
- * Sign in with GitHub (SEC-2a): the main button, shown only when a client
- * id is configured. The server runs GitHub's device flow; the page shows
- * the code and github.com/login/device, polls the server, and goes on once
- * the owner approved it (the server sets the cookie). Another account is
- * refused by name. With no owner linked, it says what to run on the server.
+ * Sign in with GitHub (SEC-2a): shown only when a client id is configured.
+ * The server runs GitHub's device flow; the page shows the code and
+ * github.com/login/device, polls the server, and goes on once the owner
+ * approved it (the server sets the cookie). Another account is refused by
+ * name.
+ *
+ * SEC-2a-UX: the same three steps in every state (link the owner on the
+ * machine, enter the code on GitHub, come back and press the button).
+ * Once an owner is linked, step 1 is done and names it, and the button
+ * follows the steps. Below them: only the owner's account signs in this
+ * way, and Learn more.
  */
 function githubBlock(s, t) {
   const g = s.github;
   if (!g || s.localhost || g.state === "no_client_id") return "";
   const host = s.machine || "";
-  if (g.state === "no_owner")
-    return (
-      `<div id="den-gh"><p>${withHost(t, "err.signin.githubNoOwner", { name: s.name, host })}</p>` +
-      cmdLine("den-gh-owner-cmd", g.owner, t) +
-      `</div>`
-    );
+  const ready = g.state === "ready";
+  const step1 = withHost(t, "err.signin.ghStep1", {
+    host,
+    cmd: "\u0000",
+  }).replace("\u0000", `<code class="mono">${esc(g.owner)}</code>`);
   return (
-    `<div id="den-gh"><div class="acts" style="margin-top:0">` +
-    `<button type="button" class="btn primary" id="den-gh-start">${esc(t("err.signin.github"))}</button>` +
-    `</div><p class="den-gh-note" style="margin-top:8px">${esc(t("err.signin.githubNote", { name: s.name }))}</p>` +
-    `<div id="den-gh-flow" aria-live="polite"></div></div>`
+    `<div id="den-gh">` +
+    `<ol class="den-steps" id="den-gh-steps">` +
+    `<li id="den-gh-step1"${ready ? ' class="done"' : ""}><p>${step1}</p>` +
+    (ready && g.ownerLogin
+      ? `<p class="den-gh-owner" id="den-gh-owner">${esc(t("err.signin.ghOwner", { login: g.ownerLogin }))}</p>`
+      : "") +
+    `</li>` +
+    `<li id="den-gh-step2"><p>${esc(t("err.signin.ghStep2"))}</p></li>` +
+    `<li id="den-gh-step3"><p>${esc(t("err.signin.ghStep3"))}</p></li>` +
+    `</ol>` +
+    (ready
+      ? `<div class="acts" style="margin-top:0">` +
+        `<button type="button" class="btn primary" id="den-gh-start">${esc(t("err.signin.github"))}</button>` +
+        `</div><div id="den-gh-flow" aria-live="polite"></div>`
+      : "") +
+    `<p class="den-gh-note" id="den-gh-only">${esc(t("err.signin.ghOnly"))}` +
+    (g.learnMore
+      ? ` <a id="den-gh-learn" href="${esc(g.learnMore)}" target="_blank" rel="noopener noreferrer">${esc(t("err.signin.ghLearn"))}</a>`
+      : "") +
+    `</p></div>`
   );
 }
 
+/** How often, and how long, the page watches for an owner (SEC-2a-UX). */
+export const OWNER_POLL_MS = 5000;
+const OWNER_WATCH_MS = 30 * 60 * 1000;
+
+/**
+ * SEC-2a-UX: with no owner linked yet, watch the session probe; once the
+ * owner is linked on the machine, step 1 shows done and Sign in with
+ * GitHub appears, with no reload.
+ */
+function watchOwner(root, t, s, pollMs = OWNER_POLL_MS) {
+  if (s.github?.state !== "no_owner" || !root.querySelector("#den-gh")) return;
+  const until = Date.now() + OWNER_WATCH_MS;
+  const tick = () => {
+    if (Date.now() > until || !root.querySelector("#den-gh")) return;
+    fetch("/api/session", { cache: "no-store", credentials: "same-origin" })
+      .then((r) => r.json().catch(() => ({})))
+      .then((b) => {
+        const g = b?.github;
+        if (g?.state === "ready" && g.ownerLogin) {
+          s.github = { ...s.github, state: "ready", ownerLogin: g.ownerLogin };
+          const old = root.querySelector("#den-gh");
+          if (!old) return;
+          old.outerHTML = githubBlock(s, t);
+          wireGithub(root, t, s);
+          return;
+        }
+        setTimeout(tick, pollMs);
+      })
+      .catch(() => setTimeout(tick, pollMs));
+  };
+  setTimeout(tick, pollMs);
+}
+
 /** The device flow on the page: start, show the code, poll, go on. */
 function wireGithub(root, t, s) {
   const start = root.querySelector("#den-gh-start");
@@ -263,6 +331,7 @@ function wireGithub(root, t, s) {
           return;
         }
         if (b.state === "ok") {
+          keepApproveKey(b);
           show(
             `<p class="lead" style="margin-top:12px">${esc(t("err.signin.githubDone"))}</p>`,
           );
@@ -351,6 +420,9 @@ function wirePair(root, t, s) {
   if (!box) return;
   const host = s.machine || "";
   const target = s.ssh?.target || "";
+  // SEC-2a-UX: the account to log in as, so the SSH app doesn't guess one.
+  const user = s.ssh?.user || "";
+  const login = user ? `${user}@${target}` : target;
   let poll = null;
   let tick = null;
   let gen = 0;
@@ -376,7 +448,7 @@ function wirePair(root, t, s) {
   const show = (b) => {
     const term =
       s.ssh?.name && target
-        ? `<a class="btn" id="den-pair-term" href="ssh://${esc(target)}">${esc(t("err.signin.openTerminal"))}</a>`
+        ? `<a class="btn" id="den-pair-term" href="ssh://${esc(login)}">${esc(t("err.signin.openTerminal"))}</a>`
         : "";
     box.innerHTML =
       `<ol class="den-steps">` +
@@ -389,7 +461,11 @@ function wirePair(root, t, s) {
       `<p>${withHost(t, "err.signin.noTerminal", { host })}</p>` +
       cmdLine("den-pair-ssh", b.ssh, t, term) +
       (term
-        ? `<p class="den-pair-note">${withHost(t, "err.signin.sshNote", { target })}</p>`
+        ? `<p class="den-pair-note" id="den-pair-note">${
+            user
+              ? withHost(t, "err.signin.sshUserNote", { host, user })
+              : withHost(t, "err.signin.sshNote", { target })
+          }</p>`
         : "");
     wireCopy(box, t);
   };
@@ -432,6 +508,7 @@ function wirePair(root, t, s) {
                 return;
               }
               if (p.state === "ok") {
+                keepApproveKey(p);
                 stop();
                 box.innerHTML = `<p class="lead" id="den-pair-in">${esc(t("err.signin.youreIn"))}</p>`;
                 location.replace(landingAfterSignIn(location));
@@ -524,6 +601,7 @@ function mountSignedOut(root, sh, d) {
         .then((b) => {
           go.disabled = false;
           if (b.ok) {
+            keepApproveKey(b);
             err.textContent = "";
             form.innerHTML = `<p class="lead" id="den-confirm-in">${esc(t("err.signin.youreIn"))}</p>`;
             location.replace(typeof b.next === "string" ? b.next : "/");
@@ -580,6 +658,7 @@ function mountSignedOut(root, sh, d) {
     `</div>`;
   wireCopy(root, t);
   wireGithub(root, t, s);
+  watchOwner(root, t, s, window.__denOwnerPollMs || OWNER_POLL_MS);
   wirePair(root, t, s);
   if (s.expired) return;
   let tried = false;

package/src/ui/server/public/error.html

@@ -265,6 +265,24 @@
         color: var(--text);
         font-weight: 600;
       }
+      /* SEC-2a-UX: a step already done (the owner is linked). */
+      ol.den-steps li.done::marker {
+        content: "\2713  ";
+        color: var(--ok, var(--text));
+      }
+      ol.den-steps li.done > p:first-child {
+        color: var(--muted);
+      }
+      ol.den-steps code {
+        overflow-wrap: anywhere;
+      }
+      p.den-gh-note {
+        margin-top: 8px;
+      }
+      p.den-gh-owner {
+        color: var(--text);
+        font-weight: 600;
+      }
       details.den-other {
         margin: 0 0 16px;
       }

package/src/ui/server/public/header.js

@@ -251,7 +251,7 @@ function _injectChangelogStyles() {
       padding: 5px 16px; border-radius: 5px; font-size: 12px;
       font-weight: 600; cursor: pointer;
     }
-    .cl-got-it:hover { opacity: .85; }
+    .cl-got-it:hover { filter: brightness(0.92); }
   `;
   document.head.appendChild(style);
 

package/src/ui/server/public/i18n/es.js

@@ -254,12 +254,18 @@
     "err.signin.title": "Inicia sesión en {name}",
     "err.signin.where":
       "Estás abriendo {name} desde otro ordenador. {name} corre en {host}, así que necesita saber que eres tú.",
-    "err.signin.githubNote":
-      "Usa tu cuenta de GitHub. El propietario de este {name} tiene que haber vinculado la suya.",
-    "err.signin.githubNoOwner":
-      "Iniciar sesión con GitHub necesita un propietario, y este {name} aún no tiene. En {host} (no en este ordenador), ejecuta:",
+    "err.signin.ghStep1":
+      "En {host}, ejecuta {cmd}, o usa Ajustes › Acceso allí.",
+    "err.signin.ghStep2":
+      "Muestra un código. Introdúcelo en github.com/login/device y apruébalo.",
+    "err.signin.ghStep3":
+      "Después vuelve aquí y pulsa Iniciar sesión con GitHub, con la misma cuenta de GitHub.",
+    "err.signin.ghOwner": "Propietario: @{login}",
+    "err.signin.ghOnly":
+      "Solo la cuenta de GitHub del propietario puede iniciar sesión así. Para cualquier otra persona, usa «Aprueba este ordenador».",
+    "err.signin.ghLearn": "Más información",
     "err.signin.githubRefused":
-      "@{login} no es el propietario de este {name}. Pide al propietario que te añada, o usa «Aprobar este ordenador».",
+      "@{login} no es el propietario de este {name}. Solo la cuenta del propietario puede usar Iniciar sesión con GitHub. Usa «Aprueba este ordenador» en su lugar.",
     "err.signin.approveOr": "O aprueba este ordenador",
     "err.signin.approve": "Aprueba este ordenador",
     "err.signin.step1": "En {host} (no en este ordenador), ejecuta:",
@@ -271,6 +277,8 @@
     "err.signin.noTerminal":
       "¿No tienes una terminal en {host}? Desde este ordenador, ejecuta:",
     "err.signin.openTerminal": "Abrir Terminal",
+    "err.signin.sshUserNote":
+      "Inicia sesión con tu cuenta de {host} ({user}) y su contraseña, o con una clave SSH.",
     "err.signin.sshNote":
       "Abrir Terminal abre ssh://{target} en tu aplicación de terminal. Necesita acceso SSH a {target}.",
     "err.signin.whyTitle": "¿Por qué?",
@@ -459,6 +467,11 @@
     "ag.new.name": "Nombre (opcional)",
     "ag.new.as": "Se inicia como {id}",
     "ag.new.openRunning": "Abrir el que está en ejecución",
+    "ag.new.isRunning": "{id} ya está en ejecución",
+    "ag.new.openIt": "Abrirlo",
+    "ag.new.isStopped": "{id} está detenido",
+    "ag.new.resumeIt": "Reanudarlo",
+    "ag.new.orNext": "o Iniciar crea {id}",
     "ag.new.taskPh":
       "p. ej., Toma la historia del estado vacío. Sigue el diseño y añade una prueba.",
     "ag.new.adv": "Avanzado: modelo y permisos",
@@ -482,12 +495,58 @@
     "ag.bring.agent": "Agente {id}",
     "ag.bring.note":
       "La continúa en la carpeta donde se ejecutó, con las herramientas y protecciones de Den desde ahora. Sigue en ejecución si cierras el panel. Ciérrala antes en cualquier otro terminal: Den solo la ve abierta si se escribió en el último minuto.",
+    "ag.keep.model": "Mantiene {m} de la conversación.",
+    "ag.keep.modelNew": "Usa {m} a partir de ahora.",
+    "ag.keep.from":
+      "A partir de ahora trabaja como {p}: su rol, sus permisos ({mode}), las herramientas y protecciones de Den. Su historial se mantiene.",
+    "ag.keep.lost":
+      "No tendrá: {s}. Den ejecuta los agentes solo con las herramientas de Den.",
+    "ag.keep.opt": "Mantener {m}",
+    "ag.keep.optNone": "Mantener el modelo que usa",
+    "ag.keep.advNote":
+      "El modelo que usa se mantiene salvo que elijas otro aquí. Los permisos vienen de la persona.",
+    "ag.pc.item": "Cambiar persona…",
+    "ag.pc.title": "Cambiar la persona de {id}",
+    "ag.pc.note":
+      "Den lo detiene y reanuda la misma conversación con la nueva persona. Su id, nombre, carpeta y pestaña se mantienen.",
+    "ag.pc.go": "Cambiar persona",
+    "ag.pc.going": "Cambiando…",
+    "ag.pc.current": "actual",
+    "ag.pc.busy":
+      "Está trabajando. ¿Cambiar después de este turno o detenerlo ahora?",
+    "ag.pc.after": "Después de este turno",
+    "ag.pc.now": "Detenerlo ahora",
+    "ag.pc.done": "{id} ahora es {p}",
+    "ag.pc.pending": "{id} pasará a ser {p} cuando termine este turno",
+    "ag.more": "Más para {id}",
     "ag.bring.go": "Traer",
     "ag.bring.going": "Trayendo…",
     "ag.bring.done": "Traída como {id}",
     "ag.bring.now": "ahora mismo",
     "ag.bring.min": "hace {n} min",
     "ag.bring.h": "hace {n} h",
+    "ap.title": "{agent} quiere:",
+    "ap.agent": "El agente {name}",
+    "ap.noAgent": "Algo en esta máquina (sin identidad de agente)",
+    "ap.noAgentWarn": "Si no le pediste esto a un agente, deniégalo.",
+    "ap.signin.title": "Algo espera tu aprobación.",
+    "ap.signin": "Inicia sesión para verlo: ejecuta {cmd} y abre el enlace.",
+    "ap.do.workspace_create": 'Crear el espacio "{name}"',
+    "ap.do.repo_add":
+      'Añadir el repositorio de {path} al espacio "{workspace}"',
+    "ap.do.repo_add.new":
+      'Añadir el repositorio de {path} a un espacio nuevo "{workspace}"',
+    "ap.do.service_try": "Iniciar {service}",
+    "ap.says": "El agente dice:",
+    "ap.review": "Revisar",
+    "ap.hide": "Ocultar detalles",
+    "ap.later": "Más tarde",
+    "ap.deny": "Denegar",
+    "ap.allow": "Permitir",
+    "ap.waits": "Nada cambia hasta que lo permitas. Espera hasta las {time}.",
+    "ap.more": "{n} más en espera",
+    "ap.failed": "Se ejecutó y falló: {error}",
+    "ap.done": "Hecho: {what}",
     "ag.new.note":
       "Se inicia en la carpeta del espacio de trabajo. Sigue en ejecución si cierras el panel.",
     "ag.new.started": "{p} iniciado en {w}",
@@ -608,6 +667,7 @@
       "Su token fue revocado (web logout --all): detenlo y reanúdalo, o inícialo de nuevo, para darle uno nuevo",
     "ag.ended":
       "Esta sesión ha terminado. Su registro se queda hasta que se reanude o se elimine.",
+    "ag.switched": "Cambiado a {p}",
     "ag.exitedLine": "[la sesión terminó{code}]",
     "ag.lost": "[desconectado: {why}]",
     "ag.reconnect": "Reconectar",

package/src/ui/server/public/i18n/ja.js

@@ -242,12 +242,18 @@
     "err.signin.title": "{name} にサインイン",
     "err.signin.where":
       "別のコンピューターから {name} を開いています。{name} は {host} で動いているため、あなた本人であることを確認する必要があります。",
-    "err.signin.githubNote":
-      "あなたの GitHub アカウントを使います。この {name} のオーナーが自分のアカウントをリンクしている必要があります。",
-    "err.signin.githubNoOwner":
-      "GitHub でのサインインにはオーナーが必要ですが、この {name} にはまだいません。{host} で(このコンピューターではありません)次を実行してください:",
+    "err.signin.ghStep1":
+      "{host} で {cmd} を実行するか、そちらで 設定 › アクセス を使います。",
+    "err.signin.ghStep2":
+      "コードが表示されます。github.com/login/device で入力して承認します。",
+    "err.signin.ghStep3":
+      "ここに戻り、同じ GitHub アカウントで「GitHub でサインイン」を押します。",
+    "err.signin.ghOwner": "オーナー: @{login}",
+    "err.signin.ghOnly":
+      "この方法でサインインできるのはオーナーの GitHub アカウントだけです。それ以外の人は「このコンピューターを承認」を使ってください。",
+    "err.signin.ghLearn": "詳しく見る",
     "err.signin.githubRefused":
-      "@{login} はこの {name} のオーナーではありません。オーナーに追加を依頼するか、「このコンピューターを承認」を使ってください。",
+      "@{login} はこの {name} のオーナーではありません。GitHub でサインインを使えるのはオーナーのアカウントだけです。代わりに「このコンピューターを承認」を使ってください。",
     "err.signin.approveOr": "または、このコンピューターを承認",
     "err.signin.approve": "このコンピューターを承認",
     "err.signin.step1":
@@ -260,6 +266,8 @@
     "err.signin.noTerminal":
       "{host} のターミナルがありませんか?このコンピューターで次を実行します:",
     "err.signin.openTerminal": "ターミナルを開く",
+    "err.signin.sshUserNote":
+      "{host} のアカウント({user})とそのパスワード、または SSH キーでログインします。",
     "err.signin.sshNote":
       "「ターミナルを開く」はターミナルアプリで ssh://{target} を開きます。{target} への SSH アクセスが必要です。",
     "err.signin.whyTitle": "なぜ?",
@@ -442,6 +450,11 @@
     "ag.new.name": "名前（任意）",
     "ag.new.as": "{id} として開始します",
     "ag.new.openRunning": "実行中のものを開く",
+    "ag.new.isRunning": "{id} はすでに実行中です",
+    "ag.new.openIt": "開く",
+    "ag.new.isStopped": "{id} は停止しています",
+    "ag.new.resumeIt": "再開する",
+    "ag.new.orNext": "または開始で {id} を作成します",
     "ag.new.taskPh":
       "例: 空の状態のストーリーを担当。デザインに合わせ、テストを追加する。",
     "ag.new.adv": "詳細設定: モデルと権限",
@@ -466,12 +479,60 @@
     "ag.bring.agent": "エージェント {id}",
     "ag.bring.note":
       "実行していたフォルダーで続けます。ここからは Den のツールとガードが適用されます。ペインを閉じても実行は続きます。先にほかのターミナルで閉じてください。Den が開いていると判断できるのは、直近 1 分以内に書き込まれた会話だけです。",
+    "ag.keep.model": "会話の {m} をそのまま使います。",
+    "ag.keep.modelNew": "これからは {m} で動きます。",
+    "ag.keep.from":
+      "これからは {p} として働きます: その役割、権限({mode})、Den のツールとガード。履歴はそのまま残ります。",
+    "ag.keep.lost":
+      "使えなくなるもの: {s}。Den はエージェントを Den のツールだけで動かします。",
+    "ag.keep.opt": "{m} のまま",
+    "ag.keep.optNone": "今のモデルのまま",
+    "ag.keep.advNote":
+      "ここで別のモデルを選ばない限り、今のモデルのままです。権限はペルソナから来ます。",
+    "ag.pc.item": "ペルソナを変更…",
+    "ag.pc.title": "{id} のペルソナを変更",
+    "ag.pc.note":
+      "Den はいったん停止し、同じ会話を新しいペルソナで再開します。ID、名前、フォルダー、タブはそのままです。",
+    "ag.pc.go": "ペルソナを変更",
+    "ag.pc.going": "変更中…",
+    "ag.pc.current": "現在",
+    "ag.pc.busy":
+      "作業中です。このターンの後に変更しますか、それとも今すぐ停止しますか?",
+    "ag.pc.after": "このターンの後",
+    "ag.pc.now": "今すぐ停止",
+    "ag.pc.done": "{id} は {p} になりました",
+    "ag.pc.pending": "このターンが終わると {id} は {p} になります",
+    "ag.more": "{id} のその他の操作",
     "ag.bring.go": "取り込む",
     "ag.bring.going": "取り込み中…",
     "ag.bring.done": "{id} として取り込みました",
     "ag.bring.now": "たった今",
     "ag.bring.min": "{n} 分前",
     "ag.bring.h": "{n} 時間前",
+    "ap.title": "{agent}が次のことを求めています:",
+    "ap.agent": "エージェント {name} ",
+    "ap.noAgent": "このマシン上の何か（エージェントの識別なし）",
+    "ap.noAgentWarn":
+      "エージェントにこれを頼んでいなければ、拒否してください。",
+    "ap.signin.title": "承認を待っているものがあります。",
+    "ap.signin":
+      "サインインすると表示されます: {cmd} を実行してリンクを開いてください。",
+    "ap.do.workspace_create": "ワークスペース「{name}」を作成",
+    "ap.do.repo_add":
+      "{path} のリポジトリをワークスペース「{workspace}」に追加",
+    "ap.do.repo_add.new":
+      "{path} のリポジトリを新しいワークスペース「{workspace}」に追加",
+    "ap.do.service_try": "{service} を起動",
+    "ap.says": "エージェントのコメント:",
+    "ap.review": "確認",
+    "ap.hide": "詳細を隠す",
+    "ap.later": "あとで",
+    "ap.deny": "拒否",
+    "ap.allow": "許可",
+    "ap.waits": "許可するまで何も変わりません。{time} まで待ちます。",
+    "ap.more": "ほかに {n} 件が待機中",
+    "ap.failed": "実行しましたが失敗しました: {error}",
+    "ap.done": "完了: {what}",
     "ag.new.note":
       "ワークスペースのフォルダーで開始します。ペインを閉じても実行は続きます。",
     "ag.new.started": "{w} で {p} を開始しました",
@@ -590,6 +651,7 @@
     "ag.revokedTip":
       "トークンが失効しました（web logout --all）。新しいトークンを渡すには停止して再開するか、もう一度開始してください",
     "ag.ended": "このセッションは終了しました。記録は再開か削除まで残ります。",
+    "ag.switched": "{p} に切り替えました",
     "ag.exitedLine": "[セッションが終了しました{code}]",
     "ag.lost": "[切断: {why}]",
     "ag.reconnect": "再接続",

package/src/ui/server/public/index.html

@@ -355,7 +355,7 @@
         white-space: nowrap;
       }
       .run-btn:hover:not(:disabled) {
-        opacity: 0.85;
+        filter: brightness(0.92);
       }
       .run-btn:disabled {
         opacity: 0.45;

package/src/ui/server/public/local-dev.html

@@ -344,7 +344,7 @@
         cursor: pointer;
       }
       .new-ws-form button:hover {
-        opacity: 0.85;
+        filter: brightness(0.92);
       }
       /* ── Content ──────────────────────────────────────────────────────────── */
       .content {
@@ -552,7 +552,7 @@
         cursor: pointer;
       }
       .add-btn:hover {
-        opacity: 0.85;
+        filter: brightness(0.92);
       }
       .form-msg {
         font-size: 11px;
@@ -688,8 +688,9 @@
       .add-svc-row.selected {
         background: color-mix(in srgb, var(--accent) 9%, transparent);
       }
+      /* Already in the workspace: readable (WCAG AA), not dimmed. */
       .add-svc-row.already {
-        opacity: 0.4;
+        color: var(--muted);
       }
       .add-svc-row-info {
         flex: 1;
@@ -839,7 +840,7 @@
         cursor: pointer;
       }
       .add-svc-submit:hover {
-        opacity: 0.85;
+        filter: brightness(0.92);
       }
       .add-svc-submit:disabled {
         opacity: 0.45;

package/src/ui/server/public/persona-ui.css

@@ -181,6 +181,17 @@ dialog.pe-dlg::backdrop {
 .helpl.warn {
   color: var(--warn);
 }
+/* AG-17.1c, AG-18: what a persona changes, under the list. */
+.den-keep {
+  margin: 8px 0 0;
+  padding-left: 18px;
+  font-size: 12px;
+  line-height: 1.45;
+  color: var(--muted);
+}
+.den-keep li + li {
+  margin-top: 2px;
+}
 .faint {
   color: var(--faint);
 }
@@ -561,3 +572,24 @@ dialog.pe-dlg::backdrop {
 .pr[aria-disabled="true"]:hover {
   background: none;
 }
+
+/* ON-3's approval dialog (shell.js, every page): the Start dialog's frame,
+   the request in the body text's size and weight, and Review's lines in
+   the mono box the persona Details use. */
+.den-ap-dlg .den-ap-what {
+  color: var(--text);
+  font: 600 14.5px/1.45 var(--sans);
+  overflow-wrap: anywhere;
+}
+.den-ap-dlg .den-ap-det {
+  margin: 0;
+  max-height: 260px;
+  overflow: auto;
+  padding: 10px 12px;
+  border: 1px solid var(--border);
+  border-radius: var(--radius-button, 6px);
+  background: var(--surface, var(--raised));
+  font: 12px/1.5 var(--mono);
+  white-space: pre-wrap;
+  overflow-wrap: anywhere;
+}

package/src/ui/server/public/release.html

@@ -398,7 +398,6 @@
       .loading-note .sub {
         display: block;
         margin-top: 4px;
-        opacity: 0.75;
         font-size: 11px;
       }
       .loading-dots::after {

package/src/ui/server/public/settings-registry.js

@@ -160,7 +160,9 @@ export function deviceLine(d, now = Date.now()) {
       ? `signed in with GitHub${d.login ? ` (@${d.login})` : ""}`
       : d.via === "code"
         ? "approved with a code"
-        : "signed in with a one-time link";
+        : d.via === "claim"
+          ? "claimed with a setup link"
+          : "signed in with a one-time link";
   const name = d.name || "Unknown browser";
   const from = d.client || d.host;
   return {

package/src/ui/server/public/settings.html

@@ -340,10 +340,18 @@
       .set-radio:hover {
         background: var(--sunken);
       }
+      /* Not installed: the option stays readable (WCAG AA); only its
+         radio dims. */
       .set-radio.off {
-        opacity: 0.5;
+        color: var(--muted);
         cursor: default;
       }
+      .set-radio.off:hover {
+        background: none;
+      }
+      .set-radio.off input {
+        opacity: 0.5;
+      }
       .set-radio input {
         accent-color: var(--accent);
         margin: 0;