@nectarcrm/ccx 0.4.0 → 0.4.2

package/bin/ccx.js

@@ -16,7 +16,7 @@
 // (terminal, VS Code, JetBrains) usa essa conta. Claudes já abertos continuam na anterior.
 // O vigia roda sozinho a cada 5 min: avisa o app, atualiza o token se o admin trocou
 // e tira a conta se o acesso for removido. Os tokens gastos vão pro app pela telemetria.
-// O vigia também roda o sync, então o resumo dos projetos chega sozinho.
+// O resumo dos projetos só vai pro app quando você roda ccx sync.
 
 import { execFileSync } from 'node:child_process'
 import { appendFileSync, chmodSync, closeSync, existsSync, mkdirSync, openSync, readdirSync, readFileSync, readSync, rmSync, statSync, writeFileSync } from 'node:fs'
@@ -45,13 +45,24 @@ const fingerprint = t => createHash('sha256').update(t).digest('hex').slice(0, 1
 // macOS: Keychain. Windows: DPAPI (só o usuário do Windows abre). Linux: cofre do sistema
 // (secret-tool/libsecret) ou, sem ele (servidor, WSL), arquivo que só o usuário lê.
 // O segredo sempre passa por stdin, nunca pela linha de comando.
-const ps = (script, input) => execFileSync('powershell', ['-NoProfile', '-NonInteractive', '-Command', script], { input, stdio: ['pipe', 'pipe', 'ignore'] }).toString().trim()
+// PSModulePath herdado de um PowerShell 7 impede o 5.1 de carregar módulos (ConvertTo-SecureString some),
+// então o DPAPI é chamado direto pelo .NET e o PSModulePath é descartado.
+const ps = (script, input) => {
+  const { PSModulePath, ...env } = process.env
+  return execFileSync('powershell', ['-NoProfile', '-NonInteractive', '-Command', script], { input, env, stdio: ['pipe', 'pipe', 'ignore'] }).toString().trim()
+}
+const DPAPI = "Add-Type -AssemblyName System.Security; $v = [Console]::In.ReadToEnd().Trim(); "
+const DPAPI_PREFIX = 'dpapi:'
 const KEY_FILE = join(DIR, 'chave') // Windows (DPAPI) e Linux sem cofre
 const SECRET_TOOL = ['service', SERVICE, 'account', 'chave']
 
 function secretGet() {
   try {
-    if (WIN) return ps('$s = [Console]::In.ReadToEnd().Trim() | ConvertTo-SecureString; [Runtime.InteropServices.Marshal]::PtrToStringBSTR([Runtime.InteropServices.Marshal]::SecureStringToBSTR($s))', readFileSync(KEY_FILE, 'utf8'))
+    if (WIN) {
+      const stored = readFileSync(KEY_FILE, 'utf8').trim()
+      if (!stored.startsWith(DPAPI_PREFIX)) return ps('$s = [Console]::In.ReadToEnd().Trim() | ConvertTo-SecureString; [Runtime.InteropServices.Marshal]::PtrToStringBSTR([Runtime.InteropServices.Marshal]::SecureStringToBSTR($s))', stored) // formato antigo
+      return ps(DPAPI + '[Text.Encoding]::UTF8.GetString([Security.Cryptography.ProtectedData]::Unprotect([Convert]::FromBase64String($v), $null, "CurrentUser"))', stored.slice(DPAPI_PREFIX.length))
+    }
     if (MAC) return execFileSync('security', ['find-generic-password', '-s', SERVICE, '-a', 'chave', '-w'], { stdio: ['ignore', 'pipe', 'ignore'] }).toString().trim()
     if (existsSync(KEY_FILE)) return readFileSync(KEY_FILE, 'utf8').trim()
     return execFileSync('secret-tool', ['lookup', ...SECRET_TOOL], { stdio: ['ignore', 'pipe', 'ignore'] }).toString().trim() || null
@@ -61,7 +72,7 @@ function secretGet() {
 function secretSet(value) {
   if (WIN) {
     mkdirSync(DIR, { recursive: true })
-    writeFileSync(KEY_FILE, ps('[Console]::In.ReadToEnd().Trim() | ConvertTo-SecureString -AsPlainText -Force | ConvertFrom-SecureString', value))
+    writeFileSync(KEY_FILE, DPAPI_PREFIX + ps(DPAPI + '[Convert]::ToBase64String([Security.Cryptography.ProtectedData]::Protect([Text.Encoding]::UTF8.GetBytes($v), $null, "CurrentUser"))', value))
     return
   }
   if (MAC) {
@@ -200,8 +211,9 @@ function installAgent() {
       return true
     }
     if (WIN) {
+      // node.exe é app de console: direto pelo Agendador abre uma janela a cada rodada. O conhost --headless roda sem janela.
       execFileSync('schtasks', ['/Create', '/F', '/SC', 'MINUTE', '/MO', String(AGENT_MINUTES), '/TN', AGENT_ID,
-        '/TR', `"${process.execPath}" "${SELF}" vigia`], { stdio: 'ignore' })
+        '/TR', `conhost.exe --headless "${process.execPath}" "${SELF}" vigia`], { stdio: 'ignore' })
       return true
     }
     return installLinuxAgent()
@@ -232,8 +244,6 @@ async function agentOnce() {
     writeJson(APP, removeAccount(app))
     return log('login vencido: conta tirada deste computador')
   }
-  try { await sync(app, key, true) }
-  catch (e) { log(`sync falhou: ${e.message}`) }
   const r = await api(app, key, 'POST', '/api/cli/heartbeat', { account_id: app.account?.id ?? null }, 20_000)
   if (r.status === 401) {
     writeJson(APP, removeAccount(app))
@@ -367,7 +377,7 @@ function addToDay(days, e) {
   return key
 }
 
-// Só um sync por vez (o vigia pode rodar junto com o login). Trava velha (sync que caiu) é ignorada.
+// Só um sync por vez (dois ccx sync ao mesmo tempo). Trava velha (sync que caiu) é ignorada.
 function takeLock() {
   mkdirSync(DIR, { recursive: true })
   try { closeSync(openSync(SYNC_LOCK, 'wx')); return true }
@@ -378,8 +388,8 @@ function takeLock() {
   }
 }
 
-async function sync(app, key, quiet = false) {
-  const say = msg => { if (!quiet) process.stderr.write(msg) }
+async function sync(app, key) {
+  const say = msg => process.stderr.write(msg)
   if (!takeLock()) return say('Outro sync já está rodando. Tente de novo daqui a pouco.\n')
   try {
     let state = readJson(SYNC_STATE, {})
@@ -552,7 +562,7 @@ async function doctor() {
   }
   else ok('Telemetria ligada (tokens vão pro painel)')
   if (agentInstalled()) ok(`Vigia instalado (roda a cada ${AGENT_MINUTES} min)`)
-  else aviso('O vigia não está instalado: token novo e sync não chegam sozinhos', 'ccx (escolha a conta de novo)')
+  else aviso('O vigia não está instalado: token novo e acesso removido não chegam sozinhos', 'ccx (escolha a conta de novo)')
   // Só o que deu errado nas últimas 24 h (o log tem a data no começo de cada linha)
   const dayAgo = new Date(Date.now() - 86_400_000).toISOString()
   const lastErr = existsSync(LOG) && readFileSync(LOG, 'utf8').trim().split('\n').filter(l => l >= dayAgo && /falhou|removid|vencid/.test(l)).pop()
@@ -729,10 +739,3 @@ if (cmd === 'status') {
 
 // `ccx`, `ccx login ...` (depois de autorizar) ou `ccx <conta>`
 await useAccount(app, key, cmd && cmd !== 'login' ? cmd : await chooseAccount(app, key))
-
-// Logo depois do login, manda o resumo das sessões (as próximas vão pelo vigia)
-if (cmd === 'login') {
-  console.error('')
-  try { await sync(app, key) }
-  catch (e) { console.error(c(33, `\nO sync falhou (${e.message}). Tente: ccx sync`)) }
-}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@nectarcrm/ccx",
-  "version": "0.4.0",
+  "version": "0.4.2",
   "description": "Escolhe qual conta Claude este computador usa, conectado ao app Contas Claude da Nectar.",
   "type": "module",
   "bin": { "ccx": "bin/ccx.js" },