@neetru/cli 2.33.0 → 2.34.0

package/dist/lib/segredo-produto.js

@@ -37,13 +37,43 @@ import { CARACTERE_DE_TROCA, decodificarUtf8, recusaNaoUtf8, semBomInicial } fro
 // mesma). Reexportada para quem já importava daqui.
 export { CARACTERE_DE_TROCA, CodificacaoInvalida, decodificarUtf8, semBomInicial, } from './texto-utf8.js';
 /**
- * Aviso de que o segredo registrado ainda não chega ao app na VM. Com data:
- * quando o agente for liberado, a frase fica visivelmente velha em vez de
- * mentir calada. Mesmo fato que o Core declara no `assertNoSecretEnvVars`.
+ * Primeira versão PUBLICADA do agente da VM que entrega os segredos do produto
+ * ao app (Parte 2 de bug_8b85353b, agent#87): com `productEnv: true` no
+ * `agent.deploy`, ele busca os valores no Core e grava
+ * `/etc/neetru/<slug>.product.env` (root, 0600), lido pelo unit do app.
+ *
+ * Por que 1.6.80 e não 1.6.79: o CHANGELOG do agente põe o recurso na 1.6.79,
+ * mas essa versão foi declarada e nunca publicada; `agent_releases/1.6.80`
+ * (stable) saiu em 2026-10-20 e as duas VMs operacionais (snee-002-multi e
+ * snee-003-db) reportam 1.6.80 desde 2026-10-22 (medido na vistoria de 22/10).
+ * Agente mais velho ignora `productEnv` calado — por isso a versão vai na nota.
+ */
+export const AGENTE_MINIMO_SEGREDO_DO_PRODUTO = '1.6.80';
+// Até a 2.33.0 a CLI dizia, no `secrets set` (tela e `note` do `--json`) e no
+// `deploy --target vm`, que "o agente da VM ainda não entrega segredos do
+// produto ao app" — frase escrita em 2026-10-16, verdadeira até a 1.6.80 sair
+// (2026-10-20) e falsa depois. Ela mandava o dev NÃO usar um caminho que
+// funciona: a imagem espelhada do defeito que define o bug_8b85353b
+// ("documentar um caminho que não existe"). As duas notas abaixo dizem só o
+// que é verdade hoje: QUANDO o segredo chega (num deploy) e o que a VM precisa.
+/** Nota depois de `neetru secrets set` gravar: o app só vê a gravação no PRÓXIMO deploy. */
+export function notaEntregaDoSegredo(ambiente) {
+    return (`O app recebe o segredo no próximo deploy em ${ambiente}: nesse deploy o agente da VM ` +
+        `(versão ${AGENTE_MINIMO_SEGREDO_DO_PRODUTO} ou mais nova) busca o valor no Core e o grava ` +
+        'num arquivo que só o root da VM lê. O app que está no ar só vê esta gravação depois desse deploy.');
+}
+/**
+ * Nota do `neetru deploy --target vm` depois de descartar do `--env-file`
+ * chave(s) com cara de segredo que o registro aceita. `env` é o `--env` cru do
+ * deploy: sai no nome canônico que o Core aceita, ou `<ambiente>`.
  */
-export const AVISO_AGENTE_PENDENTE = 'Atenção: em 2026-10-16 o agente da VM ainda não entrega segredos do produto ao app ' +
-    '(Parte 2 de bug_8b85353b). O registro já vale e passa a chegar ao app no primeiro ' +
-    'deploy depois que o agente for atualizado.';
+export function notaSegredoDescartadoNoDeploy(env) {
+    const ambiente = normalizarAmbienteTenant(env) ?? '<ambiente>';
+    return ('Segredo do produto chega ao app na VM pelo registro, não pelo --env-file: a chave já ' +
+        `registrada em ${ambiente} entra neste deploy (agente da VM ${AGENTE_MINIMO_SEGREDO_DO_PRODUTO} ` +
+        'ou mais novo); a que ainda não está registrada só chega no primeiro deploy depois do ' +
+        `registro. Confira o que já está registrado com \`neetru secrets list --env ${ambiente}\`.`);
+}
 /**
  * O comando que registra `chave` no ambiente do deploy. `env` é o `--env` cru
  * do deploy (`dev`, `production`…): sai no nome canônico que o Core aceita, ou
@@ -140,15 +170,20 @@ export function problemaNaChaveReservada(chave) {
  * Por que a chave é recusada, ou `null` se serve. NUNCA repete o que foi
  * digitado: `KEY=valor` e o valor colado no lugar do nome são os dois erros
  * mais prováveis, e ecoar a entrada imprimiria o segredo.
+ *
+ * `comoMandarOValor`: por onde o valor entra NO COMANDO que chamou (o `set`
+ * passa "por --stdin, --from-file ou pelo pedido na tela"). bug_89d2497e
+ * (etapa 1): o texto citava essas flags a todo chamador, e o `secrets archive`
+ * — que não recebe valor nem declara as flags — também o mostrava.
  */
-export function problemaNaChave(chave) {
+export function problemaNaChave(chave, comoMandarOValor) {
     if (typeof chave === 'string' && CHAVE_SEGREDO_RE.test(chave))
         return null;
     if (typeof chave === 'string' && chave.includes('=')) {
         return ('Parece que você passou CHAVE=VALOR. O valor do segredo nunca vai na linha de ' +
-            'comando (fica no histórico do shell). Passe só o nome e mande o valor por ' +
-            '--stdin, --from-file ou pelo pedido na tela. Se o valor já foi digitado, ' +
-            'considere-o exposto e troque-o.');
+            'comando (fica no histórico do shell). Passe só o nome' +
+            (comoMandarOValor ? ` e mande o valor ${comoMandarOValor}` : '') +
+            '. Se o valor já foi digitado, considere-o exposto e troque-o.');
     }
     return ('Nome de segredo inválido. Use CAIXA_ALTA com letras, dígitos e underscore, ' +
         'começando por letra, de 2 a 64 caracteres (ex.: NEETRU_WEBHOOK_SECRET). ' +

package/dist/lib/sse.d.ts

@@ -4,11 +4,10 @@
  * linha `data: ` encontrada — `payload` é a string crua (sem parse; o caller
  * decide o shape do JSON e trata `[DONE]`/keep-alives à sua maneira).
  *
- * Extraído de `src/lib/ai/orchestrator.ts` (onde nasceu pra reusar o parsing
- * manual que `streamGemini` já fazia em `streamGateway`) pra um módulo sem
- * dependências pesadas — `code-agent-gateway.ts` (`neetru code`) reusa o
- * mesmo parser sem herdar o bundle inteiro do orchestrator (@anthropic-ai/sdk
- * + openai). Cleanup do reader é feito aqui (`reader.cancel()` em finally) —
+ * Extraído de `src/lib/ai/orchestrator.ts` (onde nasceu no `streamGateway`)
+ * pra um módulo sem dependências pesadas — `code-agent-gateway.ts`
+ * (`neetru code`) reusa o mesmo parser sem herdar o bundle inteiro do
+ * orchestrator (SDK `openai`). Cleanup do reader é feito aqui (`reader.cancel()` em finally) —
  * o caller só precisa gerenciar seu próprio timeout/AbortController.
  */
 export declare function readSseLines(body: ReadableStream<Uint8Array>, onLine: (payload: string) => void): Promise<void>;

package/dist/lib/sse.js

@@ -4,11 +4,10 @@
  * linha `data: ` encontrada — `payload` é a string crua (sem parse; o caller
  * decide o shape do JSON e trata `[DONE]`/keep-alives à sua maneira).
  *
- * Extraído de `src/lib/ai/orchestrator.ts` (onde nasceu pra reusar o parsing
- * manual que `streamGemini` já fazia em `streamGateway`) pra um módulo sem
- * dependências pesadas — `code-agent-gateway.ts` (`neetru code`) reusa o
- * mesmo parser sem herdar o bundle inteiro do orchestrator (@anthropic-ai/sdk
- * + openai). Cleanup do reader é feito aqui (`reader.cancel()` em finally) —
+ * Extraído de `src/lib/ai/orchestrator.ts` (onde nasceu no `streamGateway`)
+ * pra um módulo sem dependências pesadas — `code-agent-gateway.ts`
+ * (`neetru code`) reusa o mesmo parser sem herdar o bundle inteiro do
+ * orchestrator (SDK `openai`). Cleanup do reader é feito aqui (`reader.cancel()` em finally) —
  * o caller só precisa gerenciar seu próprio timeout/AbortController.
  */
 export async function readSseLines(body, onLine) {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@neetru/cli",
-  "version": "2.33.0",
+  "version": "2.34.0",
   "type": "module",
   "description": "Neetru Developer Kit — scaffold, AI assistant, publish, build e deploy de produtos SaaS Neetru via Core (VM-based agents)",
   "keywords": [
@@ -42,7 +42,6 @@
     "prepublishOnly": "npm run build"
   },
   "dependencies": {
-    "@anthropic-ai/sdk": "^0.96.0",
     "@neetru/db-classifier": "^0.1.5",
     "chalk": "^5.4.1",
     "commander": "^12.1.0",