@nextxai/cli 0.1.1 → 0.3.1

package/dist/commands/ai.js

@@ -10,7 +10,10 @@ import { get, post, put, del } from "../core/http.js";
 import { getProfile, updateProfile } from "../core/config.js";
 import { hasTty, confirm, confirmTyped, select } from "../core/prompt.js";
 import { requirePerson, withWorkspace } from "../auth/session.js";
-import { ask, attach, composeText, confirmAction, listConversations, openConversation, renameConversation, pinConversation, deleteConversation, history, riskOf, confirmWord, } from "../ai/client.js";
+import { ask, attach, attachmentKind, composeText, confirmAction, listConversations, openConversation, renameConversation, pinConversation, deleteConversation, history, riskOf, confirmWord, } from "../ai/client.js";
+import { LocalChat } from "../ai/local.js";
+import { mcpToken } from "../auth/mcp-oauth.js";
+import { defaultModel, resolveModel } from "../ai/models.js";
 // ── NEXTX.md ───────────────────────────────────────────────────────────────────────────────────────
 const NOTES_MAX = 4096;
 export function notesFileName() {
@@ -64,7 +67,8 @@ export function renderBlocks(blocks) {
 export function proposalCard(a) {
     const env = context().env === "prod" ? c.red(tr("GHI VÀO PROD", "WRITES TO PROD")) : c.yellow("SANDBOX");
     const risk = riskOf(a);
-    const tag = risk === "large" ? c.red(tr("GHI LỚN · ", "LARGE WRITE · ")) : risk === "finance" ? c.red(tr("TÀI CHÍNH · ", "FINANCE · ")) : "";
+    const tag = risk === "large" ? c.red(tr("GHI LỚN · ", "LARGE WRITE · ")) : risk === "finance" ? c.red(tr("TÀI CHÍNH · ", "FINANCE · "))
+        : risk === "device" ? c.red(tr("THIẾT BỊ · ", "DEVICE · ")) : "";
     const left = a.expiresAt ? Math.max(0, Math.round((Date.parse(a.expiresAt) - Date.now()) / 60000)) : 15;
     const lines = [
         c.yellow(`┌ ${tr("Đề xuất", "Proposal")} `) + tag + env + c.yellow(` · ${tr(`hết hạn sau ${left} phút`, `expires in ${left} min`)}`),
@@ -83,22 +87,59 @@ export function proposalCard(a) {
  * Rules (docs §2.6): read mode never writes; finance never from the terminal; no TTY ⇒ never;
  * large writes need the typed number; auto mode skips the y/N for normal writes only.
  */
+/** Thẻ đăng nhập CI (login --ci): không có người bấm, máy chủ quyết theo chính sách duyệt trước (ci policy). */
+async function isCiSession() {
+    const { currentAuth } = await import("../auth/session.js");
+    const a = await currentAuth().catch(() => undefined);
+    return a?.kind === "session" && a.session.via === "ci";
+}
+/** Lệnh để người xác nhận đề xuất sau: nền tảng mặc định mở lại hội thoại, nền tảng khác có thể theo id đề xuất. */
+function confirmHint(nonce, conversationId) {
+    return `${brand().bin} -r ${conversationId}`;
+}
+/** 403 của cổng ghi CI ⇒ việc chưa ghi, đề xuất còn chờ người duyệt — báo rõ, không coi là lỗi chương trình. */
+function ciDenied(e) {
+    const err = e;
+    return err instanceof CliError && err.exitCode === Exit.forbidden ? err.message : undefined;
+}
 export async function handleProposal(sessionId, a, mode = context().mode) {
     if (!a.writes) {
         const r = await confirmAction(sessionId, a);
         return { written: false, message: r.message };
     }
     const risk = riskOf(a);
-    const resume = `${brand().bin} -r ${sessionId}`;
+    // Đề xuất của nền tảng mặc định xác nhận bằng cách mở lại hội thoại.
+    let resume = `${brand().bin} -r ${sessionId}`;
     if (mode === "read") {
         info(c.dim(tr("  Chế độ chỉ đọc: không ghi. Đổi chế độ: --mode propose", "  Read-only mode: nothing written. Switch with --mode propose")));
         return { written: false };
     }
-    if (risk === "finance") {
-        info(c.dim(tr(`  Việc tài chính chỉ xác nhận trong app: ${context().endpoints.app}`, `  Finance actions are confirmed in the app only: ${context().endpoints.app}`)));
+    if (risk === "finance" || risk === "device") {
+        info(c.dim(risk === "device"
+            ? tr(`  Việc chạm thiết bị / tự động hoá chỉ xác nhận trong app: ${context().endpoints.app}`, `  Device and automation actions are confirmed in the app only: ${context().endpoints.app}`)
+            : tr(`  Việc tài chính chỉ xác nhận trong app: ${context().endpoints.app}`, `  Finance actions are confirmed in the app only: ${context().endpoints.app}`)));
         return { written: false };
     }
     if (!hasTty()) {
+        // CI + --mode auto: gửi Xác nhận, máy chủ chỉ ghi trong chính sách duyệt trước của kho này (ci policy).
+        if (brand().platform === "nextx" && mode === "auto" && (await isCiSession())) {
+            try {
+                const r = await confirmAction(sessionId, a);
+                if (r.success)
+                    ok(r.message || tr("Đã ghi (CI, trong phạm vi duyệt trước).", "Written (CI, within the pre-approved scope)."));
+                else
+                    warn(r.message);
+                return { written: r.success, message: r.message };
+            }
+            catch (e) {
+                const why = ciDenied(e);
+                if (!why)
+                    throw e;
+                info(`  ${c.yellow("⚠")} ${why}`);
+                info(c.dim(tr(`  Cho CI tự ghi: ${brand().bin} ci policy request`, `  Let CI write: ${brand().bin} ci policy request`)));
+                return { written: false, message: why };
+            }
+        }
         info(tr(`  Chưa ghi. Xác nhận trong 15 phút: ${c.bold(resume)}`, `  Not written. Confirm within 15 minutes: ${c.bold(resume)}`));
         return { written: false };
     }
@@ -154,17 +195,59 @@ export async function resolveConversation(o) {
 }
 export async function runRoot(o, words) {
     const printMode = o.print !== undefined && o.print !== false;
+    const spec = o.model ?? defaultModel();
+    const model = spec ? resolveModel(spec) : undefined;
     if (!printMode && hasTty() && outputFormat() === "text") {
         await requirePerson();
+        // The MCP grant may need a browser round-trip; do it before the chat UI owns the terminal.
+        if (model)
+            await mcpToken({ interactive: true });
         const { startRepl } = await import("../repl/index.js");
-        return withWorkspace(context().workspace, () => startRepl({ flags: o, initialQuestion: words.join(" ").trim() || undefined }));
+        return withWorkspace(context().workspace, () => startRepl({ flags: o, initialQuestion: words.join(" ").trim() || undefined, model }));
     }
     const q = [typeof o.print === "string" ? o.print : "", ...words].join(" ").trim();
     const piped = await readStdin();
     if (!q && !piped)
-        throw new CliError(tr(`Thiếu câu hỏi. Ví dụ: ${brand().bin} -p "doanh thu hôm qua"`, `Missing question. Example: ${brand().bin} -p "yesterday's revenue"`), Exit.usage);
+        throw new CliError(tr(`Thiếu câu hỏi. Ví dụ: ${brand().bin} -p "${brand().example.vi}"`, `Missing question. Example: ${brand().bin} -p "${brand().example.en}"`), Exit.usage);
     await requirePerson();
-    await withWorkspace(context().workspace, () => printAsk(o, q || tr("Xử lý nội dung đính kèm.", "Process the attached content."), piped));
+    const question = q || tr("Xử lý nội dung đính kèm.", "Process the attached content.");
+    await withWorkspace(context().workspace, () => (model ? printLocal(o, model, question, piped) : printAsk(o, question, piped)));
+}
+/** -p with --model: same output contract as the platform assistant, answered by the user's model. */
+async function printLocal(o, model, question, piped) {
+    const attachments = [];
+    for (const f of (o.file ?? []).slice(0, 3)) {
+        if (attachmentKind(f) !== "text")
+            throw new CliError(tr(`Model riêng chỉ đọc tệp chữ: ${f}`, `Your own model reads text files only: ${f}`), Exit.usage);
+        attachments.push(await attach(f));
+    }
+    if (piped)
+        attachments.push({ path: "-", name: "stdin", kind: "text", text: piped.slice(0, 20_000) });
+    const fmt = outputFormat();
+    const chat = new LocalChat(model, hasTty(), context().mode === "read");
+    const outcome = await chat.ask({
+        text: composeText(question, attachments, findProjectNotes()?.text),
+        onChunk: (ch) => {
+            if (fmt === "stream-json")
+                return json(ch);
+            if (fmt !== "text")
+                return;
+            if (ch.type === "token")
+                process.stdout.write(ch.text ?? "");
+            else if (ch.type === "activity" && ch.activity && !o.quiet)
+                process.stderr.write(c.dim(`⏺ ${ch.activity.label}\n`));
+        },
+    });
+    if (fmt === "json")
+        json({ model: model.label, text: outcome.text, notices: outcome.notices, tools: outcome.activities.map((a) => a.toolName), workspace: getProfile(context().profile)?.workspaceCode ?? null, env: context().env, ended: outcome.ended });
+    else if (fmt === "text") {
+        if (outcome.text && !outcome.text.endsWith("\n"))
+            process.stdout.write("\n");
+        for (const n of outcome.notices)
+            process.stderr.write(`${c.yellow("⚠")} ${n.message}\n`);
+    }
+    if (outcome.ended === "error")
+        process.exitCode = Exit.general;
 }
 async function printAsk(o, question, piped) {
     const sessionId = await resolveConversation(o);
@@ -195,11 +278,26 @@ async function printAsk(o, question, piped) {
         },
         onRetry: (n) => stderr.write(c.yellow(tr(`⚠ Mất kết nối, đang nối lại (${n}/2)…\n`, `⚠ Connection lost, reconnecting (${n}/2)…\n`))),
     });
-    updateProfile(context().profile, { lastConversation: sessionId });
+    const conversationId = outcome.sessionId || sessionId;
+    updateProfile(context().profile, { lastConversation: conversationId });
     const proposal = outcome.proposedAction;
+    // Written in this run (CI pre-approval, or confirmed at the prompt) ⇒ nothing is left to confirm, exit 0.
+    let written = false;
     if (fmt === "json") {
+        const risk = proposal ? riskOf(proposal) : undefined;
+        const allowedRisk = context().mode !== "read" && risk !== "finance" && risk !== "device";
+        let applied;
+        // Nền tảng mặc định: phiên CI + --mode auto ⇒ gửi Xác nhận, máy chủ chỉ ghi trong chính sách duyệt trước (403 ⇒ chưa ghi, kèm lý do).
+        if (!applied && proposal?.writes && brand().platform === "nextx" && allowedRisk && context().mode === "auto" && !hasTty() && (await isCiSession()))
+            applied = await confirmAction(conversationId, proposal).then((r) => ({ written: r.success, message: r.message }), (e) => {
+                const why = ciDenied(e);
+                if (!why)
+                    throw e;
+                return { written: false, message: why };
+            });
+        written = applied?.written ?? false;
         json({
-            conversationId: sessionId,
+            conversationId,
             runId: outcome.runId ?? null,
             messageId: outcome.done?.messageId ?? null,
             text: outcome.text,
@@ -207,7 +305,9 @@ async function printAsk(o, question, piped) {
             followUps: outcome.done?.followUps ?? [],
             notices: outcome.notices,
             agent: outcome.agent ?? null,
-            proposals: proposal ? [{ kind: proposal.kind, label: proposal.label, prompt: proposal.confirmPrompt, writes: proposal.writes, expiresAt: proposal.expiresAt ?? null, risk: riskOf(proposal), confirm: `${brand().bin} -r ${sessionId}` }] : [],
+            proposals: proposal ? [{ kind: proposal.kind, label: proposal.label, prompt: proposal.confirmPrompt, writes: proposal.writes, expiresAt: proposal.expiresAt ?? null, risk: riskOf(proposal),
+                    confirm: confirmHint(proposal.nonce, conversationId),
+                    ...(applied ? { applied: { written: applied.written, message: applied.message } } : {}) }] : [],
             workspace: getProfile(context().profile)?.workspaceCode ?? null,
             env: context().env,
             ended: outcome.ended,
@@ -225,12 +325,12 @@ async function printAsk(o, question, piped) {
         if (proposal) {
             for (const l of proposalCard(proposal))
                 stderr.write(`${l}\n`);
-            await handleProposal(sessionId, proposal);
+            written = (await handleProposal(conversationId, proposal)).written;
         }
     }
     if (outcome.notices.some((n) => n.code === "ai_not_purchased"))
         process.exitCode = Exit.forbidden;
-    else if (proposal?.writes)
+    else if (proposal?.writes && !written)
         process.exitCode = Exit.notConfirmed;
     else if (outcome.ended === "error")
         process.exitCode = Exit.general;
@@ -352,13 +452,16 @@ export function registerAi(program) {
         const head = await findChangeset(id);
         if (context().mode === "read")
             throw new CliError(tr("Chế độ chỉ đọc.", "Read-only mode."), Exit.forbidden);
-        if (!hasTty())
-            throw new CliError(tr("Áp dụng bản nháp cần terminal tương tác (hoặc chính sách duyệt trước).", "Applying needs an interactive terminal (or a pre-approval policy)."), Exit.notConfirmed);
+        const ci = !hasTty() && (await isCiSession());
+        if (!hasTty() && !ci)
+            throw new CliError(tr("Áp dụng bản nháp cần terminal tương tác (hoặc đăng nhập CI có phạm vi duyệt trước).", "Applying needs an interactive terminal (or a CI login with a pre-approved scope)."), Exit.notConfirmed);
         const env = context().env === "prod" ? c.red("PROD") : c.yellow("SANDBOX");
         info(`${c.bold(head.title)} · ${env}`);
-        const yes = head.risk >= 3 ? await confirmTyped("", tr("dong-y", "confirm")) : await confirm(tr("Áp dụng?", "Apply?"));
-        if (!yes)
-            return void info(tr("Không ghi gì.", "Nothing written."));
+        if (!ci) {
+            const yes = head.risk >= 3 ? await confirmTyped("", tr("dong-y", "confirm")) : await confirm(tr("Áp dụng?", "Apply?"));
+            if (!yes)
+                return void info(tr("Không ghi gì.", "Nothing written."));
+        }
         const r = await post(`/ai/changesets/${head.id}/apply`, undefined, { query: { expectedVersion: head.version } });
         emit(r, () => ok(tr(`Đã áp dụng · hoàn tác: ${brand().bin} ai undo ${short(head.id)}`, `Applied · undo: ${brand().bin} ai undo ${short(head.id)}`)));
     });
@@ -464,7 +567,7 @@ export function registerAi(program) {
     });
     ai.command("usage").description(tr("lượt AI tháng này", "AI turns this month"))
         .action(async () => {
-        const u = await get("/operator/widget/support/usage");
+        const u = await (await import("../ai/client.js")).usage();
         emit(u, () => info(`${tr("Gói", "Plan")} ${c.bold(u.planName ?? "-")} · ${tr("đã dùng", "used")} ${u.used ?? 0}${u.limit ? `/${u.limit}` : ""} · ${tr("mở lại", "resets")} ${u.resetsAt?.slice(0, 10) ?? ""}`));
     });
     ai.command("feedback <messageId> <vote>").description(tr("báo câu trả lời tốt (up) / chưa tốt (down)", "rate an answer: up / down"))

package/dist/commands/api.js

@@ -1,4 +1,5 @@
 import { readFileSync } from "node:fs";
+import { brand } from "../core/brand.js";
 import { context } from "../core/context.js";
 import { CliError, Exit } from "../core/errors.js";
 import { tr } from "../core/i18n.js";
@@ -25,7 +26,7 @@ export function select(value, path) {
 export function registerApi(program) {
     program
         .command("api <method> <path>")
-        .description(tr("gọi thẳng API (vd: api GET /crm/contacts -f q=Minh)", "call the API directly (e.g. api GET /crm/contacts -f q=Minh)"))
+        .description(tr(`gọi thẳng API (vd: api ${brand().apiExample})`, `call the API directly (e.g. api ${brand().apiExample})`))
         .option("-f, --raw-field <key=value>", tr("tham số dạng chuỗi: query với GET/DELETE, thân JSON với POST/PUT/PATCH (lặp được)", "string parameter: query for GET/DELETE, JSON body for POST/PUT/PATCH (repeatable)"), (v, p = []) => [...p, v])
         .option("-F, --field <key=value>", tr("như -f nhưng đoán kiểu: số, true/false, JSON", "like -f but typed: numbers, true/false, JSON"), (v, p = []) => [...p, v])
         .option("--input <file>", tr("thân request từ tệp JSON (- = stdin)", "request body from a JSON file (- = stdin)"))
@@ -61,7 +62,7 @@ export function registerApi(program) {
         let page = Number(query?.pageNumber ?? query?.page ?? 1);
         for (;;) {
             const q = o.paginate ? { ...query, pageNumber: page } : query;
-            const r = await request(method, path, { query: q, body, headers, idempotencyKey: o.idempotencyKey });
+            const r = await request(method, path, { query: q, body, headers, idempotencyKey: o.idempotencyKey, verbatim: true });
             if (o.include) {
                 info(c.dim(`HTTP ${r.status}`));
                 r.headers.forEach?.((v, k) => info(c.dim(`${k}: ${v}`)));

package/dist/commands/auth.js

@@ -21,7 +21,7 @@ export function browserAvailable() {
 }
 export async function usage() {
     try {
-        return await get("/operator/widget/support/usage");
+        return await (await import("../ai/client.js")).usage();
     }
     catch {
         return undefined;
@@ -31,8 +31,8 @@ function printLogin(r) {
     const p = getProfile(context().profile);
     ok(tr(`Đã đăng nhập ${c.bold(r.userName ?? "")} (${r.userEmail ?? ""})`, `Logged in as ${c.bold(r.userName ?? "")} (${r.userEmail ?? ""})`));
     info(`  ${tr("Workspace", "Workspace")}  ${c.bold(r.workspaceName ?? p?.workspaceName ?? "")}  · ${context().env === "prod" ? "prod" : c.yellow("sandbox")}`);
-    info(`  ${tr("Phiên", "Session")}      ${tr("tự gia hạn khi dùng, hết hạn nếu bỏ không 30 ngày", "renews while used, expires after 30 idle days")} · ${storageKind() === "keychain" ? "Keychain" : tr("tệp 0600", "0600 file")}`);
-    info(c.dim(`  ${tr("Thử", "Try")}: ${brand().bin}  ·  ${brand().bin} -p "${tr("doanh thu hôm qua", "yesterday's revenue")}"  ·  ${brand().bin} help`));
+    info(`  ${tr("Phiên", "Session")}      ${r.session.via === "ci" ? tr("15 phút, không gia hạn — hết thì đăng nhập CI lại", "15 minutes, no renewal — logs in again through CI when it ends") : tr("tự gia hạn khi dùng, hết hạn nếu bỏ không 30 ngày", "renews while used, expires after 30 idle days")} · ${storageKind() === "keychain" ? "Keychain" : tr("tệp 0600", "0600 file")}`);
+    info(c.dim(`  ${tr("Thử", "Try")}: ${brand().bin}  ·  ${brand().bin} -p "${tr(brand().example.vi, brand().example.en)}"  ·  ${brand().bin} help`));
 }
 export function registerAuth(program) {
     const b = brand();
@@ -47,6 +47,10 @@ export function registerAuth(program) {
         .action(async (o) => {
         const ws = context().workspace;
         let r;
+        if ((o.ci && b.notYet?.includes("ci")) || (o.device && b.notYet?.includes("device"))) {
+            const { notYetError } = await import("../core/errors.js");
+            throw notYetError(tr(`${b.name} chưa mở ${o.ci ? "đăng nhập CI bằng OIDC" : "đăng nhập bằng mã thiết bị"}`, `${b.name} does not offer ${o.ci ? "CI OIDC login" : "device-code login"} yet`), o.ci ? tr(`dùng khoá API: ${b.envPrefix}_API_KEY`, `use an API key: ${b.envPrefix}_API_KEY`) : tr(`dùng ${b.bin} login --qr (quét bằng app ${b.mobileApp}) hoặc --no-browser`, `use ${b.bin} login --qr (scan with the ${b.mobileApp} app) or --no-browser`));
+        }
         if (o.ci)
             r = await loginCi({ workspace: ws });
         else if (o.device)

package/dist/commands/ci-policy.js

@@ -0,0 +1,98 @@
+import { brand } from "../core/brand.js";
+import { CliError, Exit } from "../core/errors.js";
+import { tr } from "../core/i18n.js";
+import { c, emit, info, ok, table } from "../core/output.js";
+import { get, post } from "../core/http.js";
+import { confirm, hasTty } from "../core/prompt.js";
+import { context } from "../core/context.js";
+import { requirePerson } from "../auth/session.js";
+import { parseDuration } from "./keys.js";
+const BASE = "/ai/ci-write-policies";
+// Ví dụ + nơi duyệt theo nền tảng: có nền tảng ghi theo loại dòng nhật ký, nền tảng mặc định theo mã quyền ghi.
+const exampleKinds = () => brand().examples.ciKinds;
+function approvePlace() {
+    return tr("Thiết lập › Ứng dụng & API › CI", "Settings › Apps & API › CI");
+}
+const day = (s) => (s ? s.slice(0, 10) : "—");
+const shortId = (id) => id.slice(-8);
+function stateLabel(s) {
+    switch (s) {
+        case "active": return c.green(tr("đang hiệu lực", "active"));
+        case "pending": return c.yellow(tr("chờ duyệt", "pending"));
+        case "exhausted": return c.dim(tr("hết trần", "ceiling reached"));
+        case "expired": return c.dim(tr("hết hạn", "expired"));
+        default: return c.red(tr("đã thu hồi", "revoked"));
+    }
+}
+async function findPolicy(id) {
+    // Id UUID v7: 8 ký tự ĐẦU trùng nhau giữa các chính sách tạo cùng lúc (tiền tố thời gian) ⇒ bảng hiện 8 ký tự CUỐI, tìm khớp cả hai đầu.
+    const all = (await get(BASE)).items;
+    const hits = all.filter((x) => x.id === id || x.id.startsWith(id) || x.id.endsWith(id));
+    if (hits.length > 1)
+        throw new CliError(tr("Mã ngắn trùng nhiều chính sách — gõ thêm ký tự.", "Short id matches several policies — type more characters."), Exit.usage);
+    const p = hits[0];
+    if (!p)
+        throw new CliError(tr("Không thấy chính sách này.", "Policy not found."), Exit.notFound);
+    return p;
+}
+export function registerCiPolicy(ci) {
+    const policy = ci.command("policy")
+        .description(tr("chính sách duyệt trước: cho CI tự ghi trong trần", "pre-approval policies: let CI write within a ceiling"));
+    policy.hook("preAction", async () => { await requirePerson(); });
+    policy.command("list", { isDefault: true }).action(async () => {
+        const { items } = await get(BASE);
+        emit(items, () => info(items.length
+            ? table(["ID", tr("Kho", "Repository"), tr("Được ghi", "Kinds"), tr("Đã dùng", "Used"), tr("Hết hạn", "Expires"), ""], items.map((p) => [
+                shortId(p.id), p.repository ?? shortId(p.ciTrustId), p.kinds.join(", "), `${p.usedRecords}/${p.maxRecords}`, day(p.expiresAt), stateLabel(p.state),
+            ]))
+            : tr(`Chưa có chính sách — CI chỉ in link để xác nhận. Xin: ${brand().bin} ci policy request --trust <kho> --kinds ${exampleKinds()}`, `No policy — CI only prints a link to confirm. Request one: ${brand().bin} ci policy request --trust <repo> --kinds ${exampleKinds()}`)));
+    });
+    policy.command("kinds").description(tr("loại ghi đưa được vào chính sách", "kinds a policy can cover")).action(async () => {
+        const { items } = await get(`${BASE}/kinds`);
+        emit(items, () => info(items.join("\n")));
+    });
+    policy.command("show <id>").action(async (id) => {
+        const p = await findPolicy(id);
+        emit(p, () => {
+            info(`${c.bold(p.repository ?? p.ciTrustId)}  ${stateLabel(p.state)}`);
+            info(tr(`Được ghi: ${p.kinds.join(", ")}`, `Kinds: ${p.kinds.join(", ")}`));
+            info(tr(`Đã dùng: ${p.usedRecords}/${p.maxRecords} · hết hạn ${day(p.expiresAt)} · ghi lần cuối ${day(p.lastUsedAt)}`, `Used: ${p.usedRecords}/${p.maxRecords} · expires ${day(p.expiresAt)} · last write ${day(p.lastUsedAt)}`));
+            if (p.note)
+                info(c.dim(p.note));
+        });
+    });
+    policy.command("request")
+        .description(tr("xin cho một kho CI tự ghi (người quản lý khoá API duyệt; có quyền thì có hiệu lực ngay)", "ask to let a CI repository write (an API-key manager approves; with that permission it is active at once)"))
+        .requiredOption("--trust <id|owner/repo>", tr("khai báo CI (xem: ci trust list)", "CI trust (see: ci trust list)"))
+        .requiredOption("--kinds <a,b>", tr("loại ghi (xem: ci policy kinds)", "kinds (see: ci policy kinds)"))
+        .option("--max <n>", tr("trần số bản ghi (1–1000)", "record ceiling (1–1000)"), "50")
+        .option("--expires <dur>", tr("thời hạn tối đa 30d", "lifetime, at most 30d"), "14d")
+        .option("--note <text>")
+        .option("--approve", tr("duyệt luôn (cần quyền quản lý khoá API)", "approve now (needs API-key manage permission)"))
+        .action(async (o) => {
+        const want = o.trust.trim().toLowerCase();
+        const trust = (await get("/iam/ci-trusts")).find((t) => !t.revokedAt && (t.id.startsWith(want) || t.repository === want));
+        if (!trust)
+            throw new CliError(tr(`Không thấy kho CI "${o.trust}".`, `No CI trust "${o.trust}".`), Exit.notFound, `${brand().bin} ci trust list`);
+        const max = Number(o.max);
+        if (!Number.isInteger(max) || max < 1 || max > 1000)
+            throw new CliError(tr("--max từ 1 đến 1000.", "--max must be 1–1000."), Exit.usage);
+        const p = await post(BASE, {
+            ciTrustId: trust.id, repository: trust.repository, kinds: o.kinds.split(",").map((k) => k.trim()).filter(Boolean),
+            maxRecords: max, expiresAt: parseDuration(o.expires), note: o.note ?? null, approve: !!o.approve,
+        });
+        emit(p, () => {
+            ok(p.state === "active"
+                ? tr(`CI của ${trust.repository} được tự ghi ${p.kinds.join(", ")} — tối đa ${p.maxRecords} bản ghi tới ${day(p.expiresAt)}.`, `CI of ${trust.repository} may write ${p.kinds.join(", ")} — up to ${p.maxRecords} records until ${day(p.expiresAt)}.`)
+                : tr(`Đã gửi duyệt (${shortId(p.id)}). Người quản lý duyệt tại ${context().endpoints.app} › ${approvePlace()}.`, `Sent for approval (${shortId(p.id)}). A manager approves in ${context().endpoints.app} › ${approvePlace()}.`));
+        });
+    });
+    policy.command("revoke <id>").description(tr("thu hồi (lượt ghi kế tiếp quay về chỉ in link)", "revoke (the next write goes back to a link)"))
+        .action(async (id) => {
+        const p = await findPolicy(id);
+        if (hasTty() && !(await confirm(tr(`Thu hồi chính sách của ${p.repository ?? shortId(p.id)}?`, `Revoke the policy for ${p.repository ?? shortId(p.id)}?`))))
+            return;
+        await post(`${BASE}/${p.id}/revoke`, {});
+        ok(tr("Đã thu hồi.", "Revoked."));
+    });
+}

package/dist/commands/ci.js

@@ -0,0 +1,96 @@
+import { brand } from "../core/brand.js";
+import { CliError, Exit } from "../core/errors.js";
+import { tr } from "../core/i18n.js";
+import { c, emit, info, ok, table } from "../core/output.js";
+import { get, post } from "../core/http.js";
+import { confirm, hasTty } from "../core/prompt.js";
+import { requirePerson } from "../auth/session.js";
+import { parseDuration } from "./keys.js";
+import { registerCiPolicy } from "./ci-policy.js";
+async function findTrust(id) {
+    const t = (await get("/iam/ci-trusts")).find((x) => x.id.startsWith(id) || x.repository === id);
+    if (!t)
+        throw new CliError(tr("Không thấy khai báo này.", "Not found."), Exit.notFound);
+    return t;
+}
+const when = (s) => (s ? s.slice(0, 16).replace("T", " ") : "—");
+export function workflowSample(repo = "acme/web", ws = "my-workspace") {
+    const b = brand();
+    return `# .github/workflows/report.yml  (${repo})
+permissions:
+  id-token: write   # cho phép lấy token OIDC — không cần secret nào
+  contents: read
+jobs:
+  report:
+    runs-on: ubuntu-latest
+    steps:
+      - run: npx -y ${b.pkg} login --ci --workspace ${ws}
+      - run: npx -y ${b.pkg} -p "${tr(b.example.vi, b.example.en)}" --json > report.json`;
+}
+/** Mẫu CI có GHI: chỉ chạy được sau khi quản trị mở phạm vi (ci trust set --allow … --max-per-run …). */
+export function workflowWriteSample(repo = "acme/web", ws = "my-workspace") {
+    const b = brand();
+    return `# .github/workflows/follow-up.yml  (${repo})
+# ${tr("Ghi chỉ trong chính sách duyệt trước (ci policy request); ngoài phạm vi thì để lại đề xuất chờ người duyệt (mã thoát 7).", "Writes only within an approved policy (ci policy request); anything else stays a proposal for a person (exit code 7).")}
+permissions:
+  id-token: write
+  contents: read
+jobs:
+  follow-up:
+    runs-on: ubuntu-latest
+    steps:
+      - run: npx -y ${b.pkg} login --ci --workspace ${ws}
+      - run: npx -y ${b.pkg} -p "${tr("tạo việc gọi lại cho khách quá hạn chăm sóc 7 ngày", "create call-back tasks for customers not contacted in 7 days")}" --mode auto`;
+}
+export function registerCi(program) {
+    const ci = program.command("ci").description(tr("đăng nhập từ CI không cần bí mật (OIDC)", "secretless CI login (OIDC)"));
+    const trust = ci.command("trust").description(tr("kho CI được phép đăng nhập workspace này", "CI repositories allowed to log in to this workspace"));
+    trust.hook("preAction", async () => {
+        if (brand().notYet?.includes("ci")) {
+            const { notYetError } = await import("../core/errors.js");
+            throw notYetError(tr(`${brand().name} chưa mở đăng nhập CI bằng OIDC`, `${brand().name} does not offer CI OIDC login yet`), tr(`dùng khoá API: ${brand().envPrefix}_API_KEY`, `use an API key: ${brand().envPrefix}_API_KEY`));
+        }
+        await requirePerson();
+    });
+    trust.command("list", { isDefault: true }).action(async () => {
+        const list = await get("/iam/ci-trusts");
+        emit(list, () => info(list.length
+            ? table(["ID", tr("Kho", "Repository"), "Ref", "Env", tr("Dùng lần cuối", "Last used"), ""], list.map((t) => [
+                t.id.slice(0, 8), `${t.provider}:${t.repository}`, t.refPattern, t.environment ?? "", when(t.lastUsedAt), t.revokedAt ? c.red(tr("đã thu hồi", "revoked")) : c.green("●"),
+            ]))
+            : tr(`Chưa có kho nào. Thêm: ${brand().bin} ci trust add --repo owner/repo`, `None yet. Add one: ${brand().bin} ci trust add --repo owner/repo`)));
+    });
+    trust.command("add")
+        .description(tr("cho một kho đăng nhập (token đứng tên bạn, sống 15 phút)", "allow a repository to log in (tokens act as you, live 15 minutes)"))
+        .requiredOption("--repo <owner/repo>")
+        .option("--provider <p>", "github | gitlab", "github")
+        .option("--ref <ref>", tr("nhánh hoặc tiền tố tag, vd main · refs/tags/v*", "branch or tag prefix, e.g. main · refs/tags/v*"), "main")
+        .option("--environment <name>", tr("environment GitHub bắt buộc (khuyên dùng cho nhánh chính)", "required GitHub environment (recommended for the main branch)"))
+        .option("--expires <dur>", tr("thời hạn: 90d, 1y", "lifetime: 90d, 1y"))
+        .option("--name <name>")
+        .action(async (o) => {
+        const t = await post("/iam/ci-trusts", {
+            provider: o.provider, repository: o.repo, refPattern: o.ref, environment: o.environment, name: o.name,
+            expiresAt: o.expires ? parseDuration(o.expires) : null,
+        });
+        emit(t, () => {
+            ok(tr(`Đã cho ${t.provider}:${t.repository} (${t.refPattern}) đăng nhập`, `Allowed ${t.provider}:${t.repository} (${t.refPattern})`));
+            info(c.dim(tr(`\nCho CI tự ghi trong trần: ${brand().bin} ci policy request --trust ${t.repository} --kinds <mã>`, `\nLet CI write within a ceiling: ${brand().bin} ci policy request --trust ${t.repository} --kinds <code>`)));
+            info(c.dim(tr("\nMẫu workflow:", "\nSample workflow:")));
+            info(workflowSample(t.repository));
+        });
+    });
+    trust.command("revoke <id>").description(tr("thu hồi (có hiệu lực ngay)", "revoke (immediate)")).action(async (id) => {
+        const t = await findTrust(id);
+        if (hasTty() && !(await confirm(tr(`Thu hồi ${t.repository}?`, `Revoke ${t.repository}?`))))
+            return;
+        await post(`/iam/ci-trusts/${t.id}/revoke`, {});
+        ok(tr("Đã thu hồi.", "Revoked."));
+    });
+    // Chính sách duyệt trước: cùng hợp đồng /ai/ci-write-policies trên mọi nền tảng.
+    registerCiPolicy(ci);
+    ci.command("example").description(tr("in mẫu workflow GitHub Actions", "print a sample GitHub Actions workflow"))
+        .option("--repo <owner/repo>").option("--workspace <code>")
+        .option("--write", tr("mẫu có tự ghi (cần chính sách: ci policy request)", "sample that writes (needs a policy: ci policy request)"))
+        .action((o) => info(o.write ? workflowWriteSample(o.repo, o.workspace) : workflowSample(o.repo, o.workspace)));
+}

package/dist/commands/help.js

@@ -3,7 +3,7 @@ import { tr } from "../core/i18n.js";
 import { json } from "../core/output.js";
 import { VERSION } from "../core/version.js";
 import { Exit } from "../core/errors.js";
-import { SLASH, SHORTCUTS } from "../repl/slash.js";
+import { SHORTCUTS, slashCommands } from "../repl/slash.js";
 const opt = (o) => ({ flags: o.flags, description: o.description, ...(o.defaultValue !== undefined ? { default: o.defaultValue } : {}), ...(o.argChoices ? { choices: o.argChoices } : {}) });
 function walk(cmd) {
     return {
@@ -25,7 +25,7 @@ export function helpTree(program) {
         version: VERSION,
         brand: b.id,
         root: walk(program),
-        slashCommands: SLASH.map((s) => ({ name: `/${s.name}`, args: s.args ?? null, description: s.description() })),
+        slashCommands: slashCommands().map((s) => ({ name: `/${s.name}`, args: s.args ?? null, description: s.description() })),
         shortcuts: SHORTCUTS.map((s) => ({ keys: s.keys, description: s.description() })),
         exitCodes: Object.entries(Exit).map(([name, code]) => ({ name, code })),
         environment: ["API_KEY", "TOKEN", "PROFILE", "ENV", "WORKSPACE", "LANG", "DEBUG", "NO_UPDATE_CHECK", "NO_KEYCHAIN", "ID_TOKEN"].map((v) => `${b.envPrefix}_${v}`),

package/dist/commands/keys.js

@@ -20,6 +20,7 @@ async function findKey(id) {
         throw new CliError(tr("Không thấy khoá này.", "Key not found."), Exit.notFound);
     return k;
 }
+const scopeExample = () => brand().examples.scopes;
 export function registerKeys(program) {
     const keys = program.command("keys").description(tr("khoá API của workspace", "workspace API keys"));
     keys.hook("preAction", async () => void (await requirePerson()));
@@ -33,7 +34,7 @@ export function registerKeys(program) {
     keys.command("create")
         .description(tr("tạo khoá mới (in khoá đúng một lần)", "create a key (printed once)"))
         .requiredOption("--name <name>")
-        .requiredOption("--scopes <codes>", tr("mã quyền, phẩy ngăn cách, vd crm.contacts.view,sales.orders.view", "permission codes, comma separated, e.g. crm.contacts.view,sales.orders.view"))
+        .requiredOption("--scopes <codes>", tr(`mã quyền, phẩy ngăn cách, vd ${scopeExample()}`, `permission codes, comma separated, e.g. ${scopeExample()}`))
         .option("--expires <dur>", tr("thời hạn: 30d, 6m, 1y", "lifetime: 30d, 6m, 1y"), "90d")
         .option("--description <text>")
         .action(async (o) => {

package/dist/commands/mcp.js

@@ -138,8 +138,10 @@ export function registerMcp(program) {
 }
 /** Line-delimited JSON-RPC on stdio ⇄ Streamable HTTP to the hosted server. Logs go to stderr only. */
 async function serveStdio() {
-    const url = context().endpoints.mcp;
-    let token = await mcpToken({ interactive: false });
+    // On some platforms an API key speaks MCP through the gateway (same read-only route rules as the key everywhere else).
+    let apiKey = undefined;
+    const url = apiKey ? `${context().endpoints.api}/api/v1/mcp` : context().endpoints.mcp;
+    let token = apiKey ?? (await mcpToken({ interactive: false }));
     let sessionId;
     const rl = createInterface({ input: process.stdin });
     const write = (m) => process.stdout.write(`${JSON.stringify(m)}\n`);
@@ -166,7 +168,7 @@ async function serveStdio() {
         });
         try {
             let res = await send();
-            if (res.status === 401) {
+            if (res.status === 401 && !apiKey) {
                 token = await mcpToken({ interactive: false });
                 res = await send();
             }