@noobdemon/noob-cli 1.7.0 → 1.7.2

package/bin/noob.js

@@ -1,7 +1,7 @@
 #!/usr/bin/env node
 import { startRepl } from "../src/repl.js";
 import { config } from "../src/config.js";
-import { usage, ApiError } from "../src/api.js";
+import { usage, ApiError, applyInsecureTLS } from "../src/api.js";
 import { c } from "../src/ui.js";
 import { t } from "../src/i18n.js";
 import { checkLatest, runUpdate, CURRENT } from "../src/update.js";
@@ -27,6 +27,10 @@ for (let i = 0; i < argv.length; i++) {
 
 const sub = positional[0];
 
+// Áp dụng --insecure-tls SAU khi parse argv (ESM import hoist khiến top-level
+// check trong api.js chạy trước khi flag được set).
+applyInsecureTLS();
+
 // ── subcommands ──────────────────────────────────────────────────────────
 if (sub === "login") {
   const key = positional[1];
@@ -38,12 +42,20 @@ if (sub === "login") {
   console.log(c.ok("✓ ") + t.loginSaved(config.path));
   try {
     const u = await usage();
-    if (u.ok) console.log(c.ok(t.loginOk({ pro: "Pro", proplus: "Pro+", admin: "Admin", trial: "Trial" }[u.plan] || u.plan)));
-    else console.log(c.err("✗ " + t.errInvalidKey));
-  } catch {
-    /* network — key still saved */
+    if (u.ok) {
+      console.log(c.ok(t.loginOk({ pro: "Pro", proplus: "Pro+", admin: "Admin", trial: "Trial" }[u.plan] || u.plan)));
+      process.exit(0);
+    } else {
+      // Key đã lưu xuống đĩa nhưng gateway từ chối — exit != 0 để user biết, script CI cũng bắt được.
+      console.log(c.err("✗ " + t.errInvalidKey));
+      process.exit(2);
+    }
+  } catch (err) {
+    // Mạng/gateway down: giữ key (user có thể đang offline), nhưng KHÔNG im lặng.
+    console.log(c.err("⚠ không verify được key (mạng/gateway): " + (err?.message || err)));
+    console.log(c.dim("  key vẫn được lưu — chạy `noob usage` khi có mạng để xác nhận."));
+    process.exit(3);
   }
-  process.exit(0);
 } else if (sub === "logout") {
   config.clearKey();
   console.log(c.ok(t.loggedOut));

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@noobdemon/noob-cli",
-  "version": "1.7.0",
+  "version": "1.7.2",
   "publishConfig": {
     "access": "public"
   },

package/src/agent.js

@@ -17,21 +17,22 @@ To call a tool, emit EXACTLY ONE fenced code block tagged \`tool\` containing a
 
 Then STOP and wait — the runtime executes the tool and replies with a TOOL RESULT. Use one tool per step. When the task is complete (or you are only answering a question), reply normally in Markdown with NO tool block.
 
-Available tools:
-- read_file   {"path": str, "offset"?: int, "limit"?: int}   — read a file. The "N  " line-number prefix in the output is DISPLAY ONLY — it is NOT part of the file; never copy it into edit_file.
-- write_file  {"path": str, "content": str}                   — create/overwrite a file
+Available tools (each is self-contained; pick the SMALLEST tool that answers the question):
+- read_file   {"path": str, "offset"?: int, "limit"?: int}   — read a file. Default reads whole file. For files you suspect are LARGE (>500 lines), first check size via list_dir/glob, then read with offset+limit (e.g. 200 lines at a time) instead of slurping. The "N  " line-number prefix in output is DISPLAY ONLY — never copy it into edit_file.
+- write_file  {"path": str, "content": str}                   — create/overwrite a file. Use ONLY for new files or full rewrites; otherwise prefer edit_file.
 - edit_file   {"path": str, "old_string": str, "new_string": str, "replace_all"?: bool} — exact string replace. old_string must match the file's RAW text byte-for-byte (indentation/whitespace included, NO line-number prefix) and be unique unless replace_all. If a replace fails, re-read the file and copy the exact text.
-- list_dir    {"path"?: str}                                  — list a directory
-- glob        {"pattern": str}                                — find files by glob (supports ** and *)
-- grep        {"pattern": str, "path"?: str, "glob"?: str}    — regex search file contents
-- run_command {"command": str, "timeout"?: int, "background"?: bool} — run a shell command in the cwd. A foreground command is killed after ~60s (override with "timeout" ms). For anything long-running or that never exits on its own — dev servers, watchers, \`python -m http.server\`, \`npm run dev\`, \`flask run\` — set "background": true: it starts the process, returns immediately, and keeps running WITHOUT blocking the next steps. Never start a server in the foreground (it will hang then be killed).
-- bg_output  {"id"?: int}                                     — no id: list background processes + status; with id: show that process's captured output so far (poll this after starting a server to confirm it came up)
-- kill_bg     {"id": int}                                      — stop a background process started with run_command background:true
+- list_dir    {"path"?: str}                                  — list a directory. Use to map an unfamiliar project before reading anything.
+- glob        {"pattern": str}                                — find files by glob (supports ** and *). Use when you know the filename pattern but not its location.
+- grep        {"pattern": str, "path"?: str, "glob"?: str}    — regex search file contents. Use to LOCATE code before reading; cheaper than reading whole files when hunting a symbol/string.
+- run_command {"command": str, "timeout"?: int, "background"?: bool} — run a shell command in the cwd. Foreground commands are killed after ~60s (override with "timeout" ms). For long-running processes — dev servers, watchers, \`python -m http.server\`, \`npm run dev\`, \`flask run\` — set "background": true: starts the process, returns immediately, keeps running WITHOUT blocking next steps. Never start a server in the foreground (it will hang then be killed).
+- bg_output  {"id"?: int}                                     — no id: list background processes + status; with id: show that process's captured output so far (poll after starting a server to confirm it came up).
+- kill_bg     {"id": int}                                      — stop a background process started with run_command background:true.
+
+# Retrieval strategy (just-in-time, not bulk)
+Context is finite. Don't slurp the whole repo up front. Discover information progressively: list_dir/glob to map → grep to locate → read_file (with offset+limit for big files) to inspect only what matters. Each tool result spends your attention budget — make every call earn it. When a tool returns a huge blob, extract the few facts you need, then move on; don't re-read it later (the result stays in history).
 
 # Rules
-- GROUND TRUTH = the filesystem, NOT your memory of this chat. A file was created/changed ONLY if a write_file/edit_file TOOL RESULT confirms it (see the FILES CHANGED list). Saying "I created/updated X" in prose does NOT change any file — you must emit the tool call. If the user says a file is missing or asks its state, read_file/list_dir to check reality first; never claim a file "was reverted" or "should be there" from memory.
-- NO FABRICATED VERIFICATION. Never claim a result you did not actually get from a real TOOL RESULT in THIS conversation. Do NOT say "tests pass" / "300/300" / "verified" / "done" / "100%" / "it works" unless a run_command TOOL RESULT above truly shows it. Do NOT reference or quote output that does not appear above — if you have not run the check, say so and RUN it; never narrate a result you only imagine.
-- BEFORE any "finished/summary" message, RE-CHECK reality against the FILES CHANGED list: every file you are about to say you created/edited MUST appear there. If it is not there, you did NOT write it — emit the write_file/edit_file (or list_dir/read_file to confirm) NOW instead of claiming completion. When in doubt, list_dir/read_file the workspace and verify before asserting — do not assert from memory.
+- GROUND TRUTH = real TOOL RESULTs in this conversation, not your memory or what you intended to do. A file changed only if a write_file/edit_file result confirms it (see the FILES CHANGED list). A test passed / build succeeded / command worked only if a run_command result above shows it. Never narrate outcomes you didn't observe; if you haven't checked, say so and check now (read_file / list_dir / run the command). Before any "done/summary" reply, reconcile every file and result you're about to claim against the actual tool results above — if it isn't there, you didn't do it yet.
 - Investigate before editing: read the relevant files first; never invent file contents.
 - Make the smallest change that fully solves the task. Match the surrounding code style.
 - Prefer edit_file over write_file for existing files.

package/src/api.js

@@ -5,9 +5,19 @@ import { config } from "./config.js";
 
 // Opt-in TLS escape hatch for machines behind a TLS-intercepting / broken-
 // revocation proxy. Off by default. Prefer fixing the trust store.
-if (process.env.NOOB_INSECURE_TLS === "1") {
+// LƯU Ý: gọi từ bin/noob.js SAU khi parse argv — vì ESM import được hoist nên
+// nếu chỉ check ở top-level, flag --insecure-tls set sau import sẽ không kịp.
+let _tlsWarned = false;
+export function applyInsecureTLS() {
+  if (process.env.NOOB_INSECURE_TLS !== "1") return;
   process.env.NODE_TLS_REJECT_UNAUTHORIZED = "0";
+  if (_tlsWarned) return;
+  _tlsWarned = true;
+  // Cảnh báo rõ ràng: flag này tắt verify TLS TOÀN PROCESS. MITM-able.
+  console.warn("\x1b[33m⚠ NOOB_INSECURE_TLS=1: TLS verification DISABLED for this process. MITM-vulnerable. Unset when done.\x1b[0m");
 }
+// Vẫn áp dụng ngay nếu env có sẵn từ shell (export NOOB_INSECURE_TLS=1).
+applyInsecureTLS();
 
 function authHeaders() {
   const h = { "Content-Type": "application/json" };

package/src/repl.js

@@ -383,24 +383,39 @@ Tự đánh giá: còn THIẾU gì để đạt mục tiêu? Chọn 1 nhiệm v
     state.mode = "chat"; // tự hành chỉ chạy ở chế độ agent
     state.ultra = true;
     console.log(c.accent("  🚀 " + t.ultraOn));
-    let answer = await handle(ultraStart(goal));
-    persist();
-    let i = 0;
-    // Lượt đầu = lập kế hoạch → KHÔNG xét hoàn thành. Mỗi vòng sau là một lượt
-    // "tiếp tục" có cổng kiểm chứng; chỉ dừng khi token nằm ở CUỐI câu trả lời.
-    while (state.ultra && i < MAX_QUESTS) {
-      if (!answer) break; // lượt bị ngắt/ lỗi → dừng tự hành, đừng quay vô ích
-      i++;
-      console.log(c.accent("  ↻ " + t.ultraQuest(i)));
-      answer = await handle(ultraContinue(goal));
+    // Mốc history TRƯỚC khi ULTRA bơm prompt — kết thúc thì cắt về để các lượt sau không bị "dính" mục tiêu cũ.
+    const baseLen = state.history.length;
+    try {
+      let answer = await handle(ultraStart(goal));
       persist();
-      if (answer && ultraIsDone(answer)) {
-        console.log(c.ok("  ✓ " + t.ultraDone));
-        break;
+      let i = 0;
+      // Lượt đầu = lập kế hoạch → KHÔNG xét hoàn thành. Mỗi vòng sau là một lượt
+      // "tiếp tục" có cổng kiểm chứng; chỉ dừng khi token nằm ở CUỐI câu trả lời.
+      while (state.ultra && i < MAX_QUESTS) {
+        if (!answer) break; // lượt bị ngắt/ lỗi → dừng tự hành, đừng quay vô ích
+        i++;
+        console.log(c.accent("  ↻ " + t.ultraQuest(i)));
+        answer = await handle(ultraContinue(goal));
+        persist();
+        if (answer && ultraIsDone(answer)) {
+          console.log(c.ok("  ✓ " + t.ultraDone));
+          break;
+        }
       }
+      if (state.ultra && i >= MAX_QUESTS) console.log(c.tool("  " + t.ultraMax));
+    } finally {
+      // Dọn dấu vết ULTRA khỏi history (prompt khởi động, các lượt "tiếp tục",
+      // token <<ULTRA_DONE>>…) để các yêu cầu SAU đó không bị model coi như vẫn
+      // đang tự hành / vẫn theo đuổi mục tiêu cũ.
+      state.ultra = false;
+      if (state.history.length > baseLen) state.history.length = baseLen;
+      state.history.push({
+        role: "user",
+        content: "[Phiên ULTRA đã KẾT THÚC — mục tiêu cũ: " + goal + ". Bỏ qua mọi chỉ dẫn ULTRA trước đó, KHÔNG tự hành tiếp, KHÔNG phát token " + ULTRA_DONE + ". Chờ yêu cầu mới.]",
+      });
+      state.history.push({ role: "assistant", content: "OK, đã thoát chế độ ULTRA." });
+      persist();
     }
-    if (state.ultra && i >= MAX_QUESTS) console.log(c.tool("  " + t.ultraMax));
-    state.ultra = false;
   }
 
   // /init — quét dự án & sinh noob.md tổng quan (giống `/init` của Claude Code).
@@ -588,7 +603,9 @@ NGUYÊN TẮC:
     let timer = null;
     const tick = (label) => {
       const elapsed = ((Date.now() - t0) / 1000).toFixed(0);
-      tui.status(c.dim(`${label}… ${elapsed}s`));
+      // Chèn token usage realtime (↑input ↓output) ngay cạnh spinner để người
+      // dùng thấy được số token đang cộng dồn trong khi model stream.
+      tui.status(c.dim(`${label}… ${elapsed}s · ${tokenMeter.format()}`));
     };
     const stopSpin = () => {
       if (timer) {
@@ -613,7 +630,8 @@ NGUYÊN TẮC:
           message: text,
           signal: abort.signal,
           onStatus: (s) => {
-            if (!printer.started) tui.status(c.dim("  " + s));
+            // Kèm token meter để nhánh merge/search cũng thấy ↑input ↓output realtime.
+            if (!printer.started) tui.status(c.dim(`  ${s} · ${tokenMeter.format()}`));
           },
           onDelta: (d) => {
             stopSpin();

package/src/subagent.js

@@ -32,7 +32,13 @@ Ví dụ phân cấp: cha giao "build full app" → đẻ 1 sub-agent "build bac
 // Chạy một sub-agent. dispatchTool: hàm để thực thi tool con (chia sẻ với cha).
 // model: dùng chung model của cha. onLog: callback để log tiến độ ra UI cha.
 export async function runSubAgent({ task, context, model, signal, dispatchTool, depth = 1, onLog, tokenMeter }) {
-  const sys = `Bạn là SUB-AGENT (depth=${depth}) được agent cha ủy thác MỘT nhiệm vụ cụ thể. Làm xong → trả lời NGẮN GỌN bằng Markdown tóm tắt KẾT QUẢ (file đã đụng, phát hiện, lỗi nếu có). Không tán gẫu. Không hỏi lại cha — tự quyết với thông tin được cấp.
+  const sys = `Bạn là SUB-AGENT (depth=${depth}) được agent cha ủy thác MỘT nhiệm vụ cụ thể.
+
+# Cách làm việc
+- Tự quyết với thông tin được cấp + tự khám phá filesystem (list_dir/glob/grep/read_file). KHÔNG hỏi lại cha.
+- History của bạn TÁCH BIỆT với cha. Cha CHỈ thấy chuỗi trả lời cuối của bạn → hãy là một bản tóm tắt cô đọng (mục tiêu 1–2k token): mọi file đã đụng, phát hiện then chốt, lỗi/cảnh báo, và các đầu mối cha cần để hành động tiếp. Bỏ chi tiết quá trình thừa.
+- Làm điều nhỏ nhất giải quyết trọn vẹn nhiệm vụ. Không drive-by refactor.
+- Verify khi hợp lý (chạy build/test/lint). Báo trung thực phần đã/chưa verify.
 
 # NHIỆM VỤ
 ${task}

package/src/tokens.js

@@ -25,33 +25,64 @@ export function countMessages(messages = []) {
 
 // Bộ đếm cộng dồn cho 1 phiên: input (prompt gửi đi) + output (text stream về).
 // Hỗ trợ cộng dồn theo delta để hiển thị realtime trong lúc stream.
+//
+// Vấn đề cũ: pushOutputDelta encode TOÀN buffer mỗi delta → O(N²) trên stream dài.
+// Fix: sliding window. BPE chỉ phụ thuộc context cục bộ (vài chục byte) nên ta
+// chỉ cần encode đoạn TAIL gần đây, phần trước đó "commit" dứt khoát. Safety
+// window đủ rộng (256 chars) để qua mọi ranh giới token thực tế của cl100k_base
+// (token dài nhất ~ vài chục byte).
+const TAIL_WINDOW = 256;
+
 export class TokenMeter {
   constructor() {
     this.input = 0;
     this.output = 0;
-    this._outBuf = ""; // gom delta để đếm theo batch (đỡ tốn CPU)
-    this._outBufN = 0; // số token đã đếm từ _outBuf (để cộng dồn chính xác)
+    // Phần đầu output đã "commit" — không đụng vào nữa.
+    this._committedChars = 0; // số ký tự đã đẩy qua khỏi tail window
+    this._committedTokens = 0; // tổng token tương ứng đã cộng vào this.output
+    // Tail buffer: TAIL_WINDOW ký tự cuối, dùng để re-encode khi có delta mới.
+    this._tail = "";
+    this._tailTokens = 0; // token count hiện tại của _tail (đã cộng vào this.output)
   }
   addInput(n) {
     this.input += Math.max(0, n | 0);
   }
-  // Mỗi delta text từ stream: gom vào buffer, định kỳ encode lại để cập nhật
-  // số token. Encode toàn buffer thay vì delta riêng lẻ → chính xác hơn (BPE
-  // gộp các byte qua ranh giới delta).
+  // Mỗi delta text từ stream: append vào tail, re-encode CHỈ tail (không toàn buffer).
+  // Nếu tail vượt 2×TAIL_WINDOW → commit nửa đầu, giữ lại nửa sau.
   pushOutputDelta(text) {
     if (!text) return;
-    this._outBuf += text;
-    // Re-encode toàn bộ buffer hiện tại; cập nhật delta vào this.output.
-    const total = countTokens(this._outBuf);
-    if (total > this._outBufN) {
-      this.output += total - this._outBufN;
-      this._outBufN = total;
+    this._tail += text;
+    // Re-encode tail → cập nhật phần token của tail.
+    const newTailTokens = countTokens(this._tail);
+    this.output += newTailTokens - this._tailTokens;
+    this._tailTokens = newTailTokens;
+    // Nếu tail quá lớn, commit nửa đầu để giữ tail bounded.
+    // Cắt tại ranh giới whitespace gần TAIL_WINDOW — BPE align tốt ở đây nên
+    // sai số head+tail vs encode liền mạch ≈ 0 (thay vì +1 token mỗi cut).
+    if (this._tail.length > TAIL_WINDOW * 2) {
+      let cutAt = this._tail.length - TAIL_WINDOW;
+      // Lùi cutAt về ranh giới whitespace gần nhất (tối đa 64 chars).
+      const minCut = Math.max(0, cutAt - 64);
+      while (cutAt > minCut && !/\s/.test(this._tail[cutAt])) cutAt--;
+      const head = this._tail.slice(0, cutAt);
+      const newTail = this._tail.slice(cutAt);
+      const headTokens = countTokens(head);
+      const newTailTokensAfterCut = countTokens(newTail);
+      // Điều chỉnh this.output để giữ tổng nhất quán với re-encode rời.
+      const delta = headTokens + newTailTokensAfterCut - this._tailTokens;
+      this.output += delta;
+      this._committedChars += head.length;
+      this._committedTokens += headTokens;
+      this._tail = newTail;
+      this._tailTokens = newTailTokensAfterCut;
     }
   }
   // Kết thúc một lượt output → reset buffer (bắt đầu lượt mới).
   endOutput() {
-    this._outBuf = "";
-    this._outBufN = 0;
+    this._committedChars = 0;
+    this._committedTokens = 0;
+    this._tail = "";
+    this._tailTokens = 0;
   }
   get total() {
     return this.input + this.output;
@@ -64,7 +95,9 @@ export class TokenMeter {
   reset() {
     this.input = 0;
     this.output = 0;
-    this._outBuf = "";
-    this._outBufN = 0;
+    this._committedChars = 0;
+    this._committedTokens = 0;
+    this._tail = "";
+    this._tailTokens = 0;
   }
 }

package/src/tools.js

@@ -29,8 +29,16 @@ function killBgTree(child) {
   } catch {}
 }
 // Đừng để tiến trình nền sống mồ côi sau khi CLI thoát.
-process.on("exit", () => {
+// - 'exit' bắt được normal exit + process.exit() (gồm cả nhánh Ctrl+C lần 2 ở repl).
+// - SIGTERM mặc định KHÔNG trigger 'exit' → process chết im, bg leak. Bắt riêng.
+// - SIGINT đã có handler ở repl.js, không đụng vào để không phá UX "Ctrl+C lần 1 = abort".
+function cleanupBg() {
   for (const p of bg.values()) killBgTree(p.child);
+}
+process.on("exit", cleanupBg);
+process.on("SIGTERM", () => {
+  cleanupBg();
+  process.exit(143);
 });
 
 export const TOOLS = {
@@ -74,7 +82,9 @@ export const TOOLS = {
       if (count === 0) continue;
       if (count > 1 && !replace_all)
         throw new Error(`old_string is not unique (${count} matches) in ${rel(file)}; set replace_all, or add surrounding lines to make it unique`);
-      await fs.writeFile(file, applyExact(cand, cand === old_string ? new_string : adapt(new_string)), "utf8");
+      // LUÔN adapt new_string về line ending của file (kể cả khi cand match raw old_string),
+      // tránh tạo file mix CRLF/LF làm git/editor hiển thị diff lạ → user tưởng 'Edited nhưng không apply'.
+      await fs.writeFile(file, applyExact(cand, adapt(new_string)), "utf8");
       return `Edited ${rel(file)} (${replace_all ? count : 1} replacement(s))`;
     }
 
@@ -131,34 +141,48 @@ export const TOOLS = {
     const rx = new RegExp(pattern, "i");
     const gRx = g ? globToRegExp(g) : null;
     const out = [];
-    (function walk(dir) {
-      let ents;
+    function scanFile(full) {
+      const relp = rel(full).split(path.sep).join("/");
+      if (gRx && !gRx.test(relp)) return;
+      let txt;
       try {
-        ents = fssync.readdirSync(dir, { withFileTypes: true });
+        txt = fssync.readFileSync(full, "utf8");
       } catch {
         return;
       }
-      for (const e of ents) {
-        if (e.name === "node_modules" || e.name.startsWith(".git")) continue;
-        const full = path.join(dir, e.name);
-        if (e.isDirectory()) {
-          walk(full);
-          continue;
-        }
-        const relp = rel(full).split(path.sep).join("/");
-        if (gRx && !gRx.test(relp)) continue;
-        let txt;
+      if (txt.includes("\u0000")) return; // skip binary files
+      txt.split("\n").forEach((l, idx) => {
+        if (rx.test(l) && out.length < 200) out.push(`${relp}:${idx + 1}: ${l.trim().slice(0, 200)}`);
+      });
+    }
+    // path có thể là FILE hoặc DIR — stat trước để không nuốt câm khi user trỏ thẳng vào file.
+    let st;
+    try {
+      st = fssync.statSync(abs(p));
+    } catch {
+      return "No matches.";
+    }
+    if (st.isFile()) {
+      scanFile(abs(p));
+    } else {
+      (function walk(dir) {
+        let ents;
         try {
-          txt = fssync.readFileSync(full, "utf8");
+          ents = fssync.readdirSync(dir, { withFileTypes: true });
         } catch {
-          continue;
+          return;
         }
-        if (txt.includes("\u0000")) continue; // skip binary files
-        txt.split("\n").forEach((l, idx) => {
-          if (rx.test(l) && out.length < 200) out.push(`${relp}:${idx + 1}: ${l.trim().slice(0, 200)}`);
-        });
-      }
-    })(abs(p));
+        for (const e of ents) {
+          if (e.name === "node_modules" || e.name.startsWith(".git")) continue;
+          const full = path.join(dir, e.name);
+          if (e.isDirectory()) {
+            walk(full);
+            continue;
+          }
+          scanFile(full);
+        }
+      })(abs(p));
+    }
     return out.length ? clip(out.join("\n")) : "No matches.";
   },