@orkastery/cli 0.4.1 → 0.4.2

package/README.md

@@ -13,6 +13,9 @@ append-only ledger.
   it again on an independent runner before the merge.
 - **You choose how often you are called.** One mode per #TAG, in the request itself, decides
   where the cycle pauses. Verification is the same in all of them.
+- **Decisions sized for a full day.** Every question `ork` brings you is short, with alternatives
+  and one recommendation, so a person running dozens of things at once, including people with
+  ADHD, decides in seconds.
 - **Subscription, never pay-per-token.** Dispatch uses the runtime CLI's own login. `ork` never
   reads credentials, and the `subscription-only` policy blocks paid providers.
 

package/adapters/openclaw/openclaw.plugin.json

@@ -2,7 +2,7 @@
   "id": "orkastery",
   "name": "Orkastery",
   "description": "Conducao de looping threads em 6 fases pelo nucleo `ork`, exposta ao OpenClaw como tools `ork_*`. Zero regra de negocio no host: cada tool e uma chamada de CLI.",
-  "version": "0.4.1",
+  "version": "0.4.2",
   "configSchema": {
     "type": "object",
     "properties": {},

package/adapters/openclaw/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@orkastery/openclaw-plugin",
-  "version": "0.4.1",
+  "version": "0.4.2",
   "description": "Plugin Orkastery para OpenClaw: 25 tools ork_* que traduzem intencao em chamada de CLI do nucleo `ork`. Zero regra de negocio no host.",
   "type": "module",
   "private": true,

package/dist/adapters/codex-controller-sensor.js

@@ -70,23 +70,47 @@ function conferirDiretorioDaFonte(dir, dirSessoes, uid) {
     }
     return real;
 }
+/**
+ * Quantas vezes a conferência lstat/abertura se repete quando o inode muda entre as duas. O worker
+ * grava o state.json por arquivo temporário e rename: cada gravação é um inode novo, e sob carga
+ * ela cai entre o lstat e o open. Só se aceita descritor cujo inode é o conferido; o limite impede
+ * laço sem fim contra quem troca o arquivo sem parar.
+ */
+const TENTATIVAS_DE_INODE = 5;
 /** Abre sem seguir link, confere descritor/inode, modo, dono e limite antes de decodificar. */
 function lerMetadado(dir, nome, uid, obrigatorio = true) {
     const file = path.join(dir, nome);
-    let antes;
-    try {
-        antes = fs.lstatSync(file);
-    }
-    catch (e) {
-        if (e.code === 'ENOENT' && !obrigatorio)
-            return null;
-        return recusar(`metadado ${nome} de controller ausente`);
+    for (let tentativa = 1;; tentativa++) {
+        let antes;
+        try {
+            antes = fs.lstatSync(file);
+        }
+        catch (e) {
+            if (e.code === 'ENOENT' && !obrigatorio)
+                return null;
+            return recusar(`metadado ${nome} de controller ausente`);
+        }
+        if (!antes.isFile() || antes.isSymbolicLink())
+            recusar(`metadado ${nome} de controller não é arquivo regular`);
+        const fd = fs.openSync(file, fs.constants.O_RDONLY | fs.constants.O_NOFOLLOW);
+        let st;
+        try {
+            st = fs.fstatSync(fd);
+        }
+        catch (e) {
+            fs.closeSync(fd);
+            throw e;
+        }
+        if (st.isFile() && (st.ino !== antes.ino || st.dev !== antes.dev) && tentativa < TENTATIVAS_DE_INODE) {
+            // Substituído por rename entre o lstat e o open: confere e abre de novo, do zero.
+            fs.closeSync(fd);
+            continue;
+        }
+        return lerDescritorConferido(fd, st, antes, nome, uid);
     }
-    if (!antes.isFile() || antes.isSymbolicLink())
-        recusar(`metadado ${nome} de controller não é arquivo regular`);
-    const fd = fs.openSync(file, fs.constants.O_RDONLY | fs.constants.O_NOFOLLOW);
+}
+function lerDescritorConferido(fd, st, antes, nome, uid) {
     try {
-        const st = fs.fstatSync(fd);
         if (!st.isFile() || st.ino !== antes.ino || st.dev !== antes.dev)
             recusar(`descritor de ${nome} divergente do inode conferido`);
         if (st.uid !== uid)
@@ -395,11 +419,14 @@ function registrarFonteController(dir, esperado) {
 }
 /** Releitura da fonte fixada. Nunca descobre outro processo, nem aceita override de rollout. */
 function lerSnapshotController(fonte, opcoes = {}) {
-    const agora = opcoes.agoraMs ?? Date.now();
     const real = conferirDiretorioDaFonte(fonte.dir, path.dirname(fonte.dir), fonte.uid);
     if (real !== fonte.dir)
         recusar('fonte de controller mudou de caminho real');
     const estado = conferirEstado(lerMetadado(real, 'state.json', fonte.uid), fonte);
+    // O relógio de referência é o do fim da leitura. O worker grava o close quando o runtime fecha,
+    // e isso pode acontecer entre o início desta releitura e a leitura do state.json: esse close não
+    // está no futuro. Com o relógio lido antes, ele era recusado e o watcher morria sem phase_result.
+    const agora = opcoes.agoraMs ?? Date.now();
     if (!mesmaIdentidade(identidadeValida(estado.processoController, fonte.uid), fonte.processoController))
         recusar('identidade do controller divergente da registrada');
     if (!mesmaIdentidade(identidadeValida(estado.processoRuntime, fonte.uid), fonte.processoRuntime))

package/dist/index.js

@@ -144,6 +144,8 @@ const licoes_1 = require("./licoes");
 const demo_1 = require("./demo");
 const entrega_pr_1 = require("./entrega-pr");
 /** A versao publicada em `@orkastery/cli`, lida do package.json (`versao.ts`). */
+// Antes de qualquer arquivo ou despacho: sem escrita de grupo nem de outros, que o sensor recusaria.
+(0, preflight_1.endurecerUmask)();
 const VERSAO = versao_1.VERSAO_DO_ORK;
 /** Parse simples de argumentos: `--chave valor`, `--chave=valor` e flags booleanas. */
 function parseArgs(argv) {

package/dist/preflight.js

@@ -33,6 +33,7 @@ var __importStar = (this && this.__importStar) || (function () {
     };
 })();
 Object.defineProperty(exports, "__esModule", { value: true });
+exports.endurecerUmask = endurecerUmask;
 exports.umaskDoProcesso = umaskDoProcesso;
 exports.sondasDeAmbiente = sondasDeAmbiente;
 exports.checkDeContas = checkDeContas;
@@ -61,6 +62,18 @@ const sensoresPadrao = {
     sandboxCodex: () => (0, codex_2.sondarSandbox)().ok,
     auth: authPadrao,
 };
+/**
+ * O sensor recusa fonte com escrita de grupo ou de outros (bits 0o022). O ork acrescenta esses bits
+ * ao umask do proprio processo, sem nunca afrouxar um umask mais restrito (077 continua 077): tudo o
+ * que ele cria, e tudo o que ele despacha (claude, codex), nasce sem escrita alheia, qualquer que
+ * seja o umask do shell de quem roda. Devolve o umask anterior e o que ficou valendo.
+ */
+function endurecerUmask() {
+    const anterior = process.umask(0o077);
+    const atual = anterior | 0o022;
+    process.umask(atual);
+    return { anterior, atual };
+}
 /** umask efetivo do processo, lido de /proc (Linux) para nao usar o getter deprecado. */
 function umaskDoProcesso() {
     try {

package/dist/session-watcher.js

@@ -183,6 +183,11 @@ function comLockWatcher(dir, action) {
         }
     }
 }
+/**
+ * `agoraMs` só vem quando o relógio é injetado. Sem ele, a referência de "evento do futuro" é o
+ * relógio depois da leitura: a linha que o runtime anexou durante a observação não é futura, e
+ * descartá-la perdia o terminal do turno.
+ */
 function lerFonte(file, anterior, agoraMs, sessionId, fixada) {
     const fd = fs.openSync(file, fixada
         ? fs.constants.O_RDONLY | fs.constants.O_NOFOLLOW | fs.constants.O_NONBLOCK : 'r');
@@ -206,6 +211,7 @@ function lerFonte(file, anterior, agoraMs, sessionId, fixada) {
         let offset = mesmo ? anterior.offset : 0;
         const buffer = Buffer.alloc(Math.min(exports.BLOCO_WATCH_BYTES, stat.size - offset));
         const n = fs.readSync(fd, buffer, 0, buffer.length, offset);
+        const agora = agoraMs ?? Date.now();
         const fim = buffer.subarray(0, n).lastIndexOf(10);
         let terminal = mesmo ? anterior.terminal : null;
         if (fim >= 0) {
@@ -221,7 +227,7 @@ function lerFonte(file, anterior, agoraMs, sessionId, fixada) {
                     (e?.type === 'session_meta' && e.payload?.id !== sessionId))
                     throw new Error('log/rollout pertence a outra sessão');
             }
-            for (const t of parser.push(buffer.subarray(0, fim + 1), agoraMs))
+            for (const t of parser.push(buffer.subarray(0, fim + 1), agora))
                 terminal = t;
             offset += fim + 1;
         }
@@ -235,7 +241,7 @@ function lerFonte(file, anterior, agoraMs, sessionId, fixada) {
         const parcial = n < exports.BLOCO_WATCH_BYTES && stat.size > offset;
         return { cursor: { file, ino: stat.ino, tamanho: stat.size, offset, parser: parser.estado, terminal, parcial },
             cresceu: parser.eventosValidos > 0,
-            quando: Math.min(agoraMs, stat.mtimeMs), bytes: n, temMais: stat.size > offset };
+            quando: Math.min(agora, stat.mtimeMs), bytes: n, temMais: stat.size > offset };
     }
     finally {
         fs.closeSync(fd);
@@ -352,7 +358,8 @@ function observarSessao(carregado, sessionId, opcoes = {}) {
                     fixacao: path.join(dir, 'sessoes', `watcher-source-${chave}.json`),
                     vinculo: { thread: thread.id, fase: sessao.fase, promptSha256: sessao.promptSha256 }
                 });
-                snapshot = (0, codex_controller_sensor_1.lerSnapshotController)(fonteControlador, { agoraMs: now });
+                // Relógio injetado vale como está; o real é lido pelo sensor depois do state.json.
+                snapshot = (0, codex_controller_sensor_1.lerSnapshotController)(fonteControlador, opcoes.agoraMs === undefined ? {} : { agoraMs: now });
             }
             const file = path.join(pasta, 'cursor.json');
             const cursor = lerJson(file) ?? { schema: 'ork.session-cursor/v1', sessionId,
@@ -370,7 +377,7 @@ function observarSessao(carregado, sessionId, opcoes = {}) {
                     continue;
                 let leitura;
                 try {
-                    leitura = lerFonte(fonte, cursor.fontes[nome], now, sessionId, nome === 'rollout' ? fonteControlador ?? undefined : undefined);
+                    leitura = lerFonte(fonte, cursor.fontes[nome], opcoes.agoraMs === undefined ? undefined : now, sessionId, nome === 'rollout' ? fonteControlador ?? undefined : undefined);
                 }
                 catch (e) {
                     if (nome !== 'rollout' || e.message !== 'log/rollout pertence a outra sessão')

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@orkastery/cli",
-  "version": "0.4.1",
+  "version": "0.4.2",
   "description": "A software factory of AI agents that proves its work: parallel threads, verified results, and short decisions only when they matter.",
   "license": "MIT",
   "homepage": "https://github.com/orkastery/orkastery#readme",