@orkastery/cli 0.5.1 → 0.5.3

package/dist/esgotamentos.js

@@ -0,0 +1,181 @@
+"use strict";
+/**
+ * RM-040 (B7): `ork accounts esgotamentos`, a medida da metrica do item.
+ *
+ * A metrica da RM-040 e "zero despacho numa conta que outro projeto do mesmo usuario ja viu
+ * esgotada, dentro do prazo dela". Este relatorio so le: as marcas do registro compartilhado
+ * (`~/.orkastery/private/contas.json`) e os `phase_dispatch` com perfil dos ledgers de cada projeto
+ * registrado nesta maquina (`~/.orkastery/projetos.json`). Conta o despacho que caiu na conta de
+ * uma marca, dentro da janela dela, vindo de projeto diferente do que marcou.
+ *
+ * A saida nunca leva diretorio de conta: a conta vira um id opaco (sha256 da chave, 12 hex), o
+ * projeto sai pelo nome registrado e o perfil, pelo id.
+ *
+ * Limite declarado: o registro so guarda as marcas vivas. Uso bem sucedido, login reconferido e
+ * prazo vencido apagam a marca na gravacao seguinte; por isso o numero e um piso, e a leitura vale
+ * enquanto a marca existe.
+ */
+var __createBinding = (this && this.__createBinding) || (Object.create ? (function(o, m, k, k2) {
+    if (k2 === undefined) k2 = k;
+    var desc = Object.getOwnPropertyDescriptor(m, k);
+    if (!desc || ("get" in desc ? !m.__esModule : desc.writable || desc.configurable)) {
+      desc = { enumerable: true, get: function() { return m[k]; } };
+    }
+    Object.defineProperty(o, k2, desc);
+}) : (function(o, m, k, k2) {
+    if (k2 === undefined) k2 = k;
+    o[k2] = m[k];
+}));
+var __setModuleDefault = (this && this.__setModuleDefault) || (Object.create ? (function(o, v) {
+    Object.defineProperty(o, "default", { enumerable: true, value: v });
+}) : function(o, v) {
+    o["default"] = v;
+});
+var __importStar = (this && this.__importStar) || (function () {
+    var ownKeys = function(o) {
+        ownKeys = Object.getOwnPropertyNames || function (o) {
+            var ar = [];
+            for (var k in o) if (Object.prototype.hasOwnProperty.call(o, k)) ar[ar.length] = k;
+            return ar;
+        };
+        return ownKeys(o);
+    };
+    return function (mod) {
+        if (mod && mod.__esModule) return mod;
+        var result = {};
+        if (mod != null) for (var k = ownKeys(mod), i = 0; i < k.length; i++) if (k[i] !== "default") __createBinding(result, mod, k[i]);
+        __setModuleDefault(result, mod);
+        return result;
+    };
+})();
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.NAO_REGISTRADO = exports.LIMITE_DO_RELATORIO = exports.CONTRATO_ESGOTAMENTOS = void 0;
+exports.contaOpaca = contaOpaca;
+exports.fimDaJanela = fimDaJanela;
+exports.relatorioDeEsgotamentos = relatorioDeEsgotamentos;
+exports.textoDosEsgotamentos = textoDosEsgotamentos;
+const node_crypto_1 = require("node:crypto");
+const fs = __importStar(require("node:fs"));
+const horario_1 = require("./horario");
+const ledger_1 = require("./ledger");
+const ledger_stats_1 = require("./ledger-stats");
+const projeto_alvo_1 = require("./projeto-alvo");
+const runtime_profiles_1 = require("./runtime-profiles");
+const thread_1 = require("./thread");
+const util_1 = require("./util");
+exports.CONTRATO_ESGOTAMENTOS = 'ork.esgotamentos/v1';
+exports.LIMITE_DO_RELATORIO = 'o registro guarda so as marcas vivas (uso bem sucedido, login reconferido e prazo vencido ' +
+    'apagam a marca): o total e um piso, valido enquanto a marca existe';
+exports.NAO_REGISTRADO = 'nao registrado';
+function contaOpaca(chave) {
+    return (0, node_crypto_1.createHash)('sha256').update(chave).digest('hex').slice(0, 12);
+}
+function caminhoReal(p) {
+    try {
+        return fs.realpathSync(p);
+    }
+    catch {
+        return p;
+    }
+}
+/** Fim da janela da marca: o prazo para cota esgotada; sem prazo (login, credencial paga), aberta. */
+function fimDaJanela(m) {
+    if (m.estado !== 'esgotado')
+        return Number.POSITIVE_INFINITY;
+    const ate = m.esgotadoAte === null ? NaN : Date.parse(m.esgotadoAte);
+    return Number.isFinite(ate) ? ate : Number.NEGATIVE_INFINITY;
+}
+function relatorioDeEsgotamentos(opcoes = {}) {
+    const agoraMs = opcoes.agoraMs ?? Date.now();
+    const desdeMs = (0, ledger_stats_1.parsePeriodo)(opcoes.desde ?? '7d', agoraMs);
+    if (desdeMs >= agoraMs)
+        throw Error('ledger.period.order');
+    // Um projeto por raiz real: o registro pode trazer a mesma copia por dois caminhos.
+    const vistos = new Set();
+    const projetos = (0, projeto_alvo_1.listarProjetos)().filter((p) => {
+        const real = caminhoReal(p.raiz);
+        if (vistos.has(real))
+            return false;
+        vistos.add(real);
+        return true;
+    }).map((p) => ({ ...p, real: caminhoReal(p.raiz) }));
+    const nomeDaRaiz = (raiz) => projetos.find((p) => p.real === caminhoReal(raiz))?.nome ?? exports.NAO_REGISTRADO;
+    const contas = (0, runtime_profiles_1.lerContasCompartilhadas)();
+    const marcas = contas.map((c) => ({ c, real: caminhoReal(c.projeto), inicio: Date.parse(c.em), fim: fimDaJanela(c) }));
+    const despachos = [];
+    const lidos = [];
+    for (const p of projetos) {
+        let comPerfil = 0;
+        let ids = [];
+        try {
+            ids = p.presente ? (0, thread_1.listarIds)(p.raiz) : [];
+        }
+        catch {
+            ids = [];
+        }
+        for (const id of ids) {
+            let eventos = [];
+            try {
+                eventos = (0, ledger_1.lerLedger)((0, thread_1.dirThread)(p.raiz, id));
+            }
+            catch {
+                continue;
+            }
+            for (const e of eventos) {
+                if (e.tipo !== 'phase_dispatch' || e.perfil === undefined || e.perfil === null)
+                    continue;
+                const t = Date.parse(String(e.ts));
+                if (!Number.isFinite(t) || t < desdeMs || t >= agoraMs)
+                    continue;
+                let perfil, chave;
+                try {
+                    perfil = (0, runtime_profiles_1.validarPerfilDeDespacho)(e.perfil);
+                    chave = (0, runtime_profiles_1.chaveDaConta)(perfil);
+                }
+                catch {
+                    continue;
+                }
+                comPerfil++;
+                const marca = marcas.find((m) => m.c.chave === chave && m.real !== p.real && t >= m.inicio && t < m.fim);
+                if (!marca)
+                    continue;
+                despachos.push({ em: new Date(t).toISOString(), projeto: p.nome, thread: String(e.thread ?? id),
+                    fase: typeof e.fase === 'string' ? e.fase : null, runtime: perfil.runtime, perfil: perfil.id,
+                    conta: contaOpaca(chave), marcadaPor: nomeDaRaiz(marca.c.projeto) });
+            }
+        }
+        lidos.push({ nome: p.nome, presente: p.presente, despachosComPerfil: comPerfil });
+    }
+    despachos.sort((a, b) => a.em.localeCompare(b.em));
+    return {
+        contrato: exports.CONTRATO_ESGOTAMENTOS,
+        periodo: { desde: new Date(desdeMs).toISOString(), ate: new Date(agoraMs).toISOString(), intervalo: '[desde,ate)' },
+        marcas: contas.map((c) => ({ conta: contaOpaca(c.chave), runtime: c.chave.slice(0, c.chave.indexOf(':')), estado: c.estado,
+            motivo: c.motivo, em: c.em, esgotadoAte: c.esgotadoAte, projeto: nomeDaRaiz(c.projeto) })),
+        projetos: lidos,
+        despachos,
+        total: despachos.length,
+        limite: exports.LIMITE_DO_RELATORIO,
+    };
+}
+/** Texto para o terminal, com o horario do dono e o fuso uma vez no fim. */
+function textoDosEsgotamentos(r) {
+    const linhas = [
+        `Esgotamentos de conta  ${(0, horario_1.formatarDataHora)(r.periodo.desde)} ate ${(0, horario_1.formatarDataHora)(r.periodo.ate)} ${r.periodo.intervalo}`,
+        `  marcas vivas no registro: ${r.marcas.length}`,
+    ];
+    for (const m of r.marcas) {
+        const ate = m.estado === 'esgotado' ? `ate ${(0, horario_1.formatarDataHora)(m.esgotadoAte)}` : 'sem prazo';
+        linhas.push(`    conta ${m.conta}  ${m.runtime}  ${m.estado} desde ${(0, horario_1.formatarDataHora)(m.em)}, ${ate}  visto em ${m.projeto} (${m.motivo})`);
+    }
+    linhas.push(`  projetos lidos: ${r.projetos.length === 0 ? 'nenhum registrado'
+        : r.projetos.map((p) => `${p.nome} (${p.presente ? `${p.despachosComPerfil} despacho(s) com perfil` : 'fora do disco'})`).join(', ')}`);
+    linhas.push(`  despachos em conta marcada por outro projeto: ${r.total}`);
+    if (r.despachos.length > 0) {
+        linhas.push((0, util_1.tabela)(['QUANDO', 'PROJETO', 'THREAD', 'FASE', 'PERFIL', 'CONTA', 'MARCADA POR'], r.despachos.map((d) => [(0, horario_1.formatarDataHora)(d.em), d.projeto, d.thread, d.fase ?? '-', d.perfil, d.conta, d.marcadaPor]))
+            .split('\n').map((l) => `    ${l}`).join('\n'));
+    }
+    linhas.push(`  limite: ${r.limite}`);
+    linhas.push((0, horario_1.legendaDoFuso)());
+    return linhas.join('\n');
+}

package/dist/experiencia.js

@@ -1,5 +1,6 @@
 "use strict";
 Object.defineProperty(exports, "__esModule", { value: true });
+exports.IDIOMA_PADRAO = void 0;
 exports.normalizarIdioma = normalizarIdioma;
 exports.validarPreferencias = validarPreferencias;
 exports.idiomaDoSistema = idiomaDoSistema;
@@ -44,6 +45,11 @@ function validarPreferencias(valor) {
     }
     return resultado;
 }
+/**
+ * Ensaio de 03/10 (R2): sem idioma escolhido, vale a língua da CLI. Antes era en-US, e uma máquina com
+ * LANG=C.UTF-8 (contêiner, CI, servidor) recebia a experiência em inglês de uma CLI que fala português.
+ */
+exports.IDIOMA_PADRAO = 'pt-BR';
 /** C, POSIX e und (raiz do ICU) dizem que o sistema não escolheu idioma: vale o padrão. */
 const SEM_IDIOMA = new Set(['c', 'posix', 'und']);
 function idiomaEscolhido(valor) {
@@ -52,11 +58,15 @@ function idiomaEscolhido(valor) {
 }
 function idiomaDoSistema(env = process.env, doIntl = () => Intl.DateTimeFormat().resolvedOptions().locale) {
     const locale = env.LC_ALL || env.LC_MESSAGES || env.LANG;
-    return idiomaEscolhido(locale?.split(/[.@]/)[0].replace(/_/g, '-')) ?? idiomaEscolhido(doIntl()) ?? 'en-US';
+    if (locale) {
+        // Com C ou POSIX explícito, o Intl do Node cai no en-US do ICU: ele não diz a escolha de ninguém.
+        return idiomaEscolhido(locale.split(/[.@]/)[0].replace(/_/g, '-')) ?? exports.IDIOMA_PADRAO;
+    }
+    return idiomaEscolhido(doIntl()) ?? exports.IDIOMA_PADRAO;
 }
 function resolverExperiencia(owner = {}, sistema = { language: idiomaDoSistema(), timezone: (0, horario_1.fusoDoSistema)() }) {
     const p = validarPreferencias(owner);
-    const language = p.language ?? normalizarIdioma(sistema.language) ?? 'en-US';
+    const language = p.language ?? normalizarIdioma(sistema.language) ?? exports.IDIOMA_PADRAO;
     return {
         language, timezone: p.timezone ?? (0, horario_1.normalizarFuso)(sistema.timezone) ?? 'UTC',
         depth: p.depth ?? 'curta', experience: p.experience ?? true,

package/dist/fabrica-estado.js

@@ -81,6 +81,7 @@ const roadmap_reservas_1 = require("./roadmap-reservas");
 const thread_1 = require("./thread");
 const util_1 = require("./util");
 const versao_1 = require("./versao");
+const saida_segura_1 = require("./saida-segura");
 exports.CONTRATO_MAQUINA = 'ork.fabrica-maquina/v1';
 exports.BRANCH_DA_FABRICA = 'ork/fabrica-estado';
 /** O diretorio dos retratos na branch; a leitura sem clone (RM-054) le o mesmo. */
@@ -234,7 +235,8 @@ function gravarMarca(raiz, marca) {
  */
 function publicarMaquina(carregado, opcoes = {}) {
     const raiz = carregado.raiz;
-    const remoto = opcoes.remoto ?? carregado.manifesto.fabrica.remoto;
+    // RM-047: antes do retrato e da marca, para o remoto invalido recusar mesmo sem mudanca a enviar.
+    const remoto = (0, branch_de_estado_1.exigirRemoto)(opcoes.remoto ?? carregado.manifesto.fabrica.remoto, PREFIXO);
     const estado = retratoDaMaquina(carregado, { ...opcoes, remoto });
     const assinatura = assinaturaDoRetrato(estado);
     const marca = lerMarca(raiz);
@@ -274,7 +276,7 @@ function publicarMaquina(carregado, opcoes = {}) {
 /** `ork fabrica sair`: tira o retrato desta maquina da branch. `null` quando nao havia retrato. */
 function removerMaquina(carregado, opcoes = {}) {
     const raiz = carregado.raiz;
-    const remoto = opcoes.remoto ?? carregado.manifesto.fabrica.remoto;
+    const remoto = (0, branch_de_estado_1.exigirRemoto)(opcoes.remoto ?? carregado.manifesto.fabrica.remoto, PREFIXO);
     const maquina = (0, roadmap_reservas_1.quemSouEu)(raiz, { maquina: opcoes.maquina }).maquina;
     for (let tentativa = 1; tentativa <= TENTATIVAS; tentativa++) {
         const { ponta, atualizado } = (0, branch_de_estado_1.buscarBranch)(raiz, remoto, exports.BRANCH_DA_FABRICA, PREFIXO, 30000);
@@ -331,8 +333,13 @@ function blocoDaMaquina(m, eu) {
             t.id, t.modo, t.fase, runtimeDaThread(t), t.roadmap ?? '-', t.esperaVoce ? `sim: ${curto(t.pergunta ?? 'veredito', 40)}` : '-',
         ]))];
 }
-/** `ork fabrica`: todas as maquinas. */
-function textoDaFabrica(p, eu) {
+/**
+ * `ork fabrica`: todas as maquinas. RM-053 (fatia 2): o painel vem do remoto, onde outras pessoas
+ * escrevem; cada valor dele (o `por`, o `projeto`, a pergunta) chega a tela numa linha so, sem nada
+ * que o terminal execute.
+ */
+function textoDaFabrica(painel, eu) {
+    const p = (0, saida_segura_1.valoresEmUmaLinha)(painel);
     const linhas = [];
     if (!p.atualizado)
         linhas.push('AVISO: sem leitura nova do remoto; esta e a ultima copia lida nesta maquina.', '');
@@ -345,8 +352,9 @@ function textoDaFabrica(p, eu) {
     linhas.push((0, horario_1.legendaDoFuso)());
     return linhas.join('\n');
 }
-/** A secao de `ork board` com as outras maquinas. */
-function textoDasOutrasMaquinas(p, eu) {
+/** A secao de `ork board` com as outras maquinas, saneada como o `ork fabrica`. */
+function textoDasOutrasMaquinas(painel, eu) {
+    const p = (0, saida_segura_1.valoresEmUmaLinha)(painel);
     const outras = p.maquinas.filter((m) => m.maquina !== eu);
     const origem = p.atualizado ? 'lido agora' : 'ultima copia local';
     if (outras.length === 0)

package/dist/fabrica-publicar.js

@@ -39,18 +39,24 @@ exports.publicarEmSegundoPlano = publicarEmSegundoPlano;
  *
  * Modulo a parte, com o minimo de dependencias, porque quem chama (despacho de fase, entrega,
  * thread nova) nao pode esperar rede nem arrastar o retrato inteiro para dentro de si.
+ *
+ * RM-053 (D9): o mesmo evento tambem dispara o retrato desta maquina na rede da pessoa, pela
+ * `rede-adesao` (tao leve quanto este modulo): so membro, no maximo uma vez a cada 14 minutos.
  */
 const node_child_process_1 = require("node:child_process");
 const fs = __importStar(require("node:fs"));
 const path = __importStar(require("node:path"));
 const maquina_1 = require("./maquina");
 const manifest_1 = require("./manifest");
+const rede_adesao_1 = require("./rede-adesao");
 /**
  * Publica sem segurar quem chamou (thread nova, despacho de fase, entrega). So com a fabrica
  * compartilhada nesta maquina (`ork fabrica entrar`) ou no projeto; `ORK_FABRICA_PUBLICAR=0`
  * desliga (testes e `ork eval`).
  */
 function publicarEmSegundoPlano(raiz) {
+    // A rede decide por si (adesao, teto e ambiente); o retorno continua sendo o da fabrica.
+    (0, rede_adesao_1.publicarRedeEmSegundoPlano)({ diretorio: raiz });
     if (process.env.ORK_FABRICA_PUBLICAR === '0')
         return false;
     let carregado;

package/dist/fechamento.js

@@ -1,37 +1,4 @@
 "use strict";
-var __createBinding = (this && this.__createBinding) || (Object.create ? (function(o, m, k, k2) {
-    if (k2 === undefined) k2 = k;
-    var desc = Object.getOwnPropertyDescriptor(m, k);
-    if (!desc || ("get" in desc ? !m.__esModule : desc.writable || desc.configurable)) {
-      desc = { enumerable: true, get: function() { return m[k]; } };
-    }
-    Object.defineProperty(o, k2, desc);
-}) : (function(o, m, k, k2) {
-    if (k2 === undefined) k2 = k;
-    o[k2] = m[k];
-}));
-var __setModuleDefault = (this && this.__setModuleDefault) || (Object.create ? (function(o, v) {
-    Object.defineProperty(o, "default", { enumerable: true, value: v });
-}) : function(o, v) {
-    o["default"] = v;
-});
-var __importStar = (this && this.__importStar) || (function () {
-    var ownKeys = function(o) {
-        ownKeys = Object.getOwnPropertyNames || function (o) {
-            var ar = [];
-            for (var k in o) if (Object.prototype.hasOwnProperty.call(o, k)) ar[ar.length] = k;
-            return ar;
-        };
-        return ownKeys(o);
-    };
-    return function (mod) {
-        if (mod && mod.__esModule) return mod;
-        var result = {};
-        if (mod != null) for (var k = ownKeys(mod), i = 0; i < k.length; i++) if (k[i] !== "default") __createBinding(result, mod, k[i]);
-        __setModuleDefault(result, mod);
-        return result;
-    };
-})();
 Object.defineProperty(exports, "__esModule", { value: true });
 exports.liberarAoFechar = liberarAoFechar;
 /**
@@ -43,61 +10,48 @@ exports.liberarAoFechar = liberarAoFechar;
  * derruba. Cada parte roda isolada (achado A1 do CHECK 1): erro de E/S numa nao impede a outra, e o
  * que nao saiu agora sai na poda do proximo pedido de regiao ou no `ork roadmap reservas --soltar-orfas`.
  */
-const fs = __importStar(require("node:fs"));
-const path = __importStar(require("node:path"));
-const estado_thread_1 = require("./estado-thread");
 const ledger_1 = require("./ledger");
 const leases_1 = require("./leases");
 const roadmap_reservas_1 = require("./roadmap-reservas");
+const sessoes_1 = require("./sessoes");
 const thread_1 = require("./thread");
 function liberarAoFechar(raiz, threadId) {
-    const saida = { leases: [], fila: [], reservas: [], falhas: [] };
+    const saida = { leases: [], fila: [], reservas: [], sessoes: [], falhas: [] };
     const falhou = (parte, e) => saida.falhas.push(`${parte}: ${e?.message ?? String(e)}`);
-    // Os leases de regiao sao por checkout: o de quem fecha, a raiz do projeto e, quando a thread tem
-    // worktree, os pegos de la (sugestao 6 do CHECK 2: fechar da worktree tambem solta os da raiz).
-    const real = (p) => { try {
-        return fs.realpathSync(p);
-    }
-    catch {
-        return path.resolve(p);
-    } };
-    const candidatos = [raiz];
+    // RM-036 (D6): os leases de regiao moram todos no estado canonico, chamado de qualquer checkout, e a
+    // soltura de la ja alcanca o legado que a versao anterior gravou nas worktrees. Uma soltura basta.
     try {
-        candidatos.push((0, estado_thread_1.raizDoEstado)(raiz));
+        const solto = (0, leases_1.soltarThreadFechada)(raiz, threadId, 'fechamento');
+        saida.leases.push(...solto.leases);
+        saida.fila.push(...solto.fila);
     }
     catch (e) {
-        falhou('raiz', e);
+        falhou(`leases em ${raiz}`, e);
     }
     try {
-        const wt = (0, thread_1.lerThread)(raiz, threadId).worktree;
-        if (wt && fs.existsSync(wt))
-            candidatos.push(wt);
+        saida.reservas = (0, roadmap_reservas_1.soltarReservaDaThread)(raiz, threadId);
     }
     catch (e) {
-        falhou('thread', e);
-    }
-    const checkouts = candidatos.filter((c, i) => candidatos.findIndex((x) => real(x) === real(c)) === i);
-    for (const checkout of checkouts) {
-        try {
-            const solto = (0, leases_1.soltarThreadFechada)(checkout, threadId, 'fechamento');
-            saida.leases.push(...solto.leases);
-            saida.fila.push(...solto.fila);
-        }
-        catch (e) {
-            falhou(`leases em ${checkout}`, e);
-        }
+        falhou('reserva', e);
     }
+    // RM-056 (ao fechar): a sessao fantasma presa a thread fechada seguia no inventario e no doctor ate
+    // alguem rodar `ork sessions limpar-fantasmas` (624f65db e d38ae1d4, 03/10). So consulta o runtime
+    // quando o ledger tem sessao sem fim; nunca para nem remove nada no runtime, e sessao viva fica.
     try {
-        saida.reservas = (0, roadmap_reservas_1.soltarReservaDaThread)(raiz, threadId);
+        if ((0, sessoes_1.sessoesSemFim)(raiz, threadId).length > 0) {
+            const r = (0, sessoes_1.limparFantasmas)(raiz, { thread: threadId, origem: 'fechamento' });
+            saida.sessoes = r.itens.filter((i) => i.acao === 'solto');
+        }
     }
     catch (e) {
-        falhou('reserva', e);
+        falhou('sessoes', e);
     }
     // Sugestao 2 do CHECK 2: a falha tambem vai ao ledger da thread, de melhor esforco.
     if (saida.falhas.length > 0) {
         try {
             (0, ledger_1.registrarSeExiste)((0, thread_1.dirThread)(raiz, threadId), threadId, ledger_1.TIPOS_DE_EVENTO.solturaFalhou, { falhas: saida.falhas,
-                correcao: 'a poda do proximo pedido de regiao solta o que ficou; reserva: ork roadmap reservas --soltar-orfas' });
+                correcao: 'a poda do proximo pedido de regiao solta o que ficou; reserva: ork roadmap reservas --soltar-orfas; ' +
+                    'sessao fantasma: ork sessions limpar-fantasmas' });
         }
         catch { /* o ledger que nao grava ja esta nas falhas */ }
     }

package/dist/forja.js

@@ -1,6 +1,8 @@
 "use strict";
 Object.defineProperty(exports, "__esModule", { value: true });
 exports.mesmaForja = exports.rotuloDaForja = exports.executorPadrao = void 0;
+exports.enderecoDoRemoto = enderecoDoRemoto;
+exports.repositorioGithubNoHost = repositorioGithubNoHost;
 exports.identidadeDaForja = identidadeDaForja;
 exports.forjaDoArgumento = forjaDoArgumento;
 exports.detalheSeguro = detalheSeguro;
@@ -27,14 +29,20 @@ exports.lerDaForja = lerDaForja;
 const node_child_process_1 = require("node:child_process");
 const hitl_1 = require("./hitl");
 const policies_1 = require("./policies");
+const rede_forja_1 = require("./rede-forja");
 const PRAZO_MS = 30000;
 const SHA = /^[0-9a-f]{40}$/;
 const SEGMENTO = /^[A-Za-z0-9_.-]+$/;
 /** Hostname de verdade: rotulos alfanumericos separados por ponto (`..` ou `a..b` nao passam). */
 const HOST = /^[a-z0-9](?:[a-z0-9-]*[a-z0-9])?(?:\.[a-z0-9](?:[a-z0-9-]*[a-z0-9])?)+$/;
-/** Sem shell, sem token: a CLI usa a autenticacao que ja tem; prompt e aviso de versao desligados. */
+/**
+ * Sem shell, sem token: a CLI usa a autenticacao que ja tem; prompt e aviso de versao desligados.
+ * RM-054 (fatia 3): o binario e procurado como na rede (D11 da RM-053), no PATH e depois nas pastas de
+ * usuario (`~/.local/bin` e as outras): o gateway e o cron rodam com PATH curto, e o `gh` da srvjcp86
+ * mora em `~/.local/bin`. Sem achar, o nome vai cru ao spawn, e o ENOENT continua `forja.ausente`.
+ */
 const executorPadrao = (cmd, args, entrada, timeoutMs) => {
-    const r = (0, node_child_process_1.spawnSync)(cmd, [...args], {
+    const r = (0, node_child_process_1.spawnSync)((0, rede_forja_1.acharBinario)(cmd) ?? cmd, [...args], {
         input: entrada, encoding: 'utf8', timeout: timeoutMs, maxBuffer: 32 * 1024 * 1024,
         env: { ...process.env, GH_PROMPT_DISABLED: '1', GH_NO_UPDATE_NOTIFIER: '1', GLAB_CHECK_UPDATE: 'false', NO_COLOR: '1' },
     });
@@ -63,10 +71,10 @@ function montar(tipo, host, caminho) {
     return { tipo, host, repo: partes.join('/') };
 }
 /**
- * A forja de uma URL de remoto (https, ssh ou scp). Credencial na URL nunca entra na identidade;
- * caminho local e forja desconhecida voltam null.
+ * RM-037 (fatia 5, A5): o host e o caminho de uma URL de remoto (https, ssh ou scp), de qualquer forja. Credencial
+ * na URL nunca entra; caminho local e host que nao e hostname voltam null.
  */
-function identidadeDaForja(url) {
+function enderecoDoRemoto(url) {
     const t = url.trim();
     const esquema = /^(?:https?|ssh|git|git\+ssh|ssh\+git):\/\/(?:[^@/]*@)?([^/:?#@]+)(?::\d+)?\/([^?#\s]+)$/i.exec(t);
     const scp = esquema ? null : /^(?:[^@\s/:]+@)?([^:\s/@]+):(?!\/\/)([^\s]+)$/.exec(t);
@@ -74,8 +82,24 @@ function identidadeDaForja(url) {
     if (!achado)
         return null;
     const host = achado[1].toLowerCase();
-    const tipo = tipoDoHost(host);
-    return tipo ? montar(tipo, host, achado[2].replace(/^\/+/, '')) : null;
+    return HOST.test(host) ? { host, caminho: achado[2].replace(/^\/+/, '') } : null;
+}
+/**
+ * RM-037 (fatia 5, A5): o `dono/nome` de um repositorio do GitHub no host do remoto, com qualquer host: o GitHub
+ * Enterprise mora em host proprio, com ou sem "github" no nome. Quem diz se o host e mesmo um GitHub e o `gh`.
+ */
+function repositorioGithubNoHost(url) {
+    const endereco = enderecoDoRemoto(url);
+    return endereco && tipoDoHost(endereco.host) !== 'gitlab' ? montar('github', endereco.host, endereco.caminho) : null;
+}
+/**
+ * A forja de uma URL de remoto (https, ssh ou scp). Credencial na URL nunca entra na identidade;
+ * caminho local e forja desconhecida voltam null.
+ */
+function identidadeDaForja(url) {
+    const endereco = enderecoDoRemoto(url);
+    const tipo = endereco ? tipoDoHost(endereco.host) : null;
+    return endereco && tipo ? montar(tipo, endereco.host, endereco.caminho) : null;
 }
 /** `github:dono/repo`, `gitlab:grupo/sub/repo` (com host proprio: `gitlab:host.tld/grupo/repo`) ou uma URL. */
 function forjaDoArgumento(texto) {

package/dist/gates.js

@@ -46,11 +46,15 @@ exports.DESCRICAO_DO_MOTIVO = {
     'runtime.quota-exhausted': 'a cota ou os creditos da conta do runtime acabaram (I-33: o perfil sai do rodizio e a fase segue em outro perfil, outro runtime ou na fila)',
     'runtime.auth-missing': 'a conta do runtime nao esta autenticada (I-33: o perfil nunca recebe despacho ate o login ser refeito pelo proprio CLI)',
     'runtime.model-unavailable': 'o modelo pedido nao existe ou a conta nao tem acesso a ele (RM-037: o perfil segue no rodizio e a fase vai a outro perfil com o mesmo modelo ou ao fallback do bloco)',
+    'runtime.profile-invalid': 'o perfil pedido no despacho (--perfil) nao existe no store ou e de outro runtime (RM-056: o despacho nunca troca de perfil sozinho)',
+    'runtime.workspace-untrusted': 'o runtime nao confia no diretorio da worktree e recusou o despacho (RM-055: so o dono aceita a confianca no terminal; depois o ork re-despacha o mesmo prompt)',
+    'runtime.consent-pending': 'o runtime espera o dono aceitar termos novos e recusou o despacho (RM-055: so o dono aceita no terminal; depois o ork re-despacha o mesmo prompt)',
     'cost.violation': 'o despacho seria redirecionado para provider pago (violacao de custo: e o unico motivo que NUNCA recebe retry automatico)',
     'tree.blocked': 'a arvore de destino nao esta disponivel para o merge (branch em check-out com alteracao nao commitada, ou worktree que nao pode ser montada)',
     'lease.busy': 'lease ocupado por outra thread',
+    'lease.resume-unavailable': 'retomada indisponivel; libere o lease explicitamente com --forcar',
     'conducao.em-andamento': 'outra conducao ja executa na worktree da thread (I-36): o pedido foi recusado com quem conduz e as tres acoes (esperar, acompanhar, assumir)',
-    'hitl.formato': 'o pedido HITL saiu fora do formato obrigatorio (pergunta em uma frase, de 2 a 4 alternativas rotuladas com consequencia, exatamente uma recomendada com o porque, corpo em lista)',
+    'hitl.formato': 'o pedido HITL saiu fora do formato obrigatorio (pergunta em uma frase, de 3 a 5 alternativas rotuladas com consequencia, exatamente uma com o selo Recomendacao e o porque, corpo em lista; texto livre so com dependencia tecnica tipada)',
     'human.pending': 'gate humano do modo de conducao ainda nao autorizou',
 };
 /**

package/dist/hitl-contract.js

@@ -1,6 +1,6 @@
 "use strict";
 Object.defineProperty(exports, "__esModule", { value: true });
-exports.CONTRATOS_DE_PEDIDO = exports.CAMPOS_DA_DECISAO_NO_MCP = exports.CAMPOS_DA_DECISAO_NO_CLI = exports.CAMPOS_DE_GATE = exports.TETOS_HITL_V2 = exports.LETRAS_DE_ALTERNATIVA = exports.CONTRATO_HITL_V2 = exports.ATO_IRREVERSIVEL_DO_MOTIVO = exports.ATOS_IRREVERSIVEIS = exports.CONTRATO_HITL = void 0;
+exports.CONTRATOS_DE_PEDIDO = exports.SelecaoRecusada = exports.MAXIMO_DE_ALTERNATIVAS_DE_CONDUCAO = exports.MINIMO_DE_ALTERNATIVAS_DE_CONDUCAO = exports.CAMPOS_DA_DECISAO_NO_MCP = exports.CAMPOS_DA_DECISAO_NO_CLI = exports.CAMPOS_DE_GATE = exports.TETOS_HITL_V2 = exports.LETRAS_DE_ALTERNATIVA = exports.CONTRATO_HITL_V2 = exports.ATO_IRREVERSIVEL_DO_MOTIVO = exports.ATOS_IRREVERSIVEIS = exports.CONTRATO_HITL = void 0;
 exports.atoDaPausa = atoDaPausa;
 exports.profundidadeDoModo = profundidadeDoModo;
 exports.profundidadeDoPedido = profundidadeDoPedido;
@@ -10,6 +10,7 @@ exports.respostaAceitaDoPedido = respostaAceitaDoPedido;
 exports.validarRespostaHitl = validarRespostaHitl;
 exports.vereditoDoGate = vereditoDoGate;
 exports.recusaNaSuperficie = recusaNaSuperficie;
+exports.exigirSelecaoDeConducao = exigirSelecaoDeConducao;
 exports.validarPedidoHitlV2 = validarPedidoHitlV2;
 exports.validarPedidoHitl = validarPedidoHitl;
 exports.ehV2 = ehV2;
@@ -201,7 +202,8 @@ function vereditoDoGate(pedido, opcao) {
 //   `pergunta` e o unico que pode segurar, e o unico que o dono precisa responder.
 // ---------------------------------------------------------------------------
 exports.CONTRATO_HITL_V2 = 'ork.hitl/v2';
-exports.LETRAS_DE_ALTERNATIVA = ['a', 'b', 'c', 'd'];
+/** RM-057: ate cinco alternativas, de a a e. A leitura aceita as de duas do historico. */
+exports.LETRAS_DE_ALTERNATIVA = ['a', 'b', 'c', 'd', 'e'];
 /** D13: tetos com origem na maior medida ja gravada nos catorze pedidos do historico. */
 exports.TETOS_HITL_V2 = Object.freeze({
     pergunta: 200, alternativaTexto: 140, consequencia: 140, porque: 140,
@@ -284,12 +286,12 @@ function validarDecidido(v) {
 function validarAlternativas(v) {
     const alternativas = v.alternativas;
     if (!Array.isArray(alternativas) || alternativas.length < 2 || alternativas.length > exports.LETRAS_DE_ALTERNATIVA.length) {
-        throw new Error('pedido HITL v2: de 2 a 4 alternativas, rotuladas de a a d');
+        throw new Error('pedido HITL v2: de 2 a 5 alternativas, rotuladas de a a e');
     }
     let recomendadas = 0;
     alternativas.forEach((bruta, i) => {
         if (!objeto(bruta) || bruta.letra !== exports.LETRAS_DE_ALTERNATIVA[i]) {
-            throw new Error('pedido HITL v2: de 2 a 4 alternativas, rotuladas de a a d');
+            throw new Error('pedido HITL v2: de 2 a 5 alternativas, rotuladas de a a e');
         }
         if (!linhaUnica(bruta.texto, exports.TETOS_HITL_V2.alternativaTexto))
             throw new Error('pedido HITL v2: alternativa sem texto');
@@ -343,6 +345,12 @@ function validarPergunta(v) {
         !['esperar', 'escalar', 'seguir-recomendada'].includes(v.acaoPadraoAoExpirar)) {
         throw new Error('pedido HITL v2: prazo ou ação de expiração inválidos');
     }
+    if (v.dependenciaTecnica !== undefined) {
+        const d = v.dependenciaTecnica;
+        if (!objeto(d) || !linhaUnica(d.comando, exports.TETOS_HITL_V2.campoDaDecisao) || !linhaUnica(d.porque, exports.TETOS_HITL_V2.porque)) {
+            throw new Error('pedido HITL v2: dependência técnica exige o comando exato e o porquê, uma linha cada');
+        }
+    }
     if (typeof v.irreversivel !== 'boolean')
         throw new Error('pedido HITL v2: irreversível precisa ser declarado');
     if (v.irreversivel) {
@@ -358,6 +366,53 @@ function validarPergunta(v) {
         throw new Error('pedido HITL v2: só pedido irreversível nomeia ato');
     }
 }
+// ---------------------------------------------------------------------------
+// RM-057: o HITL de conducao que parte do ork e uma SELECAO.
+//
+// Na noite de 01 para 02/10/2026 a conducao parou mais de dez horas esperando um "confirmo" em
+// texto livre. A regra do dono (02/10) e que todo pedido que o PROPRIO ork abre ao maestro sai com
+// de 3 a 5 alternativas, exatamente uma com o selo "Recomendação", e nunca depende de o dono
+// escrever ou colar texto. A unica excecao e a dependencia tecnica tipada: o dono roda um comando
+// no terminal que a fabrica nao consegue rodar sozinha.
+//
+// A regra vale na CRIACAO (`registrarPedidoHitl`), nunca na leitura: o ledger guarda pedidos de
+// duas alternativas que continuam legiveis para sempre, e a pergunta nativa de uma sessao do host
+// (v1) traz as opcoes do host, que nao sao do ork.
+// ---------------------------------------------------------------------------
+exports.MINIMO_DE_ALTERNATIVAS_DE_CONDUCAO = 3;
+exports.MAXIMO_DE_ALTERNATIVAS_DE_CONDUCAO = 5;
+class SelecaoRecusada extends Error {
+    motivo;
+    constructor(motivo, detalhe) {
+        super(`${motivo}: ${detalhe}`);
+        this.motivo = motivo;
+        this.name = 'SelecaoRecusada';
+    }
+}
+exports.SelecaoRecusada = SelecaoRecusada;
+/**
+ * RM-057: confere que um pedido que o ork vai ABRIR e uma selecao. Decisao informada (`decidido`)
+ * nao pergunta nada e passa. Recusa com motivo tipado, nunca corta nem completa em silencio.
+ */
+function exigirSelecaoDeConducao(pedido) {
+    if (!ehV2(pedido)) {
+        throw new SelecaoRecusada('hitl.selecao.versao', 'o pedido de condução do ork sai em ork.hitl/v2, com alternativas declaradas');
+    }
+    if (pedido.classe === 'decidido')
+        return;
+    const n = pedido.alternativas.length;
+    if (n < exports.MINIMO_DE_ALTERNATIVAS_DE_CONDUCAO || n > exports.MAXIMO_DE_ALTERNATIVAS_DE_CONDUCAO) {
+        throw new SelecaoRecusada('hitl.selecao.fora-da-faixa', `de ${exports.MINIMO_DE_ALTERNATIVAS_DE_CONDUCAO} a ${exports.MAXIMO_DE_ALTERNATIVAS_DE_CONDUCAO} alternativas, este traz ${n}`);
+    }
+    const recomendadas = pedido.alternativas.filter(a => a.recomendada).length;
+    if (recomendadas !== 1) {
+        throw new SelecaoRecusada('hitl.selecao.recomendada', `exatamente uma alternativa com o selo Recomendação, este traz ${recomendadas}`);
+    }
+    const pedeTexto = pedido.tipoDeResposta === 'aberta' || pedido.respostaAceita.tipo === 'texto';
+    if (pedeTexto && !pedido.dependenciaTecnica) {
+        throw new SelecaoRecusada('hitl.selecao.texto-livre', 'resposta em texto só com dependência técnica tipada: o comando exato que o dono roda no terminal e o porquê');
+    }
+}
 /** Valida `ork.hitl/v2`. Nunca aceita um v1: quem julga v1 e o validador congelado. */
 function validarPedidoHitlV2(v) {
     if (!objeto(v) || v.contrato !== exports.CONTRATO_HITL_V2)